如何理解电子政务信息安全保障的关键在于管理

信息安全建设是电子政务建设不可缺少的重要组成部分。电子政务信息系统承载着大量事关国家政治安全、经济安全、国防安全和社会稳定的数据和信息；网络与信息安全不仅关系到电子政务的健康发展，而且已经成为国家安全保障体系的重要组成部分。缺乏安全保障的电子政务信息系统，不可能实现真正意义上的电子政务。

一、强化安全保密意识，高度重视信息安全，是确保政务网络信息系统安全运行的前提条件

目前，电子政务信息系统大都是采用开放式的操作系统和网络协议，存在着先天的安全隐患。网络攻击、黑客入侵、病毒泛滥、系统故障、自然灾害、网络窃密和内部人员违规操作等都对电子政务的安全构成极大威胁。因此，信息安全保障工作是一项关系国民经济和社会信息化全局的长期性任务。

我们必须认真贯彻“一手抓电子政务建设，一手抓网络和信息安全”的精神和中办发［2003］27号文件关于信息安全保障工作的总体要求，充分认识加强信息安全体系建设的重要性和紧迫性，高度重视网络和信息安全。这是做好信息安全保障工作的前提条件。“高度重视”首先要领导重视；只有领导重视才能把信息安全工作列入议事日程，放到重要的位置，才能及时协调解决信息安全工作所面临的诸多难题。其次，要通过加强网络保密知识的普及教育，特别是对县处级以上干部进行网络安全知识培训，大力强化公务员队伍的安全保密意识，使网络信息安全宣传教育工作不留死角，为网络信息系统安全运行创造条件。

二、加强法制建设，建立完善的制度规范，是做好信息安全保障工作的重要基础

确保政务网络信息安全，必须加强信息安全法制建设和标准化建设，严格按照规章制度和工作规范办事。俗话说，没有规矩不成方圆，信息安全工作尤其如此。如果我们能够坚持建立法制和标准，完善制度和规范并很好地执行，就会把不安全因素和失误降到最低限度，使政务信息安全工作不断登上新的台阶。

为此，一要严格按照现行的法律法规规范网络行为，维护网络秩序，同时逐步建立和完善信息安全法律制度。要加强信息安全标准化工作，抓紧制定急需的信息安全和技术标准，形成与国际标准相衔接的具有中国特色的信息安全标准体系。

二要建立健全各项规章制度和日常工作规范。要根据网络和信息安全面临的新情况、新问题，紧密联系本单位信息安全保密工作的实际，本着“堵漏、补缺、管用”的原则，抓紧修订、完善和新建信息安全工作的各项规章制度及操作规程，切实增强制度的科学性、有用性和可操作性，使信息安全工作有据可依、有章可循。

三要重视安全标准和规章制度的贯彻落实。有了制度，不能把它束之高阁。不按制度办事，是造成工作失误和安全隐患的重要原因。很多不安全因素和工作漏洞都是由于没有按程序办事所造成的。因此，要组织信息化工作人员反复学习有关制度和规范，使他们熟悉和掌握各项制度的基本内容，明白信息安全工作的规矩和方法，自觉用制度约束自己，规范工作。

四要建立完善对制度落实情况的监督检查和激励机制。工作程序、规章制度建立后，必须做到行必循之，把规章制度的每一条、每一款落到实处。执行制度主要靠自觉，但必须有严格的监督检查。要通过监督检查建立信息安全工作的激励机制，把信息安全工作与年度考核评比及“争先创优”工作紧密结合起来，激励先进，鞭策后进，确保各项信息安全工作制度落到实处。各地、各部门要不定期地对本地和本系统的制度落实情况进行自查自纠，发现问题及早解决。

三、建立信息安全组织体系，落实安全管理责任制，是做好政务信息安全保障工作的关键

调查显示，在实际的网络安全问题中，约有80%是由于管理问题造成的。因此，建立信息安全管理机构，加强组织协调，发挥其统筹规划、科学管理、宏观调控和决策的作用，强化信息安全管理，形成全方位的信息安全管理组织体系至关重要。

一方面，要逐步建立和完善信息安全组织体系。该体系应包括各地、各部门成立的保密工作领导小组；有本部门主管领导参加的政务网络与信息安全协调小组；聘请国内外安全专家组成的安全咨询专家小组。根据建设和应用情况需要，还可建立相应的信息安全管理执行机构（如“政府安全中心”），负责整个政务信息系统中的安全保密工作，包括提供相关服务。

另一方面，要在健全信息安全组织体系的基础上，切实落实安全管理责任制。明确各级、各部门行政一把手（或主管领导同志）作为信息安全保障工作的第一责任人；技术部门主管或项目负责人作为信息安全保障工作直接责任人，强化对网络管理人员和操作人员的管理。切实把好用人关，对关键岗位实行A、B角色管理；对网络管理人员和涉密操作人员要签订保密协议，明确保密职责，实行持证上岗制度。要培养一批具有信息安全管理经验的复合人才，充实到关键岗位，为政务信息化把好安全关。

