論文：電子政務(wù)信息安全研究

　　關(guān)鍵詞:電子政務(wù)信息安全

　　1電子政務(wù)信息安全的總體要求

　　隨著(zhù)電子政務(wù)應用的不斷深入，信息安全問(wèn)題日益凸顯，為了高效安全的進(jìn)行電子政務(wù)，迫切需要搞好信息安全保障工作。電子政務(wù)系統采取的網(wǎng)絡(luò )安全措施[2][3]不僅要保證業(yè)務(wù)與辦公系統和網(wǎng)絡(luò )的穩定運行，另一方面要保護運行在內部網(wǎng)上的敏感數據與信息的安全，因此應充分保證以下幾點(diǎn)：

　　1.1基礎設施的可用性：運行于內部專(zhuān)網(wǎng)的各主機、數據庫、應用服務(wù)器系統的安全運行十分關(guān)鍵，網(wǎng)絡(luò )安全體系必須保證這些系統不會(huì )遭受來(lái)自網(wǎng)絡(luò )的非法訪(fǎng)問(wèn)、惡意入侵和破壞。

　　1.2數據機密性：對于內部網(wǎng)絡(luò )，保密數據的泄密將直接帶來(lái)政府機構以及國家利益的損失。網(wǎng)絡(luò )安全系統應保證內網(wǎng)機密信息在存儲與傳輸時(shí)的保密性。

　　1.3網(wǎng)絡(luò )域的可控性:電子政務(wù)的網(wǎng)絡(luò )應該處于嚴格的控制之下，只有經(jīng)過(guò)認證的設備可以訪(fǎng)問(wèn)網(wǎng)絡(luò )，并且能明確地限定其訪(fǎng)問(wèn)范圍，這對于電子政務(wù)的網(wǎng)絡(luò )安全十分重要。

　　1.4數據備份與容災:任何的安全措施都無(wú)法保證數據萬(wàn)無(wú)一失，硬件故障、自然災害以及未知病毒的感染都有可能導致政府重要數據的丟失。因此，在電子政務(wù)安全體系中必須包括數據的容災與備份，并且最好是異地備份。

　　2電子政務(wù)信息安全體系模型設計

　　完整的電子政務(wù)安全保障體系從技術(shù)層面上來(lái)講，必須建立在一個(gè)強大的技術(shù)支撐平臺之上，同時(shí)具有完備的安全管理機制，并針對物理安全，數據存儲安全，數據傳輸安全和應用安全制定完善的安全策略

　　在技術(shù)支撐平臺方面，核心是要解決好權限控制問(wèn)題。為了解決授權訪(fǎng)問(wèn)的問(wèn)題，通常是將基于公鑰證書(shū)（PKC）的PKI（PublicKeyInfrastructure）與基于屬性證書(shū)（AC）的PMI（PrivilegeManagementInfrastructure)結合起來(lái)進(jìn)行安全性設計，然而由于一個(gè)終端用戶(hù)可以有許多權限，許多用戶(hù)也可能有相同的權限集，這些權限都必須寫(xiě)入屬性證書(shū)的屬性中，這樣就增加了屬性證書(shū)的復雜性和存儲空間，從而也增加了屬性證書(shū)的頒發(fā)和驗證的復雜度。為了解決這個(gè)問(wèn)題，作者建議根據X.509標準建立基于角色PMI的電子政務(wù)安全模型。該模型由客戶(hù)端、驗證服務(wù)器、應用服務(wù)器、資源數據庫和LDAP目錄服務(wù)器等實(shí)體組成，在該模型中：

　　2.1終端用戶(hù)：向驗證服務(wù)器發(fā)送請求和證書(shū)，并與服務(wù)器雙向驗證。

　　2.2驗證服務(wù)器：由身份認證模塊和授權驗證模塊組成提供身份認證和訪(fǎng)問(wèn)控制，是安全模型的關(guān)鍵部分。

　　2.3應用服務(wù)器：與資源數據庫連接，根據驗證通過(guò)的用戶(hù)請求，對資源數據庫的數據進(jìn)行處理，并把處理結果通過(guò)驗證服務(wù)器返回給用戶(hù)以響應用戶(hù)請求。

　　2.4LDAP目錄服務(wù)器：該模型中采用兩個(gè)LDAP目錄服務(wù)器，一個(gè)存放公鑰證書(shū)（PKC）和公鑰證書(shū)吊銷(xiāo)列表（CRL），另一個(gè)LDAP目錄服務(wù)器存放角色指派和角色規范屬性證書(shū)以及屬性吊銷(xiāo)列表ACRL。

　　安全管理策略也是電子政務(wù)安全體系的重要組成部分。安全的核心實(shí)際上是管理，安全技術(shù)實(shí)際上只是實(shí)現管理的一種手段，再好的技術(shù)手段都必須配合合理的制度才能發(fā)揮作用。需要制訂的制度包括安全行政管理和安全技術(shù)管理。安全行政管理應包括組織機構和責任制度等的制定和落實(shí)；安全技術(shù)管理的內容包括對硬件實(shí)體和軟件系統、密鑰的管理。

