【摘要】我國(guó)政府是信息的主要生產(chǎn)和使用者，信息內(nèi)容涉及國(guó)家政治、軍事、外交、經(jīng)濟(jì)、文化以及科技等眾多領(lǐng)域，關(guān)系到國(guó)家安全。有些敏感信息一旦出現(xiàn)泄漏，甚至?xí)：?guó)家和公眾的利益，影響社會(huì)穩(wěn)定。隨著網(wǎng)絡(luò)的普及和信息竊密的增多，政府信息在網(wǎng)絡(luò)上的安全形勢(shì)日趨嚴(yán)峻，應(yīng)受到各級(jí)政府部門(mén)的高度重視。本文分析了網(wǎng)絡(luò)環(huán)境下政府信息面臨的安全問(wèn)題，結(jié)合工作實(shí)際，提出了網(wǎng)絡(luò)環(huán)境下政府信息安全的防范措施建議。

【關(guān)鍵詞】網(wǎng)絡(luò)環(huán)境 政府信息 安全管理

中圖分類號(hào)：TP393.08 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1672-3791（2015）02（b）-0000-00

政府信息安全事關(guān)國(guó)家安全和社會(huì)穩(wěn)定，也是網(wǎng)絡(luò)攻擊的重點(diǎn)。在科學(xué)技術(shù)飛速發(fā)展進(jìn)步的當(dāng)代，OA等信息技術(shù)在政府機(jī)關(guān)得到了廣泛應(yīng)用。但是，在網(wǎng)絡(luò)環(huán)境下，政府信息存在許多安全隱患。政府信息系統(tǒng)自身漏洞、信息交流以及信息管理等因素，都會(huì)影響政府信息安全。對(duì)政府信息存在的安全隱患，政府要積極采取相應(yīng)措施，保證信息安全。

1.網(wǎng)絡(luò)信息安全概述

網(wǎng)絡(luò)信息系統(tǒng)安全面臨的威脅非常廣泛，包括信息泄露、重傳、篡改、拒絕服務(wù)、欺詐、非法使用、竊聽(tīng)、傳播病毒和木馬等。需要解決的相關(guān)問(wèn)題包括：防范與響應(yīng)、病毒與后門(mén)措施、實(shí)體保護(hù)與訪問(wèn)控制、保密與加密、攻擊和檢測(cè)、漏洞和監(jiān)測(cè)、備份與恢復(fù)等。

網(wǎng)絡(luò)信息安全主要包含了三層內(nèi)容：一是系統(tǒng)安全，即系統(tǒng)實(shí)體和系統(tǒng)運(yùn)行安全；二是系統(tǒng)中信息安全，即對(duì)計(jì)算機(jī)用戶進(jìn)行權(quán)限劃分、控制，對(duì)信息數(shù)據(jù)進(jìn)行加密等，確保數(shù)據(jù)不被非法獲取或篡改；三是管理安全，即通過(guò)各種手段和約束對(duì)信息資源和系統(tǒng)安全運(yùn)行進(jìn)行有效管理。

2.網(wǎng)絡(luò)環(huán)境下政府信息存在的安全問(wèn)題

隨著我國(guó)信息化進(jìn)程不斷加快，政府也積極加入到政府信息化的進(jìn)程中來(lái)，以提高政府的工作效率。由于對(duì)網(wǎng)絡(luò)信息安全技術(shù)機(jī)制認(rèn)識(shí)和理解的不到位，致使網(wǎng)絡(luò)信息系統(tǒng)的實(shí)體安全、運(yùn)行安全和信息安全存在著巨大安全問(wèn)題和隱患。

在實(shí)體安全方面的問(wèn)題和隱患主要有：未對(duì)構(gòu)成計(jì)算機(jī)網(wǎng)絡(luò)物理環(huán)境的設(shè)施、設(shè)備或者區(qū)域進(jìn)行應(yīng)有的保護(hù)，使得計(jì)算機(jī)系統(tǒng)設(shè)備處于不穩(wěn)定、不可靠、不安全的工作環(huán)境中。