四、结合实际注重实效，正确处理信息安全“五大关系”，是确保信息安全投资效益的最佳选择

在电子政务建设中，信息安全方面的投资往往涉及很大金额。各地、各部门应紧密结合自身实际，正确处理和把握与信息安全相关的“五大关系”，使有限的资金发挥出最大的社会效益。

1、要正确处理发展与安全的关系。发展与安全是信息安全关系中最基本、最重要的一对关系，由此可以派生出其他一些关系。发展与安全的关系是辩证统一、相辅相成的，其中发展是目的，安全是保证。二者关系处理得好，安全会有保障并能促进发展；处理不好，安全就会制约并牵制发展。正确处理发展与安全的关系就是要加快发展，确保安全。具体讲，就是在加快发展过程中确保安全；在确保安全的条件下加快发展。这里要注意克服两种倾向：一是过分强调发展而忽视安全；二是追求绝对安全而制约发展。为此，要坚持电子政务发展和网络信息安全“两手抓”。要在电子政务建设和发展过程中不断加强安全管理，完善安全措施，切实保障安全；同时要在适度安全、基本安全的前提下，培育业务需求，加大工作力度，促进电子政务事业加快发展。

2、处理好安全成本与效益的关系。成本与效益的关系是由信息安全基本关系派生出来的，二者的关系是对立统一、相反相成的。成本与效益的关系处理得好，安全成本就会下降同时效益提高；处理不好，安全成本就会上升同时效益下降。正确处理好安全成本与效益的关系，必须坚持综合平衡。要根据中办发［2003］27号文件中关于“信息化发展的不同阶段和不同信息系统不同的安全需求，必须从实际出发，综合平衡安全成本和风险，优化信息安全资源的配置，确保重点”的要求，一方面千方百计降低安全投入成本，另一方面努力提高安全措施的实际效果，确保满足重点项目、重点部位的安全需求，使有限的安全保障资金充分发挥出良好的使用效益。

3、处理好信息安全与共享（信息公开和保密）的关系。这也是从信息安全基本关系中派生出来的。开放和发展需要信息资源共享，而网络互联为信息共享提供了条件。但信息公开和信息保护是一对不可回避的矛盾。推进信息化建设既要强调资源共享，还要保证信息安全。我们应立足于电子政务建设的大系统，整体地、动态地看待信息安全与资源共享问题，用发展的眼光和辩证的观点去处理问题。在这对矛盾中，目前资源共享是矛盾的主要方面。当前我国各地方、各行业的信息资源建设普遍存在“数字鸿沟”、“信息孤岛”现象。针对这种情况,我们在处理两者之间关系时,应当紧紧围绕矛盾的主要方面，在确保国家安全和尊重个人隐私的前提下，把当前工作的重点放在最大限度地促进信息资源共享方面，消除数字鸿沟和信息孤岛，提高信息资源共享程度，使政务信息资源发挥更大的社会效益。

4、处理好安全管理与技术的关系。安全管理与技术的关系也是信息安全体系中的基本关系之一。在信息安全保障体系中，安全管理和安全技术是一个不可分割的统一体，是一个事物的两个方面。管理离不开技术，技术离不开管理；两者紧密相连、相互渗透、互为补充。因此，在信息安全工作中，我们要坚持管理和技术并重，做到管理手段和技术手段相结合，也就是在加强管理的前提下，采用先进的安全技术，在提升技术的基础上强化管理。信息安全问题的解决需要技术手段，但又不能单纯依赖技术。信息化的过程其实是人与技术相互融合的过程，如何使管理与技术相得益彰十分重要。在这方面，我们要同时注意防止和克服“重管理、轻技术”和“单纯技术观点”两种倾向，既要高度重视信息安全技术的重要作用，又要避免陷入唯技术论的怪圈。从理论上看，不存在绝对安全的技术；技术固然重要，但管理更不容忽视。虽然“三分技术，七分管理”的说法不一定准确，但从另一个角度说明了安全管理工作的重要性。因此，我们应以业务为主导，从全局的高度部署安全策略，采用先进技术，加强安全管理，把采取安全技术手段与加强日常管理和健全体制机制紧密结合起来，坚持一手抓安全技术手段开发，一手抓安全规章制度的建立与完善，提高政务网络信息系统的安全性和可靠性。

5、处理好信息安全工作中应急事件处理与建立长效机制的关系。要保证政务网络与信息系统的“长治久安”，必须着手建立一套长期有效的安全机制。但信息安全问题在信息化进程中广泛存在且突发性强，所以又必须强调和重视应急事件的处理。一旦出现影响到国家利益的网络安全与信息安全事件，必须能够立即采取有效措施，控制危机的发展，把损失减少到最低限度。

