中国电子政务的发展现状

安全与电子政务前言网络安全性现已成为必须考虑的支出项目”-IDC,不断变化世界中的全球软件，2001年11月“信息安全性已成为CIO最关心的问题”-TheMetaGroup，不断增加的威胁增加了对安全性IT规划的关注，2001年10月1日“信息安全性已成为2002年CIO最重要的10大问题之一”–GigaInformationGroup，是什么使CIO们彻夜难眠，2001年12月18日电子政务的基本概念电子政务：是指政府机构在其管理和服务职能中运用现代信息技术，实现政府组织结构和工作流程的重组优化，超越时间、空间和部门分隔的制约，建成一个精简、高效、廉洁、公平的政府运作模式。电子政务模型可简单概括为两方面：政府部门内部利用先进的网络信息技术实现办公自动化、管理信息化、决策科学化；政府部门与社会各界利用网络信息平台充分进行信息共享与服务、加强群众监督、提高办事效率及促进政务公开等等

中国电子政务的现状存在的不足安全防范缺乏：许多政府网站缺乏安全防范措施，隐患较大信息服务服务不充分：信息滞后、更新速度缓慢、有些政府部门仅仅满足于网上亮相，有用内容不多，仅限于把法律法规和政策条文搬到网上、缺乏经过加工的信息。网上办事能力缺乏：目前可从网上审批、网上登记、网上采购、网上发证、网上录取等工作入手,协助职能部门开发相应的办事程序,逐步使网上办事成为现实。安全是电子政务

实现的基本保证安全风险的来源安全威胁Bob假冒BankCustomerDeposit$1000Deposit$100完整性CPU拒绝服务窃听username:danpassword:m-y-p-a-s-s-w-o-r-dd-a-nI’mBob,Send

MeallCorporateCorrespondencewithCisco身份认证我在与谁通信?冒充信息完整性篡改不可否认性未发出抵赖未收到?机密性我的信息是否被偷看?窃听黑客愈加猖獗损失日益巨大防范相对软弱解决刻不容缓电子政务对网络的高度依赖网络过于开放电子政务安全技术的缺陷

安全风险分析信息系统安全全的主要威胁胁信息系统的安全是指保护护计算机硬件件、软件、关关键数据不因因偶然和恶意意的原因而遭遭到破坏、更更改和泄露，，其根本目的的是防止通过过计算机网络络传输的信息息被破坏和非非法使用。物理安全风险险自然灾害人为破坏电气故障系统安全风险险网络系统操作系统应用系统安全风险分析析网上交易的安安全风险窃取保密数据据盗用账号、窃窃取密码信息系统安全全的主要威胁胁来自互联网风风险非法入侵主页篡改传播病毒链路传输风险险窃听截获数据IP伪装来自内部网风风险恶意破坏泄密安全风险分析析网络信息系统统攻击手段信息网络实体操作失误有意犯罪特洛伊木马逻辑炸弹搭线窃收行为否认口令猜测电磁辐射拒绝服务假冒欺骗数据篡改流量分析密码破译

