网络安全保障应急预案范文

导语：如何才能写好一篇网络安全保障应急预案，这就需要搜集整理更多的资料和文献，欢迎阅读由公务员之家整理的十篇范文，供你借鉴。

篇1

关键词:网络安全;人力资源;维护;管理;社会保障;应用

随着计算机信息化的迅猛发展，我国人力资源和社会保障网络系统已经实现了全覆盖，范围非常广，而且涉及的人数非常多，关系到每一位参保人的切身利益，因此，如果该信息系统遭到网络黑客的攻击，一定会造成非常严重的后果，所以，健全网络系统安全至关重要。网络安全隐患大多集中在操作系统以及数据库等方面，人力资源与社会保障信息系统最关键的就是信息的安全，容易遭到他们恶意的窃取、篡改和破坏。故而，要从多各方面加强对该系统的网络安全的技术、维护和管理。

1网络安全相关的技术综述

1.1防火墙技术

防火墙技术是GilShwed发明并引至互连网当中的，它是在内网与外网中间的一个安全系统。防火墙根据内网用户的规则允许或是限制网络数据的传输。这一技术从发明至今已经历4个阶段，从开始依靠路由器的防火墙发展到如今有安全操作系统的防火墙。它使得内外网络的信息沟通都要通过防火墙，且符合一定规则的数据方可通过，而且它本身具备很强的攻击免疫力，故而这一技术可有效避免黑客的攻击，确保网络的安全。

1.2网关检测技术

防火墙的发明有效阻止了大多数的网络攻击，然而伴随网络技术的快速发展，新攻击手段层出不穷，仅靠防火墙已不能很全面的确保网络的安全。现在有不少攻击，会把数据伪装为合法数据流从而越过防火墙，这种情况下网关检测技术被发明出来。这一技术借助分析输入及输出数据去识别异常的数据并实施隔离、删除等措施。

1.3VPN技术

所谓VPN又可叫做虚拟专用网络，它可以在公用的网络上面建立属于自己的网络，大多借助密码技术的网络设备，这些是虚拟网络所专用的设备，这项VPN技术能够为各个用户建立虚拟的安全网络通道，使得攻击者无法窃取到公共传输信息，保障在网络传输中数据的安全。

1.4加密和认证技术

前述提到的防火墙、网关检测和VPN均是被动型的网络安全技术，而加密和认证技术是通过密码技术对网络安全实施的主动型安全措施，包含有数据保密与身份认证等方面的技术。如今伴随网络技术的进步，同时考虑人力资源和社会保障信息的特殊性，人员信息一定要确定为个人的身份证方可通过审核，在社会保障卡使用的时候还一定要签名，部分地区还运用数字签名技术以确保相关信息的安全。

1.5访问控制技术

这一控制主要通过人力资源和社会保障数据中心的防火墙去设定，还采用有加密及认证的技术。其将外网内的访问组全部认定成访问者，且仅允许有限的访问社保信息里的SSN区，这主要是对社保信息的查询，同时拒绝其余所有外来的访问。而对内网用户常常设置成user，按照不同的权限等级去访问与之对应的SSN区，并设定仅administer能够对数据的访问不限制。

2人力资源与社会保障系统网络安全的有效措施

2.1对系统访问进行有效控制

在网络接入方面，人力资源与社会保障系统只能在同一部的终端设备上才能将其接入，并要求必须具有一定的访问权限。同时，对于这些终端必须进行查证和安全检查，尤其对于不合格的终端要进行及时的修复和升级处理，在认证合格后才能将其接入网络。另外，对于操作终端的人员要进行身份的验证和限制其访问，要想进行访问，必须具有访问许可，才能进行访问。支持账号、MAC和第三方认证，对访问终端进行严格控制后，有效的保证了访问的安全性。

2.2对用户行为进行有效管理

对数据的行为进行有效管理，能够保证数据的安全。尤其是对于基层接入较为分散的终端来说，更需要采用一些较为有效的安全措施，才能有效防止用户的非法操作。针对终端分散的特点，采用支持远程的管理功能，管理员具有远程控制和监控的权限，为运营管理提供方便。对一些文件类型进行有效操作，将日志进行上传，以保证数据安全，不被篡改。另外，管理人员要具有统一软件的能力，灵活处置终端软件，及时对现有软件进行升级管理。同时，管理人员能够将终端文件进行远程备份，尤其是对核心机密文件能够进行有效备份，以防止意外损坏的发生。

2.3终端的安全检查措施

因为基层的终端设备常常遭受病毒、黑客和木马等的侵犯，安全形势非常严峻，故而就要严格对接入终端予以安全检查，必须检查合格以后的终端方能够接进系统。在检查的时候，重点检查终端设备中的病毒软件安装和更新等有关情况，以防控病毒对基层终端造成的威胁;检查终端互联网内的操作系统、浏览器和办公软件等，以保证其可以及时更新并安装漏洞补丁，对系统和应用程序可能遭到的木马与病毒攻击予以防范，借助补丁的更新有效消除系统的安全隐患;检查终端的密码以及账号，对有保护的终端，应对其屏保的启动时间予以重点检查，且对指定范围里尚未登记的账户予以确认，以给闲置账户管理提供明显的便利;检查终端软件的信息,目的是有效防范风险，终端一经安装违规的软件,就会立刻限制其接进网络。通过终端安检，能够及时排查终端存在的安全隐患,并将其及时消除,以保证基层终端的安全性。

2.4对远程进行集中管理

基层终端部署相对分散，工作人员在日常处理的时候较为困难，所以，需要对终端管理要加强其安全管控的能力。所以，对于终端管理软件来说，需要具备防御卸载，能够强制升级，能够对所有的终端设备进行安全策略下的下发和调整的功能，为了防止被恶意的破解和拦截，终端设备和服务器端的通信和管理界面的访问需要支持数据的加密传输功能，这样才能有效避免恶意的拦截和破解。

3有效维护和管理人力资源与社会保障系统

3.1完善系统运行环境，能够对软件系统及时进行更新

做好硬件设备设施的运营维护工作，发现故障隐患，能够及时整改，保证设备的正常运行。另外，对于计算机操作人员来说，要完善上岗培训以及岗中培训工作，能够第一时间处理计算机运行过程中所出现的异常情况。能够做好软件维护以及相关备份工作。同时，在设备具体的工作过程中，要建立工作日记制度，能够对设备所出现的故障和维护情况进行详细的登记、备案，对机房和操作台进行有效检查，保证机器的正常运行，确保人力资源和设备保障系统在系统配置、技术参数以及管理维护、数据库性能等方面都能够达到最优状态。

3.2完善数据库管理

掌握好ORACLE数据库的相关结构，安装数据库管理系统并及时予以升级，根据要求对数据库予以启动、关闭，努力完善管理及对数据库用户的监控措施，科学的管理数据库的特权以及存储空间，依据有关要求建立、备份及恢复数据库。

3.3完善网络管理

不断强化对网络的安全管理，完善、健全安全管理的制度，应严格遵循安全制度进行有关操作。内部网络仅能用来处理和工作相关的事宜，严禁进行和工作无关的事。为有效保障网络的安全运行，要强化日常的维护，定期对软硬件予以检测、升级及维护，及时对系统予以更新。对特殊机械的运用要有完整记录，以最大程度保障网络安全。

4结语

综上，人力资源和社会保障信息网络系统作为为公众提供服务的平台，更要关注系统的安全管理工作，所以，要做好该系统的安全维护工作，才能够保障为公众提供高效、准确、及时、优质的服务。

作者:郭凯 单位:辽宁省锦州市人力资源和社会保障信息中心

参考文献：

[1]胡道元，闵京华.网络安全[M].北京：清华大学出版社，2004.