为此，首先要建立和完善信息安全监控体系，及时发现和处置突发事件，提高对网络攻击、病毒入侵、网络失窃密的防范能力，防治有害信息传播，增强对政务网络和信息系统的监控、管理和保护。其次，要重视信息安全应急处理工作，建立健全应急管理协调机制、指挥调度机制和信息安全通报制度。要制定完善信息安全处置预案，加强信息安全应急支援服务队伍建设，提高信息安全应急响应能力。

影响电子政务信息安全的因素有哪些

(1)政府对智慧政务的发展、建设及其作用的认识仍然停留在表面，缺乏明确的发展策略和长期的战略规划;

(2)信息公开力度不够、业务功能简单、建设缺乏统一规划;

(3)信息安全问题。安全是智慧政务建设过程中应该考虑的首要建设原则。虽然政务内网可以实现物理隔离, 但政务外网经常要面对黑客、间谍的攻击;

(4)中国保障智慧政务发展的相关法律、法规大部分仍在建立和完善阶段;

(5)在智慧政务建设和发展中存在信息鸿沟。城乡之间、地区之间在信息基础设施、公民信息素质、智慧政务的建设和普及方面仍存在很大差异，金鹏信息智慧政务软件;

电子政务外网如何进入？

外网是无法访问电子政务的，

这是由于电子政务本身设置了只有内网才有访问的权限，那么用外网IP访问的时候就会被防火墙拦截下来，

除非用黑客的手段攻破网络防火墙，这方面可以找懂这个专业人士来才行。

如何提高政府电子政务网的安全性

提高政府电子政务网的安全性的方法：

1.加强政府网站安全工作组织领导，提高责任意识

从哈尔滨市每年开展的政府网站绩效考核工作可以看出，有相当数量部门领导没有把政府网站建设和安全管理工作作为一项重要工作来抓，存在重建设轻管理的问题。借鉴全国其他省（市）的先进经验，一是建议市政府将政府网站纳入地方政府和部门绩效考核体系，作为领导班子综合考核评价的内容之一，作为领导干部选拔任用的依据。二是要按照谁主管谁负责、谁运行谁负责的原则，强化管理和明确责任，确保政府网站安全管理工作落实到人，一层抓一层，做到网站管理不缺位，信息安全有保障。

2.建立健全政府网站安全管理制度，认真贯彻执行。

一是建立政府网站的安全管理制度体系，指导和制约网站安全建设和管理工作。网站出现相关问题时，工作人员要快速向网站相关负责人反映，以便及时得到处理；二是建立网站日常巡检制度，指定人员每日检查网站运行情况，及时发现并妥善解决存在的问题；三是建立具体负责人制度，对网站的网络管理、数据库服务维护、信息处理等实行谁主管谁负责；四是建立节假日值班制度，做到信息及时更新，保证网站不间断运行；建立日志记录备案制度，对网站日常工作要如实记录，并作为技术管理档案保存。

3.加强人才队伍的培养，统筹建立哈尔滨市应急处理体系

一是加强政府网站安全管理培训。通过参加信息安全、信息技术、信息管理等方面的培训，进一步提高网站工作人员整体建设网站、管理网站的能力。二是强化技术支撑保障工作。成立哈尔滨市信息安全测评中心，为哈尔滨市党政机关、企事业单位网站提供技术保障和技术支撑服务。三是建立政府网站专项应急预案，以保证政府网站在事故发生时得到快速、及时处理。四是建立信息安全检查监督机制。依据已确立的技术法规、标准与制度,定期开展信息安全检查工作,对检查中发现的违规行为,按规定处罚相关责任人,对检查中发现的安全问题和隐患,明确责任部门和责任人,限期整改。

4.统筹规划政府网站群建设，实施集约化管理。

积极推进云模式下政府网站群的集约化建设。一是按照哈尔滨市电子政务建设的总体要求，进行统筹规划，统一网站运行载体，避免分散、重复建设，即：利用哈尔滨市信息中心平台的基础环境作为哈尔滨市政府网站运行载体；由哈尔滨市信息中心平台的技术队伍，承担哈尔滨市政府网站的建设及日常运行的技术维护工作；对于缺乏建设、维护网站能力的单位或部门，不再建设独立网站，由哈尔滨市信息中心平台代为承载其应向社会公众提供的政府信息公开等政务公共服务功能。二是确立统一标准，完善政府信息公开和政务信息资源共享机制，规划“中国哈尔滨”门户网站群及内容管理系统建设，进一步整合各部门政府网站，按照统一规划、分步实施的原则，建立统一的站群管理平台，将哈尔滨市各政府机构网站整合到站群平台上运行，形成以市政府门户网站为核心，以政府机构网站为群体的，资源共享、协调联动的网站群体系，全面提高政府网站公共服务水平。三是加强网站群建设管理，强化安全保障，建立应急响应机制，依托由哈尔滨市信息中心平台现有技术、人才优势，为哈尔滨市政府网站建设单位提供安全技术支持、信息技术培训、网络安全风险评估等服务。

