許偉雄，馮巧玲

(漳州城市職業(yè)學(xué)院 現(xiàn)代教育技術(shù)中心，福建 漳州 363000)

我國電子政務(wù)系統(tǒng)的安全

許偉雄，馮巧玲

(漳州城市職業(yè)學(xué)院 現(xiàn)代教育技術(shù)中心，福建 漳州 363000)

隨著計算機網(wǎng)絡(luò)技術(shù)的快速發(fā)展，產(chǎn)生了電子政務(wù)系統(tǒng)。與其他的領(lǐng)域的電子化相比，電子政務(wù)系統(tǒng)更具有特殊性。從電子政務(wù)系統(tǒng)“三網(wǎng)一庫”的結(jié)構(gòu)出發(fā)，分析電子政務(wù)系統(tǒng)的安全需求和安全范疇，在電子政務(wù)系統(tǒng)的物理安全、系統(tǒng)安全、信息安全、管理安全等方面采取相應(yīng)的防范措施。

三網(wǎng)一庫；安全范疇；安全分析；防范措施

一、電子政務(wù)系統(tǒng)結(jié)構(gòu)

從發(fā)展過程來看，我國電子政務(wù)大致經(jīng)歷了三個階段：第一階段，主要以提高個人的工作效率，將辦公類工具軟件應(yīng)用在政府辦公中為代表。此階段，MS Office及WPS等桌面文字處理軟件應(yīng)用得到了快速普及；第二階段，則主要是以部門之間通過關(guān)系型數(shù)據(jù)庫實現(xiàn)部門之間的數(shù)據(jù)和公文處理自動化為典型代表。此階段，局域網(wǎng)在電子政務(wù)系統(tǒng)的應(yīng)用中獲得迅猛發(fā)展；第三階段，則主要以不同部門、不同系統(tǒng)乃至于不同行業(yè)之間通過網(wǎng)絡(luò)緊密聯(lián)系為典型代表。在此階段中，各級政府部門紛紛建立自己的電子政務(wù)系統(tǒng)，并通過電子政務(wù)系統(tǒng)服務(wù)于社會的方方面面。

早期，我國電子政務(wù)系統(tǒng)的結(jié)構(gòu)可以用“三網(wǎng)一庫”來表示[1](如圖1)。

圖1 “三網(wǎng)一庫”結(jié)構(gòu)圖

在此結(jié)構(gòu)中，內(nèi)網(wǎng)建立在保密通信平臺之上，由各個政府部門自建的LAN組成，主要用于運行黨政決策指揮、行政執(zhí)行、應(yīng)急處理、監(jiān)督檢查、信息查詢等各個獨立的子系統(tǒng)。專網(wǎng)通過運行一些專用的業(yè)務(wù)管理系統(tǒng)，將中央與地方之間相關(guān)的業(yè)務(wù)部門連接起來，以實現(xiàn)涉密信息資源共享。專網(wǎng)和內(nèi)網(wǎng)通過邏輯隔離進行劃分。外網(wǎng)是政府通過外界通訊平臺，與社會外界聯(lián)系并提供相關(guān)服務(wù)的通道。 信息資源數(shù)據(jù)庫為以上三網(wǎng)提供各式各樣的資源。但專網(wǎng)與外網(wǎng)之間物理隔離的方式，影響了兩網(wǎng)之間數(shù)據(jù)的實時交換，限制了政府面向企業(yè)和民眾的服務(wù)，[2]因而產(chǎn)生了新的電子政務(wù)系統(tǒng)結(jié)構(gòu)——內(nèi)外網(wǎng)體系(如圖2)。

二、電子政務(wù)系統(tǒng)的安全分析

(一)電子政務(wù)系統(tǒng)的功能

根據(jù)內(nèi)外網(wǎng)體系結(jié)構(gòu)，電子政務(wù)系統(tǒng)從功能上可以劃分為內(nèi)部網(wǎng)和外部網(wǎng)。其中，內(nèi)部網(wǎng)，應(yīng)包括三個方面的功能：核密網(wǎng)： 實現(xiàn)核心機密數(shù)據(jù)的存儲與處理；政務(wù)內(nèi)網(wǎng)：實現(xiàn)日常辦公與事務(wù)處理，只能在部門內(nèi)部流動；政務(wù)外網(wǎng)：實現(xiàn)政務(wù)部門之間、上下級部門之間的信息交換。外網(wǎng)，政府部門通過各級門戶網(wǎng)站，實現(xiàn)政務(wù)信息的公開、提供在線服務(wù)、民眾參與政務(wù)的功能。[3]

圖2 內(nèi)外網(wǎng)體系

(二)電子政務(wù)系統(tǒng)的安全需求和安全范疇

1.電子政務(wù)系統(tǒng)的安全需求

電子政務(wù)系統(tǒng)特殊的安全需求在于，既要保證內(nèi)部網(wǎng)絡(luò)信息暢通運行，又要實現(xiàn)外網(wǎng)的安全運行，即既要適當(dāng)?shù)亻_放電子政務(wù)系統(tǒng)，又要有效地阻止外部對系統(tǒng)的非法訪問和破壞。[4]