在運(yùn)行安全方面的問(wèn)題和隱患主要有：未在計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)使用過(guò)程中采取行之有效的安全措施（如風(fēng)險(xiǎn)分析、審計(jì)跟蹤、備份與恢復(fù)等），致使計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)無(wú)法保障系統(tǒng)功能安全實(shí)現(xiàn)。

在信息安全方面的問(wèn)題和隱患主要有：未采用應(yīng)有的信息安全防護(hù)技術(shù)機(jī)制（如漏洞掃描、訪問(wèn)控制、密碼保護(hù)措施、身份鑒別、入侵檢測(cè)、防火墻及VPN等），致使計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)容易受到網(wǎng)絡(luò)攻擊、數(shù)據(jù)信息易于被篡改、破壞等。

3.網(wǎng)絡(luò)環(huán)境下政府信息應(yīng)采取的措施

對(duì)于網(wǎng)絡(luò)環(huán)境下政府信息存在的許多安全問(wèn)題，政府機(jī)關(guān)要積極采取有效的防范措施，提高政府機(jī)關(guān)信息網(wǎng)絡(luò)安全防護(hù)技術(shù)，保障政府的信息網(wǎng)絡(luò)環(huán)境安全穩(wěn)定。

3.1實(shí)體安全措施

計(jì)算機(jī)信息系統(tǒng)的實(shí)體安全是指系統(tǒng)設(shè)備及相關(guān)設(shè)施的安全，即保護(hù)設(shè)備、設(shè)施（含網(wǎng)絡(luò)）以及其它儲(chǔ)存媒體免遭地震、水災(zāi)、火災(zāi)、有害氣體和其它環(huán)境事故（如電磁污染等）的破壞。實(shí)體安全具體內(nèi)容和要求包括環(huán)境安全、設(shè)備安全、介質(zhì)安全三個(gè)方面[1]。

（1）環(huán)境安全。環(huán)境安全主要包括機(jī)房及配套設(shè)安全以及相應(yīng)的人員安全等。從機(jī)房外部環(huán)境方面，選址要避開(kāi)高壓高磁場(chǎng)、強(qiáng)震動(dòng)和強(qiáng)聲波地區(qū)。從機(jī)房?jī)?nèi)部設(shè)置和配套方面，應(yīng)注意防雷接地、進(jìn)行溫濕度控制、機(jī)房承重、電源供給等。

（2）設(shè)備安全。設(shè)備安全主要包括設(shè)備防盜、防破壞、防止電磁泄漏和抗電磁干擾等。通常要在機(jī)房?jī)?nèi)外部安裝部署安全防范系統(tǒng)，包括防盜門(mén)、防盜窗、紅外報(bào)警系統(tǒng)等。需重點(diǎn)保護(hù)的機(jī)房還應(yīng)建設(shè)成為屏蔽機(jī)房或采取屏蔽機(jī)柜等措施防止電磁干擾和泄漏。

（3）介質(zhì)安全。主要防止對(duì)媒介數(shù)據(jù)進(jìn)行非法竊取、篡改和破壞。目前常用的光盤(pán)、優(yōu)盤(pán)是使用最為廣泛的記錄介質(zhì)，由于其攜帶方便、操作簡(jiǎn)單，因而帶來(lái)的安全隱患也最大。主要的管理要求有：介質(zhì)集中專人管理、介質(zhì)統(tǒng)一特定標(biāo)識(shí)、介質(zhì)行程完整的記錄檔案、介質(zhì)使用涉及敏感信息應(yīng)由專人使用等。

3.2運(yùn)行安全措施

為了保障計(jì)算機(jī)網(wǎng)絡(luò)信息系統(tǒng)安全運(yùn)行，確保系統(tǒng)功能的實(shí)現(xiàn)，政府信息系統(tǒng)運(yùn)行安全必須采用以下措施：

（1）加強(qiáng)組織和人員管理。組織和人員管理是計(jì)算機(jī)網(wǎng)絡(luò)信息系統(tǒng)安全運(yùn)行的根本保證，必須建立專業(yè)的信息安全管理機(jī)構(gòu)。在單位內(nèi)部機(jī)構(gòu)設(shè)置多個(gè)專、兼職崗位，做好工作分工和責(zé)任落實(shí)。設(shè)置系統(tǒng)管理員、安全管理員和安全審計(jì)員崗位，實(shí)施專業(yè)化對(duì)口管理。同時(shí)，建立并完善制度，使得各種行為操作有章可循、職責(zé)明確。