网络攻击网络管理输出控制输入控制应用软件系统软件操作系统硬件结构网络结构数据安全电脑病毒触目惊心：美美国每年因网网络安全问题题损失达75亿美元！安全目标标信息安全的一一个动态模型型技术政策预警W保护P检测D反应R恢复R反击C人网络信息安全全的目标身份认证完整性机密性不可否认可用性实施安全解决决方案：---就是为为了把政府的的风险降到可可接受的程度度风险RISK风险漏洞漏洞资产资产威胁威胁基本的威胁采取措施后剩剩余的威胁安全电子政务务背景知识创造一个安全全的电子政务务应用环境大量的政府信信息不能公开开在网络环境下下，如何保证证政府机密的的安全尤其重重要电子政务的发发展需要安全全性问题物理层传输层/链路路层网络层应用层操作系统安全管理电子政务安全全技术框架信息安全评价价标准美国国防部85年D级：最小保保护C1级级：：自自主主型型安安全全保保护护C2级级：：可可控控访访问问保保护护B1级级：：标标记记安安全全保保护护B2级级：：结结构构化化保保护护B3级级：：安安全全域域A级级：：验验证证设设计计A1：：经经过过验验证证的的设设计计A2：：A1级级以以外外的的系系统统信息息安安全全评评价价标标准准国际际标标准准化化组组织织ISO7498-2中中描描述述开开放放互互连连OSI安安全全体体系系结结构构的的5种种安安全全服服务务项项目目鉴别访问控控制数据保保密数据完完整抗否认认技术对对策管理对对策国家法法令信息系系统安安全的的对策策技术对对策网络安安全检检测设设备鉴别：：智能能卡、、证书书、数数字签签名防火墙墙安全工工具包包/软软件线路保保护、、端口口保护护数据加加密访问控控制通信流流控制制、数数据完完整性性控制制信息安安全技技术介介绍计算机机物理理安全全技术术计算机机软件件安全全技术术计算机机网络络安全全技术术信息系系统控控制与与审计计技术术计算机机物理理安全全定义：：对计计算机机设备备、设设施（（包括括机房房建筑筑，空空调，，供电电）、、环境境、人人员等等采取取适当当的安安全措措施。。内容：：机房场场地环环境机房的的安全全技术术要求求实体访访问控控制磁场静电电磁波波辐射射与干干扰电源保保护磁介质质的存存储与与处理理应急备备份计算机机软件件安全全技术术操作系系统安安全技技术数据库库系统统安全全技术术反病毒毒技术术操作系系统安安全除了计计算机机硬件件以外外，操操作系系统是是保证证安全全的重重要基基础。。操作系系统是是计算算机资资源的的管理理者。。操作系系统安安全标标准：：美国国国家家计算算机安安全中中心NCSC的的《可可信计计算机机评价价准则则》，，桔皮皮书操作系系统安安全的的核心心在于于访问问控制制，即即确保保主体体对客客体的的访问问只能能是授授权的的，未未经授授权的的访问问是不不能进进行的的，且且授权权策略略是安安全的的。操操作系系统管管理的的资源源操作系系统安安全核心是是访问问控制制两个方方面问问题授权策策略问问题：：按照照什么么规则则给主主体授授权是是安全全的控制机机制问问题：：用什什么方方法实实现授授权是是安全全的访问控控制矩矩阵模模型多级安安全模模型目前我我国的的对策策研制具具有自自主知知识产产权的的数据据库管管理系系统数据库库管理理系统统的安安全平平台计算机机网络络安全全技术术防火墙墙入侵检检测漏洞扫扫描防病毒毒物理隔隔离保密检检查VPN加密、、数字字、签签名/CA防火墙墙的概概念内部网网和外外部网网间的的一个个保护护层，，强制制所有有的连连接须须经过过此保保护层层进行行检查查，只只有被被授权权的通通信才才能通通过此此保护护层，，从而而保护护内部部网和和外部部网的的访问问。限制外外部网网对内内部网网的访访问限制内内部网网对外外部网网的访访问防火墙墙的作作用保护那那些易易受攻攻击的的服务务控制对特殊殊站点的访访问集中化的安安全管理对网络访问问进行记录录和统计网络地址翻翻译器防火墙的体体系非军事区外网内网防火墙的设设计防火墙的姿姿态：没有被列为为允许的服服务都是被被禁止的没有被列为为禁止的服服务都是被被允许的机构的整体体安全策略略防火墙的费费用防火墙系统统的构件入侵检测入侵检测，，是对入侵侵行为的发发觉。及时发现入入侵行为自动报警采取相应措措施与防火墙联联动漏洞扫描漏洞是指允允许非法用用户未经授授权获得访访问或提高高其访问权权限的硬件件或软件特特征。扫描网络系系统存在的的缺陷及时修补漏漏洞减少被攻击击的机率防病毒网络的使用用带来了两两种病毒威威胁：文件件下载、电电子邮件。。防病毒技术术：病毒预预防、病毒毒检测、病病毒消除。。防病毒产品品：单机防防毒、群件件防毒、Internet网网关防毒、、中央防毒毒控管。物理隔离物理隔离技技术是将内内外网物理理分开，用用户在同一一时刻只能能访问一个个网。