● 燕 霞 /文

從2000年到2017年，無錫財(cái)政的信息化建設(shè)腳步從未停歇，逐步實(shí)現(xiàn)了基礎(chǔ)設(shè)施全貫通、業(yè)務(wù)軟件全覆蓋、IT管理全方位，信息化管理水平有了質(zhì)的飛躍。但在我們享受信息化發(fā)展所帶來的便利的同時(shí)，也面臨著巨大的風(fēng)險(xiǎn)。特別是隨著無錫市政務(wù)內(nèi)網(wǎng)改造為政務(wù)外網(wǎng)，財(cái)政信息系統(tǒng)也隨之遷移到政務(wù)外網(wǎng)，增加了網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，系統(tǒng)隨時(shí)可能遭受攻擊和入侵，數(shù)據(jù)隨時(shí)都有可能被竊取，這些都將帶來巨大損失。

習(xí)近平總書記指出：“網(wǎng)絡(luò)安全和信息化相輔相成，安全是發(fā)展的前提，發(fā)展是安全的保障，安全和發(fā)展要同步推進(jìn)。網(wǎng)絡(luò)安全和信息化是一體之兩翼、驅(qū)動(dòng)之雙輪”。缺少了網(wǎng)絡(luò)安全的保障，信息系統(tǒng)就是無本之木，隨時(shí)可能會(huì)坍塌。面對(duì)越來越復(fù)雜多變的網(wǎng)絡(luò)安全威脅和攻擊，保證財(cái)政信息系統(tǒng)的穩(wěn)定運(yùn)行以及數(shù)字資產(chǎn)的安全，已經(jīng)成為財(cái)政信息化發(fā)展必須要妥善處理的第一要?jiǎng)?wù)。為此，無錫市財(cái)政局未雨綢繆，從加強(qiáng)信息安全整體規(guī)劃入手，頂層設(shè)計(jì)了“三位一體”的無錫財(cái)政信息安全保障體系，提升財(cái)政信息安全防護(hù)能力。

正視問題

隨著無錫市財(cái)政信息化發(fā)展的不斷推進(jìn)，信息系統(tǒng)和網(wǎng)絡(luò)建設(shè)、信息化管理中的安全問題也逐步顯現(xiàn)。如果對(duì)客觀存在的問題不敢正視，或抱著視而不見的態(tài)度，只會(huì)使問題越積越多，小問題變成大問題。因此，我們從制度、技術(shù)和管理層面剝繭抽絲，仔細(xì)排查，存在的問題主要有以下幾方面：

一是安全制度亟需完善。沒有健全的制度，信息安全如同紙上談兵。缺少制度界定，就無法實(shí)現(xiàn)權(quán)責(zé)明晰化、行為規(guī)范化、獎(jiǎng)懲有據(jù)化，信息安全難以落到實(shí)處。前幾年，雖然也建立了一些信息化管理制度，但面對(duì)當(dāng)前信息安全的嚴(yán)峻形勢(shì)，特別是對(duì)照信息安全等級(jí)保護(hù)測(cè)評(píng)對(duì)信息安全制度方面的相關(guān)要求，仍存在著制度不健全、不完善的問題，一些信息化建設(shè)和信息安全管理方面的制度與規(guī)范還不夠全面、細(xì)致，信息安全制度建設(shè)尚未形成體系化。

二是安全技術(shù)有待提升。沒有過硬的技術(shù)，信息安全如同空中樓閣。由于之前財(cái)政專網(wǎng)是依托政務(wù)內(nèi)網(wǎng)而建，與互聯(lián)網(wǎng)物理隔離的，所以信息安全防護(hù)措施比較單一，安全設(shè)備往往僅依靠防火墻、漏洞掃描等設(shè)備。對(duì)全系統(tǒng)缺乏必要的技術(shù)監(jiān)控手段，存在“管理黑洞”，導(dǎo)致系統(tǒng)管理人員很難細(xì)致全面地掌握網(wǎng)絡(luò)中用戶的行為，也難以對(duì)外來入侵風(fēng)險(xiǎn)進(jìn)行有效識(shí)別。