（2）加強(qiáng)審計(jì)和監(jiān)測(cè)。利用審計(jì)功能監(jiān)視、記錄和控制用戶的活動(dòng)。為系統(tǒng)管理員提供審計(jì)日志，從而及時(shí)發(fā)入侵行為和系統(tǒng)漏洞，震懾潛在的系統(tǒng)攻擊者。根據(jù)功能劃分主要有對(duì)系統(tǒng)終端的審計(jì)，對(duì)互聯(lián)網(wǎng)計(jì)算機(jī)的審計(jì)，對(duì)數(shù)據(jù)庫(kù)訪問(wèn)記錄的審計(jì)，和對(duì)網(wǎng)絡(luò)設(shè)備、流量的審計(jì)。

（3）應(yīng)急響應(yīng)和恢復(fù)。計(jì)算機(jī)網(wǎng)絡(luò)信息系統(tǒng)在日常運(yùn)行中經(jīng)常遇到突發(fā)事故，導(dǎo)致系統(tǒng)不能正常運(yùn)行，甚至系統(tǒng)癱瘓。因此，做好應(yīng)急響應(yīng)預(yù)案和災(zāi)難恢復(fù)是十分必要的。應(yīng)急準(zhǔn)備主要包括關(guān)鍵設(shè)備設(shè)施備份、電源備份、軟件備份及數(shù)據(jù)備份等。事故發(fā)生后，應(yīng)快速實(shí)施應(yīng)急措施，盡快使系統(tǒng)恢復(fù)正常運(yùn)行，減少損失。在災(zāi)難恢復(fù)方面，尤其應(yīng)關(guān)注災(zāi)難恢復(fù)的優(yōu)先次序、對(duì)各級(jí)角色明確責(zé)任和授權(quán)，確保系統(tǒng)被安全切斷，形成災(zāi)難恢復(fù)文檔。

3.3信息安全措施

從安全角度，組成信息系統(tǒng)各個(gè)部分的硬件和軟件都應(yīng)有相應(yīng)的安全功能，確保在其所管轄范圍內(nèi)的信息安全和提供確定的服務(wù)。在政府信息安全措施方面主要有：漏洞掃描、身份鑒別、訪問(wèn)控制、入侵檢測(cè)、防火墻、VPN、密碼等。

（1）漏洞掃描。主要指對(duì)計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)進(jìn)行檢測(cè)，以發(fā)現(xiàn)黑客或潛在攻擊者可以用來(lái)攻擊的漏洞。主要包括：基于網(wǎng)絡(luò)的漏洞掃描和基于主機(jī)的漏洞掃描。目前由于價(jià)格和市場(chǎng)的因素，政府部門(mén)主要采取基于網(wǎng)絡(luò)的漏洞掃描。

（2）身份鑒別。廣義的身份鑒別包括系統(tǒng)中所有實(shí)體的鑒別，如人、設(shè)備、計(jì)算機(jī)系統(tǒng)、應(yīng)用和進(jìn)程等。鑒別就是證明其是否是系統(tǒng)的合法成員或合法使用者。目前，身份鑒別技術(shù)，尤其指對(duì)于人或使用者的身份鑒別，主要應(yīng)用于政府涉密網(wǎng)絡(luò)系統(tǒng)，有個(gè)人識(shí)別碼和電子密鑰和生物認(rèn)證技術(shù)三種類型。