5.加大安全技术体系建设

技术防护是确保网站信息安全的有力措施，在技术防护上，主要做好以下几方面工作。

一是要加强网络环境安全。首先要安装网站防火墙（WAF）、网站防篡改系统、网络防火墙和入侵检测系统等，在传统的网络防火墙基础上，网站防火墙（WAF）从网络的应用层面提高网站安全防护能力，利用入侵检测系统识别黑客非法入侵、恶意攻击以及异常数据流量, 通过对网站防火墙（WAF）和网络防火墙进一步优化配置来阻断黑客非法入侵、恶意攻击。网站防篡改系统是网站最后一道防护屏障，一旦防护失效时，网站首页或内容被篡改，防篡改系统可立即恢复网站被篡改的内容，不至于造成政治事件和影响，同时给网站管理人员短暂喘息时间，及时修改和完善网站安全配置文件，确保网站安全稳定运行。

二是加强网站平台安全管理。在现有中心平台的基础上，进一步优化完善网络结构、合理配置网络资源，配置下一代防火墙、病毒防护体系、网络安全检测扫描设备和网络安全集中审计系统等设备，从边界防护、访问控制、入侵检测、行为审计、防毒防护、安全保护等方面不断完善哈尔滨市信息化中心平台的安全体系建设，确保在哈尔滨市信息中心平台基础环境下，大数据平台、大工业体系信息化辅助决策平台和云模式下政府网站群平台安全稳定建设运行。

三是加强网站代码安全。一个安全的网站，不但要有良好的网络环境，更要有高质量的应用系统，现时期由于网站代码不严密、安全性差引起的网络安全事件屡见不鲜，这就要求网站技术开发人员在开发应用系统过程中，要养成良好的代码编写习惯，尽量不要使用来历不明的代码和插件，编写程序时要严格过滤敏感的字符，并且在系统开发完成后，要有相应的代码检测机制和手段，及时更新漏洞补丁，从源头上遏制网站挂马、SQL注入和跨站点脚本攻击等行为。要部署网页防篡改系统，网页防篡改系统具备实时阻断非法修改和对非法修改的文件进行恢复的能力，在其他防护措施失效的情况下，能够有效地解决网页被篡改的问题，实现针对网站信息的保护。

四是加强数据安全。要加强数据库的安全，采用正版数据库系统，通过网络安全域划分,数据库被隐藏在安全区域,同时通过安全加固服务对数据库进行安全配置,并对数据库的访问权限做最为严格的设定,最大限定保证数据库安全；部署数据灾备系统，对网站和关键应用系统数据进行定期备份，利用市政府大楼机房环境，将这些数据进行异地备份，确保关键数据安全，防止造成无法挽回的损失。

随着信息技术的飞跃发展，黑客、木马等攻击和入侵手段也随之变化多样且层出不穷，给政府网站的安全管理带来极大的威胁，各级政府、各部门要切实增强政府网站安全责任意识，加强对政府网站安全工作的领导，进一步强化监督管理，明确责任分工，加强安全防范措施，以安全为己任，为哈尔滨市政府网站和重要信息系统安全稳定运行创造一个良好的环境。

求文档: 电子政务外网建设的环境要求

电子政务系统信息安全建设方案

概述

电子政务作为国家信息化建设的重点工程，按敏感级别和业务类型，可划分为：涉密机要专网、电子政务专网和电子政务外网。电子政务外网是为市民提供政务公开信息和网上服务场所的媒体，直接同因特网连接；政务专网上运行关键的政务应用，是为公务员提供协同办公、信息传输交互和业务数据处理的网络平台；涉密机要专网与电子政务专网实行物理隔离、与政府外网实行物理隔离。

2安全建设内容

为了保障政府的管理和服务职能的有效实现，需要为电子政务网络建立完善的信息安全体系，选择符合国家信息安全主管部门认证的安全技术和产品，在电子政务系统的建设中实施信息安全工程，保证电子政务三大网络的安全。电子政务安全保障体系包括：建立信息系统安全管理体系、网络安全技术和运行体系、系统安全服务体系、安全风险管理体系。

3安全管理体系

安全不是一个目标，而应该作为一个过程去考虑、设计、实现、执行。只有通过建立科学、严密的安全管理体系，不断完善管理行为，形成一个动态的安全过程，才能为电子政务网络提供制度上的保证，它包括：安全方针、安全组织、资产分类与控制、人员安全、物理与环境的安全、通信与运行的管理操作过程与职责、访问控制、系统开发与维护、业务连续性管理、遵循性与法律要求的一致性。

4技术和运行

一个信息系统的信息安全保障体系包括人、技术和运行三部分，其中技术体系包括保卫主机与应用系统、保卫边界、保卫网络和基础设施以及支持性基础设施等部分。

4.1局域网主机与应用系统安全

局域网主机与应用系统的安全性比较复杂，数据的计算、交换、存储和调用都是在局域网中进行的，黑客和不法分子常使用的破坏行为就是攻击局域网。局域网环境保护所关注的问题是：在用户进入、离开或驻留于用户终端与服务器的情况下，采用信息保障技术保护其信息的可用性、完整性与机密性。

