周玉建 呂艷麗（科學(xué)技術(shù)部信息中心，北京 100862）

電子政務(wù)信息開放共享的安全保障

周玉建 呂艷麗
（科學(xué)技術(shù)部信息中心，北京 100862）

我國電子政務(wù)信息系統(tǒng)的建設(shè)取得了長足的發(fā)展，信息公開的推進(jìn)賦予電子政務(wù)開放、協(xié)同、交互等特點(diǎn)，信息安全是根本保障。作為一項(xiàng)系統(tǒng)化工作，信息安全保障體系建設(shè)是信息系統(tǒng)安全穩(wěn)定運(yùn)行的關(guān)鍵。本文在分析已有網(wǎng)絡(luò)安全保障模型的基礎(chǔ)上，結(jié)合電子政務(wù)信息開放共享所面臨的安全威脅，參考國家相關(guān)標(biāo)準(zhǔn)和要求，設(shè)計(jì)了一套以事件處置為核心的信息安全保障技術(shù)框架，并在科技部實(shí)際應(yīng)用中得以檢驗(yàn)。

信息安全保障；電子政務(wù)；開放共享；事件管理

1　引言

在信息化不斷推進(jìn)的今天，電子政務(wù)信息開放比任何時(shí)候更依賴網(wǎng)絡(luò)，然而互聯(lián)網(wǎng)自身的缺陷、漏洞的頻發(fā)、安全監(jiān)管的缺失等原因都導(dǎo)致電子政務(wù)面臨技術(shù)、管理、立法等方面的安全威脅［1-2］。特別是電子政務(wù)信息系統(tǒng)涉及國防、公共安全、國家機(jī)密等內(nèi)容，一旦信息被泄露并遭到破壞，政府部門甚至國家安全都會(huì)遭受損失。近年來，國家信息安全漏洞共享平臺(tái)（CNVD）新增收錄漏洞數(shù)量年均增長率在15%～25%，針對(duì)漏洞的挖掘和利用研究日趨活躍［3］。2014年，CNVD收錄并發(fā)布各類安全漏洞9163個(gè)，涉及電子政務(wù)的占1.9%。目前，我國的信息安全防護(hù)能力還有多個(gè)薄弱環(huán)節(jié)，網(wǎng)絡(luò)安全研究的主要關(guān)注點(diǎn)還集中在漏洞的修補(bǔ)和攔截上，而解決以上問題的根本在于信息安全保障體系的建設(shè)［4］。安全保障工作也隨之從網(wǎng)絡(luò)、應(yīng)用、數(shù)據(jù)等單點(diǎn)保障向系統(tǒng)化方向發(fā)展，成為一個(gè)系統(tǒng)的工程［5］。

為了提高我國信息系統(tǒng)的整體防護(hù)能力，國家相關(guān)部門成立了信息安全組織保障體系，制定和引進(jìn)了《GB17895-1999計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》、《ISO/IEC 17799-2000信息安全管理實(shí)施準(zhǔn)則》、《BS 7799-2：2002信息安全管理體系實(shí)施規(guī)范》等信息安全標(biāo)準(zhǔn)，制定了《中華人民共和國計(jì)算機(jī)信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)管理暫行規(guī)定》、《商用密碼管理?xiàng)l例》等相關(guān)法律、條例和規(guī)定。

信息安全保障的研究最早開始于1995年。關(guān)于信息安全保障的定義主要有兩類：一類是美國國防部給出的定義，即信息安全保障是以確保信息及信息系統(tǒng)可用性、完整性、身份鑒別性和不可否認(rèn)性為目標(biāo)而采取的操作，包括保護(hù)、檢測、反應(yīng)以及恢復(fù)能力；另外一類將信息安全保障作為一種較為全面和系統(tǒng)的規(guī)范和方法，為信息系統(tǒng)的動(dòng)態(tài)組合提供運(yùn)行環(huán)境。

