《九章电子政务信息安全演示教学》由会员分享，可在线阅读，更多相关《九章电子政务信息安全演示教学（141页珍藏版）》请在金锄头文库上搜索。
1、第九章电子政务信息安全,第一节 电子政务信息安全需求与策略 第二节 电子政务信息安全整体解决方案 第三节我国电子政务信息安全管理组织,目录,第一节 电子政务信息安全需求与策略,电子政务安全的宗旨：在电子政务系统建设和实施过程中充分考虑各种风险，最大限度地保护硬件、软件、信息和网络的安全，核心是保护电子政务信息安全，以确保电子政府能够有效行使政府职能。 一、电子政务信息安全基本需求 信息安全：包含信息系统的安全和信息的安全。 计算机安全：为数据处理系统建立和采取的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因而遭到破坏、更改和显露。这一定义也同样适用于电子政务信息安全。（国
2、际标准化组织ISO） 电子政务信息安全的基本需求：可用性、完整性、保密性、不可否认性和可控性（保障性）。,电子政务的安全目标有以下三方面：,一是保护政务信息资源价值不受侵犯。 二是保证信息资源的拥有者（政务主体）面临最小的风险和获取最大的安全利益。 三是使政务的信息基础设施、信息应用服务和信息内容具有可用性、完整性、保密性、不可否认性和可控性的能力。,美国国家安全协会统计数据,98%的企业都曾遇过病毒感染问题 63%的企业都曾因感染病毒失去文件资料 80%的Web服务器受到过黑客攻击 82%以上的企业建成内部网； 50%以上的CIO认为网络安全是最头疼的问题； 80%的国内网站存在安全隐患；
3、FBI调查表明，95%的网络入侵未被发现。,五个“不知道”,不知道采取什么措施有效地保护信息安全； 面对众多的网络安全产品，不知道如何合理选择； 购买产品后，不知道如何正确使用； 在使用过程中，不知道怎样制订安全管理机制； 出现问题，不知道怎么办。,投入对比,在国外企业IT投资中，网络安全投资占2030%； 在国内企业IT投资中，网络安全投资仅占5%左右；,第一节 电子政务信息安全需求与策略,二、电子政务信息安全威胁 一般主要来自技术和管理方面。 技术风险 技术方面的安全风险主要包括物理安全风险、链路安全风险、网络安全风险、系统安全风险和应用安全风险等5个方面。,= 第一节 电子政务信息安全需
4、求与策略,物理安全风险 各种自然灾害、物理设备老化等环境事故可能导致整个系统毁灭； 电源故障造成设备断电，造成信息的毁坏或丢失； 设备被盗、被毁造成数据丢失或信息泄漏； 电磁辐射可能造成数据信息被窃取或偷阅； 报警系统的设计不足或故障可能造成误报或漏报。,2链路安全威胁,入侵者传输线路上安装窃听装置，窃取你在网上传输的重要数据，再通过一些技术读出数据信息，造成泄密或者做一些篡改来破坏数据的完整性,布什栽进“窃听门”,美国今日美国报2006年05月11日再爆“猛料”：美国国家安全局从2001年“911”事件后开始通过一些电信服务商秘密收集数千万美国人的电话记录。 有分析人士指出，这样做显然侵犯了
5、公民的隐私权。而参议院司法委员会已计划召开听证会，要求对参与此事的电信公司进行质询。 据今日美国报报道，“9?11”事件后不久，美国国家安全局以查找和追踪恐怖分子为由，与美国电话电报公司、韦里孙通讯公司和贝尔南方公司等3大电信服务商签署合同，通过这些电信商收集美国各地的家用和商用电话记录，并收入一个专用数据库。国家安全局在向各大电信运营商提出合作申请时说，“国家现在正处在危险中，我们需要你们的帮助来保护我们的国家免受恐怖袭击”，并表示愿意为此支付一定的费用。在这种情况下，、韦里逊通信公司、和西南贝尔通信公司选择了与国家安全局合作，并为国家安全局“提供了2亿份私人通话记录”。 针对这则报道，布什
