电子政务信息安全体系研究

电子政务信息安全体系研究

作者：张春明

来源：《管理观察》2010年第28期

摘 要:为了协调政务信息公开和信息安全之间的关系,本文介绍了我国电子政务信息存在的主要安全问题和电子政务系统的网络安全体系建设。 关键词:电子政务 信息安全 一、引言

建设“电子政务”已经成为衡量国家及城市竞争力水平的标志之一。《政府信息公开条例》的实施,一方面为社会公众、老百姓提供了新的获取政务信息的渠道和空间,保证公众的知情权、表达权、参与权;另一方面也对政府部门提出了新的课题,如何协调政务信息公开和信息安全之间的关系。重视信息安全对国家安全来说,是永恒的主题,不能因为泄密或政府网站受攻击造成国家的重大损失,这是电子政务建设中必须要防范的问题。 二、我国电子政务信息存在的主要安全问题 1、政府网站易受攻击。

国内电子政务信息安全问题主要有以下表现:一是网上黑客与计算机犯罪。二是机要信息流失与信息间谍潜入。三是网络病毒的蔓延与破坏。四是网上安全产品的失控。五是内部人员违规与违法操作。六是网络与系统自身的漏洞与脆弱性[1]。

中国是世界上黑客攻击的主要受害国之一。据不完全统计,2009年中国被境外控制的计算机IP地址达100多万个,被黑客篡改的网站达4.2万个,被“飞客”蠕虫网络病毒感染的计算机每月达1800万台,约占全球感染主机数量的30%,其中三分之一攻击对象为政府网站。我国目前4.5万多个政府网站,2009年,我国平均每天有45个政府网站被黑客篡改。当前我国政府网站大多很脆弱,针对网站的攻击,尤其是网站篡改事件迅猛膨胀,已经成为目前危害最为严重的网络安全问题[2]。

2.政府网站安全威胁的表现形式

对于来自电子政务系统内部或者外部的安全威胁,有以下不同的表现形式[3]。 三、电子政务系统的网络安全体系建设

龙源期刊网 http://www.qikan.com.cn

1、网络物理层信息安全设计

对于网络物理层的风险,可以采用物理隔离的手段保障信息的安全。所谓物理隔离,是指内网与外网没有任何形式的物理连接,是最安全的网络隔离方式。而无论采用代理服务器、宽带路由器还是采用防火墙来隔离内网和外网,都只是逻辑隔离,而不是物理隔离,其安全性就会打一些折扣。

目前网络物理隔离卡已经有许多较为成熟的产品,其基本原理大致相同,都是采用不依赖于TCP/IP协议的自定义通信协议,实现内网和外网的隔离,保障了内网数据的高度安全性。 除了实现网络的物理隔离外,在内部局域网之间,如不同的部分之间,如果仍然要实现信息安全,需要采用硬件防火墙或者是带防火墙功能的宽带路由器,这类的网络通信设备能够在联网通信的同时实现对信息的过滤,并限制目标主机、目标IP地址和目标网站等带有“窃取信息”嫌疑的计算机、IP地址及站点等的访问,从而实现内部网络的信息被隔离化[4]。 2、网络应用层信息安全设计

随着信息技术的发展,为了构筑安全的电子政务体系,可以用到的安全技术有很多,包括采用防火墙技术、防病毒技术、数据加密技术、安全认证技术、入侵检测与漏洞扫描技术、虚拟专用网技术、系统和数据备份及恢复技术等[5]。 (1)防火墙技术

防火墙是一个用以阻止网络中的黑客访问某个机构网络的屏障,也可称之为控制进/出两个方向通信的门槛。在网络边界上通过建立起来的相应网络通信监控系统来隔离内部和外部网络,以阻挡外部网络的侵入。

实现防火墙的技术包括四大类:包过滤型防火墙、包过滤型、代理服务器型、复合型以及其他类型(双宿主主机、主机过滤以及加密路由器)防火墙。 (2)防病毒技术

电子政务系统可能会受到来自多方面的病毒威胁,为此需要一套能够在网络环境下,功能强大、有效、实用的防病毒工具。

第四代防病毒技术则针对计算机病毒的发展,采用基于病毒家族体系的命名规则,基于多位CRC校验和扫描机理,启发式智能代码分析模块,动态数据还原模块(能查出隐蔽性极强的压缩加密文件中的病毒),内存解病毒模块,以及自身免疫模块等先进的解病毒技术,较好地解决了以前防毒技术顾此失彼,此消彼长的状态。 (3)数据加密技术

龙源期刊网 http://www.qikan.com.cn

实现政务信息保密的主要技术措施就是对其进行加密。同时,很多安全系统中都需要使用加密技术作为安全机制的基础。因此数据加密技术是整个安全技术体系中的核心。 鉴于加密技术的重要性,现己形成一门新学科—密码学。密码学在现代信息安全研究领域占据着极为重要的地位。为了保障信息的安全,即保密、完整、可用、可控和不可否认性,研究人员不断研制各种加密技术,并将其应用到各种信息安全系统中。总的来讲,数字加密技术基本可以分为换位加密和替换加密两种,而实际使用的算法通常是这两种方法的组合运用。 (4)安全认证技术

安全认证是保证信息真实性的一个过程,是对付假冒和攻击的有效方法,也是一种最重要的安全服务,在一定程度上,所有其他的安全服务全都依赖于它。安全认证技术主要分为消息认证和身份认证两种。

(5)入侵检测与漏洞扫描技术

入侵检测技术是计算机安全技术中的重要组成部分,它从计算机系统中的若干关键点收集信息,并分析这些信息,根据分析结果来检测计算机系统中是否有违反安全策略的行为和遭到袭击的迹象。