目前，針對(duì)相關(guān)模型已經(jīng)開展了廣泛的研究。主要的信息安全保障模型是在閉環(huán)控制的動(dòng)態(tài)網(wǎng)絡(luò)安全理論模型的基礎(chǔ)上發(fā)展起來的。其中，典型模型包括PDR模型與P2DR模型。

PDR模型主要包括三部分：防護(hù)、檢測和響應(yīng)，如圖1所示。該模型的攻擊、防護(hù)、檢測、響應(yīng)等與信息安全相關(guān)的所有活動(dòng)都要以消耗時(shí)間為代價(jià)，系統(tǒng)的安全性和安全能力是基于時(shí)間，而非永久性的，即若不考慮時(shí)間成本，任何防護(hù)措施都是可以被攻破的［6］。該模型表明，及時(shí)檢測和響應(yīng)、及時(shí)檢測和恢復(fù)即為安全。

P2DR模型主要包括四部分：安全策略、防護(hù)、檢測和響應(yīng)，如圖2所示。該模型在PDR模型的基礎(chǔ)上增加了安全策略，是基于健壯性和時(shí)間。該模型以安全策略為中心，在安全策略的控制下，利用防護(hù)工具和檢測工具來分析和評(píng)估系統(tǒng)的安全狀態(tài)，通過采取相應(yīng)的響應(yīng)措施降低系統(tǒng)的安全風(fēng)險(xiǎn)，提高安全性［7］。該模型從全局出發(fā)，強(qiáng)調(diào)系統(tǒng)的動(dòng)態(tài)安全性，是一個(gè)螺旋上升的過程，安全防護(hù)在循環(huán)中得以提高。該模型表明安全防御的關(guān)鍵在于及時(shí)檢測和響應(yīng)。

研究者們基于以上模型根據(jù)自己的實(shí)際需求不斷提出改進(jìn)。張千里和陳光榮［8］提出P2DR模型的基礎(chǔ)上強(qiáng)調(diào)恢復(fù)工作，形成PDRR模型，即防護(hù)、檢測、響應(yīng)和恢復(fù)。趙戰(zhàn)生［9］提出在PDRR 模型的基礎(chǔ)上前面加上一個(gè)警告，后面加上一個(gè)反擊，反映了六大能力，分別是預(yù)警能力、保護(hù)能力、檢測能力、反應(yīng)能力、恢復(fù)能力和反擊能力。QU和YAN［10］擴(kuò)展了P2DR模型，給出了WP2DR2C模型，包括安全策略、防護(hù)、檢測、響應(yīng)、恢復(fù)、反擊和警告。

隨著電子政務(wù)信息開放共享模式的變化和發(fā)展，信息安全保障在數(shù)據(jù)處理、事件響應(yīng)、管理機(jī)制等方面提出了新的要求，盡管以上模型提供了較為完整的解決思路，但仍然存在一定的局限性。

圖1　PDR模型

圖2　P2DR模型

（1）欠缺管理因素。我國電子政務(wù)雖然呈現(xiàn)出良好的發(fā)展勢頭，但因?yàn)槿狈φw規(guī)劃和統(tǒng)一標(biāo)準(zhǔn)，各自為政的局面較為普遍［1］，進(jìn)而造成各電子政務(wù)信息系統(tǒng)安全管理能力參差不齊，建設(shè)及管理人員技術(shù)能力差異較大，在信息開放共享的大環(huán)境中，面臨的安全風(fēng)險(xiǎn)也不盡相同。PDR模型基于既定的攻防時(shí)間表運(yùn)轉(zhuǎn)，缺乏網(wǎng)絡(luò)環(huán)境變化的適應(yīng)性，攻擊手段、防護(hù)人員等因素的變更會(huì)導(dǎo)致攻防時(shí)間的變化，降低模型的應(yīng)用效果。P2DR模型缺少評(píng)估和分析環(huán)節(jié)，導(dǎo)致策略的制定具有一定的盲目性。ISO 7498-2 標(biāo)準(zhǔn)指出，安全體系模型主要包括安全服務(wù)、安全機(jī)制和安全管理三部分［11］，充分考慮安全管理及安全服務(wù)才能保障電子政務(wù)的整體安全。

