淺談電子政務中的信息安全

史志國 黃楠 周湘瑜

【摘 要】信息安全對于確保電子政務的發(fā)展具有重要意義。文章從技術、管理和法律方面分析了中國電子政務信息安全的現(xiàn)狀。在信息安全技術措施和管理機制等角度來探討基礎設施建設、安全評價、組織管理和預防措施。

【關鍵詞】電子政務；管理；信息安全

I.引言

隨著國家信息化進程的不斷加快，電子政務的實施為政府和組織承擔的公共管理和服務實現(xiàn)電子化、網(wǎng)絡化和透明、高效開辟了廣闊的空間。[1]同時電子政務信息系統(tǒng)的安全問題也變得更加突出、嚴重。因此，認識電子政務信息系統(tǒng)安全的威脅，把握系統(tǒng)安全的影響因素和要求，建設系統(tǒng)安全保障體系，研究信息安全技術及其在電子政務系統(tǒng)中的應用，對保證電子政務的有效運行具有重要意義。

II.電子政務系統(tǒng)的安全現(xiàn)狀分析

目前我國電子政務中的信 息安全方面存在著一些問題，電子政務網(wǎng)絡比較脆弱， 各種安全隱患普遍存在。導致這種情況的原因是多方面的， 具體地說，有技術、管理、法規(guī)等因素。

A.技術方面

信息技術是電子政務發(fā)展的最關鍵的制約因素，沒有技術就無從談其發(fā)展的問題。一旦技術出了問題，電子政務的發(fā)展就會面臨重大的困難。當前，電子政務的技術方面還存在一些很重要的安全隱患。主要體現(xiàn)在安全應用需求不明，產(chǎn)業(yè)的技術推動性太強，應用針對性不夠； 網(wǎng)絡安全規(guī)劃的不到位，造成網(wǎng)絡結構的不合理性；關鍵核心技術未掌握，增加了基礎信息網(wǎng)絡和重要信息系統(tǒng)安全的隱患；網(wǎng)絡技術不成熟，網(wǎng)絡設置不科學，造成了大量的網(wǎng)絡安全隱患。

B.管理方面

電子政務的形式是電子，但內容還是政務。推行電子政務的目的，主要還是利用先進的信息技術作為工具，幫助政府更好地履行職能，以實現(xiàn)更好的管理。所以，管理對于電子政務的發(fā)展是至關重要的，不能出問題。但就目前來看，電子政務在管理方面主要還存在政府工作人員思想觀念陳舊，安全意識淡薄，管理體制問題突出，網(wǎng)絡安全管理混亂，規(guī)范化的管理制度相對滯后等安全問題。

C.法規(guī)方面

我國在電子政務方面的有關立法相對滯后，整體法制環(huán)境薄弱，加劇了信息安全隱患。推動電子政務發(fā)展要立法先行，這是發(fā)達國家發(fā)展電子政務的共同經(jīng)驗。[2]但是，目前在我國，與信息安全相關的法律法規(guī)卻很欠缺。在縱橫交錯的信息網(wǎng)絡中，信息安全問題應運而生，可以說是無處不在。電子政務系統(tǒng)直接和國際互聯(lián)網(wǎng)連接，不管如何進行技術規(guī)范，受到不法侵害是難以避免的。如果沒有與之相配套的法律法規(guī)，那對電子政務的普及和發(fā)展以及信息安全問題的解決都無疑會造成很大的障礙。.

III.安全策略與措施

電子政務的安全目標是，保護政務信息資源價值不受侵犯，保證信息資產(chǎn)的擁有者面臨最小的風險和獲取最大的安全利益，使政務的信息基礎設施、信息應用服務和信息內容為抵御上述威脅而具有保密性、完整性、真實性、可用性和可控性的能力。為此，實施保護的措施集中在安全法規(guī)、安全管理、安全技術三方面。

A.加強漏洞掃描系統(tǒng)預警

電子政務應用和安全措施都依賴操作系統(tǒng)提供底層支持，操作系統(tǒng)的漏洞或配置不當將有可能導致整個安全體系的崩潰。由于國內未能建立獨立自主的信息安全產(chǎn)業(yè)，在操作系統(tǒng)安全設計方面必須布置漏洞掃描系統(tǒng)。利用漏洞掃描工具采取時間策略定時掃描整個網(wǎng)絡地址網(wǎng)段，對多種來自通訊、服務、設備、系統(tǒng)等的漏洞進行掃描。采用模擬攻擊的手段去檢測網(wǎng)絡上隱藏的漏洞，且對網(wǎng)絡不做任何修改或造成任何危害，并提供漏洞檢測報告和解決方案，從而有效檢查網(wǎng)絡系統(tǒng)的可靠性和安全性。

