电子政务的安全管理方案分析

单击此处编辑母版标题样式,*,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,电子政务的安全,分四个部分,电子政务安全概述,电子政务安全风险分析,电子政务安全的技术对策,电子政务安全的管理对策。,1,第一部分,电,电子政,务,务安全概,述,述,电子政务,的,的重要性,和,和特殊性,必,必然会招,致,致各种势,力,力的关注,和,和攻击。,因此，电,子,子政务的,实,实施在带,来,来高效率,和,和便利的,同,同时也存,在,在许多风,险,险。,我们必须,清,清醒地认,识,识到这一,点,点。,2,国家计算,机,机网络与,信,信息安全,管,管理中,心,心提供的,资,资料显示,2001,年,年中美黑,客,客大战期,间,间，在遭,受,受美国黑,客,客攻击的,我,我国大陆,网,网站中，,政,政府网站,占,占了41.5%。,也就是说,政,政府网站,成,成为重点,攻,攻击对象,。,。,对照安全,标,标准来衡,量,量，中央,国,国家部委,的,的涉密网,络,络有一半,以,以上未达,到,到安全保,密,密要求。,3,再比如：,XX公司,一,一个员工,把,把工作电,脑,脑带回家,，,，为了获,得,得更快的,运,运行效率,，,，部分关,闭,闭了防病,毒,毒软件的,功,功能，使,得,得木马程,序,序植入他,的,的电脑，,最,最后又被,植,植入到XX公司内,部,部网系统,，,，导致源,代,代码的泄,露,露。,4,第二部分,电,电子,政,政务的安,全,全风险,下面我们,基,基于风险,产,产生的原,因,因,把,电,电子政务,安,安全风险,分,分为5类,：,：,一是 物,理,理风险,比,比如自然,灾,灾害，电,力,力供应突,然,然中断，,静,静电、强,磁,磁场破坏,硬,硬件设备,以,以及设备,老,老化等引,起,起的风险,。,。,二是无意,错,错误风险-是,指,指由于人,为,为或系统,错,错误而影,响,响信息的,完,完整性、,机,机密性和,可,可用性。,5,三是有意,破,破坏,指内部和,外,外部人员,有,有意通过,物,物理手段,破,破坏信息,系,系统而影,响,响信息的,机,机密性、,完,完整性、,可,可用性和,可,可控性。,比,比如：有,意,意破坏基,础,础设施、,扩,扩散计算,机,机病毒、,电,电子欺骗,等,等。,这种风险,带,带来的破,坏,坏一般而,言,言是巨大,的,的。严,重,重时会引,起,起整个系,统,统的瘫痪,和,和不可恢,复,复。,6,四是管理,风,风险,它是指因,为,为口令和,密,密钥管理,不,不当、制,度,度遗漏，,岗,岗位、职,责,责设置不,全,全面等因,素,素引起信,息,息泄露、,系,系统无序,运,运行等。,7,五是其它,风,风险,是指除上,述,述所列举,的,的一些风,险,险外，一,切,切可能危,及,及信息系,统,统的机密,性,性、完整,性,性、可用,性,性、可控,性,性和系统,正,正常运行,的,的风险。,正是存在,上,上述诸多,风,风险，电,子,子政务的,安,安全体系,建,建设显得,忧,忧为重要,。,。,8,基于此我,们,们确定,电,电子政务,系,系统信息,安,安全的宗,旨,旨,是在实现,电,电子政务,信,信息系统,时,时充分考,虑,虑信息风,险,险，从而,确,确保政府,部,部门能够,有,有效地完,成,成法律所,赋,赋予的政,府,府职能。,9,电子政务,的,的安全目,标,标有以,下,下三方面,一是保护,政,政务信息,资,资源价值,不,不受侵犯,。,。,二是保证,信,信息资产,的,的拥有者,（,（政务主,体,体）面临,最,最小的风,险,险和获取,最,最大的安,全,全利益。,三是使政,务,务的信息,基,基础设施,、,、信息应,用,用服务和,信,信息内容,具,具有保密,性,性、完整,性,性、真实,性,性、可用,性,性和可控,性,性的能力,。,。,10,那么，我,们,们如何,实,实现电子,政,政务的安,全,全目标呢,答案是构,建,建一个电,子,子政务综,合,合安全体,系,系。,这种安全,体,体系应该,包,包括风险,评,评估、策,略,略制定、,技,技术实现,、,、制度建,立,立、流程,保,保障、人,员,员培训等,一,一系列内,容,容。,11,电子政务,的,的安全措,施,施包括三,个,个方面,一是物理,层,层的安全,防,防护措施,。,。主要通,过,过制定物,理,理层面的,管,管理规范,和,和措施来,保,保证计算,机,机网络设,备,备、设施,及,及数据信,息,息免遭自,然,然灾害、,人,人为操作,失,失误或错,误,误、计算,机,机犯罪行,为,为导致的,物,物理实体,被,被破坏、,服,服务中断,、,、数据遗,失,失。,比如上海,财,财税局系,统,统容灾、,数,数据集中,备,备份项目,就,就是针对,上,上海市财,税,税系统迫,切,切需要解,决,决的安全,性,性需求而,建,建设的。,12,二是技术,措,措施。它,是,是利用计,算,算机网络,产,产品和技,术,术服务实,现,现的，包,括,括技术规,范,范、技术,方,方案、技,术,术实施等,内,内容。,三是管理,措,措施。包,括,括管理体,系,系,管理,制,制度和法,律,律保障。,其中，管,理,理和技术,的,的有效结,合,合是保证,电,电子政务,系,系统的安,全,全的必备,手,手段。