淺析電子政務云平臺的安全風險與應對措施

金俊平 杜軍龍 周劍濤 江西省信息中心

1 電子政務云平臺發(fā)展現(xiàn)狀概述

電子政務云平臺，是在傳統(tǒng)電子政務系統(tǒng)基礎上，引入云計算的相關技術構建的在線政務信息自主獲取和管理虛擬化管理系統(tǒng)，它能夠有效解決信息利用率偏低及信息孤島問題，是現(xiàn)代電子政務系統(tǒng)發(fā)展的新趨勢。2015年1月，國務院發(fā)布了《關于促進云計算創(chuàng)新發(fā)展培育信息產(chǎn)業(yè)新業(yè)態(tài)的意見》，提倡：鼓勵各級地方政務探索電子政務云平臺的建設。國家“十三五”規(guī)劃綱要中也明確指出：大力推廣“互聯(lián)網(wǎng)+云政務服務”，由此可見，基于云思維的電子政務平臺建設已成為國家層面的戰(zhàn)略規(guī)劃，具有廣闊的發(fā)展前景。

2 電子政務云平臺安全風險分析

2.1 網(wǎng)絡安全風險

電子政務云平臺基于虛擬網(wǎng)絡技術，在網(wǎng)絡連接配置上，通常將物理網(wǎng)虛擬成多個邏輯獨立網(wǎng)絡，以提升網(wǎng)絡資源的利用率，為平臺資源文件的共享訪問提供便利。但這種連接方式也帶來了網(wǎng)絡安全隱患，原因在于：以物理虛擬網(wǎng)絡結成的各個節(jié)點，可通過虛擬交換機直接完成通訊，這種通訊不需要通過傳統(tǒng)的物理交換機，這使得常規(guī)的網(wǎng)絡防護手段，如：防火墻、殺毒軟件、入侵檢測體系等喪失保護效力，換句話說，這種基于物理虛擬網(wǎng)的連接形式，形成了網(wǎng)絡安全防護上的盲區(qū)。

2.2 應用安全風險

應用安全風險在電子政務云平臺中也是廣泛存在的，主要包含電子政務云端用戶在使用客戶端的過程中出現(xiàn)的數(shù)據(jù)備份、瀏覽器安全等風險問題，此外，還涉及到電子政務云服務提供商與用戶在數(shù)據(jù)傳輸中可能出現(xiàn)的泄密、遺漏等風險。造成應用安全風險的因素是多元化的，眾所周知，電子政務云平臺依托WEB瀏覽器實現(xiàn)用戶與用戶、用戶與供應商之間的訪問互聯(lián)，而WEB瀏覽器最容易遭遇應用攻擊，包括：跨站腳本攻擊、拒絕服務攻擊等，總而言之，應用安全風險無處不在，嚴重威脅電子政務云平臺的安全性。

2.3 終端安全風險

電子政務云平臺在實際運營中，用戶主要通過終端開展在線政務工作，而這種終端又以人機交互的形成呈現(xiàn)，包括：瀏覽器交互訪問、APP交互訪問等，當終端用戶向云平臺傳輸數(shù)據(jù)，或從云平臺下載數(shù)據(jù)時，人機交互傳輸渠道很容易遭受各種形式的的供給，例如：木馬植入、病毒干擾，目前大多數(shù)電子政務云平臺服務商都推出了相應的殺毒或防木馬軟件，然而針對云終端的安全保障技術還并不成熟，已有的云平臺漏洞仍然會給網(wǎng)絡安全供給留下后門，進而引發(fā)終端安全風險。

3 電子政務云平臺安全風險應對措施

3.1 劃分網(wǎng)絡安全防護區(qū)域

根據(jù)電子政務云平臺物理虛擬組網(wǎng)的特征，劃分網(wǎng)絡安全防護區(qū)域是應對網(wǎng)絡安全風險的有效策略，具體可執(zhí)行兩種措施，其一，安全等級劃分措施。將云平臺的網(wǎng)絡體系劃分為業(yè)務網(wǎng)區(qū)和互聯(lián)網(wǎng)區(qū)，兩者之間進行物理隔離，并另外設置跨網(wǎng)數(shù)據(jù)交換實現(xiàn)兩者之間的數(shù)據(jù)傳輸，同時，根據(jù)兩者的安全保護等級進一步劃分一級、二級和三級保護區(qū)，每個等級保護區(qū)建立專屬的網(wǎng)絡防護體系。其二，建設虛擬安全防護體系。在每個等級保護區(qū)上建設VLAN虛擬防火墻，實現(xiàn)各個區(qū)域的完全隔離，此外，還可以通過安全組方式限制虛擬機的訪問，以提升電子政務云平臺的網(wǎng)絡安全性。

3.2 完善云端身份認證設計

為提升電子政務云平臺的應用安全性，進一步完善云端身份認證設計十分有必要。鑒于電子政務云平臺的用戶需通過調(diào)用API實現(xiàn)云服務，可構建基于安全憑證的API請求調(diào)用發(fā)起對象身份鑒認證體系，具體的認證過程為：首先，用戶運用秘鑰創(chuàng)建API數(shù)字簽名，并將該簽名發(fā)送至電子政務云平臺數(shù)據(jù)庫中，其次，云平臺的安全認證體系對簽名的合法性進行檢測，如果簽名通過數(shù)據(jù)庫信息的比對，則允許用戶訪問云平臺的資源，否則拒絕用戶訪問。上述認證技術的優(yōu)點在于：針對電子政務云平臺的訪問特點，建立起了嚴密的訪問權限體系，外來用戶或黑客很難在未獲得身份認證的前提下訪問云平臺的資源。

3.3 加強終端安全管理

為提升電子政務云平臺的終端安全性，需要第三方監(jiān)管機構從技術和法律兩個層面強化安全管理力度。一方面，第三方監(jiān)管機構可通過第三方評估、認證和審計等方法保護政務云安全，例如，建立集約化的安全審計體系，該體系應涵蓋平臺的主要應用區(qū)域，并對平臺終端的各類日志進行周期性的安全審計，及時發(fā)現(xiàn)非法訪問日志信息，進行針對性的安全防范管理。另一方面，相關職能部門應建立健全電子政務云平臺安全管理法規(guī)體系，明晰平臺建設的技術標準、使用標準、應用人員違規(guī)行為懲治措施等，并嚴格落實到安全管理活動中，加強過程性監(jiān)管。

[1]田偉,林海鵬.電子政務云計算中心建設淺析[J].農(nóng)學學報,2016(6):45

[2]劉立剛,雷穎.新時期電子政務云平臺的安全技術設計[J].電腦知識與技術,2017(32):267