（3）訪問(wèn)控制。信息系統(tǒng)的訪問(wèn)控制指系統(tǒng)對(duì)用戶身份及其所屬的預(yù)先定義的策略組限制其使用數(shù)據(jù)資源能力的手段，通常用于控制用戶對(duì)服務(wù)器、目錄、文件等網(wǎng)絡(luò)資源的訪問(wèn)。訪問(wèn)控制是系統(tǒng)保密性、完整性、可用性和合法使用性的重要基礎(chǔ)，是網(wǎng)絡(luò)安全防范和資源保護(hù)的關(guān)鍵策略之一。訪問(wèn)控制要達(dá)到的目的是拒絕不合法的來(lái)訪者，根據(jù)預(yù)先設(shè)置的級(jí)別或策略限制訪問(wèn)主體對(duì)客體的訪問(wèn)，從而保障數(shù)據(jù)資源在合法范圍內(nèi)得以有效使用和管理。（4）入侵檢測(cè)。入侵檢測(cè)作是一種積極主動(dòng)的安全防護(hù)技術(shù)和手段，也就是在系統(tǒng)受到危害之前攔截和響應(yīng)入侵，提供對(duì)內(nèi)部攻擊、外部攻擊和誤操作的實(shí)時(shí)保護(hù)。主要是通過(guò)收集和分析網(wǎng)絡(luò)行為、安全日志、審計(jì)數(shù)據(jù)、其它網(wǎng)絡(luò)上可以獲得的信息以及計(jì)算機(jī)系統(tǒng)中若干關(guān)鍵點(diǎn)的信息，檢查網(wǎng)絡(luò)或系統(tǒng)中是否存在違反安全策略的行為和被攻擊的跡象。入侵檢測(cè)采用的手段主要包括：監(jiān)視、分析用戶及系統(tǒng)活動(dòng)；系統(tǒng)構(gòu)造和弱點(diǎn)的審計(jì)；識(shí)別反映已知進(jìn)攻的活動(dòng)模式并向相關(guān)人士報(bào)警；異常行為模式的統(tǒng)計(jì)分析；評(píng)估重要系統(tǒng)和數(shù)據(jù)文件的完整性；操作系統(tǒng)的審計(jì)跟蹤管理，并識(shí)別用戶違反安全策略的行為等。

（5）防火墻和防病毒技術(shù)。對(duì)于黑客攻擊政府信息網(wǎng)絡(luò)的問(wèn)題，可以采用最直接的網(wǎng)絡(luò)防火墻技術(shù)對(duì)網(wǎng)絡(luò)信息進(jìn)行過(guò)濾[2]。在政府網(wǎng)站的內(nèi)部局域網(wǎng)和外部網(wǎng)絡(luò)設(shè)置一道防火墻，這能夠使用戶的局域網(wǎng)與外界網(wǎng)絡(luò)產(chǎn)生隔離。信息進(jìn)入和流出的網(wǎng)站都需要經(jīng)過(guò)防火墻過(guò)濾篩選，黑客在攻擊政府信息網(wǎng)絡(luò)時(shí)，防火墻就能夠在內(nèi)部網(wǎng)絡(luò)被破壞之前進(jìn)行阻止，從而保障政府信息網(wǎng)絡(luò)的內(nèi)部網(wǎng)絡(luò)安全。另外，網(wǎng)絡(luò)防火墻也能夠自動(dòng)禁止網(wǎng)址不明的網(wǎng)站訪問(wèn)，阻斷不明外來(lái)信息的入侵。

（6）VPN（虛擬專用網(wǎng)絡(luò)）。VPN就是在公用網(wǎng)絡(luò)上建立專用網(wǎng)絡(luò)，利用遠(yuǎn)程訪問(wèn)加密通訊技術(shù)在公用網(wǎng)絡(luò)上建立政府或企業(yè)的專用網(wǎng)絡(luò)。社會(huì)基礎(chǔ)網(wǎng)絡(luò)已經(jīng)無(wú)處不在，通過(guò)一定技術(shù)手段建立起符合自己安全要求的專用網(wǎng)絡(luò)，具有廣泛需求。VPN的實(shí)現(xiàn)方式很多。在大型局域網(wǎng)中，可以通過(guò)在網(wǎng)絡(luò)中心搭建VPN服務(wù)器的方法實(shí)現(xiàn)VPN；通過(guò)專用的軟件實(shí)現(xiàn)VPN；通過(guò)專用的硬件實(shí)現(xiàn)VPN；通過(guò)某些含有VPN功能的硬件設(shè)備（如路由器、防火墻等）集成自己的VPN等。