6、当天通过白宫发表声明说，有关窃听和收集行动针对的是“基地”组织及其支持者，而且美国情报部门并没有未经法庭允许就监听美国境内的电话。此外，他所授权的窃听活动都是符合法律的，而且也向有关国会议员作了汇报。声明还说，在政府从事的所有活动中，美国普通民众的隐私权都得到了充分保护，情报部门并没有对那些无辜的美国人的私生活进行窥探和调查。 窃听丑闻震动韩国政坛 涉案高官自杀未遂 2005年7月26日，涉案的前“安企部”特种窃听组织密林小组组长孔云英自杀未遂，被送往医院。 几天来，一场窃听风波席卷韩国，并愈演愈烈。韩国前“安全企划部”（韩国最高国家安全机关国家情报院的前身）下属的一个神秘的窃听机构，在上世纪
7、90年代中后期，对韩国政界、金融界和媒体重要人士的私人谈话进行秘密窃听的事突然被媒体曝光。非法窃听录音带中暴露的政治献金丑闻，最终迫使韩国驻美大使洪锡炫提出了辞呈，而这一事件的冲击波正向前总统金泳三和金大中蔓延。事件很快惊动了韩国总统卢武铉，他随即表示，政府非常重视国家机关的非法行为，尽管是过去的事情，但“国家机构卷入非法窃听事件，实在令人感到羞愧和愤慨”。他指示国家情报院迅速进行调查。,= 第一节 电子政务信息安全需求与策略,网络安全风险 一般地，网络的安全威胁主要有： 非授权访问 信息泄漏 破坏数据完整性 拒绝服务攻击 传播病毒,黑客攻破Google服务器 通过中国网站传播病毒,中网资讯中
8、心 时间:2006-10-25 11:32:21 来源：赛迪网 据悉，一位攻击者成功入侵了G服务器，并且上传了一个后门程序，该服务主要 帮助用户创建自己的网页。“在调查过程中，我们在三家连接到G服务器的网页中，均发现了相同的恶意代码。”安全专家表示，“其中的两个网页为韩国网站，另一个为中国网站，目前有多少台电脑感染该病毒还不得而知。” 据悉，通过安装最新的杀毒软件，用户可以成功避免该后门程序的威胁，然而如果没有即时进行更新，黑客将可以看到用户电脑中的文件，并且对其任意进行删除和修改。 实际上，这已经不是G服务器第一次被发现存储恶意代码，今年六月份的时候，相似的事件曾经发生。“Google需要创
9、建一套应急措施，从而应对未来出现的该类型事件。”一位安全界专家表示，Google总是在图方便，并不是十分在乎安全性问题。,网络安全威胁,= 第一节 电子政务信息安全需求与策略,系统安全风险 很多系统操作系统以及底层支撑系统。有漏洞和“后门”， 即在各种软硬件中有意或无意间留下的特殊代码，通过这些代码可以获得软硬件设备的标识信息或获得进入操作系统特权控制的信息。 例如: Pentium中设置了序列码功能，该功能留有自动传送计算机有关硬件方面信息的后门； Windows98或Windows2000操作系统会根据用户的计算机硬件配置情况生成一串与用户名字、地址相关的硬件标识码全球惟一识别码。,安全威
10、胁,系统安全威胁 操作系统或应用系统的开发厂商必然有其Back-Door，而且系统本身必定存在安全漏洞。这些后门或安全漏洞都将存在重大安全隐患。,= 第一节 电子政务信息安全需求与策略,应用安全风险 电子政务应用系统是软件。软件既是重要的系统资源，是安全保护的对象，是安全控制的措施，又是危害安全的途径和手段，而且由于电子政务应用系统直接面向业务进行信息处理，其业务范围广泛，应用主体众多，涉及到复杂的权限管理和业务责任等原因，使得应用系统极为复杂，程序量很大，设计失误的风险难免会增多，加之还涉及到软件开发人员的品行的可靠性问题，所以，软件本身是十分脆弱的。,安全威胁,应用安全威胁 应用系统的安全
11、涉及很多方面。应用系统是动态的、不断变化的。应用的安全性也是动态的。这就需要我们对不同的应用，检测安全漏洞，采取相应的安全措施，降低应用的安全风险。,资源共享,病毒侵害,电子邮件系统,网络威胁的时代变迁,类型：多数病毒，少数木马 行为：明显破坏行为或引人注意的特征 目的：恶作剧或故意破坏 成果：获得“成就感”,类型：大部分是潜伏的恶意代码 行为：力求不被注意 目的：信息窃取、远程控制 成果：获取经济利益,危 害 程 度,监听,篡改,广告软件,蠕虫,间谍软件,木马后门,病毒,主动传播,可控,图例,快速增长,网络欺诈的过程,= 第一节 电子政务信息安全需求与策略,管理方面 内部安全威胁有：内部人员