入侵检测具有监视分析用户和系统的行为、审计系统配置和漏洞、评估敏感系统和数据的完整性、识别攻击行为、对异常行为进行统计、自动地收集和系统相关的补丁、进行审计跟踪识别违反安全法规的行为、使用诱骗服务器记录黑客行为等功能,使系统管理员可以非常有效地监视、审计、评估自己的系统。

入侵检测系统是防火墙和其它计算机安全技术的合理补充,帮助系统对付攻击,扩展了系统管理员的安全管理能力(包括安全审计、监视、进攻识别和响应),提高了信息安全基础结构的完整性。入侵检测被认为是防火墙之后的第二道安全闸门,在几乎不影响计算机系统性能的情况下能对计算机系统进行监测,从而提供对内部攻击、外部攻击和误操作的实时保护。入侵检测技术通过对入侵行为的过程与特征的研究,使安全系统对入侵事件和入侵过程能做出实时响应。

(6)虚拟专用网技术

虚拟专用网是 (VPN,Virtual Private Network)一种利用公共网络来构建的私有专用网络。目前,能够用于构建VPN的公共网络包括Internet提供商所提供的DDN专线、帧中继、ATM等,构建在这些公共网络上的VPN将给企业提供集安全性、可靠性和可管理性于一身的私有专用网络。

VPN技术是基于加密技术,它不是一个物理的,明显存在的网络。两个不同的物理网络之间的连接由通道来建立。采用点对点加密协议以及安全IP标准和密钥可以实现VPN的安全策

龙源期刊网 http://www.qikan.com.cn

略。在电子政务系统中使用VPN的一个经典例子就是在各级政府部门之间进行数据的传递。如果采用传统的没有安全措施的互联网来进行,将要冒很大的风险,在传输过程中数据可能会丢失,损坏或者被窃取。而使用了VPN则可以在一个加密的隧道中进行数据传递,不但有效提高了安全性,也保障了信息共享的畅通。 (7)其他安全技术

在电子政务系统中,还可以采用其他一些安全技术,比如系统和数据备份及恢复技术以及信息隐藏技术等。

随着计算机存储信息量的不断增长,数据备份和灾难恢复就成为引人关注的话题。灾难备份是信息系统安全的关键基础设施,重要信息系统必须构建灾难备份系统,以防范和抵御灾难所带来的毁灭性打击。数据是极为宝贵的财富,要保证政务信息系统持续稳定的运作,就要保护基于计算机的信息。人为的错误、硬盘的损毁、电脑病毒、自然灾难等等都有可能造成数据的丢失,造成无可估量的损失。系统数据丢失会导致系统文件、交易资料、用户资料、技术文件、财务账目的丢失,业务将难以正常进行。系统和数据备份及恢复技术的采用,可以在灾难性事件发生后减少损失。

长期以来,人们主要依赖于密码技术实现对信息的保密,但随着计算机软硬件技术的发展,攻击者的破译能力越来越强,并且密文所呈现的高度随机性很容易引起攻击者的注意,因此密码技术的应用越来越显示出它的局限性。人们对信息隐藏技术越来越关注。信息隐藏就是将保密信息隐藏于另外一个非保密载体中,以不引起攻击者的注意。与密码技术类似,信息隐藏的研究也分为隐藏技术和隐藏分析技术两部分。 3.加强对电子政务人员和系统运行的管理

在当前我国网络信息技术相对落后的情况下,要保证电子政务信息安全,必须充分发挥管理和制度等非技术手段的作用。要建立切实可行的管理制度,由专门的安全管理人员,及时进行漏洞修补、定期巡检,做好对电子政务网络的监控和管理。一要加强人员安全管理,对相关人员定期以多种形式进行计算机安全法律教育、职业道德教育和计算机安全技术教育,对关键岗位的人员进行定期考核。二要加强安全审计。包括:重要服务器主机操作系统的启动、运行情况、管理员登录、操作情况、系统配置更改以及病毒或蠕虫感染、资源消耗情况的审计;硬盘、CPU、内存、网络负载、进程、操作系统安全日志、系统内部事件、对重要文件的访问等的审计。三要加强安全漏洞检查。定期对网络系统、重要服务器和网络设备进行扫描,及时消除网络系统本身存在的漏洞和人为的操作或配置所产生的与安全策略相违背的系统配置,消除“黑客”攻击入侵隐患,提高网络的整体安全性。四要加强攻击监控和病毒防范。通过对重要网段、网络设备和重要服务器建立攻击监控体系,实时检测网络攻击行为,并采取相应的行动,实现对网络系统入侵行为的检测与防御[6]。

龙源期刊网 http://www.qikan.com.cn

四、结束语

电子政务是一项复杂的系统工程,其安全建设要综合考虑,长远规划,保证技术的先进性和可扩展性。在技术上要适应网络动态变化,建立自适应的安全保障体系。同时要求有相关法律来保障和加强安全管理。特别是增强人的安全防范意识,要求从国家安全、社会稳定的高度认识电子政务的重要性,以适应我国政府信息化事业的发展。◆

参考文献:

[1] 江琴.浅谈电子政务信息的安全管理.武汉大学 [2]《中国互联网状况》白皮书

[3] 褚俊、苏震等.电子政务安全技术保障.北京:中国人民大学出版社;2004. [4] 陈颖一.政府电子政务系统安全体系构建研究.扬州市邗江区信息中心 [5] 朱卫未.电子政务系统信息安全策略研究.中国科技大学博士论文.2006 [6] 李勇.电子政务的信息安全研究.蚌埠汽车管理学院.2009