[2]叶代亮.内网的安全管理[J].计算机安全，2005.

[3]许兰川.构建办公信息网络安全防护体系[J].网络安全技术与应用，2005.

[4]周银珍，鲁耀斌.区域人力资源管理的系统研究理念[J].经济地理，2008.

篇2

按照文件要求，市委网信办对照工作职责，认真排查梳理了我市网络安全风险点，逐项建立完善工作机制，现汇报如下：

1.网络安全风险研判工作：制定了《网络安全事件应急预案》，明确了由于人为原因、软硬件缺陷或故障、自然灾害等对网络和信息系统或其数据造成危害引发负面影响的事件的分析和处理。

2.网络安全风险决策评估机制：成立了网络安全和信息化领导小组，对全市网络安全工作统筹指挥。制定了《网络安全和信息化委员会工作规则》，明确网络安全工作职责和工作制度。

3.网络安全风险防控协同机制：组建了网络安全专家小组，努力应对新形势下网络安全错综复杂的局面，提高网络安全保障水平。实施网络安全事件应急处置联席会制度，对全市网络安全事件的进行预防和应急处理。

4. 网络安全风险防控责任机制：下发了《贯彻落实<党委（党组）网络安全工作责任制实施办法>责任分工方案》，明确责任主体和责任分工，提高网络风险防范防控意识和能力。

篇3

规范网络秩序，营造良好舆论环境

规范网络秩序，营造良好舆论环境，是治国理政、定国安邦的大事。指出：“网络空间是亿万民众共同的精神家园。网络空间天朗气清、生态良好，符合人民利益。网络空间乌烟瘴气、生态恶化，不符合人民利益。”的讲话，指出了当前网络空间存在的问题和亟待改善的现象，蕴含着对广大网民的期待。网络不是法外之地，同样需要建立良好的秩序。我们要一手抓正能量传播，一手抓网络生态治理，大力培育积极健康、向上向善的网络空间文化，为广大网民特别是青少年朋友营造一个风清气正的网络生态环境。

建设网络城市，让人民群众有更多获得感

近年来，国家对互联网的重视程度前所未有，“互联网+”、中国制造2025、创新创业、大数据等系列重大政策密集出台。全面落实国家战略，促进互联网向更高目标、更深层次发展，是我们共同的使命和任务。我们要全面落实“宽带中国”战略，大力实施“提速降费”行动，创建“全光网”城市，实现全市所有区县光纤网络全覆盖，不断提升100M光纤接入能力覆盖城市家庭比例，提升4G网络服务能力，率先引入5G网络部署，推进IPv6在LTE网络中的部署应用。推动区域通信网络资费改革，鼓励民营企业参与宽带建设运营，促进良性竞争，提升宽带性价比，加强电信资费公示和监测，进一步完善流量跨月不清零、流量转增等服务，让用户享受更多优惠，让人民群众有更多获得感。

坚持多措并举，强化网络安全体系化建设

篇4

本报讯 7月4日，2013年中国计算机网络安全年会在内蒙古呼和浩特市召开，工业和信息化部总工程师张峰出席会议并致辞。

张峰指出，我国互联网持续快速发展，融入到经济社会的方方面面，成为推动国民经济和社会发展、改变人民群众生活方式的关键行业和重要领域，同时我国网络安全的现状不容乐观。一是在公共互联网环境方面，黑客攻击的趋利性特征日益明显，不法分子以通信网络、信息系统以及用户信息和财产为目标，利用黑客技术发起网络攻击牟取非法利益，逐步形成组织严密、分工明确的互联网地下产业。二是移动互联网、物联网、云计算、微博客等新技术新业务不断涌现，在带来新的经济增长点的同时，也带来更加复杂的网络安全问题。三是随着信息技术在铁路、银行、电力等重要行业的广泛应用，以及核设施、航空航天、先进制造等重要领域工业化与信息化深度融合，这些行业或领域的系统数据和运行安全也面临着严重威胁。

张峰简要回顾了近年来工业和信息化部在维护网络安全方面开展的工作，并对信息通信行业进一步做好网络安全工作提出五点要求。一是加强网络安全工作联动，深化跨部门跨行业协调配合，完善部门之间、政企之间的联动机制，真正建立起运转灵活、反应迅速的工作机制和流程。二是要求基础电信企业和广大互联网企业认真开展安全评测和风险评估，不断完善网络安全应急预案，加强应急演练，加强对移动互联网应用商店、增值电信业务经营者的网络安全管理，继续开展针对各类安全威胁的清理和处置，净化公共互联网网络环境。三是加大科研投入，提高应对网络安全新风险的能力，加大对网络安全防御体系的研究，形成网络空间威胁监测、全局感知、预警防护、应急处置、协同联动等核心能力，提升国家网络空间安全保障的技术能力。四是加强网络安全国际交流与合作，增进与其他国家间维护网络安全的战略互信，扩大网络安全领域的互利合作，拓展互联网治理的交流协作机制，建立政府、研究机构、行业组织以及企业之间多层次、多渠道的交流机制，共同维护全球网络空间安全。五是希望相关企业、安全厂商和社会组织等共同努力，加强网络安全宣传教育，促进全社会网络安全防范意识与知识水平提高。（周寿英）

篇5

关键词：证券行业信息安全网络安全体系

近年来，我国资本市场发展迅速，市场规模不断扩大，社会影响力不断增强．成为国民经济巾的重要组成部分，也成为老百姓重要的投资理财渠道。资本市场的稳定健康发展，关系着亿万投资者的切身利益，关系着社会稳定和国家金融安全的大局。证券行业作为金融服务业，高度依赖信息技术，而信息安全是维护资本市场稳定的前提和基础。没有信息安全就没有资本市场的稳定。

目前．国内外网络信息安全问题日益突出。从资本市场看，近年来，随着市场快速发展，改革创新深入推进，市场交易模式日趋集巾化，业务处理逻辑日益复杂化，网络安全事件、公共安全事件以及水灾冰灾、震灾等自然灾害都对行业信息系统的连续、稳定运行带来新的挑战。资本市场交易实时性和整体性强，交易时问内一刻也不能中断。加强信息安全应急丁作，积极采取预防、预警措施，快速、稳妥地处置信息安全事件，尽力减少事故损失，全力维护交易正常，对于资本市场来说至关重要。

1证券行业倍息安全现状和存在的问题

1．1行业信息安全法规和标准体系方面

健全的信息安全法律法规和标准体系是确保证券行业信息安全的基础。是信息安全的第一道防线。为促进证券市场的平稳运行，中国证监会自1998年先后了一系列信息安全法规和技术标准。其中包括2个信息技术管理规范、2个信息安全等级保护通知、1个信息安全保障办法、1个信息通报方法和10个行业技术标准。行业信息安全法规和标准体系的初步形成，推动了行业信息化建设和信息安全工作向规范化、标准化迈进。

虽然我国涉及信息安全的规范性文件众多，但在现行的法律法规中。立法主体较多，法律法规体系庞杂而缺乏统筹规划。面对新形势下信息安全保障工作的发展需要，行业信息安全工作在政策法规和标准体系方面的问题也逐渐显现。一是法规和标准建设滞后，缺乏总体规划；二是规范和标准互通性和协调性不强，部分规范和标准的可执行性差；三是部分规范和标准已不适应，无法应对某些新型信息安全的威胁；四是部分信息安全规范和标准在行业内难以得到落实。

