王成

近幾年來(lái)，江蘇省以“不見(jiàn)面審批（服務(wù)）”為核心，持續(xù)深化“放管服”改革，不斷推進(jìn)“互聯(lián)網(wǎng)+政務(wù)服務(wù)”，尤其為了優(yōu)化營(yíng)商環(huán)境、提升公眾的獲得感和滿意度不斷壓縮行政權(quán)力事項(xiàng)的辦理時(shí)間，對(duì)工作人員辦公效率提出了更高要求。隨著信息技術(shù)的不斷發(fā)展，智能手機(jī)、PDA等掌上終端的普及和互聯(lián)網(wǎng)應(yīng)用的深入，使得政府辦公業(yè)務(wù)不再局限于固定的辦公場(chǎng)所、固定的配套設(shè)備、固定的工作時(shí)間，“移動(dòng)互聯(lián)網(wǎng)+電子政務(wù)”模式已越來(lái)越普遍，政務(wù)工作效率大大提升。如何積極落實(shí)《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》，全面提高信息安全防護(hù)能力，重點(diǎn)保障基礎(chǔ)網(wǎng)絡(luò)和重要系統(tǒng)的安全，有效解決網(wǎng)絡(luò)與信息安全、信任與授權(quán)服務(wù)等網(wǎng)上安全保障和規(guī)范運(yùn)作問(wèn)題將是未來(lái)政務(wù)信息化工作的重點(diǎn)。

在移動(dòng)互聯(lián)網(wǎng)時(shí)代，政務(wù)工作人員可以隨時(shí)隨地批閱公文、查詢信息、處理郵件等，移動(dòng)辦公已成為必然趨勢(shì)。在方便快捷提升效率的同時(shí)，一些內(nèi)部政務(wù)數(shù)據(jù)走出政務(wù)部門的部門邊界，安全問(wèn)題也越來(lái)越突出。

（一）移動(dòng)終端安全

很多移動(dòng)辦公應(yīng)用為方便用戶使用，提供了記住賬號(hào)甚至密碼的功能，又或者提供手機(jī)號(hào)碼找回賬號(hào)密碼的功能，一旦移動(dòng)終端丟失或被盜，非法分子就可以利用這些漏洞輕易進(jìn)入移動(dòng)辦公應(yīng)用，盜取重要數(shù)據(jù)，甚至可能造成重大損失。與此同時(shí)，含有病毒、木馬、后門的惡意軟件層出不窮，令人防不勝防，一旦安裝此類軟件，就會(huì)給移動(dòng)辦公應(yīng)用數(shù)據(jù)帶來(lái)巨大的安全威脅。另外，端口外設(shè)、內(nèi)部人員故意泄露等問(wèn)題也威脅著移動(dòng)終端的安全使用。

（二）網(wǎng)絡(luò)傳輸安全

通信網(wǎng)絡(luò)未經(jīng)加密和政務(wù)數(shù)據(jù)明文傳輸是政務(wù)移動(dòng)辦公應(yīng)用最常見(jiàn)的安全威脅，移動(dòng)終端連接外部不可信網(wǎng)絡(luò)時(shí)，傳輸信息易被非法窺視、竊聽(tīng)、攔截、偽造、篡改、重傳和惡意破壞，由此產(chǎn)生的身份信任問(wèn)題將導(dǎo)致非法訪問(wèn)、行為否認(rèn)、電子欺騙等一系列安全問(wèn)題。

（三）應(yīng)用系統(tǒng)安全

常見(jiàn)的應(yīng)用系統(tǒng)安全威脅有兩種，一種是非授權(quán)用戶非法訪問(wèn)，一種是授權(quán)用戶惡意訪問(wèn)，加上入侵檢測(cè)、風(fēng)險(xiǎn)分析、行為審計(jì)等機(jī)制的缺失，反映出移動(dòng)辦公應(yīng)用在身份認(rèn)證、訪問(wèn)控制和數(shù)據(jù)保護(hù)等方面防護(hù)能力不足。

經(jīng)研究分析，解決政務(wù)移動(dòng)辦公安全問(wèn)題主要存在以下四方面難點(diǎn)。

（一）傳統(tǒng)的安全機(jī)制難以保障

在政務(wù)移動(dòng)辦公平臺(tái)中，政務(wù)數(shù)據(jù)成為需要保護(hù)的重中之重，隨著互聯(lián)網(wǎng)技術(shù)和移動(dòng)終端的不斷發(fā)展，傳統(tǒng)基于安全網(wǎng)關(guān)、防火墻、日志審計(jì)等保護(hù)方式已經(jīng)失去了安全防護(hù)效果，難以保障政務(wù)數(shù)據(jù)的安全應(yīng)用。

（二）可靠的認(rèn)證方式難以實(shí)施

當(dāng)前，政務(wù)移動(dòng)辦公平臺(tái)大部分采用“賬號(hào)+密碼”認(rèn)證的方式，少部分配套手機(jī)驗(yàn)證碼、令牌等動(dòng)態(tài)口令的多因子認(rèn)證方式，但都存在通過(guò)手機(jī)獲取登錄信息的風(fēng)險(xiǎn)，且這種認(rèn)證方式無(wú)法確認(rèn)用戶真實(shí)身份，存在較大安全風(fēng)險(xiǎn)，網(wǎng)絡(luò)信任體系受到極大挑戰(zhàn)。

