周英輝

摘要:文章以稅務(wù)系統(tǒng)網(wǎng)絡(luò)建設(shè)為切入點(diǎn),結(jié)合天津地稅局網(wǎng)絡(luò),重點(diǎn)分析了基層稅務(wù)機(jī)關(guān)網(wǎng)絡(luò)與信息管理中存在的安全風(fēng)險(xiǎn)并提出相應(yīng)對策。

關(guān)鍵詞:稅務(wù)機(jī)關(guān);網(wǎng)絡(luò)與信息安全;局域網(wǎng)漏洞

中圖分類號:X178文獻(xiàn)標(biāo)識碼:A

文章編號:1674-1145(2009)27-0194-02

始于1994年的“金稅工程”,是整個稅收管理信息系統(tǒng)的總稱,目的在于通過先進(jìn)的計(jì)算機(jī)網(wǎng)絡(luò)技術(shù),實(shí)現(xiàn)稅務(wù)系統(tǒng)信息共享,全面加強(qiáng)對稅收各稅種、各環(huán)節(jié)的監(jiān)控和管理。

隨著“金稅工程”的逐步實(shí)施,天津地稅局已建成以市局為核心,覆蓋全市各區(qū)縣地稅局/所的內(nèi)部網(wǎng)。全市地稅綜合征管系統(tǒng)、稅管員系統(tǒng)、財(cái)務(wù)管理系統(tǒng)等主要業(yè)務(wù)系統(tǒng)依托網(wǎng)絡(luò)均實(shí)現(xiàn)了市級集中運(yùn)行,網(wǎng)絡(luò)在提高數(shù)據(jù)傳輸效率,實(shí)現(xiàn)數(shù)據(jù)集中、數(shù)據(jù)共享、數(shù)據(jù)綜合利用及分析決策等方面發(fā)揮著越來越重要的作用。在各種安全系統(tǒng)的嚴(yán)密監(jiān)控和安全制度的保障下,來自核心網(wǎng)絡(luò)外部的安全威脅大大減小,與之相反,來自基層稅務(wù)機(jī)關(guān)內(nèi)部的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)日漸凸顯。如何做好新形勢下基層稅務(wù)機(jī)關(guān)網(wǎng)絡(luò)與信息安全工作,已成為各級信息化管理人員所面臨的一個重要課題。

一、信息安全防范的宏觀任務(wù)及內(nèi)容

信息安全的任務(wù)是多方面的,根據(jù)當(dāng)前信息安全的現(xiàn)狀,信息安全防范的主要任務(wù)是:從安全技術(shù)上,進(jìn)行全面的安全漏洞檢測和分析,制定防范措施和完整的解決方案;合理建設(shè)配置防火墻、網(wǎng)絡(luò)防病毒軟件、入侵檢測、安全認(rèn)證等安全系統(tǒng);從安全管理上,建立完善安全管理規(guī)范和機(jī)制,切實(shí)加強(qiáng)和落實(shí)安全管理制度,增強(qiáng)安全防范意識。

信息安全防范內(nèi)容包括:網(wǎng)絡(luò)安全,保障各種網(wǎng)絡(luò)資源穩(wěn)定可靠地運(yùn)行、受控合法地使用;信息安全,保障存儲、傳輸、應(yīng)用的機(jī)密性、完整性、抗否認(rèn)性、可用性,其他安全,病毒防治、預(yù)防內(nèi)部犯罪等。

二、基層稅務(wù)機(jī)關(guān)網(wǎng)絡(luò)與信息安全存在的風(fēng)險(xiǎn)

(一)網(wǎng)絡(luò)結(jié)構(gòu)存在的安全風(fēng)險(xiǎn)