（2）流量劇增、攻擊事件復(fù)雜度上升等因素，要求具有更高的監(jiān)控和分析能力。電子政務(wù)應(yīng)用的發(fā)展以及互聯(lián)網(wǎng)應(yīng)用的普及，使電子政務(wù)面向社會(huì)服務(wù)能力顯著提高，產(chǎn)生的網(wǎng)絡(luò)流量與發(fā)生的安全事件呈快速增長趨勢，對(duì)安全事件響應(yīng)和處理的及時(shí)性提出更高要求。科技部電子政務(wù)應(yīng)用每天產(chǎn)生的網(wǎng)絡(luò)流量達(dá)數(shù)百GB，發(fā)生的安全事件達(dá)上萬件，在此應(yīng)用環(huán)境中，依據(jù)PDR 和P2DR模型難以及時(shí)對(duì)安全事件作出響應(yīng)。此外，網(wǎng)絡(luò)攻擊手段日益復(fù)雜，PDR和P2DR模型中依靠安全設(shè)備不具備發(fā)現(xiàn)和處置復(fù)雜攻擊的能力。

本文針對(duì)電子政務(wù)信息開放、協(xié)同、交互、服務(wù)等特點(diǎn)［12］，結(jié)合科技部電子政務(wù)運(yùn)行中面臨的實(shí)際安全威脅以及國家相關(guān)要求，探討構(gòu)建了一個(gè)較為完整和系統(tǒng)的信息安全保障技術(shù)框架，并在實(shí)際應(yīng)用中得到檢驗(yàn)。

2　信息安全保障技術(shù)框架

為了維護(hù)國家安全和社會(huì)穩(wěn)定，全面提高信息安全保障能力和水平，我國提出實(shí)行電子政務(wù)基礎(chǔ)設(shè)施的信息安全等級(jí)保護(hù)［13］，依據(jù)信息及載體的重要性對(duì)信息系統(tǒng)進(jìn)行等級(jí)劃分，在技術(shù)和管理上采用相適應(yīng)的措施對(duì)不同等級(jí)的信息系統(tǒng)提供不同安全保護(hù)。

依據(jù)信息安全等級(jí)保護(hù)及相關(guān)標(biāo)準(zhǔn)［4，14-20］，本文給出了以管理制度、網(wǎng)絡(luò)基礎(chǔ)環(huán)境和安全基礎(chǔ)環(huán)境以及安全事件風(fēng)險(xiǎn)管理互為支撐和反饋的信息安全保障技術(shù)框架（圖3），管理制度、網(wǎng)絡(luò)基礎(chǔ)環(huán)境以及安全基礎(chǔ)環(huán)境為安全事件風(fēng)險(xiǎn)管理的開展提供必要條件，安全事件風(fēng)險(xiǎn)的管控效果為管理制度、網(wǎng)絡(luò)基礎(chǔ)環(huán)境和安全基礎(chǔ)環(huán)境的優(yōu)化提供依據(jù)。

（1）信息安全管理制度。等級(jí)保護(hù)管理建設(shè)包括的內(nèi)容較多，信息安全管理制度建設(shè)包括安全管理制度、安全管理機(jī)構(gòu)、人員安全管理制度、系統(tǒng)建設(shè)管理制度、系統(tǒng)運(yùn)維管理制度等。在制度制定中重點(diǎn)關(guān)注的內(nèi)容包括管理制度的評(píng)審和修訂的及時(shí)性、身份認(rèn)證權(quán)限和設(shè)備撤銷或收回的及時(shí)性、外部人員的管控到位情況、保密協(xié)議的簽訂情況等。