2.電子政務(wù)系統(tǒng)的安全范疇

首先必須強調(diào)的是電子政務(wù)系統(tǒng)安全并不等同于計算機網(wǎng)絡(luò)安全。兩者之間的區(qū)別在于：

計算機網(wǎng)絡(luò)安全是指利用網(wǎng)絡(luò)管理控制和技術(shù)措施，有效地實現(xiàn)信息在網(wǎng)絡(luò)環(huán)境中的保密性、完整性及可用性。[5]具體可分成物理安全和邏輯安全。其中物理安全是指為避免系統(tǒng)中的相關(guān)設(shè)備或設(shè)施受到破壞或丟失而采取一些實際的保護措施[3]。邏輯安全則主要針對信息的完整性、保密性和可用性。

電子政務(wù)系統(tǒng)安全則可從物理安全、系統(tǒng)安全、信息安全、管理安全4個部分進行劃分。[6]

第一，物理安全

物理安全是指保證系統(tǒng)的所有設(shè)備、設(shè)施能安全順暢地運行，避免天災(zāi)人禍引起的各種破壞，是整個電子政務(wù)系統(tǒng)安全的前提。應(yīng)該包括系統(tǒng)運行中基礎(chǔ)設(shè)備、設(shè)施安全，系統(tǒng)所處場地的安全，以及對物理訪問的風(fēng)險控制安全。

第二，系統(tǒng)安全

電子政務(wù)系統(tǒng)的系統(tǒng)安全可分從硬件和軟件上進行劃分，分為硬件系統(tǒng)安全和軟件系統(tǒng)安全。

第三，信息安全

作為電子政務(wù)系統(tǒng)的核心資源的信息，其安全的重要性不可忽視。破壞軟硬件系統(tǒng)，會使整個電子政務(wù)系統(tǒng)陷入癱瘓，整個政府正常的業(yè)務(wù)將被中斷，但只要重新配置，系統(tǒng)仍可以恢復(fù)。而系統(tǒng)中的信息，尤其是核心機密信息一旦被盜或損毀，可能帶來致命的災(zāi)難。具體包括以下幾個方面：政務(wù)信息存儲的安全；政務(wù)信息傳遞的安全；政務(wù)信息備份與恢復(fù)的安全。

第四，管理安全

如果說物理安全、系統(tǒng)安全和信息安全可以從技術(shù)上加以實現(xiàn)，而對整個系統(tǒng)中唯一活的元素——人的管理，則是保證其他一切安全的重要環(huán)節(jié)。

總之，電子政務(wù)系統(tǒng)安全包含了計算機網(wǎng)絡(luò)安全，計算機網(wǎng)絡(luò)安全只是其一個重要組成部分。計算機網(wǎng)絡(luò)安全更側(cè)重于從技術(shù)層面上對網(wǎng)絡(luò)系統(tǒng)的安全進行分析，并做出相應(yīng)的對策。而電子政務(wù)系統(tǒng)則是一個更為龐大復(fù)雜的系統(tǒng)工程，涉及到政府信息化的各個環(huán)節(jié)，其范圍遠(yuǎn)遠(yuǎn)超出了技術(shù)層面上的計算機網(wǎng)絡(luò)安全。

三、電子政務(wù)系統(tǒng)的安全措施

(一)物理安全措施

目前，發(fā)生在電子政務(wù)系統(tǒng)中物理安全方面的問題主要包括兩個方面，一是由于誤操作引起的對系統(tǒng)的設(shè)備、設(shè)施造成的物理破壞；二是由于系統(tǒng)中產(chǎn)品安全性能較低，對于物理訪問的風(fēng)險控制能力較差的缺陷使得攻擊者可針對性發(fā)動攻擊，以達到破壞系統(tǒng)的物理安全的目的。

針對誤操作所引起的非法入侵，可以通過加強對系統(tǒng)中的人員管理、人員培訓(xùn)來加以避免。而針對產(chǎn)品本身安全性能低所帶來的非法入侵，則必須加強產(chǎn)品的安全級別，增強物理訪問控制。

(二)系統(tǒng)安全措施

1.硬件系統(tǒng)安全

由于電子政務(wù)系統(tǒng)中采用了大量的計算機、網(wǎng)絡(luò)設(shè)備等硬件來支撐系統(tǒng)的運行，因此，一旦這些硬件受到損壞，整個系統(tǒng)必然會受到影響。另外，由于技術(shù)原因或人為的疏忽，硬件存在著各種各樣的缺陷。而這些缺陷，給了攻擊者可趁之機。

針對這種非法入侵，電子政務(wù)系統(tǒng)在設(shè)計期間，所采購的硬件要注意盡可能地采用技術(shù)比較成熟、性能比較穩(wěn)定的產(chǎn)品。在安全硬件上，最好選擇技術(shù)先進、擁有自主產(chǎn)權(quán)的產(chǎn)品。