1．2组织体系与信息安全保障管理模型方面

任何安全管理措施或技术手段都离不开人员的组织和实施，组织体系是信息安全保障工作的核心。目前，证券行业采用“统一组织、分工有序”的信息安全工作体系，分为决策层、管理层、执行层。

为加强证券期货业信息安全保障工作的组织协调，建立健全信息安全管理制度和运行机制，切实提高行业信息安全保障工作水平，根据证监会颁布的《证券期货业信息安全保障管理暂行办法》，参照ISO／IEC27001：2005，提出证券期货业信息安全保障管理体系框架。该体系框架采用立方体架构．顶面是信息安全保障的7个目标(机密性、完整性、可用性、真实性、可审计性、抗抵赖性、可靠性)，正面是行业组织结构．侧面是各个机构为实现信息安全保障目标所采取的措施和方式。

1．3IT治理方面

整个证券业处于高度信息化的背景下，IT治理已直接影响到行业各公司实现战略目标的可能性，良好的IT治理有助于增强公司灵活性和创新能力，规避IT风险。通过建立IT治理机制，可以帮助最高管理层发现信息技术本身的问题。帮助管理者处理IT问题，自我评估IT管理效果．可以加强对信息化项目的有效管理，保证信息化项目建设的质量和应用效果，使有限的投入取得更大的绩效。

2003年lT治理理念引入到我国证券行业，当前我国证券业企业的IT治理存在的问题：一是IT资源在公司的战略资产中的地位受到高层重视，但具体情况不清楚；二是IT治理缺乏明确的概念描述和参数指标；是lT治理的责任与职能不清晰。

1．4网络安全和数据安全方面

随着互联网的普及以及网上交易系统功能的不断丰富、完善和使用的便利性，网上交易正逐渐成为证券投资者交易的主流模式。据统计，2008年我同证券网上交易量比重已超过总交易量的80％。虽然交易系统与互联网的连接，方便了投资者。但由于互联网的开放性，来自互联网上的病毒、小马、黑客攻击以及计算机威胁事件，都时刻威胁着行业的信息系统安全，成为制约行业平稳、安全发展的障碍。此，维护网络和数据安全成为行业信息安全保障工作的重要组成部分。近年来，证券行业各机构采取了一系列措施，建立了相对安全的网络安全防护体系和灾舴备份系统，基木保障了信息系统的安全运行。但细追究起来，我国证券行业的网络安全防护体系及灾备系统建设还不够完善，还存存以下几方面的问题：一是网络安全防护体系缺乏统一的规划；二是网络访问控制措施有待完善；三是网上交易防护能力有待加强；四是对数据安全重视不够，数据备份措施有待改进；五是技术人员的专业能力和信息安全意识有待提高。

1．5IT人才资源建设方面

近20年的发展历程巾，证券行业对信息系统日益依赖，行业IT队伍此不断发展壮大。据统计，2008年初，在整个证券行业中，103家证券公司共有IT人员7325人，占证券行业从业总人数73990人的9．90％，总体上达到了行业协会的IT治理工作指引中“IT工作人员总数原则上应不少于公司员工总人数的6％”的最低要求。目前，证券行业的IT队伍肩负着信息系统安全、平稳、高效运行的重任，IT队伍建设是行业信息安全IT作的根本保障。但是，IT人才队伍依然存在着结构不合理、后续教育不足等问题，此行业的人才培养有待加强。

2采取的对策和措施

2．1进一步完善法规和标准体系

首先，在法规规划上，要统筹兼顾，制定科学的信息技术规范和标准体系框架。一是全面做好立法规划；二是建立科学的行业信息安全标准和法规体系层次。行业信息安全标准和法规体系初步划分为3层：第一层是管理办法等巾同证监会部门规章；第二层是证监会相关部门制定的管理规范等规范性文件；第三层是技术指引等自律规则，一般由交易所、行业协会在证监会总体协调下组织制定。其次，在法规制定上．要兼顾规范和发展，重视法规的可行性。最后，在法规实施上．要坚持规范和指引相结合，重视监督检查和责任落实。

2．2深入开展证券行业IT治理工作

2．2．1提高IT治理意识

中国证券业协会要进一步加强IT治理理念的教育宣传工作，特别是对会员单位高层领导的IT治理培训，将IT治理的定义、工具、模型等理论知识纳入到高管任职资格考试的内容之中。通过举办论坛、交流会等形式强化证券经营机构的IT治理意识，提高他们IT治理的积极性。

2．2．2通过设立IT治理试点形成以点带面的示范效应

根据IT治理模型的不同特点，建议证券公司在决策层使用CISR模型，通过成立lT治理委员会，建立各部门之间的协调配合、监督制衡的责权体系；在执行层以COBIT模型、ITFL模型等其他模型为补充，规范信息技术部门的各项控制和管理流程。同时，证监会指定一批证券公司和基金公司作为lT试点单位，进行IT治理模型选择、剪裁以及组合的实践探索，形成一批成功实施IT治理的优秀范例，以点带面地提升全行业的治理水平。

2．3通过制定行业标准积极落实信息安全等级保护

行业监管部门在推动行业信息安全等级保护工作中的作用非常关键．应进一步明确监管部门推动行业信息安全等级保护工作的任务和工作机制，统一部署、组织行业的等级保护丁作，为该项丁作的顺利开展提供组织保证。行业各机构应采取自主贯彻信息系统等级保护的行业要求，对照标准逐条落实。同时，应对各单位实施信息系统安全等级保护情况进行测评，在测评环节一旦发现信息系统的不足，被测评单位应立即制定相应的整改方案并实施．且南相芙的监督机构进行督促。

2．4加强网络安全体系规划以提升网络安全防护水平

2．4．1以等级保护为依据进行统筹规划

等级保护是围绕信息安全保障全过程的一项基础性的管理制度，通过将等级化的方法和安全体系规划有效结合，统筹规划证券网络安全体系的建设，建立一套信息安全保障体系，将是系统化地解决证券行业网络安全问题的一个非常有效的方法。

2．4．2通过加强网络访问控制提高网络防护能力

对向证券行业提供设备、技术和服务的IT公司的资质和诚信加强管理，确保其符合国家、行业技术标准。根据网络隔离要求，要逐步建立业务网与办公网、业务网与互联网、网上交易各子系统间有效的网络隔离。技术上可以对不同的业务安全区域划分Vlan或者采用网闸设备进行隔离；对主要的网络边界和各外部进口进行渗透测试，进行系统和设备的安全加固．降低系统漏洞带来的安全风险；在网上交易方面，采取电子签名或数字认证等高强度认证方式，加强访问控制；针对现存恶意攻击网站的事件越来越多的情况，要采取措施加强网站保护，提高对恶意代码的防护能力，同时采用技术手段，提高网上交易客户端软件使朋的安全性。

2．4．3提高从业人员安全意识和专业水平

目前在证券行业内，从业人员的网络安全意识比较薄弱．必要时可定期对从业人员进行安全意识考核，从行业内部强化网络安全工作。要加强网络安全技术人员的管理能力和专业技能培训，提高行业网络安全的管理水平和专业技术水平。

2．5扎实推进行业灾难备份建设

数据的安全对证券行业是至关重要的，数据一旦丢失对市场各方的损失是难以估量的。无论是美国的“9·11”事件，还是我国2008年南方冰雪灾害和四川汶川大地震，都敲响了灾难备份的警钟。证券业要在学习借鉴国际经验的基础上，针对自身需要，对重要系统开展灾难备份建设。要继续推进证券、基金公司同城灾难备份建设，以及证券交易所、结算公司等市场核心机构的异地灾难备份系统的规划和建设。制定各类相关的灾难应急预案，并加强应急预案的演练，确保灾难备份系统应急有效．使应急工作与日常工作有机结合。

