行政事业单位计算机网络安全防护措施探讨

赵云山 阮兴卫

（1.溧阳市公安局交警大队车辆管理所，江苏 溧阳213300；2.常州信息职业技术学院，江苏 常州213164）

0 引言

当前我国网络应用成熟度高，应用范围广，网络即时性、共享性、无空间时间限制等特性对各行各业的电子化发展提供了助力。但受网络安全风险的影响，各行业在享受便利的同时，也面临着网络安全问题的威胁。对于行政事业单位而言，其对数据安全性要求更高，信息系统的安全性需要更加完备的安全防护措施，才能有效降低受到网络攻击的概率，提高数据的安全性，避免数据丢失、泄露、被篡改。

1 行政事业单位计算机网络安全的常见问题

1.1 计算机系统的漏洞

当前行政事业单位办公时应用的操作系统是Windows7及以上版本居多，虽然看似系统较新，但微软操作系统更新较快，对于较低的操作系统，例如Windows 7、Windows xp，已经不再提供系统漏洞补丁及更新服务，实则已经是淘汰的操作系统。受资金、管理、应用熟练度以及个人喜好影响，行政事业单位仍有较多的低版本操作系统，这给数据安全带来较大的威胁，稍有不慎就会悔之晚矣。

1.2 互联网病毒的破坏

长期以来，计算机病毒一直是恶意攻击、侵入网络系统的非法手段。它本身具有恶意复杂性和自启动能力，而且空间占比小，可以被植入复杂的程序代码中难被发现，从而给受感染的计算机带来严重危害。病毒入侵后，操作系统逐渐变慢甚至失去反应能力而崩溃，或者数据被窃取、被删除、被篡改，使得行政事业单位的办公被迫停止，给单位造成较大的损失。

1.3 网络黑客的恶意攻击

除病毒侵入外，计算机系统还会受到黑客的恶意攻击。受攻击的系统被黑客控制，黑客可以对系统及系统内的应用程序、应用数据、系统服务器等进行篡改、卸载、删除。黑客攻击带有较强的针对性和目的性，是人为计划、密谋、主观故意的行为，因此受攻击的系统往往使关键信息丢失、被篡改或是被窃取，而不像病毒那样纯以破坏为主要特征。由此可见，黑客攻击在危害程度上比病毒更具危害性，这种有组织的恶意攻击会造成较大的社会负面影响，更需要做好安全防范措施来应对。

1.4 工作人员的操作失误

操作失误往往是单位内部工作人员对系统、软件程序的熟悉度不够，或是对工作流程掌握不到位，在工作的过程中失误操作导致系统数据、关键信息丢失等，轻则数据丢失，重则导致系统瘫痪。这种工作人员操作失误无法通过防火墙、密钥、杀毒软件等方法来应对，纯属个人工作素养问题。因此，必须对操作人员进行岗前培训、考核、评价，合格才能上岗，从而保证系统安全。

2 行政事业单位计算机网络安全的防护措施

2.1 组建专业化计算机网络安全防护部门

行政事业单位机构多、事务杂、人员交叉工作，分散的安全管理很难起到应有的防范作用，甚至发生故障时，责任也难以划清。因此，组建专业化网络安全管理部门十分必要。专职管理部门应具有以下职责：第一，以法律为准绳，针对网络安全主管部门的政策、制度、规章等制定行政事业单位的网络安全纲领、目标、流程、措施和制度等；第二，指导行政事业单位各工作人员落实网络安全制度、操作流程、操作规范等；第三，对网络运行的管理、运维、资源优化、安全建设等能够进行主动规划和筹谋；第四，制定应急预案，对突发事件能够尽可能降低影响范围，并配合调查和处理事宜；第五，主动开展网络安全防护工作，能够定期落实系统补丁、升级；第六，对单位内部的所有人员能够提供及时的网络安全教育和服务。重点岗位应签订责任书，切实保障单位信息安全。

