【摘要】我國政府是信息的主要生產(chǎn)和使用者，信息內(nèi)容涉及國家政治、軍事、外交、經(jīng)濟、文化以及科技等眾多領(lǐng)域，關(guān)系到國家安全。有些敏感信息一旦出現(xiàn)泄漏，甚至?xí)：液凸姷睦?，影響社會穩(wěn)定。隨著網(wǎng)絡(luò)的普及和信息竊密的增多，政府信息在網(wǎng)絡(luò)上的安全形勢日趨嚴(yán)峻，應(yīng)受到各級政府部門的高度重視。本文分析了網(wǎng)絡(luò)環(huán)境下政府信息面臨的安全問題，結(jié)合工作實際，提出了網(wǎng)絡(luò)環(huán)境下政府信息安全的防范措施建議。

【關(guān)鍵詞】網(wǎng)絡(luò)環(huán)境 政府信息 安全管理

中圖分類號：TP393.08 文獻標(biāo)識碼：A 文章編號：1672-3791（2015）02（b）-0000-00

政府信息安全事關(guān)國家安全和社會穩(wěn)定，也是網(wǎng)絡(luò)攻擊的重點。在科學(xué)技術(shù)飛速發(fā)展進步的當(dāng)代，OA等信息技術(shù)在政府機關(guān)得到了廣泛應(yīng)用。但是，在網(wǎng)絡(luò)環(huán)境下，政府信息存在許多安全隱患。政府信息系統(tǒng)自身漏洞、信息交流以及信息管理等因素，都會影響政府信息安全。對政府信息存在的安全隱患，政府要積極采取相應(yīng)措施，保證信息安全。

1.網(wǎng)絡(luò)信息安全概述

網(wǎng)絡(luò)信息系統(tǒng)安全面臨的威脅非常廣泛，包括信息泄露、重傳、篡改、拒絕服務(wù)、欺詐、非法使用、竊聽、傳播病毒和木馬等。需要解決的相關(guān)問題包括：防范與響應(yīng)、病毒與后門措施、實體保護與訪問控制、保密與加密、攻擊和檢測、漏洞和監(jiān)測、備份與恢復(fù)等。

網(wǎng)絡(luò)信息安全主要包含了三層內(nèi)容：一是系統(tǒng)安全，即系統(tǒng)實體和系統(tǒng)運行安全；二是系統(tǒng)中信息安全，即對計算機用戶進行權(quán)限劃分、控制，對信息數(shù)據(jù)進行加密等，確保數(shù)據(jù)不被非法獲取或篡改；三是管理安全，即通過各種手段和約束對信息資源和系統(tǒng)安全運行進行有效管理。

2.網(wǎng)絡(luò)環(huán)境下政府信息存在的安全問題

隨著我國信息化進程不斷加快，政府也積極加入到政府信息化的進程中來，以提高政府的工作效率。由于對網(wǎng)絡(luò)信息安全技術(shù)機制認(rèn)識和理解的不到位，致使網(wǎng)絡(luò)信息系統(tǒng)的實體安全、運行安全和信息安全存在著巨大安全問題和隱患。

在實體安全方面的問題和隱患主要有：未對構(gòu)成計算機網(wǎng)絡(luò)物理環(huán)境的設(shè)施、設(shè)備或者區(qū)域進行應(yīng)有的保護，使得計算機系統(tǒng)設(shè)備處于不穩(wěn)定、不可靠、不安全的工作環(huán)境中。

在運行安全方面的問題和隱患主要有：未在計算機網(wǎng)絡(luò)系統(tǒng)使用過程中采取行之有效的安全措施（如風(fēng)險分析、審計跟蹤、備份與恢復(fù)等），致使計算機網(wǎng)絡(luò)系統(tǒng)無法保障系統(tǒng)功能安全實現(xiàn)。

在信息安全方面的問題和隱患主要有：未采用應(yīng)有的信息安全防護技術(shù)機制（如漏洞掃描、訪問控制、密碼保護措施、身份鑒別、入侵檢測、防火墻及VPN等），致使計算機網(wǎng)絡(luò)系統(tǒng)容易受到網(wǎng)絡(luò)攻擊、數(shù)據(jù)信息易于被篡改、破壞等。