（2）網(wǎng)絡(luò)基礎(chǔ)環(huán)境?；A(chǔ)網(wǎng)絡(luò)是承載電子政務(wù)信息系統(tǒng)運(yùn)行的平臺(tái)，其建設(shè)情況直接決定了整個(gè)信息系統(tǒng)的運(yùn)行保障情況。網(wǎng)絡(luò)基礎(chǔ)環(huán)境的建設(shè)和管理包括網(wǎng)絡(luò)設(shè)備的建設(shè)和管理、網(wǎng)絡(luò)鏈路的建設(shè)和管理、通信質(zhì)量保障措施的建立、網(wǎng)絡(luò)接入合規(guī)性和合法性管控措施的建立以及對(duì)產(chǎn)生的網(wǎng)絡(luò)流量的管理和分析。

（3）信息安全基礎(chǔ)環(huán)境。信息安全基礎(chǔ)環(huán)境是整個(gè)信息系統(tǒng)的安全運(yùn)行情況的基礎(chǔ)保障，通過在網(wǎng)絡(luò)層、主機(jī)層、應(yīng)用層和數(shù)據(jù)層部署所需的安全防范措施，制定相應(yīng)的安全策略達(dá)到以下目標(biāo)：在網(wǎng)絡(luò)層實(shí)現(xiàn)入侵防范、訪問控制、惡意代碼防范、網(wǎng)絡(luò)監(jiān)控、網(wǎng)絡(luò)審計(jì)等；在主機(jī)層實(shí)現(xiàn)身份鑒別、訪問控制、安全審計(jì)、主機(jī)入侵防范、主機(jī)惡意代碼防范、資源控制等；在應(yīng)用層實(shí)現(xiàn)身份鑒別、訪問控制、安全審計(jì)、資源控制等；在數(shù)據(jù)層實(shí)現(xiàn)備份與恢復(fù)、完整性保護(hù)、保密等。

（4）信息安全風(fēng)險(xiǎn)管理。圍繞安全事件處置的生命周期，信息安全風(fēng)險(xiǎn)管理通過事前監(jiān)控、事中處置和事后分析來發(fā)現(xiàn)網(wǎng)絡(luò)安全異?，F(xiàn)象、清除安全威脅以及改進(jìn)運(yùn)維和管理，是一個(gè)閉合的運(yùn)轉(zhuǎn)過程，如圖4所示。

事前監(jiān)控是對(duì)各網(wǎng)絡(luò)和安全設(shè)備的運(yùn)行狀態(tài)、系統(tǒng)日志、安全日志、網(wǎng)絡(luò)等進(jìn)行實(shí)時(shí)采集和分析，以及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)中的攻擊、入侵、故障、病毒等異常網(wǎng)絡(luò)安全現(xiàn)象。

事中處置是針對(duì)事前監(jiān)控中發(fā)現(xiàn)的異常網(wǎng)絡(luò)安全現(xiàn)象，深入分析相應(yīng)的數(shù)據(jù)和日志，采用操作系統(tǒng)和中間件安全檢查、滲透測試、異常文件安全分析等技術(shù)手段定位威脅來源，明確事件原因，判斷安全事件發(fā)展趨勢以及可能造成的安全損失和對(duì)當(dāng)前網(wǎng)絡(luò)安全狀態(tài)的影響。根據(jù)以上分析和判斷結(jié)果，制定網(wǎng)絡(luò)安全處置方案，調(diào)配所需的人財(cái)物等資源，修復(fù)和驗(yàn)證漏洞，清除威脅，實(shí)施相應(yīng)的恢復(fù)和重建工作。

圖3　信息安全保障技術(shù)框架

事后分析是及時(shí)檢查、分析、修正、補(bǔ)充安全事件，針對(duì)引起安全事件的漏洞、文件或者突發(fā)的網(wǎng)絡(luò)行為實(shí)施免疫處理，總結(jié)分析安全事件的處置經(jīng)驗(yàn)，改進(jìn)運(yùn)維和管理方式，完善信息安全管理制度、網(wǎng)絡(luò)基礎(chǔ)環(huán)境和信息安全基礎(chǔ)環(huán)境。