（三）高效的管理策略難以配套

隨著政務(wù)移動(dòng)辦公平臺(tái)與內(nèi)部應(yīng)用的深度集成，登錄認(rèn)證策略、應(yīng)用訪問(wèn)策略、文件閱讀策略等都是政務(wù)數(shù)據(jù)安全需要考慮的重點(diǎn)難點(diǎn)。其中，文件是政務(wù)數(shù)據(jù)中非常重要的一部分，工作過(guò)程中的文件、不宜公開(kāi)的文件信息在移動(dòng)辦公中屢見(jiàn)不鮮，大部分移動(dòng)辦公平臺(tái)都是將文件下載到本地進(jìn)行閱讀，即使配套“閱后即焚”的技術(shù)手段，仍然無(wú)法避免閱讀過(guò)程中被非法窺視、竊取、拷貝和轉(zhuǎn)發(fā)。

（四）精準(zhǔn)的訪問(wèn)控制難以應(yīng)用

隨著政務(wù)移動(dòng)辦公平臺(tái)與內(nèi)部應(yīng)用的深度集成，基于部門、用戶、角色等的權(quán)限管理和訪問(wèn)控制越來(lái)越困難，尤其是業(yè)務(wù)應(yīng)用高度復(fù)雜性對(duì)訪問(wèn)控制精準(zhǔn)性提出了更高的要求，經(jīng)常會(huì)出現(xiàn)超權(quán)訪問(wèn)或惡意訪問(wèn)的情況。

數(shù)據(jù)安全是政務(wù)移動(dòng)辦公安全的核心，2021年9月1日起施行的《數(shù)據(jù)安全法》中對(duì)數(shù)據(jù)安全做出了明確的要求，信息系統(tǒng)應(yīng)采取必要措施，確保數(shù)據(jù)處于有效保護(hù)和合法利用的狀態(tài)，以及具備保障持續(xù)安全狀態(tài)的能力。因此，政務(wù)移動(dòng)辦公平臺(tái)應(yīng)以數(shù)據(jù)為核心，建立網(wǎng)絡(luò)信任體系，構(gòu)建全方位安全防護(hù)體系?？傮w架構(gòu)如圖1所示。

設(shè)計(jì)思路如下：

（一）遵循安全標(biāo)準(zhǔn)，加強(qiáng)平臺(tái)規(guī)范性

按照“有標(biāo)貫標(biāo)，無(wú)標(biāo)制標(biāo)”的原則，在國(guó)家相關(guān)安全標(biāo)準(zhǔn)體系的基礎(chǔ)上，構(gòu)建符合政府部門安全建設(shè)需求的政務(wù)移動(dòng)辦公安全防護(hù)體系。

（二）推進(jìn)行政管理，健全平臺(tái)制度性

政府部門信息化建設(shè)過(guò)程中，行政管理與技術(shù)管理應(yīng)具有同等重要的地位，相輔相成，避免“重技術(shù)輕管理”。除了內(nèi)設(shè)信息化建設(shè)相關(guān)組織機(jī)構(gòu)和明確職能外，還應(yīng)建立健全符合本部門的信息化管理制度體系，如信息化管理辦法、網(wǎng)絡(luò)安全等級(jí)保護(hù)制度等，使平臺(tái)建設(shè)有制度基礎(chǔ)、受制度約束、按制度發(fā)展。

（三）融合安全設(shè)備，提升網(wǎng)絡(luò)可靠性

通過(guò)部署防火墻、入侵檢測(cè)與防御系統(tǒng)、防病毒網(wǎng)關(guān)、抗DDOS設(shè)備、VPN、綜合日志審計(jì)系統(tǒng)、堡壘機(jī)等安全設(shè)施，形成層次化的訪問(wèn)控制粒度，通過(guò)對(duì)應(yīng)用層協(xié)議的分析，實(shí)現(xiàn)應(yīng)用層的訪問(wèn)控制，主動(dòng)實(shí)時(shí)地阻斷惡意網(wǎng)絡(luò)流量的攻擊與破壞，為網(wǎng)絡(luò)提供完整的立體式安全防護(hù)。

（四）配套應(yīng)用建設(shè)，確保平臺(tái)安全性

平臺(tái)應(yīng)用建設(shè)主要從用戶身份、訪問(wèn)權(quán)限和業(yè)務(wù)數(shù)據(jù)三個(gè)方面配套建設(shè)：一是融合電子身份認(rèn)證系統(tǒng)，構(gòu)建基于數(shù)字證書(shū)的PKI體系和網(wǎng)絡(luò)信任體系，實(shí)現(xiàn)“一人一機(jī)一證”，進(jìn)一步落實(shí)主體責(zé)任。二是將基于角色和菜單的訪問(wèn)控制進(jìn)一步細(xì)化為基于數(shù)據(jù)級(jí)的訪問(wèn)控制，實(shí)現(xiàn)“千人千面”，保障數(shù)據(jù)的可信訪問(wèn)。三是引入版式文件國(guó)家標(biāo)準(zhǔn)OFD，打破政府部門電子公文格式不統(tǒng)一、不規(guī)范、不安全的現(xiàn)狀，將所有正文、附件、過(guò)程文件、辦文單等統(tǒng)一轉(zhuǎn)換為OFD文件存儲(chǔ)和閱讀，再配套無(wú)緩存的輕閱讀模式，使得文件“閱后即焚”、不留痕跡，較大程度提高了移動(dòng)辦公中電子公文便捷性和安全性。

隨著《數(shù)據(jù)安全法》《個(gè)人信息保護(hù)法》以及《江蘇省公共數(shù)據(jù)管理辦法》等法律法規(guī)的施行，數(shù)據(jù)安全保障要求越來(lái)越高，也對(duì)承載著數(shù)據(jù)的平臺(tái)提出了更高的要求。政務(wù)移動(dòng)辦公平臺(tái)的總體安全，除了軟硬件地相互配合外，行政管理也占有舉足輕重的地位，通過(guò)制度保障、宣傳教育等方式，使工作人員始終繃緊信息安全的弦，切實(shí)守好每一道安全防線。

作者單位：江蘇省戰(zhàn)略與發(fā)展研究中心