2.針對軟件系統(tǒng)方面的入侵

軟件系統(tǒng)是整個電子政務(wù)系統(tǒng)的核心，可以分成系統(tǒng)軟件和應(yīng)用軟件。其中系統(tǒng)軟件包括了操作系統(tǒng)和其他的支撐軟件。現(xiàn)有的電子政務(wù)系統(tǒng)中，所采用的操作系統(tǒng)產(chǎn)品在較大程度上還是依賴于國外的產(chǎn)品，如MS的操作系統(tǒng)。由于軟件的復(fù)雜性，無論是自主研發(fā)的產(chǎn)品，還是國外的產(chǎn)品，都在一定程度上存在著漏洞或后門。而這些漏洞和后門都是攻擊者入侵的途徑。

針對這種非法入侵，要求在選擇電子政務(wù)系統(tǒng)軟件產(chǎn)品時，對于操作系統(tǒng)和安全方面的軟件，要盡可能地采用自主研發(fā)或源代碼對我國政府開放的、版本穩(wěn)定的軟件，還要及時地升級軟件，給存在的漏洞或后門打上補丁。

3.信息安全分析與防范措施

信息安全方面的入侵其目的主要是獲取機密信息、破壞信息或篡改信息。對于此類攻擊，最重要的是做好以下幾個方面的工作：

第一，確保信息的安全存儲。主要是指控制信息訪問權(quán)限，即通過權(quán)限限制用戶，只有合法的用戶才可以訪問相關(guān)的數(shù)據(jù)，而非法用戶則不能，即使能過一些非法途徑獲得信息訪問，也無法掌握真實的信息內(nèi)容。這是確保信息安全的首要條件。

第二，確保政務(wù)信息的安全傳遞。政務(wù)信息的安全傳遞指的是政務(wù)系統(tǒng)的各種敏感信息，能得到可靠安全地傳輸。信息不會被竊聽、篡改或損壞，是確保信息真實性的重要保證。

第三，確保政務(wù)信息的安全備份與恢復(fù)。這是指當(dāng)信息在不可預(yù)測的條件下，如人為的誤操作，或地震、洪澇等天災(zāi)時，一旦被破壞，能在恢復(fù)系統(tǒng)軟硬件系統(tǒng)后的第一時間恢復(fù)重要的數(shù)據(jù)。這是信息安全的可靠保障。

4.管理安全分析與防范措施

據(jù)統(tǒng)計，對電子政務(wù)系統(tǒng)的破壞，來自外部的不足40%，更主要的是內(nèi)部人為的破壞。因此，對于政府工作人員的管理是一項不可忽視的工作。

首先，要增強領(lǐng)導(dǎo)的系統(tǒng)安全意識。在電子政務(wù)系統(tǒng)中，領(lǐng)導(dǎo)要充分認(rèn)識新模式與傳統(tǒng)的政府組織管理的不同。在電子政務(wù)系統(tǒng)中，系統(tǒng)的設(shè)計者、管理者和操作者的一些錯誤操作或故意行為，都有可能帶來嚴(yán)重的后果，給整個系統(tǒng)的安全造成巨大的災(zāi)難。因此，領(lǐng)導(dǎo)在對工作人員進行分工時，要注意合理性，盡可能避免一人承擔(dān)多個，乃至全部的角色，還應(yīng)注意彼此間的相互牽制，從而提高非法操作的難度，降低安全風(fēng)險。

其次，要注意對工作人員的安全教育。一方面，增強工作人員的安全意識，如賬號、密碼保護意識；另一方面，提高工作人員的安全技術(shù)水平，如安裝一些常用的安全軟件，及時更新升級系統(tǒng)等。

[1] 劉鵬強.電子政務(wù)生態(tài)系統(tǒng)平衡研究[D].武漢：華中師范大學(xué)，2011：1.

[2] 曲翠玉.電子政務(wù)結(jié)構(gòu)研究與應(yīng)用[J].管理工程師,2014(3):5-7.

[3] 宋辰皓.移動互聯(lián)網(wǎng)環(huán)境下的電子政務(wù)應(yīng)用模式[J].信息與電腦,2015(5):71-72.

[4] 劉雅梅.無錫科技電子政務(wù)網(wǎng)絡(luò)安全建設(shè)淺析[J].科學(xué)與財富,2012(6):30.

[5] 曹琨.計算機網(wǎng)絡(luò)安全問題探析[J].東方教育,2013(7):11.

責(zé)任編輯：何玉付

Analysis on China’s E-government System Security

XU Weixiong,FENG Qiaoling

With the rapid development of computer network technology,the e-government system has come into being. Compared with electronization of other areas,e-government system is more special. Starting from the structure of “three networks and one database” of e-government system,this paper analyzed the security requirements and security category of e-government system,and put forward the point that corresponding preventive measures should be taken in the aspects of physical security,system security,information security and management security of e-government.

three networks and one database; security category; security analysis; preventive measures

2017-04-25

許偉雄(1978—)，男，福建云霄人，講師，實驗師，碩士，研究方向：網(wǎng)絡(luò)信息安全；馮巧玲(1979—)，女，福建華安人，副教授，碩士,研究方向：網(wǎng)絡(luò)信息安全。

TP309

A

1671-8275(2017)04-0075-03