3.網(wǎng)絡(luò)環(huán)境下政府信息應(yīng)采取的措施

對于網(wǎng)絡(luò)環(huán)境下政府信息存在的許多安全問題，政府機關(guān)要積極采取有效的防范措施，提高政府機關(guān)信息網(wǎng)絡(luò)安全防護技術(shù)，保障政府的信息網(wǎng)絡(luò)環(huán)境安全穩(wěn)定。

3.1實體安全措施

計算機信息系統(tǒng)的實體安全是指系統(tǒng)設(shè)備及相關(guān)設(shè)施的安全，即保護設(shè)備、設(shè)施（含網(wǎng)絡(luò)）以及其它儲存媒體免遭地震、水災(zāi)、火災(zāi)、有害氣體和其它環(huán)境事故（如電磁污染等）的破壞。實體安全具體內(nèi)容和要求包括環(huán)境安全、設(shè)備安全、介質(zhì)安全三個方面[1]。

（1）環(huán)境安全。環(huán)境安全主要包括機房及配套設(shè)安全以及相應(yīng)的人員安全等。從機房外部環(huán)境方面，選址要避開高壓高磁場、強震動和強聲波地區(qū)。從機房內(nèi)部設(shè)置和配套方面，應(yīng)注意防雷接地、進行溫濕度控制、機房承重、電源供給等。

（2）設(shè)備安全。設(shè)備安全主要包括設(shè)備防盜、防破壞、防止電磁泄漏和抗電磁干擾等。通常要在機房內(nèi)外部安裝部署安全防范系統(tǒng)，包括防盜門、防盜窗、紅外報警系統(tǒng)等。需重點保護的機房還應(yīng)建設(shè)成為屏蔽機房或采取屏蔽機柜等措施防止電磁干擾和泄漏。

（3）介質(zhì)安全。主要防止對媒介數(shù)據(jù)進行非法竊取、篡改和破壞。目前常用的光盤、優(yōu)盤是使用最為廣泛的記錄介質(zhì)，由于其攜帶方便、操作簡單，因而帶來的安全隱患也最大。主要的管理要求有：介質(zhì)集中專人管理、介質(zhì)統(tǒng)一特定標(biāo)識、介質(zhì)行程完整的記錄檔案、介質(zhì)使用涉及敏感信息應(yīng)由專人使用等。

3.2運行安全措施

為了保障計算機網(wǎng)絡(luò)信息系統(tǒng)安全運行，確保系統(tǒng)功能的實現(xiàn)，政府信息系統(tǒng)運行安全必須采用以下措施：

（1）加強組織和人員管理。組織和人員管理是計算機網(wǎng)絡(luò)信息系統(tǒng)安全運行的根本保證，必須建立專業(yè)的信息安全管理機構(gòu)。在單位內(nèi)部機構(gòu)設(shè)置多個專、兼職崗位，做好工作分工和責(zé)任落實。設(shè)置系統(tǒng)管理員、安全管理員和安全審計員崗位，實施專業(yè)化對口管理。同時，建立并完善制度，使得各種行為操作有章可循、職責(zé)明確。

（2）加強審計和監(jiān)測。利用審計功能監(jiān)視、記錄和控制用戶的活動。為系統(tǒng)管理員提供審計日志，從而及時發(fā)入侵行為和系統(tǒng)漏洞，震懾潛在的系統(tǒng)攻擊者。根據(jù)功能劃分主要有對系統(tǒng)終端的審計，對互聯(lián)網(wǎng)計算機的審計，對數(shù)據(jù)庫訪問記錄的審計，和對網(wǎng)絡(luò)設(shè)備、流量的審計。