三是安全管理仍要加強(qiáng)。沒有到位的管理，信息安全如同無米之炊。各級(jí)財(cái)政部門對(duì)信息化重視程度不一，信息安全工作相對(duì)滯后，缺乏統(tǒng)一規(guī)劃，各自為政；信息化專業(yè)隊(duì)伍技術(shù)水平參差不齊，缺少既懂業(yè)務(wù)又懂信息化的復(fù)合型人才；業(yè)務(wù)操作人員、預(yù)算單位用戶、縣區(qū)財(cái)政部門的信息安全意識(shí)還比較薄弱，對(duì)安全管理的重視程度也不夠，帳號(hào)轉(zhuǎn)借他人、U盤在內(nèi)外網(wǎng)間隨意插拔、未經(jīng)授權(quán)訪問和違規(guī)操作等現(xiàn)象時(shí)有發(fā)生。

明確要求

要在信息安全博弈中掌握主動(dòng)，單純依靠安全技術(shù)或者局部的安全防護(hù)產(chǎn)品是遠(yuǎn)遠(yuǎn)不夠的。必須從整體和全局的角度考慮，搭建信息安全保障體系，以信息安全整體策略為指導(dǎo)，緊緊圍繞“人”、“管理”和“技術(shù)”三種基本要素，針對(duì)每一種安全威脅、安全風(fēng)險(xiǎn)進(jìn)行統(tǒng)籌謀劃。

建設(shè)原則

財(cái)政信息安全保障體系遵循以下建設(shè)原則：

一是重點(diǎn)保護(hù)原則。根據(jù)信息系統(tǒng)的重要程度、業(yè)務(wù)特點(diǎn)，通過劃分不同安全保護(hù)等級(jí)的信息系統(tǒng)，實(shí)現(xiàn)不同強(qiáng)度的安全保護(hù)，集中資源優(yōu)先保護(hù)涉及核心業(yè)務(wù)或關(guān)鍵信息資產(chǎn)的信息系統(tǒng)。

二是適度安全原則。任何信息系統(tǒng)都不能做到絕對(duì)的安全，過多的安全要求必將造成易用性降低和運(yùn)行的復(fù)雜性，因此我們?cè)诎踩枨蟆踩L(fēng)險(xiǎn)和易用性之間進(jìn)行平衡和折中。

三是分步實(shí)施原則。根據(jù)信息安全需求緊迫性的順序，規(guī)劃信息安全建設(shè)的順序，以實(shí)施信息安全建設(shè)的分步實(shí)施。

建設(shè)目標(biāo)

“無錫市財(cái)政局信息安全體系”的建設(shè)目標(biāo)是：以信息系統(tǒng)“三級(jí)”安全等保要求為標(biāo)準(zhǔn)，構(gòu)建“三位一體”的財(cái)政信息安全體系，從技術(shù)上對(duì)網(wǎng)絡(luò)和信息系統(tǒng)進(jìn)行及時(shí)監(jiān)測(cè)及分析，讓信息系統(tǒng)的使用有規(guī)可循、有據(jù)可查，保證整個(gè)操作流程清晰可控；保障各種網(wǎng)絡(luò)資源穩(wěn)定可靠、受控合法；保障數(shù)據(jù)在存儲(chǔ)、傳輸、應(yīng)用過程中的安全；從管理上建立和完善信息安全管理規(guī)范和機(jī)制。

具體來說，就是從安全管理制度、安全管理機(jī)構(gòu)、人員安全管理等方面進(jìn)行管理體系建設(shè)；從物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全等方面進(jìn)行技術(shù)體系建設(shè)；從系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理等方面進(jìn)行運(yùn)行體系建設(shè)，使全局信息系統(tǒng)安全體系既能提供全方位、立體縱深的安全防御，又可滿足信息安全等級(jí)保護(hù)的相關(guān)要求。