2．6抓好人才队伍建设

证券行业要采取切实可行的措施，建立吸引人才、留住人才、培养人才、发展人才的用人制度和机制。积极吸引有技术专长的人才到行业巾来，加强lT人员的岗位技能培训和业务培训，注重培养既懂得技术义懂业务和管理的复合型人才。要促进从业人员提高水平、转变观念，行业各机构应采取采取请进来、派出去以及内部讲座等多种培训方式。通过建立规范有效的人才评价体系，对信息技术人员进行科学有效的考评，提升行业人才资源的优化配置和使用效率，促进技术人才结构的涮整和完善。

篇6

[关键词] 信息等级保护概述；中国石油；等级保护建设

[中图分类号] TP391；X913.2 [文献标识码] A [文章编号] 1673 - 0194（2013）05- 0057- 02

1 信息等级保护制度概述

信息安全等级保护制度是国家信息安全保障工作的基本制度，是促进信息化健康发展的根本保障。其具体内容包括：①对国家秘密信息，法人和其他组织及公民的专有信息以及公开信息，存储、传输、处理这些信息的信息系统实行分等级安全保护、分等级监管；②对信息系统中使用的信息安全产品实行按等级管理；③对信息系统中发生的信息安全事件分等级响应、处置。信息安全等级保护配套政策体系及标准体系如图1、图2所示。

定条件的测评机构开展等级测评；④建设整改：备案单位根据信息系统安全等级，按照国家政策、标准开展安全建设整改；⑤检查：公安机关定期开展监督、检查、指导。

2 中国石油信息安全等级保护制度建设

中国石油信息化建设处于我国大型企业领先地位，在国资委历年信息化评比中都名列前茅。2007 年全国开展信息安全等级保护工作之后，中国石油认真贯彻国家信息安全等级保护制度各项要求，全面开展信息安全等级保护工作。逐步建成先进实用、完整可靠的信息安全体系，保障信息化建设和应用，支撑公司业务发展和总体战略的实施，使中国石油的信息安全保障能力显著提高。主要采取的措施有以下几个方面：

（1）以信息安全等级保护工作为契机 ， 全面梳理业务系统并定级备案。中国石油根据国家信息安全等级保护制度要求，建立自上而下的工作组织体系，明确信息安全责任部门，对中国石油统一建设的应用系统进行等级保护定级和备案，通过制定《中国石油天然气集团公司重要信息系统安全等级保护定级实施暂行意见》，加强桌面安全、网络安全、身份认证等安全基础防护工作，加快开展重要信息系统的等级测评和安全建设整改工作，进一步提高信息系统的安全防御能力，提高系统的可用性和安全性。在全面组织开展信息系统等级保护定级备案工作之后，聘请专业测评机构，及时开展等级测评、安全检查和风险评估工作，并通过等级测评工作查找系统的不足和安全隐患，制订安全整改方案，开展安全整改和加固改造，保障信息系统持续安全稳定运行。

（2）以信息安全等级保护工作为抓手 ， 全面推动中国石油信息安全体系建设。中国石油以信息安全等级保护工作为抓手，完善信息安全整体解决方案，建立技术保障体系、管理保障体系和控制保障体系。采用分级、分域的纵深防御理念，将桌面安全、身份认证、网络安全、容灾等相关技术相互结合，建立统一的安全监控平台和安全运行中心，实现对应用系统的授权访问、桌面计算机的安全控制、网络流量的异常监控、恶意软件与攻击行为的及时发现与防御、业务与数据安全保障等功能，显著提高抵御外部和内部信息安全威胁的能力。建立了总部、区域网络中心、企事业单位三级信息系统安全运维队伍；采用集中管理、分级维护的管理模式，网络与安全运维人员采用授权方式，持证上岗，建立网络管理员、安全管理员和安全审计员制度；初步建立起中国石油内部信息安全风险评估队伍，并于 2010 年完成地区公司的网络安全风险评估工作。

（3）建立重要信息系统应急处置预案，完善灾难恢复机制。2008 年，中国石油了《网络与信息安全突发事件专项应急预案》，所有业务系统、网络管理、安全管理等都建立了应急响应处置预案和灾备系统，保障业务系统在遭遇突发事件时，能快速反应并恢复业务系统可用性。通过灾难恢复项目研究，形成了现状及风险分析、灾难恢复等级划分、灾备部署策略分析和灾备部署方案四步法，划分了信息系统灾难恢复等级，完善了灾难恢复机制。

（4）规划信息安全运行中心，建立重要信息系统安全监控机制。中国石油规划了信息安全运行中心的建设方案，提出了信息安全运行中心建设目标，通过网络运行状态、安全信息数据汇集、安全监测分析功能和安全管理流程的有机整合，实现中国石油 信息安全状况的可感知、可分析、可展示、可管理和可指挥，形成中国石油信息安全事件分析、风险分析、预警管理和应急响应处理一体化的技术支撑能力；通过完善安全运行管理体系，将安全运行管理组织、安全运维管理流程和安全监测预警系统三方面有机结合，实现事前预警防范、事中监控处置、事后追溯定位的信息安全闭环运行机制，形成中国石油统一的应急指挥与协调调度能力，为中国石油信息安全保障奠定良好的基础。

3 信息安全等级保护工作存在的不足及改进建议

信息安全等级保护管理办法 （公通字[2007]43号）正式标志着全国范围内的信息安全等级保护工作开始，通过5年的努力，全国信息安全工作形成了以落实信息安全等级保护制度为核心，信息通报、应急处理、技术研究、产业发展、网络信任体系和标准化建设等工作快速发展的良好局面，重要行业部门的信息安全意识、重视程度、工作能力有了显著提高。40余个重要行业出台了100余份行业等级保护政策文件，20余个重要行业出台了40余份行业等级保护标准，但同时存在着以下不足：

（1）对信息安全工作的认识不到位，对重要信息系统安全保护缺乏应有的重视。依据公安部相关资料统计，截至2012年6月，我国有18%的单位未成立信息安全工作领导机构；21%的单位未落实信息安全责任部门，缺乏信息安全整体规划；14个行业重要信息系统底数不清、安全保护状况不明；12个行业未组织全行业信息安全专门业务培训，开展信息安全工作的思路和方法不得当，措施不得力。20%的单位在信息系统规划过程中，没有认真制定安全策略和安全体系规划，导致安全策略不得当；22%的信息系统网络结构划分不合理，核心业务区域部署位置不当，业务应用不合理，容易导致黑客入侵攻击，造成网络瘫痪，数据被窃取和破坏。34.6%的重要信息系统未配置专职安全管理人员，相关岗位设置不完整，安全管理人员身兼多职；48%的单位信息安全建设资金投入不足，导致重要信息系统安全加固和整改经费严重缺乏；27%的单位没有针对安全岗位人员制订相关的培训计划，没有组织开展信息安全教育和培训，安全管理、运维技术人员能力较弱。

（2）重要信息系统未落实关键安全保护技术措施。重要信息系统未落实安全审计措施。在主机层面，有34.9%的信息系统没有保护主机审计记录，34.8%的信息系统没有保护主机审计进程，容易导致事故责任无法认定，无法确定事故（事件）原因，影响应急处理效率。38%的信息系统没有落实对重要系统程序和文件进行完整性检测和自动恢复的技术措施，35%的信息系统没有采取监测重要服务器入侵行为的技术措施，容易使内部网络感染病毒，对攻击行为无法进行有效监测和处置。

（3）我国信息技术与国外存在一定差距，安全专业化服务力量薄弱。具有我国自主知识产权的重要信息技术产品和核心技术水平还有待提高，依赖国外产品的情况还比较普遍；国内信息安全专业化服务力量薄弱，安全服务能力不强，部分重要信息系统的关键产品维护和系统运维依赖国外厂商，给重要信息系统安全留下了隐患。

为了有效提高我国企业信息安全水平，增加等级保护的可行性及执行力，建议：①各企业开展以信息安全等级保护为核心的安全防范工作，提高网络主动防御能力，并制订应急处置预案，加强应急演练，提高网络应急处置能力。②加大人员和资金投入，提高保障能力。③国家层面加快关键技术研究和产品化，重视产品供应链的安全可控。

主要参考文献

[1]中国石油天然气集团公司. 中国石油天然气集团公司全面开展信息安全等级保护工作为信息化建设保驾护航[J].信息网络安全，2012（1）.