（3）應(yīng)急響應(yīng)和恢復(fù)。計算機網(wǎng)絡(luò)信息系統(tǒng)在日常運行中經(jīng)常遇到突發(fā)事故，導(dǎo)致系統(tǒng)不能正常運行，甚至系統(tǒng)癱瘓。因此，做好應(yīng)急響應(yīng)預(yù)案和災(zāi)難恢復(fù)是十分必要的。應(yīng)急準(zhǔn)備主要包括關(guān)鍵設(shè)備設(shè)施備份、電源備份、軟件備份及數(shù)據(jù)備份等。事故發(fā)生后，應(yīng)快速實施應(yīng)急措施，盡快使系統(tǒng)恢復(fù)正常運行，減少損失。在災(zāi)難恢復(fù)方面，尤其應(yīng)關(guān)注災(zāi)難恢復(fù)的優(yōu)先次序、對各級角色明確責(zé)任和授權(quán)，確保系統(tǒng)被安全切斷，形成災(zāi)難恢復(fù)文檔。

3.3信息安全措施

從安全角度，組成信息系統(tǒng)各個部分的硬件和軟件都應(yīng)有相應(yīng)的安全功能，確保在其所管轄范圍內(nèi)的信息安全和提供確定的服務(wù)。在政府信息安全措施方面主要有：漏洞掃描、身份鑒別、訪問控制、入侵檢測、防火墻、VPN、密碼等。

（1）漏洞掃描。主要指對計算機網(wǎng)絡(luò)系統(tǒng)進行檢測，以發(fā)現(xiàn)黑客或潛在攻擊者可以用來攻擊的漏洞。主要包括：基于網(wǎng)絡(luò)的漏洞掃描和基于主機的漏洞掃描。目前由于價格和市場的因素，政府部門主要采取基于網(wǎng)絡(luò)的漏洞掃描。

（2）身份鑒別。廣義的身份鑒別包括系統(tǒng)中所有實體的鑒別，如人、設(shè)備、計算機系統(tǒng)、應(yīng)用和進程等。鑒別就是證明其是否是系統(tǒng)的合法成員或合法使用者。目前，身份鑒別技術(shù)，尤其指對于人或使用者的身份鑒別，主要應(yīng)用于政府涉密網(wǎng)絡(luò)系統(tǒng)，有個人識別碼和電子密鑰和生物認(rèn)證技術(shù)三種類型。

（3）訪問控制。信息系統(tǒng)的訪問控制指系統(tǒng)對用戶身份及其所屬的預(yù)先定義的策略組限制其使用數(shù)據(jù)資源能力的手段，通常用于控制用戶對服務(wù)器、目錄、文件等網(wǎng)絡(luò)資源的訪問。訪問控制是系統(tǒng)保密性、完整性、可用性和合法使用性的重要基礎(chǔ)，是網(wǎng)絡(luò)安全防范和資源保護的關(guān)鍵策略之一。訪問控制要達到的目的是拒絕不合法的來訪者，根據(jù)預(yù)先設(shè)置的級別或策略限制訪問主體對客體的訪問，從而保障數(shù)據(jù)資源在合法范圍內(nèi)得以有效使用和管理。（4）入侵檢測。入侵檢測作是一種積極主動的安全防護技術(shù)和手段，也就是在系統(tǒng)受到危害之前攔截和響應(yīng)入侵，提供對內(nèi)部攻擊、外部攻擊和誤操作的實時保護。主要是通過收集和分析網(wǎng)絡(luò)行為、安全日志、審計數(shù)據(jù)、其它網(wǎng)絡(luò)上可以獲得的信息以及計算機系統(tǒng)中若干關(guān)鍵點的信息，檢查網(wǎng)絡(luò)或系統(tǒng)中是否存在違反安全策略的行為和被攻擊的跡象。入侵檢測采用的手段主要包括：監(jiān)視、分析用戶及系統(tǒng)活動；系統(tǒng)構(gòu)造和弱點的審計；識別反映已知進攻的活動模式并向相關(guān)人士報警；異常行為模式的統(tǒng)計分析；評估重要系統(tǒng)和數(shù)據(jù)文件的完整性；操作系統(tǒng)的審計跟蹤管理，并識別用戶違反安全策略的行為等。