4.1.1主机防护

主机保护与监控系统用于保护电子政务内部局域网用户的主机，针对连接到Internet上的个人主机易受外部黑客和内部成员攻击的特性，提供对个人主机操作（文件、注册表、网络通讯、拨号网络等方面）的实时监测，有效保障个人主机数据的完整性和真实性。

4.1.2非法外联监控

物理隔离网内经常出现私自拨号等非法上网行为，导致物理隔离措施形同虚设，泄密、非法入侵事件时有发生。就需要拨号监控系统可以实时地对这些行为进行监控与报警，并记录操作者的主机名、主机IP以及拨号时间。

4.2边界安全

保卫边界的目的就是要对流入、流出边界的数据流进行有效的控制和监督，包括基于网络的入侵检测系统、脆弱性扫描器、局域网上的病毒检测器等。综合应用以构成完整的动态防御体系，从而对边界内的各类系统提供保护。

4.2.1入侵检测

网络入侵检测系统位于有敏感数据需要保护的网络上，通过实时侦听网络数据流，寻找网络违规模式和未授权的网络访问。当发现网络违规行为和未授权的网络访问时，网络监控系统能够根据系统安全策略做出反应，包括实时报警、事件登录，或执行用户自定义的安全策略等。网络监控系统可以部署在网络中存在安全风险的地方。天阗黑客入侵检测与预警系统是启明星辰信息技术公司自行研制开发的入侵检测系统，通过了公安部、人民解放军、国家保密局、中国信息安全产品测评认证中心的权威评测。产品包括基本型、多级分布型、大规模高速千兆型、主机（ForSolairs，ForWIN，ForAIX）六种适用于不同网络环境的系统。

4.2.2脆弱性检查

网络漏洞扫描系统能够测试和评价系统的安全性，并及时发现安全漏洞，包括网络模拟攻击，漏洞检测，报告服务进程，提取对象信息，以及评测风险，提供安全建议和改进措施等功能，帮助用户控制可能发生的安全事件，发现安全隐患。

4.2.3网络防毒

网络防病毒系统加强对服务器进行保护，提供对病毒的检测、清除、免疫和对抗能力。在客户端的主机也安装防病毒软件，将病毒在本地清除而不至于扩散到其他主机或服务器。再加上防病毒制度与措施，就构成了一套完整的防病毒体系。

4.3网络与网络基础设施安全

电子政务系统，广域网络以及为其提供支撑的相关基础设施必须受到更深层次的保护。保卫电子政务系统和基础设施的总的策略是，使用安全性较高的专线和密码技术来传输系统网络节点之间的机密数据，加密方式采用国家相关部门批准的算法。

4.4支撑基础设施

4.4.1应急响应

设立安全应急小组目的在于：对于网络中的突发事件能够及时地响应；减少业务停顿的时间；避免非法入侵对数据破坏；避免主页被黑造成影响；对于已经破坏的数据采取相应的技术手段进行恢复；通过培训提高人员对突发事件的处理能力；追踪非法入侵人员。

4.4.2灾难恢复

灾难恢复是在发生计算机系统灾难后，可利用在本地或远离灾难现场的地方的备份系统重新组织系统运行和恢复业务的过程。灾难恢复的目标是:保护数据的完整性，使电子政务数据损失最少、甚至没有数据损失；快速恢复工作，使业务停顿时间最短，甚至不中断业务。

4.4.3系统备份

建立备份系统的主要目标：避免由于各种情况造成的网络、数据、系统的不可用给网络中运行的业务造成影响，一旦灾难发生，可以通过该系统为网络的恢复提供有力的保证。备份措施要保证主要线路、关键设备、重要数据、重要系统等要素的可用性，从而保证电子政务系统的稳定运行，提高其对各类事件的免疫能力。

5安全服务

5.1风险评估

信息安全管理体系是建立在风险分析和评估的基础上的。风险分析是指确定资产的安全威胁和脆弱性、并估计可能由此造成的损失或影响的过程。其结果是制定安全政策的重要依据，可以按照资产列表制定相应的安全政策。风险分析与评估基本包括准备阶段；培训阶段；资产确定阶段；风险评估阶段；风险策略阶段。