篇7

【关键词】CA证书认证 体系设计 非功能性技术设计 内外网统一安全接入――P2P VSN虚拟安全域 社会工程学入侵

目前大部分市区级政务信息网络主要着承载政务办公数据流系统、对公众提供业务办理等系统以及基本的互联网访问权限。随着政务信息业务系统业务逻辑日趋复杂，体量日益庞大，在政务信息系统的风险控制，安全运维成本，科学管理，方面将迎来一个全新的战场。

当前政务信息系统有或部分有以下问题：

区县的相关管理、运维人员能力匮乏，网络安全知识相对较落后，对全局政务网的硬件服务器、存储、数据库软件、应用服务器中间件、相关政务信息业务系统并没有做到了如指掌不能完全驾驭全局运维与安全保障。在出现故障时无法从业务角度快度锁定故障起源点，无法对故障进行深度解析并提供完整解决方案并实施。

区县政务信息系统是没有统一的认证授权并各自为政，无法做到访问控制，没有USB-KEY，CA证书认证等技术融入，病毒非常容相互间在各个系统中传递感染，重要数据岌岌可危；区县政务网基本没有全网的日志审计和客户机上网行为管理的，各种繁杂的应用安全系统设备产生的安全事件以及网络安全行为监控各自独立，冗余度过高，没有科学的审计，有效的整合，出现问题业务系统管理员根本无法防御爆炸式连锁攻击，安全风险系数极高。外网办公接入设备直接接入业务网，没有对过程数据流进行监察审计，业务数据在网络中的传输缺乏近乎透明传递，安全隐患非常严重。

政务信息网络发生故障或者爆发大规模病毒攻击时，无法精准锁定攻击源头，从根源控制攻击，整个处理过程也缺少科学的提高故障解决手段，缺少应急预案，缺少专家应急小组。

这些问题必须且毋庸置疑的解决和改善，应采用以下技术和策略：CA证书认证体系设计，非功能性技术设计，内外网统一安全接入――P2P VSN虚拟安全域，USB-KEY，动态短信密码，一次性口令等方式，堵着社会工程学入侵缺口。

1 政务信息系统及网络安全运维的实践

实现终端内外网统一接入：整合梳理办公内网和Internet网络的用户认证、访问授权、资源权限等问题，彻底不留隐患的有效的解决办公内网的安全接入和Internet网络安全接入，彻底清除未授权终端非法用户对政务信息系统的存在威胁，确保了政务业务系统的数据在政务网络中安全数据流传输的可靠性。

完整的用户行为和关键政务信息系统数据流日志审计，记录并保留一个月以上的用户上网行为是非常有必要的，在庞大的用户痕迹日志信息中进行初步数据挖掘，能发现潜在的安全隐患，防患于未然，将安全隐患控制牢牢控制，并扼杀。若已发生安全事故，可迅速定位事故爆发点，妥善快速解决问题，如事故造成严重的财产损失，可提交公安机关进行取证。

定期由专业安全运维第三方服务公司提供专家级业务报告，为下一步网络优化提供建议，保障网络持续、健康发展、安全：对整个被监控网络能够提供全面安全健康状态检测报告。报告内容包含客户机非安全访问记录、并发数异常记录、带宽控制效果、攻击发生统计等等。

2 政务信息系统及网络安全运维建设

2.1 政务信息系统建设内容应涵盖以下方面

建立覆盖区县政务信息系统所涉及的硬件服务器设备、存储设备、核心网络链路拓扑、政务业务系统结构、数据库并发数据链路流和中间件异常并况的综合管理安全运维平台，包括集中授权管理中心、面向业务的精确带宽流量控制系统和业务服务中心，系统应具备完整业务功能和良好伸缩性。

实现集中授权管理中心，建立集中安全管控平台：构建全网集中的用户账号管理、认证管理、授权管理、日志审计，为内外网用户提供统一的接入服务，加强内控管理，并且为精确带宽流量控制系统和业务服务管理中心提供管理控制依据。

面向业务的带宽流量控制系统：构建业务网络分析、净化、控制系统，进行全面的流量监视、净化和控制，有效提高链路的带宽利用率，保障重点业务的网络质量。

2.2 CA证书认证体系设计

为切实做好政务信息系统安全认证工作，提高各个区县网络安全保障水平和对应用系统的防护能力，建立CA证书认证体系。

遵循“建设政务信息系统统一的身份认证体系，为构建政务网络信任体系奠定基础，提高应用系统安全保障和防护能力”的目标，保证数据的完整性和保密性，确保用户来源和行为的真实性和不可否认性。

2.3 内外网统一安全接入――P2P VSN虚拟安全工作域

建立P2P构成的虚拟安全域，确保政务信息业务应用环境的安全性。

通过集中安全管控平台，用户终端无论在企业网内或是在互联网中，只需要能够在网络层与安全网关之间可达、通过身份认证后即可建立P2P VSN虚拟安全工作域，借由端到端的加密隧道与授权业务系统进行通信。

2.4 防止社会工程学入侵渗透

在以上的技术应用可以阻止90%以上的黑客攻击，但是有关信息系统及其网络安全的问题是矛与盾永无休止的话题，事实上，没有任何技术能防范社会工程学攻击。这就是安全方面做薄弱的环节：人！

政务信息所有工作人员都应该进行定期前言安全知识培训。

政务信息系统所有业务干系人都应懂得基本的安全策略，策略是指导业务人员行为保护政务信息系统与敏感信息所必须的规则。

参考文献

[1]张丽丽.新常态下推进“互联网+政务服务”建设研究――以浙江省政务服务网为例[J].浙江学刊，2016（05）.

[2]冯巧玲.IPS在电子政务系统中的部署与实现[J].西安文理学院学报（自然科学版）， 2015（02）.

[3]刘邦凡，关梦颖.电子政务的信息安全立法[J].电子商务，2014（01）.