基層稅務(wù)機(jī)關(guān)局域網(wǎng)與稅務(wù)骨干網(wǎng)之間尚未建立有效的安全區(qū)域劃分。在這種結(jié)構(gòu)下,基層局域網(wǎng)用戶可直接訪問市級核心應(yīng)用系統(tǒng),對核心應(yīng)用服務(wù)器的安全構(gòu)成嚴(yán)重威脅。同時(shí),局域網(wǎng)出口進(jìn)出流量無法得到有效的過濾和監(jiān)控,一旦網(wǎng)內(nèi)出現(xiàn)病毒或其他方式引發(fā)的異常流量,可能對核心網(wǎng)絡(luò)產(chǎn)生沖擊造成網(wǎng)絡(luò)擁塞,對核心應(yīng)用系統(tǒng)正常的數(shù)據(jù)傳輸構(gòu)成威脅。

(二)局域網(wǎng)中潛在的安全風(fēng)險(xiǎn)

局域網(wǎng)中潛在的安全風(fēng)險(xiǎn)主要表現(xiàn)在:一是計(jì)算機(jī)操作系統(tǒng)漏洞引發(fā)風(fēng)險(xiǎn)。目前稅務(wù)機(jī)關(guān)辦公用計(jì)算機(jī)均使用微軟Windows操作系統(tǒng),由于稅務(wù)系統(tǒng)嚴(yán)格實(shí)行內(nèi)外網(wǎng)物理隔離,內(nèi)網(wǎng)操作系統(tǒng)無法自動進(jìn)行系統(tǒng)補(bǔ)丁更新,局域網(wǎng)內(nèi)計(jì)算機(jī)存在遭受系統(tǒng)漏洞攻擊的風(fēng)險(xiǎn)。二是缺乏有效的局域網(wǎng)準(zhǔn)入監(jiān)管手段,局域網(wǎng)用戶安防范意識薄弱。外來網(wǎng)絡(luò)設(shè)備或用戶可較容易地接入基層稅務(wù)機(jī)關(guān)局域網(wǎng)進(jìn)而進(jìn)入內(nèi)部核心網(wǎng)絡(luò),對核心網(wǎng)絡(luò)與信息安全構(gòu)成嚴(yán)重威脅。局域網(wǎng)內(nèi)便攜設(shè)備和移動存儲介質(zhì)的使用未得到有效監(jiān)控。部分用戶安全意識不強(qiáng),使用移動便攜設(shè)備和移動存儲介質(zhì)時(shí),在未經(jīng)過必要的安全檢查的情況下將外部數(shù)據(jù)直接帶入內(nèi)部局域網(wǎng),同時(shí)將內(nèi)部數(shù)據(jù)帶出局域網(wǎng),為木馬、蠕蟲等病毒進(jìn)入稅務(wù)系統(tǒng)內(nèi)網(wǎng)提供了方便,同時(shí)也增加了內(nèi)部信息外泄的風(fēng)險(xiǎn)。三是計(jì)算機(jī)IP地址和計(jì)算機(jī)名稱管理不規(guī)范。缺乏對IP地址的統(tǒng)一規(guī)劃,IP地址檔案不全,計(jì)算機(jī)設(shè)備名稱無任何意義,發(fā)生安全事件后無法及時(shí)定位到具體設(shè)備及相關(guān)責(zé)任人。四是計(jì)算機(jī)操作人員因經(jīng)常接收納稅人報(bào)送電子數(shù)據(jù)資料,而存在感染計(jì)算機(jī)病毒或內(nèi)部信息外泄的風(fēng)險(xiǎn)。

(三)制度建設(shè)和技術(shù)水平上存在的風(fēng)險(xiǎn)

隨著網(wǎng)絡(luò)應(yīng)用形式的不斷發(fā)展、各種新型病毒及攻擊形式的出現(xiàn),網(wǎng)絡(luò)安全問題日趨多樣化復(fù)雜化。目前,雖然各基層稅務(wù)機(jī)關(guān)都制定了本單位信息安全管理制度,但仍存在制度建設(shè)相對滯后,條例規(guī)范不具體不完善的現(xiàn)象。同時(shí),網(wǎng)絡(luò)與信息安全管理作為一個大課題,涉及知識面較廣,基層信息化管理人員技術(shù)水與安全管理要求還存在一定差距,專業(yè)知識更新速度滯后于信息化的發(fā)展,獨(dú)立發(fā)現(xiàn)處理安全隱患或安全事件的能力不足,這也成為了基層網(wǎng)絡(luò)與信息安全潛在的風(fēng)險(xiǎn)。