圖4　信息安全風(fēng)險(xiǎn)管理流程

3　信息安全保障技術(shù)的實(shí)施

信息安全保障技術(shù)框架的指導(dǎo)思想和設(shè)計(jì)原則如下。

第一，構(gòu)建縱深防御體系，實(shí)現(xiàn)層層保護(hù)。根據(jù)網(wǎng)絡(luò)結(jié)構(gòu)和信息系統(tǒng)業(yè)務(wù)流向設(shè)置多道安全防線，實(shí)現(xiàn)不同安全區(qū)域之間的保護(hù)以及網(wǎng)絡(luò)邊界、基礎(chǔ)平臺(tái)、主機(jī)及業(yè)務(wù)應(yīng)用的多層次保護(hù)。

第二，實(shí)現(xiàn)網(wǎng)絡(luò)安全集中管控，提高網(wǎng)絡(luò)安全防御效能。通過集中管控方式，建立較為完善的網(wǎng)絡(luò)安全數(shù)據(jù)體系和信息共享體系，提升網(wǎng)絡(luò)安全防御能力，為管理員的防御決策部署和信息技術(shù)風(fēng)險(xiǎn)控制提供依據(jù)，并降低總體成本。

第三，統(tǒng)一規(guī)劃統(tǒng)一設(shè)計(jì)，避免防御短板。在規(guī)劃設(shè)計(jì)中，從提升網(wǎng)絡(luò)安全整體保障能力出發(fā)，統(tǒng)籌考慮各單位或各部門之間的信息化發(fā)展的不均衡現(xiàn)象，制定完整的規(guī)劃和設(shè)計(jì)方案，確保網(wǎng)絡(luò)中各節(jié)點(diǎn)均可達(dá)到預(yù)期的信息安全防御能力。在實(shí)施過程中，可以根據(jù)具體的所涉及范圍、技術(shù)特點(diǎn)以及經(jīng)賈預(yù)算等情況，以基礎(chǔ)運(yùn)行環(huán)境和重點(diǎn)應(yīng)用、重點(diǎn)數(shù)據(jù)為核心分步實(shí)施。

科技部信息中心已依據(jù)本文給出的技術(shù)框架逐步建立了較為完善的科技部電子政務(wù)信息安全保障體系，并在近年來的運(yùn)行中取得了較好的防護(hù)效果。

（1）門戶網(wǎng)站、郵件等信息系統(tǒng)的安全防護(hù)體系符合國家要求。經(jīng)過多年建設(shè)，科技部基礎(chǔ)網(wǎng)絡(luò)環(huán)境和安全防護(hù)能力均有了較大的提升，圍繞門戶網(wǎng)站、郵件等重要信息系統(tǒng)形成了一套包括帶寬保障、訪問控制、內(nèi)容過濾、入侵防護(hù)、病毒防護(hù)、安全審計(jì)、安全值守在內(nèi)的較為完善的安全保障體系，通過了信息安全等級(jí)測評(píng)，基本達(dá)到國家安全防護(hù)要求。

（2）安全漏洞的發(fā)現(xiàn)及預(yù)警能力增強(qiáng)。針對(duì)門戶網(wǎng)站、郵件等重要信息系統(tǒng)的業(yè)務(wù)特點(diǎn)，建立了有效的信息安全值守和自查制度，每天對(duì)系統(tǒng)和設(shè)備運(yùn)行情況、終端安全情況、網(wǎng)絡(luò)安全情況進(jìn)行監(jiān)控和分析，并與滲透測試、主機(jī)安全檢查、掛馬檢查等自查機(jī)制結(jié)合，提高漏洞的安全管理能力。在新的漏洞，如“心臟滴血”漏洞發(fā)布后，立即評(píng)估了漏洞影響范圍，通知存在該漏洞的信息系統(tǒng)及時(shí)修補(bǔ)漏洞，并在網(wǎng)絡(luò)監(jiān)控中加強(qiáng)OpenSSL協(xié)議流量的監(jiān)控和分析，將漏洞破壞遏制在萌芽狀態(tài)。在安全值守發(fā)現(xiàn)某應(yīng)用面臨較多攻擊或較高安全風(fēng)險(xiǎn)后，啟動(dòng)滲透測試、主機(jī)安全檢查等進(jìn)一步發(fā)現(xiàn)其可能存在的安全隱患。