篇8

关键词：软交换；网络安全；安全区

中图分类号：F626.3 文献标识码：A

软交换网络一个很大的优势就是具有开放性的平台和接口，这样可以方便的进行业务扩展，这样各种第三方的业务以及网络都可以方便的和电信网络实现无缝连接。这就导致电信网络的规模以及业务类型十分的反正，传统互联网所面临的病毒、黑客等危险也随之蔓延到电信网络上，从而给运营商的服务造成巨大的威胁。因此，对于软交换来说，能否做好安全保障工作是一个非常重要的环节。随着软交换技术的使用以及推广，这就导致软交换面临着传统的网络安全问题。同时，软交换网络和传统网络相比还有自身的一些特点，因此其安全问题也具有自身的一些特点。在进行软交换安全防护的过程当中一般都是从软交换设备本身以及网络这两个大的方面为切入点来进行的。首先应该确保软交换的相关设备自身在设置上的安全，并且做好相应的硬件和软件防护工作，从而使软交换设备自身具有一定的安全防护能力。而对于网络的安全，则是对于软交换的承载网络安全采取相应的措施，建立健全完善的保护机制，防止通过网络对软交换设备造成的攻击。

在软交换网络建设过程当中一定要同时抓好软交换设备安全以及网络安全，两者相辅相成，缺一不可。运营商首先要在思想上引起足够的重视，做好相应的软交换安全保障工作。

1软交换面临的主要安全隐患

软交换所面临的安全问题十分多样，种类层出不穷，但是大体可以分为以下几个方面：第一，网络安全，主要是软交换网络自身的安全；第二，终端安全，终端主要是指用户侧的终端设备。当前对于用户终端的病毒以及攻击十分常见，由于软交换网络无法对其进行有效的防范，因此往往利用终端对网络发起攻击，进而对软交换的设备产生影响；第三，设备安全，主要是指各种软交换的承载设备自身的安全，这种安全隐患大多都是由于设备运行不规范或者是外部对其进行攻击。

2软交换安全服务措施

由于软交换所面临的安全隐患十分繁多，因此必须做好相应的防范工作，为用户提供安全的服务，可以通过以下几个方面的措施来实现。

2.1保密性。应该采取相应的手段对软交换网络中传递的数据进行相应的加密，从而防止没有经过授权的用户非法截留数据。这样讲数据以加密的形式传递，即使数据被截留，那么也没法进行解读。除此之外，应该做好相应的数据传输端口的防护工作，防止非法对相应的端口进行监听，保护数据的安全性。

2.2认证。建立严密的身份认证程序，防止用户合法身份被盗用，而对资源进行窃取。对于数据传输之前双方的身份以及数据来源进行认证，从而保证通信双方都具有相应的合法身份和对应的权限。将业务和实体身份进行捆绑，防止身份被盗用或者是伪装欺骗。

2.3完整性。为了防止未经授权的用户对数据继续非法修改，可以利用VPN技术进行通信。为了防止数据受到损坏，可以积极采用数字签名以及其它的完整性检测技术地数据完整性进行检测。

2.4 访问控制。通过完善的授权机制对于网络中的关键部分提供保护，对于相应的访问者进行等级划分，具备相应的等级才能够访问相应的资源，防止对于没有权限的资源进行使用。建立完善的数据库，用于存储安全认证信息，用户进行认证时需要将信息进行严格的比对。对于认证信息数据库也应该设立较高的等级，防止数据库被非法篡改。

2.5安全协议。目前应用较多的是IPSEC,SSL/TLS。至于MPLS, 严格地说它并不是一种安全协议, 其主要用途是兼容和并存目前各种IP路由和ATM交换技术, 提供一种更加具有弹性和扩充性的、效率更高的交换路由技术, 它对网络安全贡献应主要在于流量方面。

3软交换安全方案

软交换网络安全的实现, 有多种方案可供选择,下面介绍的IPSEC(ESP遂道模式)+SSL/TLS+认证服务器/策略服务器+FW/NAT是一种可运营解决方案。IPSec 体系提供标准的、安全的、普遍的机制。可以保护主机之间、网关之间和主机与网关之间的数据包安全。由于涉及的算法为标准算法,可以保证互通性,并且可以提供嵌套安全服务。另外对IPV6 而言它是一个强制标准,是今后发展的一个趋势。

IPSec协议主要由AH (认证头)协议, ESP(封装安全载荷)协议和负责密钥管理的IKE(因特网密钥交换) 协议三个协议组成。认证头(AH)协议对在媒体网关/终端设备和软交换设备之间传送的消息提供数据源认证,无连接完整性保护和防重放攻击保护。ESP协议除了提供数据完整性校验、身份认证和防重放保护外, 同时提供加密。ESP 的加密和认证是可选的, 要求支持这两种算法中的至少一种算法, 但不能同时置为空。根据要求, ESP 协议必须支持下列算法: 第一，使用CBC 模式的DES算法。第二，使用MD5的HMAC算法。第三，使用SHA-1的HMAC算法。第四，空认证算法。第五，空加密算法。数据完整性可以通过校验码(MD5) 来保证；数据身份认证通过在待认证数据中加入一个共享密钥来实现；报头中的序列号可以防止重放攻击。IKE协议主要在通信双方建立连接时规定使用的IPSec协议类型、加密算法、加密和认证密钥等属性,并负责维护。IKE采用自动模式进行管理, IKE的实现可支持协商虚拟专业网(VPN),也可从用于在事先并不知道的远程访问接入方式。

认证系统和策略系统对商用软交换系统而言是必不可少的。它们在管理层面上实施访问控制、信息验证、信息保密性等措施,可以为网络提供安全保证。同时, 认证服务可以提计费的准确性,保证网络的商业运营。

防火墙/NAT 是保证网络安全必不可少的一部分。防火墙种类繁多,它在较交换中的窍越问题可以通过两种方法实现:一是使用TCP；二是用短于关闭墙口时长为周期,不断发送消息,维持端口开启

4结束语

基于软交换的NGN 网络所存在的安全问题一直以来受到大家的关注。而作为数据网络上的一种新兴的应用,以IP作为承载媒体的软交换所面临的一些安全隐患, 实际是目前IP 网络上存在的若干问题的延续。只有很好地解决了网络的安全问题,同时配合产品本身的一些安全认证机制,软交换才能够在新的电信网中持久稳定的发挥作用,并成为解决话音、数据、视频多媒体通信需求的有效解决方法, 并最终完成“三网合一”。

网络安全工作是一个以管理为主的系统工程, 靠的是“三分技术,七分管理”, 因此必须制定一系列的安全管理制度、安全评估和风险处置手段、应急预案等, 这些措施应覆盖网络安全的各个方面,达到能够解决的安全问题及时解决,可以减轻的安全问题进行加固,不能解决的问题编制应急预案减少安全威胁。与此同时,需要强有力的管理来保障这些制度和手段落到实处。

参考文献：

[1] 徐鹏,廖建新,吴乃星,马旭涛.基于软交换的集群媒体服务器的安全问题及其解决方案[J].计算机应用研究,2006(6).

篇9

关键词：信息科技；风险；防范与控制

中图分类号：F832.35

信息科技在农村金融机构中发挥的作用也越来越大，各项业务对科技支撑的依赖程度越来越高，信息科技逐渐成为农村金融机构稳健运营和发展的支柱。但也应该看到，随着对信息科技投入的不断增加，信息系统规模的不断扩大，信息科技风险的难测性和隐蔽性带来的风险也越来越突出，信息科技风险潜存的威胁越来越严重。目前，农村金融机构信息科技风险管理水平仍处于初级阶段，如何有效管理信息化过程中产生的信息科技风险，使现代化的信息科技更好地服务于业务发展，已经成为农村金融机构必须面对的挑战。

1 农村金融机构信息科技所面临的风险

农村金融机构信息科技风险是指，信息科技在被农村金融机构运用过程中，由于技术漏洞、管理缺陷、人为因素、自然因素等原因而造成的问题或危机。我国农村金融机构信息科技管理手段相对落后，管理机构对信息科技的风险认识不足，对科技风险管理工作不够重视，信息管理水平较低，发生风险事故的概率高，且一旦发生危机，难以拿出强有力的应急处置措施。具体来说，在以下几方面体现尤其明显：