5.2C-SAS安全服务体系

客户化安全保障服务强调以“安全人”为核心来进行安全理念、风险评估、策略制定、体系设计、安全管理、实施防御、应急响应、安全培训等安全措施。

6保障体系建设原则

1、安全保密原则：安全保密性是系统建设的重要前提。

2、先进性原则：采用国际上最先进和成熟的体系结构，使系统能够适应今后的业务发展变化需要。

3、可扩展原则：在尽量节省投资同时实现系统平滑扩展。

4、可靠性原则：采用成熟的主流技术和产品和详尽的故障处理方案。

5、可行性原则：在风险分析的基础之上，发掘重要、关键的资源进行保护，做到适量投入、有效防护。

6、标准化原则：遵循技术标准、国家相关规范。

怎样才能登录“湖南林业电子政务网”？

估计这种网站属于内网 和外部的互联网是分开的 如果想登陆 一般就两种可能 一就是你是一名黑客进去 二就是去他们的内部电脑上登陆

电子政务网信任体系包括什么和什么密钥管理基础设施

电子政务涉及对国家秘密信息和高敏感度核心政务的保护,设计维护公共秩序和行政监管的准确实施,涉及到为社会提供公共服务的质量保证.电子政务是党委、政府、人大、政协有效决策、管理、服务的重要手段,必然会遇到各种敌对势力、恐怖集团、捣乱分子的破坏和攻击.尤其电子政务是搭建在基于互联网技术的网络平台上,包括政务内网、政务外网和互联网,而互联网的安全先天不足,互联网是一个无行政主管的全球网络,自身缺少设防和安全隐患很多,对互联网犯罪尚缺乏足够的法律威慑,大量的跨国网络犯罪给执法带来很大的难度.所有上述分子利用互联网进行犯罪则有机可乘,使基于互联网开展的电子政务应用面临着严峻的挑战.

对电子政务的安全威胁,包括网上黑客入侵和犯罪、网上病毒泛滥和蔓延、信息间谍的潜入和窃密、网络恐怖集团的攻击和破坏、内部人员的违规和违法操作、网络系统的脆弱和瘫痪、信息产品的失控等,应引起足够警惕,采取安全措施,应对这种挑战.

电子政务的安全目标和安全策略

电子政务的安全目标是,保护政务信息资源价值不受侵犯,保证信息资产的拥有者面临最小的风险和获取最大的安全利益,使政务的信息基础设施、信息应用服务和信息内容为抵御上述威胁而具有保密性、完整性、真实性、可用性和可控性的能力.

为实现上述目标应采取积极的安全策略：

国家主导、社会参与.电子政务安全关系到政府的办公决策、行政监管和公共服务的高质量和可信实施的大事,必须由国家统筹规划、社会积极参与,才能有效保障电子政务安全.

全局治理、积极防御.电子政务安全必须采用法律威慑、管理制约、技术保障和安全基础设施支撑的全局治理措施,并且实施防护、检测、恢复和反制的积极防御手段,才能更为有效.

等级保护、保障发展.要根据信息的价值等级及所面临的威胁等级,选择适度的安全机制强度等级和安全技术保障强壮性等级,寻求一个投入和风险可承受能力间的平衡点,保障电子政务系统健康和积极的发展.

电子政务安全保障体系框架

电子政务安全采取“国家推动、社会参与、全局治理、积极防御、等级保护、保障发展”的策略,鉴于电子政务的信息安全面临的是一场高技术的对抗,是一场综合性斗争,涉及法律、管理、标准、技术、产品、服务和基础设施诸多领域,所以电子政务安全,还要从全局来构建其安全保障的体系框架,以保障电子政务的健康发展.

电子政务安全保障体系由六要素组成,即安全法规、安全管理、安全标准、安全服务、安全技术产品和安全基础设施等安全要素.　

要素一 安全法律与政策

电子政务的工作内容和工作流程涉及到国家秘密与核心政务,它的安全关系到国家的主权、国家的安全和公众利益,所以电子政务的安全实施和保障,必须以国家法规形式将其固化,形成全国共同遵守的规约,成为电子政务实施和运行的行为准则,成为电子政务国际交往的重要依据,保护守法者和依法者的合法权益,为司法和执法者提供法律依据,对违法、犯法者形成强大的威慑.

《中华人民共和国保护国家秘密法》已实施十多年,已不完全适应我国当前保密工作的现状,特别是电子政务的发展,亟待修订.

政务信息公开是电子政务的重要原则,为了拉近政府和公众的距离,使公众具有知情权、参与权、监督权和享用政府服务的权利,为公众提供良好的信息服务,充分挖掘政务信息的最大效益,开放政务信息资源（非国家涉密和适宜公开部分）服务于民是电子政务的重要特征.尽快制订政务信息公开法,适度的解密和规范开放的规则,保护政府部门间信息的正常交流,保护社会公众对信息的合法享用,打破对政务信息资源的垄断和封锁,提高政府行政透明度和民主进程是非常有利的和必需的.

电子政务亟待电子签章和电子文档的立法保护,国际已有近20多个国家对数字签名和电子文档进行了立法,使数字签名和电子文档在电子政务和电子商务运行中具有法律效力.这将大大促进电子政务和电子商务的健康发展,使电子政务原来的双轨制走向单轨制,这有利于简化程序、降低成本,充分显示电子政务效益是非常有利的.