總體框架

信息安全是信息化建設(shè)與管理的基礎(chǔ)性工作，也是一個(gè)牽涉面極廣的系統(tǒng)工程，應(yīng)從信息安全管理體系、信息安全技術(shù)體系和信息安全運(yùn)維體系三個(gè)方面著力構(gòu)建“三位一體”的財(cái)政信息安全體系。

漸進(jìn)實(shí)施

安全域設(shè)計(jì)

當(dāng)前財(cái)政網(wǎng)絡(luò)系統(tǒng)是一個(gè)龐大復(fù)雜的系統(tǒng)，對(duì)系統(tǒng)進(jìn)行區(qū)域劃分，進(jìn)行層次化、有重點(diǎn)的保護(hù)，是保證財(cái)政網(wǎng)絡(luò)和信息安全的有效手段。

根據(jù)目前已有信息系統(tǒng)部署現(xiàn)狀、業(yè)務(wù)需求以及安全保護(hù)要求，我們從信息系統(tǒng)業(yè)務(wù)相似性、資產(chǎn)相似性、安全需求相似性、所面臨威脅相似性這4個(gè)維度，將信息系統(tǒng)劃分為計(jì)算服務(wù)、網(wǎng)絡(luò)互連、管理支撐三類安全域。

構(gòu)建信息安全模型

為了精確、形象地描述信息系統(tǒng)的安全屬性，準(zhǔn)確地描述安全與系統(tǒng)行為的關(guān)系，我們參考WPDRRC信息安全模型，從實(shí)際出發(fā)，綜合考慮安全成本和風(fēng)險(xiǎn)級(jí)別，采用PDRR模型進(jìn)行安全體系方案設(shè)計(jì)，即從P（保護(hù)能力）、D（檢測(cè)能力）、R（響應(yīng)能力）、R（恢復(fù)能力）四個(gè)環(huán)節(jié)明確應(yīng)對(duì)措施。

明確安全域安全要求

現(xiàn)階段，單純的依靠挖掘漏洞，填補(bǔ)漏洞的這種“封堵查殺”的被動(dòng)式防范已經(jīng)無法滿足安全需求，只有采取主動(dòng)式預(yù)防的措施，以先進(jìn)的網(wǎng)絡(luò)攻防技術(shù)作為信息安全的矛和盾，才能在信息安全防護(hù)上做到攻守兼?zhèn)?、游刃有余。所以，我們按照PDRR 安全模型，針對(duì)不同的安全域，明確了網(wǎng)絡(luò)和邊界安全、計(jì)算環(huán)境安全、管理支撐安全三方面的具體要求。

安全風(fēng)險(xiǎn)分析

對(duì)照“三級(jí)”安全等保要求，從網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全、管理安全等方面，對(duì)財(cái)政信息系統(tǒng)進(jìn)行了全方位、多角度的問題排查，以便于信息安全體系建設(shè)中真正做到有的放矢，而非隨意為之。

安全解決方案設(shè)計(jì)

細(xì)化管理，筑牢信息安全外圍防線

俗話說：“三分技術(shù)，七分管理”。光靠信息安全技術(shù)（產(chǎn)品）很難實(shí)現(xiàn)信息安全的目標(biāo)，加強(qiáng)信息安全管理才是信息安全的解決之道。信息安全管理體系主要包括三個(gè)方面：組織機(jī)構(gòu)、人員安全、制度標(biāo)準(zhǔn)。

組織機(jī)構(gòu)：借助于“財(cái)政信息化管理工作機(jī)制”平臺(tái)，成立“無錫市財(cái)政局信息化工作和網(wǎng)絡(luò)安全領(lǐng)導(dǎo)小組”，下設(shè)辦公室，由各處室的一名信息化聯(lián)絡(luò)員組成。通過完善組織架構(gòu)，明確不同角色的定位、職責(zé)以及相互關(guān)系。