三、如何有效防范應(yīng)對基層稅務(wù)機(jī)關(guān)網(wǎng)絡(luò)與信息風(fēng)險(xiǎn)

(一)優(yōu)化網(wǎng)絡(luò)結(jié)構(gòu),降低網(wǎng)絡(luò)安全風(fēng)險(xiǎn)

對現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)進(jìn)行優(yōu)化,進(jìn)行網(wǎng)絡(luò)邊界安全區(qū)域劃分,制定嚴(yán)格的網(wǎng)絡(luò)訪問控制策略,使基層局域網(wǎng)與骨干網(wǎng)邊界進(jìn)出數(shù)據(jù)得到有效的過濾與監(jiān)控,降低稅務(wù)系統(tǒng)各級網(wǎng)絡(luò)中非法訪問及異常流量帶來的安全風(fēng)險(xiǎn)。

(二)強(qiáng)化局域網(wǎng)管理,確保信息安全

管理上,一是要繼續(xù)嚴(yán)格實(shí)行稅務(wù)系統(tǒng)內(nèi)外網(wǎng)物理隔離制度,加強(qiáng)局域網(wǎng)準(zhǔn)入管理。制定嚴(yán)格的計(jì)算機(jī)內(nèi)部網(wǎng)準(zhǔn)入制度,所有接入內(nèi)部網(wǎng)的計(jì)算機(jī)必須在各級信息部門登記,統(tǒng)一分配IP地址、網(wǎng)關(guān)等參數(shù),安裝操作系統(tǒng)補(bǔ)丁,安裝統(tǒng)一的網(wǎng)絡(luò)版防病毒軟件,嚴(yán)禁任何人私自將計(jì)算機(jī)設(shè)備接入內(nèi)部網(wǎng)運(yùn)行。二是要加強(qiáng)IP地址使用管理,規(guī)范計(jì)算機(jī)設(shè)備名稱命名。制訂IP地址管理方案,建立IP地址使用檔案,同時(shí)建立“科室名稱+使用人名稱”的計(jì)算機(jī)命名規(guī)則,確保發(fā)生安全事件后,能夠迅速根據(jù)設(shè)備名稱定位到具體人員。三是要加強(qiáng)病毒管理。加強(qiáng)內(nèi)網(wǎng)便攜設(shè)備和移動存儲介質(zhì)的使用管理,嚴(yán)禁將從互聯(lián)網(wǎng)或其他地方下載的程序、文件等直接在內(nèi)網(wǎng)運(yùn)行使用,嚴(yán)禁在內(nèi)網(wǎng)計(jì)算機(jī)上安裝、運(yùn)行、查看與工作無關(guān)的程序、文件資料等。對納稅人報(bào)送的電子數(shù)據(jù)資料,必須先進(jìn)行病毒查殺處理,確認(rèn)無毒后方可接收。定期通報(bào)各單位病毒感染情況,提高信息化管理人員對病毒防治工作的重視程度。

技術(shù)上,一是要加強(qiáng)終端設(shè)備安全管理。建立統(tǒng)一的內(nèi)網(wǎng)補(bǔ)丁分發(fā)系統(tǒng)(WSUS),降低操作系統(tǒng)漏洞引發(fā)的安全風(fēng)險(xiǎn)。通過局域網(wǎng)桌面安全管理系統(tǒng),建立強(qiáng)大的局域網(wǎng)安全防護(hù)體系:對未在桌面安全管理系統(tǒng)中注冊的計(jì)算機(jī)自動進(jìn)行網(wǎng)絡(luò)阻斷,徹底解決違規(guī)接入問題;通過IP地址與MAC地址綁定功能,有效防止用戶私自更改IP地址而帶來的安全隱患;通過硬件資源管理功能,加強(qiáng)計(jì)算機(jī)名稱命名檢查。二是要強(qiáng)化病毒監(jiān)控管理。通過網(wǎng)絡(luò)版防病毒軟件建立全市統(tǒng)一的病毒防護(hù)體系,網(wǎng)內(nèi)全部計(jì)算機(jī)統(tǒng)一接受服務(wù)器管理,及時(shí)升級病毒庫版本,確保防病毒系統(tǒng)的有效性。

