電子政務安全保障體系的探索

    在17號文件當中特別提到要建立電子政務的安全保障體系，緊接著到2003年7月份信息化領導小組第三次會議上正式通過了一個《關于加強信息安全保障工作的意見》，被大家稱為27號文件，重申一條要發揮各界積極性、共同構筑國家信息安全保障體系。這里面有很多要點，我列了八條，比如提出來在信息安全建設中要重視信息安全的等級保護制度的執行，關于這個問題四部委已經聯合發了一個關于信息安全等級保護制度的意見，在這里面要建設基于密碼技術網絡信任體系，這里的要害就是關于身份認證的問題，基于PKI數據認證以及部門的授權、責任認定等等。第三個是建設國家層次、領域層次的信息安全網絡監控體系，第四是要重視信息安全的應急工作，出現重大災難和事故的情況下，這到指揮、響應、協調、通報的制度，第五是國家提出來要信息化，最終中國的信息化要搭建在中國的、具有知識產權的信息安全支撐平臺上的還有關于法制標準等等，這是27號文件提出的一些要點，隨著27號文件之后2004年1月9號我們國家信息安全協調小組，黃菊是副組長，主持了一次我們國家信息安全的高層會議，在這個會議上都是各省部委的一二把手，黃菊副總理做了主題報告。在這個報告里特別強調了由于我們國家信息化的高速發展，各行各業，包括政府對信息化信息技術的依賴程度越來越強，提了幾大案例，也提到了幾年之后很多手工系統想恢復都沒了。在廣域網的情況下安全問題越來越重要了，所以在這個會上提出了一定要一個并重，在信息安全上管理和技術并重，要兩手抓，一手抓發展，電子政務點射，一手一定要抓電子政務安全保障體系的認證，三個同步，同步規劃、同步發展、同步建設，而且提出來要用新思路、新眼光，建設信息安全保障體系。

　　當前電子政務面臨的威脅都有哪些呢？確實從政府的需求來說和商業需求是不一樣的，所以它威脅的領域、內容、方式也是不一樣的，可能有這幾個方面，比如說黑客和計算機犯罪，篡改政府的網頁，第二是病毒，第三是機要信息的流失，現在保密局已經統計了我們國家在網上的涉密信息流失已經達到了50%，傳統的紙介質、聲音等的失密比例正在下降。網上恐怖活動與信息戰，還有內部人員違規和違法，電子政務的犯罪、案件75%主要出自內部和內外勾結。還有安全產品的失控，現在社會上關于分發式威脅，從產品研制、開發到成為產品銷售維護到升級整個過程中會不會有人嵌入源代碼，嵌入病毒到一定時候發作，國際上有這方面的例子，所以用戶要增強自主權和對安全采購產品的可控權。在27號文件當中很多專家都提出來怎么想辦法構建安全保障體系，要增強信息網絡的防護能力、隱患發現能力、網絡的應急反應能力和信息對抗能力，保證你的信息、你的服務具有五性，這五性叫法很多，但是今年年底我們國家就會出一套信息管理國家標準，里面就提到了傳統的三性就是保密性、完整性和可用性，和進來發展的真實性、可核查性。

　　構建一個電子政務的保障體系要遵守一套安全策略，一個正確的策略會對體系的健康性帶來很大的支撐，這些策略就不說了。什么是電子政務的安全體系呢？

　　從國家政策講是六個方面，一個是保障電子政務安全的法規，保障電子政務的組織管理體系，安全標準，為了構建一個強壯性、健壯性信息安全體系堅持一種什么樣的安全工程和服務機制，另外是要提供安全技術和產品。