人員安全：工作中大部分的信息安全控制需要依靠人的自我約束、自我控制和主觀能動(dòng)性。一方面積極開展信息安全宣傳、教育，不斷加強(qiáng)工作人員的信息安全意識(shí)和安全防范意識(shí)；另一方面，通過組織各種技術(shù)培訓(xùn)，學(xué)習(xí)安全技能，提升信息安全工作的主動(dòng)性。

制度標(biāo)準(zhǔn)：分為管理層制度和操作層制度二個(gè)層面。結(jié)合相關(guān)信息系統(tǒng)安全等級(jí)保護(hù)要求，從組織機(jī)構(gòu)、人員安全、系統(tǒng)建設(shè)、系統(tǒng)運(yùn)維等方面，對(duì)涉及信息系統(tǒng)的各類活動(dòng)、各個(gè)細(xì)節(jié)均做了明確規(guī)范，制定了《信息化工程（項(xiàng)目）施工管理管理制度》、《外部人員訪問重要區(qū)域管理制度》、《網(wǎng)絡(luò)安全管理制度》、《系統(tǒng)安全管理制度》、《安全監(jiān)控和日志審計(jì)管理制度》等18個(gè)相關(guān)操作層制度。通過不斷完善相關(guān)制度建設(shè)，織密信息安全防線，堵塞管理機(jī)制漏洞。

強(qiáng)化技術(shù)，練好信息安全內(nèi)在功夫

必要的安全設(shè)施、監(jiān)控技術(shù)、防范策略、溯源手段是支持和保證財(cái)政信息安全體系順利構(gòu)建的鋼筋鐵骨。2016年開始無錫市財(cái)政局從網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用和數(shù)據(jù)四個(gè)層面開展了財(cái)政信息安全技術(shù)體系建設(shè)。在充分利用現(xiàn)有資源的基礎(chǔ)上，合理部署安全設(shè)備，對(duì)本局網(wǎng)絡(luò)及核心系統(tǒng)進(jìn)行統(tǒng)一管理和監(jiān)控，以滿足事前可預(yù)防、事中可控制、事后可審計(jì)的安全防護(hù)要求。

網(wǎng)絡(luò)安全方面：幾年前，無錫市財(cái)政局已建成縱向廣域財(cái)政專網(wǎng)（實(shí)現(xiàn)省、市、縣區(qū)、鄉(xiāng)鎮(zhèn)四級(jí)財(cái)政網(wǎng)絡(luò)的上下貫通），以及橫向城域財(cái)政專網(wǎng)（實(shí)現(xiàn)國地稅、銀行、預(yù)算單位、非稅單位的安全連通）。從過去以系統(tǒng)劃分為導(dǎo)向的條線式構(gòu)建模式，改變?yōu)橐怨δ軇澐譃閷?dǎo)向的區(qū)域式構(gòu)建模式。按照服務(wù)器區(qū)、外聯(lián)區(qū)、內(nèi)聯(lián)區(qū)和安全管理區(qū)四個(gè)功能區(qū)域?qū)ΜF(xiàn)有的網(wǎng)絡(luò)結(jié)構(gòu)和層次進(jìn)行調(diào)整優(yōu)化，功能清晰，層次明了。

系統(tǒng)和應(yīng)用安全方面：無錫市財(cái)政局將所有非核心應(yīng)用部署在虛擬化平臺(tái)上，既避免了服務(wù)器單點(diǎn)故障時(shí)引起業(yè)務(wù)中斷，又實(shí)現(xiàn)了硬件設(shè)備的高可用。同時(shí)，將入侵檢測(cè)系統(tǒng)、數(shù)據(jù)庫審計(jì)、網(wǎng)絡(luò)日志審計(jì)、堡壘機(jī)等安全產(chǎn)品有針對(duì)地部署在財(cái)政內(nèi)網(wǎng)的各個(gè)功能區(qū)域，并根據(jù)管理要求配置了安全策略?？梢試?yán)控用戶操作、抵御惡意攻擊、發(fā)生問題快速精確定位和溯源，全面保障財(cái)政業(yè)務(wù)安全。