物理理隔离是在在物理连接接上进行隔隔离，比起起防火墙等等逻辑隔离离手段具有有更高的安安全性。内网隔离器外网保密检查对Internet网上出口口点流出的的信息自动动地进行截截获和检查查，提供安安全检查的的策略设置置界面，按按策略对信信息进行分分析和处理理，提供多多种查看和和报表形式式，与防火火墙策略配配合使用，，保护内部部网络信息息的安全。。Internet内网路由器防火墙保密检查VPNVPN--虚拟专用用网（VirtualPrivateNetwork）是专专用网络在在公共网络络如Internet上的扩扩展。VPN通过私私有隧道技技术在公共共网络上仿仿真一条点点到点的专专线，从而而达到安全全的数据传传输目的。。VPN典型应用VPN技术：专用用传输信道道、加密与与解密、解解密钥匙管管理和认证证对称加密技术非对称加密技术使用数字证证书，通过过运用对称称和非对称称密码体制制等密码技技术建立起起一套严密密的身份认认证系统，，从而保证证：信息除除发送方和和接收方外外不被其它它人窃取；；信息在传传输过程中中不被篡改改；发送方方能够通过过数字证书书来确认接接收方的身身份；发送送方对于自自己的信息息不能抵赖赖。加密和数字字签名/CA数据加密的的模型E加密D解密明文X明文X密文C密文C截取者解密密钥Kd加密密钥Ke数据加密算算法现代密码算算法：私钥加密算算法（对称称密钥加密密算法）数据加密标标准DES，1975，，IBMIDEA，，1990，由来学学嘉，JamesMessey先进加密算算法(AES)，NIST1997年开始征征集，目前前有15个个候选算法法公钥钥加加密密算算法法（（不不对对称称密密钥钥加加密密算算法法RSA,1978,Rivest,Shamir,Adleman，，基基于于大大整整数数的的分分解解Ke=Kd私钥钥加加密密算算法法（（对对称称密密钥钥加加密密算算法法））E加密密D解密密明文文X明文文X密文文C密文文C截取取者者解密密密密钥钥Kd加密密密密钥钥Ke公钥钥加加密密算算法法（（不不对对称称密密钥钥加加密密算算法法））E加密密D解密密明文文X明文文X密文文C密文文C截取取者者解密密密密钥钥Kd加密密密密钥钥KeKe=Kd公钥钥加加密密算算法法的的应应用用数字字签签名名数字字证证书书行政管理安全环境安全层网络安全层密码安全层加密算法鉴别认证密钥管理标准协议端系统安全传输系统安全接口系统安全网络系统管理基础设施安全社会环境安全电磁环境安全信息安全通信信网网络络安安全全防防御御体体系系管理对对策人员管管理制制度：：信息息系统统安全全运作作基本本原则则（双人人负责责原则则、任任期有有限原原则、、最小小权限限原则则）保密制制度跟踪、、审计计、稽稽核制制度网络系系统的的日常常维护护制度度病毒防防范制制度应急措措施电子政政务主主管的的责任任电子政政务安安全解解决方方案的的定义义电子政政务安安全服服务的的获取取系统安安全解解决方方案风险分析安全目标安全技术组织实施安全全管管理理电子政政务安安全实实现层层次（1））发布布：政政府通通过网网站提提供多多样化化的页页面或或者以以非互互动的的方式式发布布信息息；建建立基基于网网络的的电子子邮件件系统统：基基本的的防火火墙、、防病病毒系系统、、安全全电子子邮件件、保保密策策略以以及保保密策策略的的网络络识别别（2）办办公：在在政府内内部，使使用网络络来对核核心工作作进行单单向或双双向的执执行；网网络和应应用层上上的识别别、鉴别别和授权权，入侵侵检测、、数据加加密；基基本管理理，包含含数据处处理过程程的保密密性通知知层次———主要工工作内容容——安安全和保保密要求求（3）内内部整合合：在部部门内部部，通过过网络整整合并优优化核心心工作流流程：明明确的策策略，针针对各系系统、数数据和应应用的集集中式识识别、认认证、授授权和管管理，数数据遍密密码。（4）外外部整合合：将网网络作为为集成政政府部门门之间的的工作流流程的一一种手段段：集成成管理，，利用合合作部门门的数据据和应用用，进行行识别、、授权和和鉴别。。政府信信托：实实体之间间的“保保密性””合同。。电子政务务安全实实现层次次层次———主要工工作内容容——安安全和保保密要求求1、树立立正确的的安全观观念2、进行行详细全全面的规规划3、确立立全面的的安全保保护（1）网网络安全全（2）服服务器安安全（3）用用户安全全（4）应应用程序序和服务务安全（5）数数据安全全4、实施施风险分分析（1）风风险分析析的必要要性（2）风风险分析析的步骤骤（3）建建立审计计跟踪机机制电子政务务安全实实施安全管理理的基本本原则规范原则则预防原则则立足国内内原则选用成熟熟技术原原则注重实效效原则系统优化化原则均衡防护护原则分权制衡衡原则应急原则则灾难恢复复原则电子政务务安全管管理2、安全全管理的的条件和和内容（1）安安全管理理的条