电子政务信息化建设中安全方案设计策略

郭兵

【摘要】    围绕着便利和快捷使用体验的安全问题始终应作为各类信息化系统建设的重中之重，如何在系统建设的立项研究阶段就开始着重系统的进行安全系统部分的规划设计的问题，是各级项目建设单位、审批单位和设计及实施单位应重点关注的。

【关键词】    电子政务    安全系统    设计策略

一、系统的定级和备案

国家《关于加强信息安全保障工作的意见》指出，实行等级保护是信息安全保障的基本政策，各部门、各单位都要根据等级保护制度的要求，结合各自的特点，建立相应的安全保护策略、计划和措施。通过将等级化方法和安全体系方法有效结合，建设等级化的信息安全保障体系。所以在项目立项建设方案编制中应明确提出本次项目中信息系统的安全保护等级定级的级别。

二、安全风险的分析

（1）划分安全边界。基于边界的安全隔离与访问控制是传统安全防护的重要原则，依赖于区域间的区域边界，需要着重考虑对不同要求的安全区域设置差异化的安全防护策略。

（2）稳定可靠要求更高。现在信息化建设中的各业务系统对于稳定性和可靠性的运行要求越来越高，这就对项目建设中的系统平台服务的稳定性、安全策略部署、容灾恢复能力和事件处理审计等更多的关注。

（3）数据安全问题。在传统信息化系统网络中各种应用服务的标准流量和突发流量有迹可循，流量模型设计相对较为规范、简单，如果对于云平台等虚拟化环境下，同类型存储或者应用服务器的规模增长较快，应考虑依托统一架构的基础网络来承载，配置性能指标更高的安全设备，还要考虑用户的数据存储、处理、网络传输等与虚拟化系统有关的安全要求，以及多用户共存带来的潜在风险;确保面向使用者的身份鉴别、认证管理和访问控制等安全机制符合用户的需求。

三、安全策略部署原则

（1）遵循国家、地方、行业相关法规和标准;（2）贯彻等级保护和分域保护的原则;（3）管理与技术并重，互为支撑，互为补充，相互协同，形成有效的综合防范体系;（4）充分依托已有的信息安全基础设施，加快、加强信息安全保障体系建设。（5）相对应级别的安全的信息系统应具备对信息和系统进行基于安全策略强制的安全保护能力。（6）在技术策略方面，相对应级别的安全要求按照确定的安全策略，实施强制性的安全保护，使数据信息免遭非授权的泄露和破坏，保证较高安全的系统服务。（7）对计算机、网络的设备、环境和介质采用较严格的防护措施，确保其为信息系统的安全运行提供硬件支持，防止由于硬件原因造成信息的泄露和破坏。（8）通过对局域计算环境内各组成部分采用网络安全监控、安全审计、数据、设备及系统的备份与恢复、集中统一的病毒监控体系、两种鉴别方式组合实现的强身份鉴别、细粒度的自主访问控制、满足安全系统定级要求的操作系统和数据库、较高强度密码支持的存储和传输数据的加密保护、客体重用等安全机制，实现对局域计算环境内的信息安全保护和系统安全运行的支持。（9）采用分区域保护和边界防护，在不同區域边界统一制定边界访问控制策略，实现不同安全等级区域之间安全互操作的较严格控制。（10）按照系统化的要求和层次化结构的方法设计和实现安全系统，增强各层面的安全防护能力，通过安全管理中心，在统一安全策略下对系统安全事件集中审计、集中监控和数据分析，并做出响应和处理，从而构建较为全面的动态安全体系。（11）在管理策略方面，应建立完整的信息系统安全管理体系，对安全管理过程进行规范化的定义。根据实际安全需求，成立安全管理机构，配备专职的安全管理人员，落实各级领导及相关人员的责任。

四、安全方案体系架构设计建议图

安全系统的信息安全体系涉及到物理安全、网络安全、主机安全、数据安全和应用安全五个层面，涵盖身份认证、访问控制、内容安全、监控审计、备份恢复的内容。

结论：近年来各类政务信息化建设项目的建设要求越来越迫切，通过对电子政务信息化建设方案内的安全系统进行全面和系统的设计，可以保证项目立项研究申报阶段对于项目中涉及的安全系统部署的策略和方案最大可能的全面和优化，进而要求和指导后期的项目采购、建设和运行，保障电子政务各类应用安全可靠的运行。