（7）密碼。前文提到，密碼仍然是廣泛采用的、多數(shù)情況下簡(jiǎn)單而有效的安全手段。同時(shí)應(yīng)注意到，密碼使用的問(wèn)題是使用的不規(guī)范、不重視，問(wèn)題都是這樣出現(xiàn)的，也就是主要是管理問(wèn)題。

4.思考和建議

在現(xiàn)代社會(huì)，網(wǎng)絡(luò)環(huán)境下政府信息安全是一個(gè)至關(guān)重要的問(wèn)題，關(guān)系到政府部門(mén)能否正常有效運(yùn)作。同時(shí)，它不但是一個(gè)技術(shù)問(wèn)題，更是一個(gè)管理問(wèn)題，是一個(gè)需要不斷實(shí)踐，不斷總結(jié)和提煉，不斷遇到和發(fā)現(xiàn)問(wèn)題，不斷提高和增強(qiáng)防護(hù)和安全手段的問(wèn)題。作者結(jié)合自身信息安全管理工作實(shí)踐，對(duì)于進(jìn)一步做好政府信息安全管理有如下建議：

4.1完善信息安全組織機(jī)構(gòu)

按照《國(guó)務(wù)院辦公廳關(guān)于加強(qiáng)政府信息系統(tǒng)安全和保密管理工作的通知》要求，各部門(mén)應(yīng)明確一名副職領(lǐng)導(dǎo)主管信息安全工作，指定一個(gè)專職機(jī)構(gòu)承擔(dān)信息安全管理工作，各內(nèi)設(shè)機(jī)構(gòu)應(yīng)指定一名專職或兼職信息安全員。

4.2加強(qiáng)日常信息安全管理

（1）人員管理。落實(shí)信息安全和保密責(zé)任制，加強(qiáng)人員上離、在崗和崗離管理，定期組織有關(guān)人員參加信息安全教育培訓(xùn)、掌握信息安全常識(shí)和基本技能。

（2）系統(tǒng)管理。建立信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估機(jī)制，規(guī)范信息系統(tǒng)定級(jí)、測(cè)評(píng)；加強(qiáng)信息系統(tǒng)運(yùn)營(yíng)和使用權(quán)限管理、重要變更審批備案、日常運(yùn)維操作管理、安全日志定期備份和分析；

掌握總體網(wǎng)絡(luò)架構(gòu)、子系統(tǒng)分布、終端節(jié)點(diǎn)、區(qū)域劃分及邊界防護(hù)、網(wǎng)絡(luò)互聯(lián)網(wǎng)接入管理；

掌握防火墻、入侵檢測(cè)、安全審計(jì)、病毒防護(hù)等信息安全產(chǎn)品部署及使用情況，以及信息安全產(chǎn)品策略配置有效性；加強(qiáng)服務(wù)器上應(yīng)用、服務(wù)、端口、鏈接以及系統(tǒng)補(bǔ)丁等安全措施管理，關(guān)閉不必要的應(yīng)用、服務(wù)、端口、鏈接，定期更換賬號(hào)口令，定期更新病毒木馬防護(hù)升級(jí)包等，定期進(jìn)行漏洞掃描、病毒木馬檢測(cè)；采取集中安全管理措施，做到計(jì)算機(jī)賬號(hào)口令強(qiáng)度按月更新，加強(qiáng)終端計(jì)算機(jī)接入互聯(lián)網(wǎng)安全管理（如實(shí)名接入、對(duì)計(jì)算機(jī)IP和MAC地址進(jìn)行綁定、指定固定上網(wǎng)IP地址等）加強(qiáng)安全邊界防護(hù)、抗拒絕服務(wù)攻擊、網(wǎng)頁(yè)防篡改等安全防護(hù)設(shè)備的部署，以及安全配置策略的有效性。

（3）密碼保護(hù)。采用密碼技術(shù)對(duì)信息系統(tǒng)、終端計(jì)算機(jī)、電子文檔等進(jìn)行保護(hù)，采用數(shù)字證書(shū)方式實(shí)現(xiàn)身份認(rèn)證和授權(quán)管理，使用的密碼技術(shù)產(chǎn)品及含有密碼技術(shù)的信息技術(shù)產(chǎn)品應(yīng)符合國(guó)家密碼管理規(guī)定。