1.1 对信息科技管理认识不足

目前我国农村金融机构管理层普遍对信息科技风险认识不足，主要体现在两方面。一是存在如下普遍问题：重信息科技建设，轻信息科技管理；重提升信息科技建设的档次，轻信息科技风险的防范；重银行业务的发展，轻风险管理和长期规划。这与他们对信息科技管理知识的缺乏有关。二是从业人员方面。信息科技管理需要农村金融机构内所有人员的参与，上至领导层，下至普通员工，乃至一线操作人员，目前都没有形成人人有责的风险防范意识，对信息安全的重要性认识不足。

1.2 缺乏必要的应急机制保障

尽管农村金融机构都会制定系统应急预案，但往往忽略配套的应急培训，缺乏有效的应急演练和压力测试，一旦紧急事故发生，对问题的及时完满处理就得不到保障。有些农村金融机构制定的系统应急预案存在着涵盖面过于笼统，在针对性和可操纵性方面存在着不足，这又直接关系着问题的处理效果。更多的农村金融机构在业务连续性方面缺乏有效的技术支持，只局限在网络及数据的备份层次，没有灾备，再者管理组织不够完善，一旦发生重大风险，就难以完成应急的有效性。这些情况都严重影响着应急执行效果，对风险的有效排除和危机的处理难以保障。

1.3 缺乏健全的组织机构及岗位设置

我国农村金融机构对科技部门重视不足，普遍存在科技部门人员配备不足的现象。一个科技人员往往身兼数职，在重要岗位经常发生AB岗位制度难以落实的情况。虽然有风险管理部门的设置，但该部门一般只发挥管控资产、负债类业务风险的作用，不涉及信息科技风险职能。农村金融机构应该高度重视科技风险管理工作，设置更健全的组织机构和岗位，不能让科技部门既是信息系统的建设者和维护者，又是信息科技风险的管理者，因为这样会在形成有效的制衡机制、有效识别并量化可能存在的信息科技风险方面存在着不足。

1.4 科技从业人员素质相对偏低

目前我国农村金融机构科技部门普遍存在着从业人员专业素质偏低的现象。现有的从业人员工作重点主要体现在日常基础性设备和网络工作的维护，更多掌握的是系统设备维护、机房管理等常规性工作，忽视了专业化的信息科技风险培训，因而对信息科技风险管理知识和相关专业知识相对缺乏，对信息科技管理、规避科技风险等管理性工作涉及较少，很难有效及时认识到各项系统存在的漏洞，更别提全面隐患的排查和消除。

1.5 基础设施安全建设存在隐患

基础设施安全的隐患主要体现在两方面：一是机房管理不善；二是网络运行安全性不高。我国农村金融机构的机房普遍存在着防火、防水、供电等不达标的现象，没有设置相应的防雷系统，门禁系统缺失、监控盲区的存在等等，这都是机房管理安全急需解决的问题。在网络运行方面，由于数据的大集中，对农村基层网络的稳定性和通畅性都提出了更高要求。现实情况是，农村金融机构存在未按监管要求配置主备通讯线路现象，这样导致基层网点出现不能正常办理业务的可能性增大，造成不良的影响。

1.6 电子银行风险管理不到位

信息科技的出现为农村金融机构各项业务的丰富和高效提供了方便，促进了我国农村金融机构信息科技建设的飞速发展。随着信息科技在各个业务领域的不断深入，农村金融机构的业务呈现飞速增长趋势，尤其是信息科技的优势体现――电子银行的应用。在这样的环境下，多数农村金融机构的管理重心都放在了传统业务发展方面，疏于电子银行风险的管理。虽然制定了电子银行相关的各项管理制度，但在具体的执行上，仍然存在着严重的不到位情况，加上人员配置的不够，最终直接导致电子银行风险管理缺失。因此，目前我国农村金融机构中的电子银行风险处于多发、高发期。

2 农村金融机构信息科技风险防控策略

2.1 增强风险防范意识，加大风险管理投入

信息科技工作对农村金融机构经营起着重要基础和保障作用，必须充分认识信息科技风险防范在金融机构监管中的重要性。农村金融机构高层管理者必须提高信息科技风险防范的思想认识，对信息科技风险的管理加深了解，加强信息科技风险监管工作的管理工作，最终将信息科技风险管理工作纳入日常经营中去。同时，要加强信息科技安全建设方面的投入，及时消除信息科技系统所面临的各种风险和隐患，保障农村金融机构的稳步和连续性运行。

2.2 完善应急预案，加强应急演练

农村金融机构要细化危机场景，完善应急预案，定期对信息科技人员开展应急管理培训，根据自身实际情况不断完善应急预案的内容，做到“责任明确、流程明确、预案明确、报告明确、联络明确”，并确保预案的具体性和可操作性，从业人员在不断进行应急预案演练的过程中，不断提高自身的应急能力、抗风险的能力和处理突发事件的能力。另外，为了确保信息系统业务的连续性，农村金融机构还要加强业务连续性管理，根据自身真实状况加强业务连续性体系建设，制定切实可行的业务连续性计划，并定期不定期开展业务连续性应急演练。

2.3 增强从业人员专业素质，加强岗位管理

针对高素质专业从业人员不足和岗位配置不足的问题，一是加大农村金融机构的人员投入，引入高素质的信息科技人员，同时加大从业人员的培训力度，培养一批专门从事信息科技风险管理工作的专业人才。其次是增加管理、运行、维护等岗位人员的配置，关键岗位设置有效的AB岗位，满足岗位需求。最后，根据《商业银行信息科技风险管理指引》要求，完善相关信息科技风险管理管理制度，加强信息科技风险审计，最终形成人员控制、制度保障、审计监督三位一体的信息科技风险管理模式。

2.4 加强基础设施建设，提升基础设施安全水平

重点加强机房电力、UPS、消防系统等关键机房环境设备安全的保障，针对基础设施不完善的情况，农村金融机构要采取有效措施改善，保障业务系统工作的连续性。同时完善机房管理制度，实时监控各种设备的运行状况，做到对设备故障的有效预测和报警。还要组织专业人员定期对基础设施进行风险排查，检验基础设施相关的安全、流程和管理措施漏洞，确保基础设施安全管理有效性

2.5 加强电子银行风险防范

农村金融机构要采取必要手段防范犯罪分子利用银行卡、网上银行、ATM、POS等金融机具实施的不法活动。一方面，可通过提高网络安全、网上银行身份认证等级、合理制定POS、ATM和网上银行的交易限额等技术手段加强防范，另一方面可借助通过公众金融服务教育和柜面宣传增强风险防范合力，加强审查力度，强化电子银行业务风险防范。

2.6 加强风险管理文化建设，提高员工风险意识

风险管理文化是风险管理体系的灵魂，要树立信息科技风险管理文化意识，大力塑造与培育浓厚的信息科技风险管理文化，同时将信息科技风险管理文化建设很好地融入到企业文化建设中，并将信息科技风险管理文化转化为广大员工自觉的行动与共同的认知。加强员工信息安全教育及法律素质教育，增强法律观念和信息科技风险防范意识，人人正确树立信息科技风险意识，人人提高信息科技风险知识水平。

参考文献：

[1]中国银行业监督管理委员会.农村中小金融机构风险管理机制建设指引，2009-12-1.

[2]中国银行业监督管理委员会.商业银行信息科技风险管理指引，2009-3-3.