（5）防火墻和防病毒技術(shù)。對于黑客攻擊政府信息網(wǎng)絡(luò)的問題，可以采用最直接的網(wǎng)絡(luò)防火墻技術(shù)對網(wǎng)絡(luò)信息進行過濾[2]。在政府網(wǎng)站的內(nèi)部局域網(wǎng)和外部網(wǎng)絡(luò)設(shè)置一道防火墻，這能夠使用戶的局域網(wǎng)與外界網(wǎng)絡(luò)產(chǎn)生隔離。信息進入和流出的網(wǎng)站都需要經(jīng)過防火墻過濾篩選，黑客在攻擊政府信息網(wǎng)絡(luò)時，防火墻就能夠在內(nèi)部網(wǎng)絡(luò)被破壞之前進行阻止，從而保障政府信息網(wǎng)絡(luò)的內(nèi)部網(wǎng)絡(luò)安全。另外，網(wǎng)絡(luò)防火墻也能夠自動禁止網(wǎng)址不明的網(wǎng)站訪問，阻斷不明外來信息的入侵。

（6）VPN（虛擬專用網(wǎng)絡(luò)）。VPN就是在公用網(wǎng)絡(luò)上建立專用網(wǎng)絡(luò)，利用遠程訪問加密通訊技術(shù)在公用網(wǎng)絡(luò)上建立政府或企業(yè)的專用網(wǎng)絡(luò)。社會基礎(chǔ)網(wǎng)絡(luò)已經(jīng)無處不在，通過一定技術(shù)手段建立起符合自己安全要求的專用網(wǎng)絡(luò)，具有廣泛需求。VPN的實現(xiàn)方式很多。在大型局域網(wǎng)中，可以通過在網(wǎng)絡(luò)中心搭建VPN服務(wù)器的方法實現(xiàn)VPN；通過專用的軟件實現(xiàn)VPN；通過專用的硬件實現(xiàn)VPN；通過某些含有VPN功能的硬件設(shè)備（如路由器、防火墻等）集成自己的VPN等。

（7）密碼。前文提到，密碼仍然是廣泛采用的、多數(shù)情況下簡單而有效的安全手段。同時應(yīng)注意到，密碼使用的問題是使用的不規(guī)范、不重視，問題都是這樣出現(xiàn)的，也就是主要是管理問題。

4.思考和建議

在現(xiàn)代社會，網(wǎng)絡(luò)環(huán)境下政府信息安全是一個至關(guān)重要的問題，關(guān)系到政府部門能否正常有效運作。同時，它不但是一個技術(shù)問題，更是一個管理問題，是一個需要不斷實踐，不斷總結(jié)和提煉，不斷遇到和發(fā)現(xiàn)問題，不斷提高和增強防護和安全手段的問題。作者結(jié)合自身信息安全管理工作實踐，對于進一步做好政府信息安全管理有如下建議：

4.1完善信息安全組織機構(gòu)

按照《國務(wù)院辦公廳關(guān)于加強政府信息系統(tǒng)安全和保密管理工作的通知》要求，各部門應(yīng)明確一名副職領(lǐng)導(dǎo)主管信息安全工作，指定一個專職機構(gòu)承擔(dān)信息安全管理工作，各內(nèi)設(shè)機構(gòu)應(yīng)指定一名專職或兼職信息安全員。

4.2加強日常信息安全管理

（1）人員管理。落實信息安全和保密責(zé)任制，加強人員上離、在崗和崗離管理，定期組織有關(guān)人員參加信息安全教育培訓(xùn)、掌握信息安全常識和基本技能。

（2）系統(tǒng)管理。建立信息系統(tǒng)風(fēng)險評估機制，規(guī)范信息系統(tǒng)定級、測評；加強信息系統(tǒng)運營和使用權(quán)限管理、重要變更審批備案、日常運維操作管理、安全日志定期備份和分析；

掌握總體網(wǎng)絡(luò)架構(gòu)、子系統(tǒng)分布、終端節(jié)點、區(qū)域劃分及邊界防護、網(wǎng)絡(luò)互聯(lián)網(wǎng)接入管理；