2.2 建立健全计算机网络安全防护等级机制

行政事业单位业务需求各不相同，需要根据网络安全等级保护条例对系统软件、硬件设备、数据库等划分防护等级，制定各等级防护措施，一一对应，确保安全防护走向纵深层次。而且，在等级保护制度落实时，还要建设安全管理中心，通过管理中心将各防护体系协调起来，共同实现网络安全防护。管理中心是等级保护制度的中枢，具有系统管理、审计管理、防护管理、集中管控等所有功能。通过管理中心的调控，等级保护联合起来，相互配合，相互促进，相互补充，能够形成严密完整的技术防护机制。同时对重要的核心数据进行备份，并做好隔离与防护措施，以保证核心数据的安全。

2.3 优化计算机网络安全区域划分与等级防护

网络安全区域边界需要根据行政事业单位的业务需求和保护等级要求进行清晰明确的划分，如数据区、办公区、维护区、应用区，等等，划分的安全区域相互之间要通过防火墙或者VLAN隔离技术进行边界访问防护与控制，并按实际需要进行网络安全区域边界控制。访问控制策略能够对一切访问进行甄别，确定是否非法访问，然后根据控制结果进行安全防护。访问控制的目的是保护系统不被非法访问或使用，对系统起到很好的保护作用。因此，需要在区域边界设置防火墙，所有访问数据都必须经过防火墙的检测才能进入系统内部，一旦发现非法操作或非法访问，防火墙就会主动拦截，有效降低非法入侵的事故发生。

2.4 制定内、外部计算机设备使用与检测机制

行政事业单位有时需要进行业务拓展接入新的网络设备，必须对该设备进行安全管理，达到网络安全管理要求才能接入系统。新设备要安装统一的安全管理软件，能够实现集成化管理，对于终端，实名认证后统一分配IP地址，锁定IP和MAC地址，防止IP冲突导致系统崩溃。在管理策略中，设置终端设备的开机验证密码，密码强度为强，根据需要定期进行密码重置。关于补丁升级，设置终端计算机自动进行系统补丁升级。定期对计算机系统进行安全检测，利用网络工具进行漏洞扫描、安全检测、病毒查杀等，确保计算机始终处于最佳的安全状态。移动设备接入时，实施固定区域加密处理，禁止不同区域混接移动设备。

2.5 计算机网络边界、关键节点的检测与防护

网络边界防护不可掉以轻心，需要严格按照网络安全防护制度和要求进行防护。特别是网络关键节点，对整个网络而言十分关键，需要部署检测防范设备对网络行为进行检测。例如，下一代防火墙、全流量威胁分析系统等。这些安全防护措施能够对外部、内部网络异常行为进行检测、限制访问或防止入侵，将攻击包自动丢掉或阻断访问。针对核心交换机，要部署安全感知平台来加强交换机的安全防护。对于业务系统，要部署抗DDOS服务策略，将攻击拒之门外，确保服务安全可用。

2.6 全面实施计算机网络层的安全审计

安全防护部门在进行网络安全管理工作时，还应当针对网络层全面实施安全审计。审计中发现异常需及时报警，并给出相应的应对方案。安全审计分为内网审计和外网接入审计两个层次，其目的是对网络行为进行甄别、记录、保存和分析。审计工具能够对系统的运行进行动态记录，用以分析和重建系统，并快速定位系统故障，避免类似故障再次的发生。此外，审计工具还能对故障进行取证，为后续的分析和溯源提供服务。在安全事件进行检测时，审计工具的作用不可小觑，它能够及时对攻击进行报警，降低攻击概率。可见，审计工具在一定程度上能够对攻击者起到较强的震慑作用。

3 结语

在日益复杂的网络环境下，行政事业单位应当正视自身所面对的网络安全问题，积极组建专业化计算机网络安全防护部门，建立健全计算机网络安全防护等级机制，优化计算机网络安全区域划分与等级防护，制定内、外部计算机设备使用与检测机制，计算机网络边界、关键节点的检测与防护，全面实施计算机网络层的安全审计，保障行政事业单位的信息安全，实现行政事业单位的可持续发展。