（4）應(yīng)急與災(zāi)備。落實(shí)《國(guó)家網(wǎng)絡(luò)與信息安全事件應(yīng)急預(yù)案》，制定本部門(mén)信息安全應(yīng)急預(yù)案，建立應(yīng)急技術(shù)支援隊(duì)伍，對(duì)重要數(shù)據(jù)和信息系統(tǒng)進(jìn)行災(zāi)難備份，必要時(shí)采用社會(huì)第三方災(zāi)難備份服務(wù)。

4.3加快國(guó)產(chǎn)信息技術(shù)產(chǎn)品的開(kāi)發(fā)研究

目前我國(guó)信息安全管理系統(tǒng)和計(jì)算機(jī)設(shè)備許多還是采用國(guó)外的技術(shù)和產(chǎn)品。這會(huì)給我國(guó)政府信息安全帶來(lái)較大安全隱患。國(guó)家要積極加大對(duì)國(guó)產(chǎn)基礎(chǔ)軟件開(kāi)發(fā)研究扶持力度，掌握基礎(chǔ)軟件關(guān)鍵技術(shù)，為國(guó)家政府的信息安全提供一個(gè)安全可靠的網(wǎng)絡(luò)運(yùn)行基礎(chǔ)。

4.4積極制定相關(guān)的政府信息安全保護(hù)法律法規(guī)

信息安全不僅是網(wǎng)絡(luò)技術(shù)的問(wèn)題，保護(hù)政府信息安全，還需要政府加強(qiáng)對(duì)信息安全保護(hù)的法律法規(guī)的制定。目前我國(guó)在性信息安全的認(rèn)證和檢測(cè)方面還存在一定的缺陷。比如，在信息安全的認(rèn)定上，公安部、國(guó)家信息安全產(chǎn)品測(cè)評(píng)認(rèn)證中心以及國(guó)家質(zhì)量技術(shù)監(jiān)督局都參與信息安全的認(rèn)定，各個(gè)部門(mén)的標(biāo)準(zhǔn)難以達(dá)到統(tǒng)一，增加信息產(chǎn)品認(rèn)證的程序，影響認(rèn)證的效果。因此國(guó)家有關(guān)部門(mén)要積極制定相關(guān)的法律法規(guī)，統(tǒng)一信息的認(rèn)證標(biāo)準(zhǔn)，保障政府信息的安全。

5.結(jié)語(yǔ)

隨著我國(guó)信息化程度不斷加深，政府也積極利用信息技術(shù)，提高政府管理工作效率。在網(wǎng)絡(luò)環(huán)境下，由于計(jì)算機(jī)網(wǎng)絡(luò)病毒、網(wǎng)絡(luò)黑客攻擊破壞以及對(duì)信息網(wǎng)絡(luò)監(jiān)管力度不夠等因素，政府信息安全存在很大的隱患。因此政府機(jī)關(guān)要積極加強(qiáng)對(duì)政府信息安全的管理，從技術(shù)上、制度上以及信息管理上加強(qiáng)對(duì)政府信息的安全保護(hù)，維護(hù)政府信息安全，從而保障國(guó)家安全和公眾利益。

【主要參考文獻(xiàn)】

[1]趙戰(zhàn)生，杜虹，呂述望.信息安全保密教程.合肥：中國(guó)科學(xué)技術(shù)大學(xué)出版社，2006、P523-P574 ）

[2]胡艷春.網(wǎng)絡(luò)環(huán)境下的政府信息安全保護(hù)策略[J].電子商務(wù)，2012，05（09）：64-65

作者信息：

姓 名：張鵬

身份證號(hào)：230522197906231973

單 位：國(guó)家國(guó)防科技工業(yè)局核技術(shù)支持中心

地 址：北京市西城區(qū)車(chē)公莊大街12號(hào)核建設(shè)大廈638室

職 稱：工程師

聯(lián)系電話：88306808/18611992670

？？

？？

？？

？？

3 / 4