　　再一個是從國家行業方面如何為廣大用戶提供一種安全的基礎設施，這個體系的幾個要素我就簡單給大家做一點描述了。法律當前最有名的一個法律，也是中國信息化的第一部法律，通過人大的8月28號的電子簽名法，這部法律對于信息化的安全建設、信息化的推動具有非常重要的意義。比方說電子政務，很多部門公文已經在流轉了，這些部門靠上級、下級之間的嚴格關系，靠下級對上級的服從，真正的電子文章要到法院打官司是不能作為證據的，特別是由于電子政務的邊界正在擴大，現在稅務要給納稅人網上納稅，工商要網上年檢，勞保要網上醫保、就業，電子政務正在擴展，很多文件已經不完全在政府內部流轉了，怎樣保證電子政務公文的法律效益，這個法是非常重要的。全世界將近有30個國家已經立法了，我們國家這次一年半的時間通過，明年4月份正式執行。電子簽名法涵蓋了很多內容，大家有機會可以自己看一看。這里面不單純是同法律條文上，甚至對將來怎么去認真、怎么簽名這些環節的很多約束都很有重要意義。

　　另外一個要素是安全管理組織，國家信息化領導小組組長是總理，在這個小組下面專門設立了國家網絡信息安全組，組長是黃菊，已經開了很多會議。國際標準是ISO17799，這個標準是十大類，27個方面，一百多項對信息化過程中的管理要素都做了很詳細的規范，而且很有指導價值，所以我們國家已經兼容它，但是要本地化地加了很多內容，它是從管理策略、組織人員、資產分類、運行配置、審計、標記、維護和作業連續性的保障等等都有很多說明，這是集很多人的智慧形成的，當然也不完善，第二版本正在改進。在信息安全管理的制約和控制上不是一個階段的，一定要從全過程來考慮個信息安全才會是強壯的，應該從立項、采購、外包、評估、運行到制度建立都應該重視安全建設。

　　第四個要素是要構建信息安全的標準和規范，這里我列了一些國際上已有的標準，很多標準咱們國家也都在采用，數字證書是用國際上X.509.V3，像訪問控制大家也都在實施，安全測評、入侵檢測、體系結構、內容分級以及安全管理這些在信息安全工作中具有很大的作用，標準是眾人智慧的結晶，按照標準來做系統的可延展、可擴張性就好。國家信息辦跟質檢委在02年4月15日成立了我們國家信息安全標準化委員會建立了10個工作，很多科研部門、企業都參加了，從體系標準、內容、密碼、PKI、評估、能夠管理等一系列的標準。這些標準的進展挺快的，經過一年多，今年年底報批搞了16項，送審稿25項。有6項今年要出臺，比如關于應急等等都屬于今年要報批稿的16項，現在總的研究項目有一百多項和安全方方面面相關的，我想我們國家標準的出臺對指導我們國家信息安全體系是非常有價值的。

　　另外一個要素就是關于信息安全系統的工程和服務，大家知道信息安全是一個系統，就像木桶原理，構建這樣一個系統就涉及到系統學的問題。怎么樣從全過程來研究構造一個強壯的系統，國際上有ISSE，IATF，CC，TESEC都認證了構建一個系統要從全過程來考慮，沒有做之前要做好安全系統的分析，包括系統的弱點、威脅、風險、對策等等，要素是從五個層次來做的從物理層、網絡層、系統層、應用層、管理層來做，包括構建全過程的風險控制，包括系統一旦建設成以后對電子政務來說一定要進行安全的風險評估，形成你的強壯性的策略。這些是指導構件信息安全體系的構成，這些流程是多人經驗的積累，很有借鑒意義。在構建一個信息安全系統時要提供很多安全服務，這我就不說了。

　　第五個要素是關于信息安全技術機制的發展趨勢，從互聯網最開始從信息交換安全開始，到發展成除了Extranet到面向對象安全，這是需要全面來考慮的。加密技術現在發展很快、認證、鑒別、訪問控制、網絡邊界防護、病毒防治、網絡的隱患掃描與發現，內容的過濾與區別，包括網絡的預警和攻擊、內容產權保護、安全基，你的CPU、數據庫、操作系統這就是安全基。這在電子政務間是很重要的問題。為什么電子政務C2標準是商業標準，但是很多電子政務的平臺還是用C2，我們國家的B1正在發展之中不是太成熟，國外的B級平臺是向中國禁用的，在用C2標準平臺上完成電子政務很多重要內容的標準，怎么樣采取架構技術，這里面配置、加固建設等有很多辦法。