篇10

关键词 电子政务 信息安全体系 安全支撑体系

中图分类号：TP393 文献标识码：A

新时期的经济、文化、生态文明建设等都离不开电子政务的支撑。在对电子政务系统进行建设中，由于其自身发展的不完善，以及各种有意无意的电子政务违法犯罪行为，利益集团在电子政务上的利益博弈，进而使得电子政务安全问题频频发生。

1电子政务系统安全介绍

1.1电子政务系统的信息安全及其重要性

由于电子政务系统建立在互联网基础平台上，包含政务外网、内网和门户网。而互联网是有很多缺陷的全球网络，自身的安全风险隐患很多，使在互联网上开展的电子政务应用面临着严峻的挑战。

电子政务系统的信息安全是指一个国家的政府信息资源不受外来的侵害与威胁，信息资源不被故意的或偶然的非法授权泄漏、更改，防止信息被非法入侵者辨识、窃取、控制、利用等。信息安全成为如今政府信息化中的关键问题。安全问题是电子政务建设中的重中之重。信息安全包括：存储传输、系统风险管理、审计跟踪、备份与恢复、应急响应等方面的安全内容。

电子政务直接涉及到各级政府的重要核心政务，必须要求电子政务实施的过程具有极高的可靠性和安全性。电子政务系统中的信息安全还涉及到了公众权益、个人信息保密，甚至国家利益、社会稳定和国家安全等重要的问题。

1.2电子政务系统的信息安全意义

信息安全主要是采取各种措施，保证信息的机密性、完整性、一致性和不可否认性等。信息安全技术广泛应用于电子政务，规范了政务处理的流程，加快了信息流动，提高了政务处理效率，给政务工作方式带来了全新的变化。

当今，我国电子政务中信息安全技术主要有：数据加密技术、认证技术与数字签名、信息安全分级等级保护方法、入侵检测安全技术、政务系统安全域划分技术、虚拟专网技术、防火墙技术。

2电子政务系统结构模型及其系统安全体系的分析

2.1电子政务系统结构模型

我国电子政务系统结构从“三网一库”到政务内外网结构，使得数据信息能够实时快速的进行交换处理，地方政府尤其是基层政府对群众的服务需求的反应更加迅速。内外网结构模型，如图1所示。

2.2电子政务系统安全体系的分析设计

保障电子政务系统安全各组成部分构成电子政务系统安全体系。它包括电子政务安全支撑部分与电子政务安全法律法规部分，而电子政务安全支撑部分又由安全基础设备与设施、信息安全技术、安全管理、安全应急响应系统组成。

要建立全方位、多层次的、完善的电子政务系统安全体系，需要从这电子政务安全支撑部分的四个部分与电子政务安全法律法规部分这些方面来设计构造电子政务系统安全体系的框架模型。

3电子政务安全支撑结构构建

3.1电子政务系统安全的隐患介绍

电子政务系统安全性被破坏，造成机密的信息暴露或丢失，或网络被攻击导致系统功能毁坏等安全事件，带来的后果必然极为严重，不堪设想，电子政务信息系统也必然成为信息间谍、黑客等各类违法犯罪分子攻击的目标。电子政务系统安全主要包括以下方面的隐患：物理安全、系统安全、网络安全、应用安全及管理安全。

3.2电子政务安全支撑构建分析

根据电子政务系统安全隐患，电子政务安全支撑部分主要由以下部分组成：安全基础设备与设施；信息安全技术；安全管理；安全应急响应系统。

（1）电子政务建设的安全基础设备与设施

电子政务系统安全基础设备与设施是指能够为电子政务系统提供安全保障的物理硬件环境、设施设备和软件环境。它的具体内容主要包括以下方面：

①保护电子政务物理硬件设备、设施以及其它硬件媒体免遭水灾、地震、火灾等环境事故，人为操作的失误或错误，及各种计算机犯罪行为导致的破坏物理硬件环境、设施设备。

②能够为电子政务系统中的通信、交易各方提供共同信任的权限授予、握手协议、秘钥的分发和身份认证的公共第三方安全基础设施，它包括基于PKI技术的CA认证中心、可信的时间戳服务中心、密码秘钥管理中心、基于PMI的授权管理设施、信任策略库等安全基础设施。

（2）信息安全技术

电子政务安全技术是指保护电子政务系统正常安全工作的安全方法、原则、规则等。安全技术是由保障电子政务系统安全工作的技术组成的总和，电子政务安全技术主要由信息安全技术构成。信息安全技术广泛的应用在对电子政务系统起安全防护作用及起基础安全支撑作用等其他辅助作用的系统中，它负责电子政务系统的网络安全、局部计算的环境安全、区域边界安全等方面的保护以及能够为电子政务系统中的通信、交易各方提供共同信任的权限授予、握手协议、秘钥的分发和身份认证的基础安全支撑，它包括应用在防火墙系统、漏洞扫描系统、入侵监测系统、路由器、Web防篡改系统、DNS服务器安全系统、网络防病毒系统、基于PKI技术的CA认证中心、密码秘钥管理中心、基于PMI的授权管理设施等设施或系统中的信息安全技术。

（3）安全管理

保障电子政务系统安全的一个重要核心是安全管理，安全管理是确保安全技术得以有效实施的重要保障。依据电子政务系统的安全需求及系统所出现的问题，安全管理部分应该包括以下内容：安全管理的组织机构的设立、安全管理的规章制度的制定、对安全技术的管理、对系统工作人员的管理与培训、安全管理技术体系、对安全基础设备设施的管理、安全策略的制定与管理、对系统安全问题的管理、对从事电子政务系统安全工作的单位与个人的资质证书的认证等、对系统安全性能风险的评估与安全资产价值的评估、对安全管理的组织及其管理工作人员的工作职责的监督审查等。

（4）安全应急响应系统

安全应急预案又称为安全事件预警与应急响应方案，它是建立起应对安全突发事件的综合系统，电子政务安全应急响应系统是指通过整体部署入侵检测、安全性能风险评估、预警与响应等的应用，作为有效的技术支撑手段，建立起以安全工作人员队伍为基础、技术服务队伍为后备，构建组织管理，制定制度规范标准、预案流程等综合措施，以便尽早分析、发现和确认将要发生或己发生的有严重危害的网络安全和计算机突发事件，并对其进行应急响应，采取有效应对措施，以尽可能降低将要造成的危害和损失的综合安全系统。

安全应急响应服务指当安全事件发生后，安全运维服务团队根据安全突发事件及预案快速应急响应。应急响应预案应按照准备、检测、抑制、根除、恢复、跟踪等一系列标准措施制定，保证网络安全无忧，预防危险发生。应急处理和灾难恢复。这是电子政务建设近期迫切需要的。

（5）电子政务安全法律法规

国家相关部门最新数据显示，中国遭受境外网络攻击的情况日趋严重，仅今年前两个月，就有境外5324台主机通过植入后门对中国境内11421个网站实施远程控制，此外，针对中国网上银行、支付平台、网上商城等的钓鱼网站有96%位于境外，中国境内遭受网络攻击的情况十分严重。因此面对如此严峻形势，需要国家相关部门尽快出台国家信息安全战略，确保网络空间有法可依，并加大网络违法犯罪打击力度，整合部门、企业、社会组织等构建国家网络安全综合防御体系，切实维护网络安全，尤其是保障电子政务网络的安全。

4总结

如何保障电子政务安全，做好电子政务安全建设，成为各国政府亟待解决的问题。作为一个庞大的系统工程，电子政务系统安全体系的建设是其中的一个极为重要的复杂的系统工程，信息安全支撑部分是电子政务系统安全体系中的重要组成部分，也是保障电子政务系统安全的极为重要的手段。通过对电子政务系统信息安全支撑系统进行介绍，进而为构建安全电子政务系统提供一定借鉴意义。

参考文献

[1] 张剑锋.电子政务安全体系研究[J].数字技术与应用，2013（11）.