數(shù)據(jù)安全方面：十年前，無錫市財(cái)政局已建成了應(yīng)用級(jí)、網(wǎng)絡(luò)級(jí)和數(shù)據(jù)級(jí)的同城異地容災(zāi)備份系統(tǒng)。近幾年，為解決現(xiàn)有存儲(chǔ)資源無法互補(bǔ)共享、難以統(tǒng)一管理的問題，我們對(duì)財(cái)政災(zāi)備體系重新進(jìn)行全局性的整體規(guī)劃，率先探索采用存儲(chǔ)虛擬化鏡像技術(shù)組建同城異地雙活數(shù)據(jù)中心；并將所有磁盤陣列納入統(tǒng)一存儲(chǔ)資源池，構(gòu)建財(cái)政信息系統(tǒng)云存儲(chǔ)平臺(tái)，將核心系統(tǒng)及虛擬化平臺(tái)均納入雙活數(shù)據(jù)中心。這樣，無論在存儲(chǔ)、網(wǎng)絡(luò)或服務(wù)器任意故障情形下，核心系統(tǒng)及虛擬化平臺(tái)上的應(yīng)用服務(wù)都可做到業(yè)務(wù)不中斷、數(shù)據(jù)零丟失，確保財(cái)政業(yè)務(wù)運(yùn)轉(zhuǎn)連續(xù)、穩(wěn)定安全。

優(yōu)化運(yùn)維，確保信息安全落地生根

無錫市財(cái)政局信息安全運(yùn)維體系主要從三方面進(jìn)行建設(shè)：

一是運(yùn)維管理制度化。通過明確信息系統(tǒng)建設(shè)者、使用者、運(yùn)維者等各方的安全責(zé)任，從信息化項(xiàng)目設(shè)計(jì)規(guī)劃、建設(shè)、交付到運(yùn)行維護(hù)的全流程，都按照制度進(jìn)行管理，做到“責(zé)任到人、有章可循”，確保風(fēng)險(xiǎn)隱患能得到控制和及時(shí)整改。

二是運(yùn)維內(nèi)容明細(xì)化。我們根據(jù)技術(shù)關(guān)聯(lián)性劃分崗位職責(zé)，如網(wǎng)絡(luò)管理崗、應(yīng)用管理崗、資產(chǎn)管理崗、審計(jì)崗等，全面細(xì)致地定義每個(gè)崗位的運(yùn)維內(nèi)容，并針對(duì)每個(gè)崗位實(shí)行AB角制度。運(yùn)維內(nèi)容主要包括設(shè)備監(jiān)控、安全策略管理、安全事件預(yù)警和通知、安全事件分析和響應(yīng)、安全事件審計(jì)等。

三是運(yùn)維服務(wù)流程化。無錫市財(cái)政局在行政辦公系統(tǒng)中集成開發(fā)了信息化管理平臺(tái)，創(chuàng)新性地設(shè)計(jì)實(shí)現(xiàn)了信息化管理工作的全程網(wǎng)上管理，實(shí)現(xiàn)了信息流、工作流、業(yè)務(wù)流的集成統(tǒng)一。我們建立了分類細(xì)致、規(guī)范高效的信息系統(tǒng)運(yùn)維流程，通過流程化、自動(dòng)化的運(yùn)維服務(wù)加強(qiáng)制度化和標(biāo)準(zhǔn)化的落地，減少人為的矛盾，提高運(yùn)維效率和質(zhì)量。

信息安全的攻防博弈本就是一場(chǎng)沒有硝煙的戰(zhàn)爭(zhēng)。因此，科學(xué)構(gòu)筑全方位、立體化的財(cái)政信息安全體系是財(cái)政信息化可持續(xù)發(fā)展、財(cái)政業(yè)務(wù)穩(wěn)中求進(jìn)的重要保障。只有將信息安全和信息化建設(shè)緊密結(jié)合起來，發(fā)揮“1+1＞2”的效應(yīng)，才能把控信息化發(fā)展的未來，為財(cái)政信息化建設(shè)提供強(qiáng)有力的支撐。