下,面,面进行详,细,细介绍,13,第三部分,电,电子政,务,务安全的,技,技术对策,首先是,网,网络层,的,的安全,大,大家,知,知道网络,的,的组成包,括,括 客,户,户机信,道,道-服务器,三,三个方面,，,，因此，,安,安全对策,也,也有三个,方,方面。,1 客户,机,机（用户,终,终端）安,全,全的对策,就是保护,客,客户机免,受,受网上下,载,载软件和,数,数据的威,胁,胁，方法,有,有数字证,书,书、浏览,器,器内置的,安,安全特性,和,和使用防,病,病毒软件,。,。,14,3.3.1-2.通,讯,讯信道的,安,安全,保护通讯,信,信道的安,全,全就是要,保,保证通讯,的,的保密性,、,、传输信,息,息的完整,性,性和信道,的,的可用性,。,。,保密性和,完,完整性主,要,要通过各,种,种加密的,方,方式来实,现,现。,15,3.3.1-3 电子,政,政务服务,器,器的安全,一是访问,控,控制和认,证,证,二是操作,系,系统控制,-大,家,家最常见,的,的就是,用户名+,口,口令,的,的认证方,式,式。,16,3.3.2电子政,务,务服务应,用,用层安,全,全策略,建立完整,的,的公钥基,础,础设施（Public Key Infrastructure，PKI）,它,是,是基于公,开,开密钥理,论,论和技术,建,建立起来,的,的安全体,系,系，是提,供,供信息安,全,全服务的,具,具有普适,性,性的安全,基,基础设施,。,。,17,建立这套,基,基础设施,的目的是,解,解决网络,空,空间的身,份,份认证与,信,信任问题,18,3.3.3-1电,子,子政务中,的,的内外网,隔,隔离,三网隔离,关,关系示意,图,图,19,3.3.31,物,物理隔离,是指将两,个,个网络完,全,全断开，,使,使之不发,生,生实际的,物,物理连接,。,。这样一,来,来，网络,黑,黑客便无,法,法进入内,网,网。,“9.11”恐怖,袭,袭击事件,后,后，美国,政,政府提出,建,建立独立,于,于Internet的政府,专,专用网GOVNET。,我国电子,政,政务的内,网,网与外网,之,之间采取,的,的是物理,隔,隔离。,20,3.3.32,逻,逻辑隔离,是指两个,网,网络之间,通,通过专用,的,的计算机,设,设备连接,，,，这个计,算,算机通过,执,执行一定,的,的安全策,略,略，从而,控,控制两个,网,网络之间,信,信息包的,流,流入和流,出,出。最常,用,用的设备,是,是防火墙,。,。,电子政务中的,外,外网与互联网,之,之间即采取逻,辑,辑隔离。,21,3.3.4,其,其它安全技术,包,包括,1.虚拟专,用,用网络(VPN),2.入侵检,测,测系统（IDS）,3.漏洞扫,描,描系统,这里不展开讲.,22,第四部分电,子,子政务安全的,管,管理对策,首先是,部,部署完善的电,子,子政务安全管,理,理体系,请看示意图,23,24,3.4.2建,立,立安全管理制,度,度,用书面的形式,对,对各项要求做,出,出明文规定。,包,包括人员管理,、,、保密、跟踪,审,审计、系统维,护,护、数据备份,、,、病毒定期清,理,理等一系列制,度,度。,这些制度是保,证,证电子政务系,统,统正常有序运,行,行的基础，是,电,电子政务人员,必,必须遵守的工,作,作守则。,25,这里强调一下,关,关于人员管,理,理的四项基本,原,原则,1、多人负责,原,原则-,每,每一项与安全,有,有关的活动，,都,都必须有两人,或,或多人在场。,2、任期有限,原,原则 任,何,何人最好不要,长,长期担任与安,全,全有关的职务,，,，以免使他认,为,为这个职务是,专,专有的或永久,的,的。,26,3是 最小权,限,限原则,每,每个人只负责,一,一种事务，只,有,有一种权限。,4、职责分离,原,原则在信,息,息处理系统工,作,作的人员不要,打,打听、了解或,参,参与职责以外,的,的任何与安全,有,有关的事情，,除,除非系统主管,领,领导批准。,27,3.4.3,电,电子政务安全,的,的法律保障,电子政务安全,的,的法律保障包,括,括基础性法规,建,建设和标准性,法,法规建设。,信息安全法规,是,是信息资源安,全,全管理走向成,熟,熟化、正规化,和,和法制化的表,现,现。,政务信息公开,法,法的出台说明,了,了我国在电子,政,政务安全管理,上,上正逐渐走向,成,成熟。,28,近年来，我国,信,信息安全标准,化,化工作发展较,快,快，在国家质,量,量技术监督局,的,的领导下，全,国,国信息化标准,委,委员会及其下,属,属的信息安全,分,分技术委员会,在,在制订我国信,息,息安全标准方,面,面做了大量的,工,工作。,29,思考题,1.电子政,务,务的安全目标,是,是什么？,2.完整的,电,电子政务综合,安,安全体系包括,哪,哪些内容？,当,当前我,国,国电子政务安,全,全存在的问题,主,主要有哪些？,3.简述电,子,子政务的安全,威,威胁的几种类,型,型？,4.电子政,务,务服务器的安,全,全问题及对策,？,？,5.电子政,务,务内网、外网,与,与互联网之间,的,的隔离关系？,30,6.电子政,务,务中的内网和,外,外网大致包括,什,什么内容？,7.简述电,子,子政务安全管,理,理体系的组成,？,？,8.简述电,子,子政务安全运,作,作的基本原则,？,？,9.电子政,务,务安全管理制,度,度的包括哪些,方,方面？,31,