(三)加強(qiáng)宣傳,提高認(rèn)識

要充分利用網(wǎng)站、公文、會議、面對面交流等多種形式,宣傳網(wǎng)絡(luò)與信息安全工作,提高全員安全防范意識,增強(qiáng)做好網(wǎng)絡(luò)與信息安全工作的責(zé)任感、緊迫感和壓力感,牢固樹立“安全第一”的思想,堅(jiān)決克服麻痹思想和僥幸心理,積極采取各種有效措施,防止重大網(wǎng)絡(luò)與信息安全事件的發(fā)生。

(四)完善制度,嚴(yán)格考核

要加強(qiáng)基層稅務(wù)機(jī)關(guān)制度建設(shè),按照國家稅務(wù)總局“稅務(wù)系統(tǒng)網(wǎng)絡(luò)與信息安全防護(hù)體系運(yùn)行維護(hù)管理辦法”的要求,建立較為完善的基層稅務(wù)機(jī)關(guān)網(wǎng)絡(luò)與信息安全管理制度,做到各項(xiàng)安全管理工作有章可循。強(qiáng)化考核,以“誰主管誰負(fù)責(zé),誰運(yùn)行誰負(fù)責(zé),誰使用誰負(fù)責(zé)”為原則,對基層安全防護(hù)體系建設(shè)及運(yùn)行維護(hù)工作進(jìn)行監(jiān)督、檢查和考核,以考核促落實(shí)。同時(shí),通過各種途徑加快基層信息技術(shù)人員技術(shù)更新,提高信息安全管理水平和處理安全事件的能力,將各種安全隱患消滅在萌芽之中。

(五)建立信息安全應(yīng)急響應(yīng)機(jī)制

建立健全基層稅務(wù)局安全評估、風(fēng)險(xiǎn)上報(bào)及信息安全應(yīng)急響應(yīng)機(jī)制。對基層稅務(wù)局網(wǎng)絡(luò)和信息系統(tǒng)定期進(jìn)行安全評估與分析,同時(shí),要求基層技術(shù)人員在遇重大安全隱患或安全事件時(shí)嚴(yán)格按照預(yù)案做出應(yīng)急響應(yīng)處置,并按規(guī)定的流程及時(shí)上報(bào)上級機(jī)關(guān)。

四、結(jié)語

基層稅務(wù)機(jī)關(guān)網(wǎng)絡(luò)與信息安全管理是一項(xiàng)長期而艱巨的任務(wù),需要不斷地探索。各級信息化管理人員都應(yīng)把責(zé)任放在首位提高安全意識,站在全局的高度深入分析評估網(wǎng)絡(luò)和信息系統(tǒng)中存在的安全風(fēng)險(xiǎn),豐富防控風(fēng)險(xiǎn)的手段和措施,以加強(qiáng)稅務(wù)系統(tǒng)內(nèi)部網(wǎng)絡(luò)安全防護(hù)為重點(diǎn),按照國家稅務(wù)總局“稅務(wù)系統(tǒng)信息安全體系建設(shè)的總體目標(biāo)”的要求,建立多層次的、立體的網(wǎng)絡(luò)信息安全防護(hù)體系,提高稅務(wù)系統(tǒng)網(wǎng)絡(luò)與信息安全管理水平,進(jìn)一步加強(qiáng)內(nèi)部網(wǎng)絡(luò)的安全防護(hù)能力,為稅務(wù)系統(tǒng)各項(xiàng)應(yīng)用系統(tǒng)提供安全穩(wěn)定的運(yùn)行平臺。