B.基于多協(xié)議標簽交換技術優(yōu)化網(wǎng)絡結構

內網(wǎng)數(shù)據(jù)保密性的考慮，不希望內網(wǎng)暴露在對外環(huán)境中，電子政務實踐中往往產(chǎn)生內網(wǎng)與專網(wǎng)、外網(wǎng)間的信息交換需求。安全島是當前最為有效的措施，它是獨立于電子政務內、外網(wǎng)的一個特殊的過渡網(wǎng)絡，置于內網(wǎng)、專網(wǎng)和外網(wǎng)相交的邊界位置，將內網(wǎng)與外網(wǎng)物理隔離，防止外網(wǎng)中黑客利用漏洞等攻擊手段進入內網(wǎng)，完成數(shù)據(jù)的中轉，在其安全策略的控制下安全地進行內外網(wǎng)間的數(shù)據(jù)交換。隔離網(wǎng)閘技術是實現(xiàn)安全島的關鍵技術，通過添加VPN通信認證、加密、入侵檢測和對數(shù)據(jù)的病毒掃描，就可構成一個在物理隔離基礎上實現(xiàn)安全數(shù)據(jù)交換的信息安全島，它如同一個高速開關在內外網(wǎng)間來回切換，同一時刻內外網(wǎng)間沒有連接，處于物理隔離狀態(tài)。在此基礎上，隔離網(wǎng)閘作為代理從外網(wǎng)的網(wǎng)絡訪問包中抽取出數(shù)據(jù)然后通過反射開關轉入內網(wǎng)，完成數(shù)據(jù)中轉。在中轉過程中，隔離網(wǎng)閘會對抽取的數(shù)據(jù)做應用層的協(xié)議檢查、內容檢測，也會對IP包地址實施過濾控制，由于隔離網(wǎng)閘采用了獨特的開關切換機制，因此，在進行這些檢查時網(wǎng)絡實際上處于斷開狀態(tài)，只有通過嚴格檢查的數(shù)據(jù)才有可能進入內網(wǎng)，即使黑客強行攻擊了隔離網(wǎng)閘，由于攻擊發(fā)生時內外網(wǎng)始終處于物理斷開狀態(tài)，黑客也無法進入內網(wǎng)。另一方面，由于隔離網(wǎng)閘僅抽取數(shù)據(jù)交換進內網(wǎng)，因此，內網(wǎng)不會受到網(wǎng)絡層的攻擊，這就在物理隔離的同時實現(xiàn)了數(shù)據(jù)的安全交換。

C.綜合運用加密認證技術確保信息傳輸安全

電子政務系統(tǒng)在服務發(fā)布層、內部安全應用層、核心安全應用層等網(wǎng)絡之間存在著信息資源、服務對象、數(shù)據(jù)通信等差異，其信息內容和保密級別也不盡相同，如何用電子方式驗證信任關系就顯得至關重要。在電子政務系統(tǒng)設計時，可采用PKI技術解決機密性、真實性、完整性、不可否認性和存取控制等問題，防止信息在傳輸過程中的非法截獲。電子政務系統(tǒng)是一個涉及到縱向、橫向數(shù)百個政府部門，連接數(shù)千個政府機關及相關單位的系統(tǒng)，如果沒有一套強健完善的信任體系，那么系統(tǒng)運行過程中，重要文件、敏感信息的失密、偽造、篡改將泛濫成災，從而嚴重影響系統(tǒng)的正常穩(wěn)定運行，甚至造成難以估計的嚴重后果。因此，有必要采用PKI技術建立一套高可信度的政務信任體系，也就是建立電子政務的PKI系統(tǒng)。

IV.結束語

電子政務信息安全的保障是一項關系多領域的綜合工程，必須從技術管理和法規(guī)等多方面入手，才能最大限度地保證電子政務信息安全。在電子政務中，要達到絕對的安全是不可能的，但是，當充分的認識到電子政務信息安全所涉及的各個方面后，從綜合的角度出發(fā)，就可以找到較好的辦法，盡可能的達到維護電子政務系統(tǒng)安全的最終目的，以保證電子政務健康快速的發(fā)展。

參考文獻：

[1]LI Dong Dong； TONG Xin Hai； WANG Xong，”Research on constructing e-government information security assurance system”J.j.Microcomputer & Its Applications， pp.117-120， S1，2007 （In Chinese）.

[2]XU Chang-feng； LIU Ai-jiang； HE Da-ke，”Implementation of PMI Based on Attribute Certificate in Electronic Government Secure Construction，”J.Application Research of Computers，pp.119-122，01，2004（In Chinese）.