个人数据保护（隐私法）的需求伴随电子政务的发展日显突出.电子政务在实施行政监管和公众服务中有大量的个人信息（自然人和法人）,如户籍、纳税、社保、信用等信息大量进入了政府网络信息数据库,它对完成电子政务职能发挥巨大作用.但是这些个人信息如果保护不力或无意被泄漏,而被非法滥用,就可能成为报复、盗窃、推销、讨债、盯梢的工具.在国外已经出现将盗用的个人隐私信息作为非法商品出售,以牟取暴利的情况,这样直接损害个人的利益,甚至危及个人的生命安危.因此加快个人数据保护法的制订,是必要的.

还有很多法规的制订都直接关系到电子政务的健康发展,加快制订这些法规,势在必行.

要素二 安全组织与管理

我国信息安全管理职能的格局已经形成,如国家安全部、国家保密局、国家密码管理委员会、信息产业部、总参……分别执行各自的安全职能,维护国家信息安全.电子政务安全管理涉及到上述众多的国家安全职能部门,其安全管理职能的协调需要由国家信息化领导机构,如国家信息化领导小组及其办公室、国家电子政务协调小组、国家信息安全协调小组等来进行.各地区和部委建立相应的信息安全管理机构,以完成和强化信息安全的管理,形成自顶向下的信息安全管理组织体系,是电子政务安全实施的必要条件.

制订颁发电子政务安全相关的各项管理条例,及时指导电子政务建设的各种行为,从立项、承包、采购、设计、实施、运行、操作、监理、服务等各阶段入手,保障电子政务系统建设全程的安全和安全管理工作的程序化和制度化.

电子政务信息安全域的划分与管理是至关重要的.电子政务有办公决策、行政监管和公共服务等三种类型业务,其业务信息内容涉及国家机密、部门工作秘密、内部敏感信息和开放服务信息.既要保护国家秘密又要便于公开服务,因此对信息安全域的科学划分和管理,将有益于电子政务网络平台的安全设计,有益于电子政务的健康和有效的实现.

制订电子政务工程集成商的资质认证管理办法、工程建设监理机构的管理办法、工程外包商的管理机制和办法,以确保电子政务工程建设的质量和安全,特别是对于电子政务系统的外包制更要有严格的制约和管理手段.对于电子政务中涉密系统工程的承建,还必须有国家保密局颁发的涉密系统集成资质证书,其他部分应具有国家或省市相应的系统集成商的资质证书.对于电子政务涉密部分,不允许托管和外包运行,电子政务其他部分将按相关管理条例执行.

电子政务工程中使用的信息安全产品,国家将制订相应的采购管理政策,涉及密码的信息安全产品需有国家密码主管部门的批准证书,信息安全产品应有通过国家测评主管机构的安全测评的证书,维护信息安全产品的可信性.

电子政务系统信息内容根据管理需求,可以实施对信息内容的安全监控管理,以保护政务信息安全,防止由于内部违规或外部入侵可能造成的网络泄密,同时也阻止有害信息内容在政务网上传播.

制订电子政务系统的人员管理、机构管理、文档管理、操作管理、资产与配置管理、介质管理、服务管理、应急事件管理、保密管理、故障管理、开发与维护管理、作业连续性保障管理、标准与规范遵从性管理、物理环境管理等各种条例,确保电子政务系统的安全运行.

要素三 安全标准与规范

信息安全标准有利于安全产品的规范化,有利于保证产品安全可信性、实现产品的互联和互操作性,以支持电子政务系统的互联、更新和可扩展性,支持系统安全的测评与评估,保障电子政务系统的安全可靠.

国家已正式成立“信息安全标准化委员会”,近期成立了信息安全标准体系与协调工作组（WG1）、内容安全分级及标识工作组（WG2）、密码算法与密码模块/KMI/VPN工作组（WG3）、PKI/PMI工作组（WG4）、信息安全评估工作组（WG5）、操作系统与数据库安全工作组（WG6）、身份标识与鉴别协议工作组（WG9）、操作系统与数据库安全工作组（WG10）,以开展电子政务安全相关标准的研制工作,支撑电子政务安全对标准制订的需求.

还将制订下列标准：涉密电子文档密级划分和标记格式、内容健康性等级划分与标记、内容敏感性等级划分与标记、密码算法标准、密码模块标准、密钥管理标准、PKI/CA标准、PMI标准、信息系统安全评估和信息安全产品测评标准、应急响应等级、保护目标等级、应急响应指标、电子证据恢复与提取、电子证据有效性界定、电子证据保护、身份标识与鉴别、数据库安全等级、操作系统安全等级、中间件安全等级、信息安全产品接口规范、数字签名…….

要素四 安全保障与服务1.电子政务系统建设,要构建其技术安全保障架构,对大型电子政务系统要建立纵深防御体系.