掌握防火墻、入侵檢測、安全審計、病毒防護等信息安全產(chǎn)品部署及使用情況，以及信息安全產(chǎn)品策略配置有效性；加強服務(wù)器上應(yīng)用、服務(wù)、端口、鏈接以及系統(tǒng)補丁等安全措施管理，關(guān)閉不必要的應(yīng)用、服務(wù)、端口、鏈接，定期更換賬號口令，定期更新病毒木馬防護升級包等，定期進行漏洞掃描、病毒木馬檢測；采取集中安全管理措施，做到計算機賬號口令強度按月更新，加強終端計算機接入互聯(lián)網(wǎng)安全管理（如實名接入、對計算機IP和MAC地址進行綁定、指定固定上網(wǎng)IP地址等）加強安全邊界防護、抗拒絕服務(wù)攻擊、網(wǎng)頁防篡改等安全防護設(shè)備的部署，以及安全配置策略的有效性。

（3）密碼保護。采用密碼技術(shù)對信息系統(tǒng)、終端計算機、電子文檔等進行保護，采用數(shù)字證書方式實現(xiàn)身份認(rèn)證和授權(quán)管理，使用的密碼技術(shù)產(chǎn)品及含有密碼技術(shù)的信息技術(shù)產(chǎn)品應(yīng)符合國家密碼管理規(guī)定。

（4）應(yīng)急與災(zāi)備。落實《國家網(wǎng)絡(luò)與信息安全事件應(yīng)急預(yù)案》，制定本部門信息安全應(yīng)急預(yù)案，建立應(yīng)急技術(shù)支援隊伍，對重要數(shù)據(jù)和信息系統(tǒng)進行災(zāi)難備份，必要時采用社會第三方災(zāi)難備份服務(wù)。

4.3加快國產(chǎn)信息技術(shù)產(chǎn)品的開發(fā)研究

目前我國信息安全管理系統(tǒng)和計算機設(shè)備許多還是采用國外的技術(shù)和產(chǎn)品。這會給我國政府信息安全帶來較大安全隱患。國家要積極加大對國產(chǎn)基礎(chǔ)軟件開發(fā)研究扶持力度，掌握基礎(chǔ)軟件關(guān)鍵技術(shù)，為國家政府的信息安全提供一個安全可靠的網(wǎng)絡(luò)運行基礎(chǔ)。

4.4積極制定相關(guān)的政府信息安全保護法律法規(guī)

信息安全不僅是網(wǎng)絡(luò)技術(shù)的問題，保護政府信息安全，還需要政府加強對信息安全保護的法律法規(guī)的制定。目前我國在性信息安全的認(rèn)證和檢測方面還存在一定的缺陷。比如，在信息安全的認(rèn)定上，公安部、國家信息安全產(chǎn)品測評認(rèn)證中心以及國家質(zhì)量技術(shù)監(jiān)督局都參與信息安全的認(rèn)定，各個部門的標(biāo)準(zhǔn)難以達到統(tǒng)一，增加信息產(chǎn)品認(rèn)證的程序，影響認(rèn)證的效果。因此國家有關(guān)部門要積極制定相關(guān)的法律法規(guī)，統(tǒng)一信息的認(rèn)證標(biāo)準(zhǔn)，保障政府信息的安全。

5.結(jié)語

隨著我國信息化程度不斷加深，政府也積極利用信息技術(shù)，提高政府管理工作效率。在網(wǎng)絡(luò)環(huán)境下，由于計算機網(wǎng)絡(luò)病毒、網(wǎng)絡(luò)黑客攻擊破壞以及對信息網(wǎng)絡(luò)監(jiān)管力度不夠等因素，政府信息安全存在很大的隱患。因此政府機關(guān)要積極加強對政府信息安全的管理，從技術(shù)上、制度上以及信息管理上加強對政府信息的安全保護，維護政府信息安全，從而保障國家安全和公眾利益。

【主要參考文獻】

[1]趙戰(zhàn)生，杜虹，呂述望.信息安全保密教程.合肥：中國科學(xué)技術(shù)大學(xué)出版社，2006、P523-P574 ）

[2]胡艷春.網(wǎng)絡(luò)環(huán)境下的政府信息安全保護策略[J].電子商務(wù)，2012，05（09）：64-65

作者信息：

姓 名：張鵬

身份證號：230522197906231973

單 位：國家國防科技工業(yè)局核技術(shù)支持中心

地 址：北京市西城區(qū)車公莊大街12號核建設(shè)大廈638室

職 稱：工程師

聯(lián)系電話：88306808/18611992670

？？

？？

？？

？？

3 / 4