科技部重要信息系統(tǒng)近年來運(yùn)行平穩(wěn)，全年網(wǎng)絡(luò)連通率達(dá)100%，重要信息系統(tǒng)的安全自查覆蓋率達(dá)100%，監(jiān)控覆蓋率達(dá)100%，數(shù)據(jù)流量分析深入分析比例超過40%，全年監(jiān)控發(fā)現(xiàn)并處理的安全事件超過300萬件，自查發(fā)現(xiàn)的安全漏洞達(dá)數(shù)十個(gè)，實(shí)現(xiàn)安全責(zé)任零事故。

4　結(jié)論與展望

網(wǎng)絡(luò)攻擊不斷呈現(xiàn)出分布式、協(xié)作式、復(fù)雜式的趨勢，信息安全保障工作要不斷完善和改進(jìn)才能滿足需求。根據(jù)網(wǎng)絡(luò)安全態(tài)勢發(fā)展趨勢，本文的信息安全保障工作在以下幾方面尚需提高。

（1）存在一定滯后性。目前，各安全技術(shù)和產(chǎn)品均是對(duì)已經(jīng)發(fā)生的安全事件進(jìn)行檢測，一旦發(fā)現(xiàn)嚴(yán)重的安全事件，安全事件已經(jīng)發(fā)生，管理員無法預(yù)先部署有效防御措施，安全破壞已經(jīng)造成，損失無法彌補(bǔ)。

（2）準(zhǔn)確性不高。安全檢測系統(tǒng)發(fā)出警報(bào)存在虛警量大、誤報(bào)率以及漏報(bào)率高，帶來大量后續(xù)事件驗(yàn)證和評(píng)估工作，管理員無法根據(jù)其報(bào)警信息及時(shí)作出防御決策。

（3）缺乏對(duì)未知安全事件的防護(hù)。基于特征庫和既定規(guī)則的機(jī)制使得安全防護(hù)系統(tǒng)不能識(shí)別攻擊特征庫中和已有規(guī)則庫中不存在的安全事件，無法防御未知網(wǎng)絡(luò)攻擊。

電子政務(wù)信息系統(tǒng)是一個(gè)以計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)為基礎(chǔ)，以共享、交流、協(xié)作為核心，以政務(wù)的信息流、工作流相對(duì)集成為基本結(jié)構(gòu)的系統(tǒng)，在面向公眾的服務(wù)中發(fā)揮著越來越重要的作用，但其根本是信息安全。本文針對(duì)電子政務(wù)開放共享所面臨的安全威脅，從安全體系整體著手，構(gòu)建了以安全事件處置為核心的安全保障體系，在實(shí)際應(yīng)用中取得較好的效果。同時(shí)，針對(duì)網(wǎng)絡(luò)安全態(tài)勢的發(fā)展趨勢，給出了下一步改進(jìn)意見。

［1］ 孟薇.電子政務(wù)信息安全研究［D］.天津∶ 天津大學(xué)，2007.

［2］ 于施洋. 對(duì)新時(shí)期我國電子政務(wù)發(fā)展幾個(gè)問題的思考［J］.電子政務(wù)，2008 （1）∶ 44-49.

［3］ 國家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心. 2014年我國互聯(lián)網(wǎng)網(wǎng)絡(luò)安全態(tài)勢綜述［R］.2015.

［4］ 公安部信息安全等級(jí)保護(hù)評(píng)估中心. GB/T22239-2008 信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求［S］. 2008.

［5］ 沈昌祥.加強(qiáng)信息安全保障體系的思考［J］.信息網(wǎng)絡(luò)安全， 2002 （11）∶ 11-14.