　　3電子政務(wù)信息安全管理體系中的風(fēng)險評估

　　電子政務(wù)信息安全等級保護是根據電子政務(wù)系統在國家安全、經(jīng)濟安全、社會(huì )穩定和保護公共利益等方面的重要程度。等級保護工作的要點(diǎn)是對電子政務(wù)系統進(jìn)行風(fēng)險分析，構建電子政務(wù)系統的風(fēng)險因素集。

　　3.1信息系統的安全定級信息系統的安全等級從低到高依次包括自主保護級、指導保護級、監督保護級、強制保護級、專(zhuān)控保護級五個(gè)安全等級。對電子政務(wù)的五個(gè)安全等級定義，結合系統面臨的風(fēng)險、系統特定安全保護要求和成本開(kāi)銷(xiāo)等因素，采取相應的安全保護措施以保障信息和信息系統的安全。

　　3.2采用全面的風(fēng)險評估辦法風(fēng)險評估具有不同的方法。在ISO/IECTR13335-3《信息技術(shù)IT安全管理指南:IT安全管理技術(shù)》中描述了風(fēng)險評估方法的例子，其他文獻，例如NISTSP800-30、AS/NZS4360等也介紹了風(fēng)險評估的步驟及方法，另外，一些組織還提出了自己的風(fēng)險評估工具，例如OCTAVE、CRAMM等。

　　電子政務(wù)信息安全建設中采用的風(fēng)險評估方法可以參考ISO17799、OCTAVE、CSE、《信息安全風(fēng)險評估指南》等標準和指南，從資產(chǎn)評估、威脅評估、脆弱性評估、安全措施有效性評估四個(gè)方面建立風(fēng)險評估模型。其中，資產(chǎn)的評估主要是對資產(chǎn)進(jìn)行相對估價(jià)，其估價(jià)準則依賴(lài)于對其影響的分析，主要從保密性、完整性、可用性三方面進(jìn)行影響分析;威脅評估是對資產(chǎn)所受威脅發(fā)生可能性的評估，主要從威脅的能力和動(dòng)機兩個(gè)方面進(jìn)行分析;脆弱性評估是對資產(chǎn)脆弱程度的評估，主要從脆弱性被利用的難易程度、被成功利用后的嚴重性?xún)煞矫孢M(jìn)行分析;安全措施有效性評估是對保障措施的有效性進(jìn)行的評估活動(dòng)，主要對安全措施防范威脅、減少脆弱性的有效狀況進(jìn)行分析;安全風(fēng)險評估就是通過(guò)綜合分析評估后的資產(chǎn)信息、威脅信息、脆弱性信息、安全措施信息，最終生成風(fēng)險信息。

　　在確定風(fēng)險評估方法后，還應確定接受風(fēng)險的準則，識別可接受的風(fēng)險級別。

　　4結語(yǔ)

　　電子政務(wù)與傳統政務(wù)相比有顯著(zhù)區別，包括:辦公手段不同，信息資源的數字化和信息交換的網(wǎng)絡(luò )化是電子政務(wù)與傳統政務(wù)的最顯著(zhù)區別;行政業(yè)務(wù)流程不同，實(shí)現行政業(yè)務(wù)流程的集約化、標準化和高效化是電子政務(wù)的核心;與公眾溝通方式不同，直接與公眾溝通是實(shí)施電子政務(wù)的目的之一，也是與傳統政務(wù)的重要區別。在電子政務(wù)的信息安全管理中，要抓住其特點(diǎn)，從技術(shù)、管理、策略角度設計完整的信息安全模型并通過(guò)科學(xué)量化的風(fēng)險評估方法識別風(fēng)險和制定風(fēng)險應急預案，這樣才能達到全方位實(shí)施信息安全管理的目的。

　　參考文獻：

　　[1]范紅，馮國登，吳亞非.信息安全風(fēng)險評估方法與應用.清華大學(xué)出版社.2006.

　　[2]李波杰，張緒國，張世永.一種多層取證的電子商務(wù)安全審計系統微型電腦應用.2007年05期.

　　[3]趙暉.網(wǎng)絡(luò )安全中的安全審計技術(shù).集團經(jīng)濟研究.2006年23期.摘要:長(cháng)期以來(lái)，在電子政務(wù)信息安全建設方面，存在著(zhù)重技術(shù)輕管理的問(wèn)題。信息安全并不是技術(shù)過(guò)程，而是一個(gè)綜合防范的過(guò)程，安全技術(shù)應由適當的安全管理體系來(lái)支持。在信息安全保障工作中必須管理與技術(shù)并重，進(jìn)行綜合防范，才能有效保障安全。本文旨在提出了一種電子政務(wù)安全解決方案。首先，分析了電子政務(wù)面臨的威脅和挑戰;其次，對電子政務(wù)安全保障體系進(jìn)行探討;再次，討論了電子政務(wù)安全等級保護思想和風(fēng)險評估方法。

【論文：電子政務(wù)信息安全研究】相關(guān)文章：

10-11

10-08

10-09

10-09

10-09

10-09

10-08

10-08

10-08

10-09