12、故意泄漏网络结构；安全管理员有意透露其用户名及口令；内部不怀好意的员工编些破坏程序在内网上传播；或者内部人员通过各种方式盗取他人的涉密信息并传播出去等。大多数技术安全措施，如防火墙、入侵者探测系统等旨在对付来自于系统外部的攻击的手段，对内部的攻击却束手无策。,= 第一节 电子政务信息安全需求与策略,三、电子政务信息安全策略 所谓安全策略，是指在一个特定的环境里，为保证提供一定级别的安全保护所必须遵守的规则。电子政务信息安全是一个涉及环境、设备、技术、人员、管理等多方面的复杂系统工程，在其各个安全环节中，安全管理是核心，安全技术为安全管理服务，是实施安全管理的工具与保障。 电子政务信息安全目标和
13、原则 电子政务信息安全目标 电子政务信息安全目标是，保护政务信息资源不受侵犯，保证信息面临最小的风险和获取最大的价值，保证政府的形象和权威，使信息服务体现最佳效果。,电子政务安全目标由以下几个方面构成：,1.可用性目标 是电子政务系统的首要信息安全目标。 2.完整性目标 完整性目标包括两个方面：数据完整性和系统完整性。通常，完整性目标是电子政务系统除了可用性目标之外最重要的信息安全目标。 3.保密性目标 保密性目标是指不向非授权个人和部门暴露私有或者保密信息。在信息安全的重要程度排序中仅次于可用性目标和完整性目标。,= 电子政务安全目标由以下几个方面构成,4.可记账性目标（防抵赖性） 可记账性
14、目标是指电子政务系统能够如实记录一个实体的全部行为。通常，可记账性目标是政府部门的一种策略需求。可记账性目标可以为拒绝否认、威慑违规、隔离故障、检测和防止入侵、事后恢复和法律诉讼提供支持。 5.保障性目标（可控性） 保障性是电子政务系统信息安全的信任基。保障性目标突出了这样的事实：对于希望做到安全的信息系统而言，不仅需要提供预期的功能，而且需要保证不会发生非预期的行为。,= 第一节 电子政务信息安全需求与策略,电子政务信息安全建设原则 电子政务信息安全建设必须遵照以下原则： 安全分级原则。政府应该根据政务信息的不同密级，采取不同的安全技术和安全产品。 同步性原则。同步性原则要求信息安全保障体系
15、同信息系统的运行在时间上是重叠的。 多重防护原则。在政务系统的不同层次要采用不同的安全产品、安全技术和安全策略。 合法性原则。根据国家密码办的相关规定，政务信息化应用中涉密部分必须采用通过国家检测并获得相关密级资质的产品。,= 第一节 电子政务信息安全需求与策略,政府需要在电子政务安全策略实施过程中做好以下工作： 建设可靠的安全保障体系。这是电子政务建设的必要条件。其内容应包括：安全管理策略规范、物理安全建设规范、网络安全规范、信息安全规范、数字证书管理规范、应用系统安全规范、系统管理规范、应急系统构建规范等内容。 安全与应用要并行。电子政务安全建设非常重要，必须本着安全与应用并行的原则，将安
16、全体系建设纳入电子政务总体建设规划中进行统一安排、统筹考虑，不能过分强调各部门或业务的独立性。 信息安全体系建设。在电子政务系统建设中，必须考虑完善的信息安全机制，保证满足信息安全的基本需求，确保用户身份安全认证、信息安全处理、安全存储和安全传输。 支撑平台与产品选择的安全。根据安全策略要求，选择确定国家权威部门检测通过的产品，在满足需要的前提下，优先选择国产产品，以减少安全隐患。 在进行安全评估的同时，应进行信息安全评估工作，并以此为基础，对信息进行严格分类，明确信息的访问权限和信息加密强度。,= 第一节 电子政务信息安全需求与策略,电子政务信息安全策略选择 针对电子政务信息安全基本需求的策略 使用访问控制机制，阻止非授权用户进入网络，即“进不来”，从而保证网络系统的可用性。 使用授权机制，实现对用户的权限控制，即不该拿走的“拿不走”，同时结合内容审计机制，实现对网络资源及信息的可控性。 使用加密机制，确保信息不暴露给未授权的实体或进程，即未授权者“看不懂”，从而实现信息的保密性。 使用数据完整性鉴别机制，保证只有得到允许的人才能修改数据，而