·设置政务内网的安全与控制策略；

·设置政务外网的安全与控制策略；

·设置进入互联网的安全服务与控制策略；

·设置租用公网干线的安全服务与控制策略,包括有线通信、无线通信和卫星通信的安全服务与控制策略；

·设置政务计算环境的安全服务与机制.

采用纵深防御和多级设防,是电子政务安全保障的重要原则,通过全局性的安全防护、安全检测、快速响应、集成的安全管理与安全设施的联动控制,以达到系统具有防护、检测、反应与恢复能力.

2.推广电子政务信息系统安全工程（ISSE）的控制方法,全面实现安全服务要求.

电子政务安全系统的设计,首先要做好系统资产价值的分析,如物理资产的价值（系统环境、硬件、系统软件）、信息资产的价值、其数据与国家利益和部门利益的关联度；其业务系统（模型、流程、应用软件）正常运行后果所产生的效益,从而确定系统安全应保护的目标,在上述分析的基础上提出整个安全系统的安全需求,进一步定义达到这些安全需求所应具有的安全功能,然后探索系统可能面临的威胁类型,并找出系统自身的脆弱性,这些威胁和脆弱性有：

·网上黑客与计算机犯罪；

·网络病毒的蔓延与破坏；

·机要信息流失与信息间谍潜入；

·网上恐怖活动与信息战；

·内部人员违规与违法；

·网上安全产品的失控；

·网络与系统自身的漏洞与脆弱性.

在这些威胁面前,要分析哪些威胁是本系统主要面临的威胁,哪些是次要的,对系统和任务造成的影响程度如何.进行定性和定量的分析,提出系统安全对策,确定承受风险的能力,寻找投入和风险承受能力间的平衡点,然后确定系统所需要的安全服务及对应的安全机制（见表一）,从而配置系统的安全要素.在工程的生命周期中要进行风险管理、风险决策流程（见图2）,这种风险管理是要对电子政务全程进行的.

系统投入运行要对其安全性进行有效评估,即评估者给出的评估证据和建设者采用的技术保障设施,的确能使系统拥有者确信已选用技术对策,确实减少了系统的安全风险,满足必要的风险策略（风险策略可以是“零”风险策略、最小风险策略、最大可承受风险策略或不计风险策略）,使其达到保护系统资产价值所必需的能力（见图3）.上述有效评估过程可用安全技术保障强壮性级别（IATRn）来描述：

IATRn=f(Vn,Tn,SMLn,EALn)

Tn：威胁等级

Vn：资产价值等级

SMLn：安全机制强度等级

EALn：评估保障等级

要素五 安全技术与产品

1． 加强安全技术和产品的自主研制和创新.

由于电子政务的国家涉密性,电子政务系统工程的安全保障需要各种有自主知识产权的信息安全技术和产品,全面推动自主研发和创新这些技术和产品是电子政务安全的需要.这些产品和技术可以分为六大类：

·基础类：风险控制、体系结构、协议工程、有效评估、工程方法；

·关键类：密码、安全基、内容安全、抗病毒、IDS、VPN、RBAC、强审计、边界安全隔

离；

·系统类：PKI、PMI、DRI、网络预警、集成管理、KMI；

·应用类：EC、EG、NB、NS、NM、WF、XML、CSCW；

·物理与环境类：TEMPEX、物理识别；

·前瞻性：免疫技术、量子密码、漂移技术、语义理解识别.

2．电子政务安全产品的选择.

整个电子政务的安全,涉及信息安全产品的全局配套和科学布置,产品选择应充分考虑产品的自主权和自控权.

产品可涉及安全操作系统、安全硬件平台、安全数据库、PKI/CA、PMI、VPN、安全网关、防火墙、数据加密机、入侵检测（IDS）、漏洞扫描、计算机病毒防治工具、强审计工具、安全Web、安全邮件、安全设施集成管理平台、内容识别和过滤产品、安全备份、电磁泄漏防护、安全隔离客户机、安全网闸.

要素六 安全基础设施

信息安全基础设施是一种为信息系统应用主体和信息安全执法主体提供信息安全公共服务和支撑的社会基础设施,方便信息应用主体安全防护机制的快速配置,有利于促进信息应用业务的健康发展,有利于信息安全技术和产品的标准化和促进其可信度的提高,有利于信息安全职能部门的监督和执法,有利于增强全社会信息安全移师和防护技能,有利于国家信息安全保障体系的建设.因此,推动电子政务的发展,应重视相关信息安全基础设施的建设.

信息安全基础设施有两大类.

1．社会公共服务类

·基于PKI/PMI数字证书的信任和授权体系；

·基于CC/TCSEC的信息安全产品和系统的测评与评估体系；

·计算机病毒防治与服务体系；

·网络应急响应与支援体系；

·灾难恢复基础设施；

·基于KMI的密钥管理基础设施.

2．行政监管执法类

·网络信息内容安全监控体系；

·网络犯罪监察与防范体系；

·电子信息保密监管体系；

·网络侦控与反窃密体系；

·网络监控、预警与反击体系.