［6］ 孟學(xué)軍，石崗.基于PZDR網(wǎng)絡(luò)安全體系結(jié)構(gòu)［J］.計(jì)算機(jī)工程，2004，30（4）∶ 99-101.

［7］ 陳運(yùn)明.動(dòng)態(tài)網(wǎng)絡(luò)安全模型的系統(tǒng)研究［J］.網(wǎng)絡(luò)安全與技術(shù)應(yīng)用，2005（5）∶ 47-49.

［8］ 張千里， 陳光英.網(wǎng)絡(luò)安全新技術(shù)［M］ .北京∶ 人民郵電出版社， 2003.

［9］ 趙戰(zhàn)生.信息安全保障技術(shù)發(fā)展動(dòng)態(tài)與印象［C］//中科院信息安全國家重點(diǎn)實(shí)驗(yàn)室會(huì)議報(bào)告， 2001.

［10］ QU Zhaoyang， YAN Jia. The design of the network security model of active defense［C］. 4th International Conference on Wireless Communications， Networking and Mobile Computing， 2008∶ 1-4.

［11］ ISO. ISO DIS 7498-2 information processing systems∶open system interconnection reference model， part 2∶security architecture［S］ .1989.

［12］ 趙鵬高.云南省電子政務(wù)信息安全保障體系建設(shè)研究［D］ .昆明∶ 云南大學(xué)， 2012.

［13］ 國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見（中辦發(fā)［2003］27號(hào)） ［R］. 2003.

［14］ 劉春年， 婁策群. 電子政務(wù)概念解讀［J］. 國外情報(bào)科學(xué)， 2004（5）∶ 603-606.

［15］ 公安部信息安全等級(jí)保護(hù)評(píng)估中心. GB/T22240-2008 信息安全技術(shù) 信息系統(tǒng)安全保護(hù)等級(jí)定級(jí)指南［S］. 2008.

［16］ 公安部信息安全等級(jí)保護(hù)評(píng)估中心. GB/T 25058-2010 信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南［S］. 2010.

［17］ 公安部第一研究所. GB/T 25070-2010 信息安全技術(shù)信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求［S］.2010.

［18］ 北京思源新創(chuàng)信息安全資訊有限公司， 江南計(jì)算機(jī)研究所技術(shù)服務(wù)中心. GB/T 20269-2006 信息安全技術(shù) 信息系統(tǒng)安全管理要求［S］. 2006.

［19］ 中國科學(xué)院研究生院國家計(jì)算機(jī)網(wǎng)絡(luò)入侵防范中心，中國電子技術(shù)標(biāo)準(zhǔn)化研究所. GB/T 24363-2009 信息安全技術(shù) 信息安全應(yīng)急響應(yīng)計(jì)劃規(guī)范［S］. 2009.

［20］ 國家信息中心， 公安部第三研究所， 國家保密技術(shù)研究所， 等. GB/T 20984-2007 信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范［S］. 2007.

Research on the Security of Information Open-Sharing of e-Government

ZHOU Yujian， Lü Yanli
（Information Center of the Ministry of Science and Technology， Beijing 100862）

The construction of e-government information system in China has made great progress， and information disclosure makes e-government open， cooperative and interactive， which is based on information security. Information security system construction is the key to the operation of information system. This paper analyzed the existing network security model， designed an information security technology framework in compliance with national policies and standards， which is based on security event management as the core and has been used in Ministry of Science and Technology （MOST） network.

information security， e-government， open-sharing， security event management

TP309

A

10.3772/j.issn.1674-1544.2016.03.012

周玉建（1964—），男，科學(xué)技術(shù)部信息中心副主任，高級(jí)工程師，研究方向：電子政務(wù)；呂艷麗*（1980—），女，科學(xué)技術(shù)部信息中心高級(jí)工程師，研究方向：網(wǎng)絡(luò)安全。

2016年1月7日。