　　另外是審計與取證，備份與容災，可信計算也是一個挑戰，另外還有安全基金管理。談到技術安全，現在大家都在面臨的一個問題是縱深防御的問題。在縱深防御中我參加了一些部委和省市電子政務安全討論中都有一個很尖銳的問題，就是網絡信息域的科學劃分和合理控制，這個問題做的好就會帶來很大的好處，做不好就會帶來很多安全漏洞。內網、外網除了業務需求之外還是有安全含義的，最近國信辦都參加了一個新的平臺，這也是用戶的需求專網計劃等等，在這樣一些形態中采取什么樣的科學采取非常重要，有的部門把不該劃進去的非國家涉密劃到內網，有的人把國家涉密內容劃到外網去了，這也是不允許的。所以在安全這個問題上欠保護是不允許的，過保護也是沒必要的。為什么國家現在提出來等級安全的概念，就是要科學劃分的問題，這樣才能該保的保得住，不該那么高強度保護的劃進去?？隙ㄒ幸粋€核心的內網，也要有外網或者是專網，互聯網，通過安全邊界來保護各自的域，這里面有很多安全基礎設施。內網大家看一看就行了，對于內網來說有幾個環節就不說了，對于內網大家經常談到的是什么是內網的物理隔離，其實物理隔離分四個層次，屏蔽就是物理層的隔離，終端一級是社會有很多雙網機、雙盤型、雙區型。信道什么叫物理隔離？你可以用公用信道，但是端到端的信息必須功過國家保密辦指定的加密過的隔離，網絡隔離現在大家在做的網閘到現在都沒有被保密局批準。對外網的連接也不說了。

　　在安全技術上我特別說了一句，對電子政務來說強化內部審計是過去咱們不太重視的，但是確實是存在這方面威脅的問題。什么叫強化內部審計呢？審計不但是過去的那種，要網絡級的審計，這是防外部的，很多本來是內網自己連到互聯網的，你怎么查出來對他是威脅呢？如果系統員違規違法來做的話，你怎么能夠保持它的安全呢。最后一個要素是信息安全基礎設施的支撐，是不是每個單位都去建信息中心，另外怎么配置應急支援體系，災難恢復基礎設施問題，密鑰管理這些都要有國家、有地區來建設，這樣降低成本，提供了比較強的支撐。

　　關于風險評估的基礎設施，我們國家這個體系正在建設，國家成立了這方面的協調小組、專家組，國家以后對電子政務的安全要有檢查評估，這種檢查評估就是一種強制性的防止你自己說安全，你的系統集成商說安全就不能只靠這兩個了。另外對災難備份方面，9.11事件嚴重地教訓1200個公司，有400個單位生存下來了，另外800個公司倒的倒，垮的垮，系統的很多數據都沒了，所以重視災難恢復是很重要的。但是一定要有科學的策略。錢是有限的，而且災難恢復是一定要做的，怎么平衡這兩者之間的關系。

　　我上面講了一下國家安全體系建設，這對部門建設都是有益的，你構建一個系統如何遵循國家給你提供的標準、規范和政策框架，怎么樣充分享受好國家為你提供的信息安全基礎設施的測評，怎么選購國家已經認定的那些具有安全保密強度的產品和服務，在構建信息系統周期全過程，從結構分析、威脅分析、脆弱分析到安全需求挖掘等全過程來進行信息安全的規劃和設計，當然很重要的是在五個層上做細化?？傊?，希望大家在構建一個健康的電子政務系統時不要忘了安全，一定要同時、同步地建立安全保障體系，才能保障你的電子政務信息安全共享。