第8章電子政務安全管理2023/6/6第8章電子政務安全管理1、電子政務的安全概述1.1電子政務安全的重要性保護國家信息安全的需要。保護個人信息特別是私密信息的需要保護信息系統和政務網站不被侵入的需要第8章電子政務安全管理第8章電子政務安全管理第8章電子政務安全管理第8章電子政務安全管理面臨的主要安全問題：黑客入侵和犯罪病毒泛濫和蔓延信息間諜的潛入和竊密內部人員的違規和違法操作電子政府第8章電子政務安全管理1.2我國電子政務安全的現狀缺乏安全意識信息與網絡安全防護能力較弱缺乏一系列的網絡安全標準第8章電子政務安全管理電子政務安全問題產生的原因電子政務系統對網絡的高度依賴安全技術的缺陷（股票系統、千年蟲問題）網絡的開放性管理的漏洞第8章電子政務安全管理1.3電子政務安全分類技術風險管理風險信息的可用性信息的完整性信息的保密性信息的可控性信息的不可抵賴性第8章電子政務安全管理按攻擊手段分類

系統穿透

指未經授權人通過一定手段對認證系統進行攻擊，假冒合法用戶接入政府內部系統，實現對文件進行篡改、竊取機密信息、非法使用資源等違反授權植入通信監視通信串擾中斷拒絕服務否認指入侵者要在系統中設置一種能力，為以后攻擊提供方便條件。植入一般在系統穿透或違反授權攻擊成功后，采取向系統中注入病毒等

指授權進入系統做某件事的用戶，在系統中進行未經授權的其他事情指攻擊者對系統可用性進行攻擊，使系統不能正常工作指在通信過程中從信道進行搭線竊聽

指攻擊者對通信數據或通信過程進行干預，對完整性進行攻擊，篡改系統中數據的內容，修正消息次序、時間，注入偽造消息

指合法接入者所進行的正當行為無辜受阻

指一個實體進行某種通信或交易活動后否認曾進行過這一活動

（1）技術風險第8章電子政務安全管理組織及人員風險管理制度不完善安全策略有漏洞缺乏應急體系（2）管理風險一些安全保密管理制度第8章電子政務安全管理2.電子政務安全管理體系電子政務安全管理體系技術支撐體系物理安全網絡安全系統及應用安全運行管理體系行政管理安全策略管理風險管理基礎保障體系第三方安全服務提供商PKI認證平臺電子政務安全法規電子政務安全標準第8章電子政務安全管理2.1電子政務技術支撐體系1物理安全2網絡安全3.系統和應用安全第8章電子政務安全管理1.物理安全：就是保證對物理設施的合法訪問，避免人為破壞，并將自然災難的影響降到最低。物理安全線路設備安全

環境安全

存儲媒體安全

第8章電子政務安全管理1）隔離技術：政府內網政府外網互聯網網絡安全指網絡通信的安全性，政府內網、外網和公網之間的隔離，界定訪問權限等。物理隔離，采用隔離網閘技術邏輯隔離，包括VLAN、訪問控制、VPN、防火墻、身份識別、代理服務器2.網絡安全：網絡安全指網絡通信的安全性，政府內網、外網和公網之間的隔離，界定訪問權限等。第8章電子政務安全管理源文件（明文）解密后的信息（明文）加密后的信息（密文）加密后的信息（密文）密鑰加密因特網密鑰解密數據加密過程

加密技術第8章電子政務安全管理對稱密鑰加密技術不對稱密鑰加密技術對稱加密，是指使用同一把密鑰對信息加密、信息解密。一個加密系統的加密密鑰和解密密鑰相同，或者雖然不同，但可以由其中一個推導另一個，則為對稱密鑰密碼體制。加密和解密的速度很快，效率也很高，但需要仔細保存密鑰，其保密性主要取決于密鑰本身的保密強度和密鑰傳送通道的安全性。

加密技術第8章電子政務安全管理對稱密鑰加密技術不對稱密鑰加密技術不對稱加密又稱為公開密鑰加密，是1976年由斯坦福大學提出來的。與對稱密鑰系統相比，公開密鑰加密技術需要使用一對相關的密鑰：一個用來加密，另一個用來解密。該技術的設想是，密鑰對是與相應的系統聯系在一起的，其中私有密鑰是由系統所保密持有的，而公開密鑰則是公開的，但知道公開密鑰是不能推導出私有密鑰的。加密技術第8章電子政務安全管理防火墻防火墻（firewall）是指一個由軟件和硬件設備組合而成，處于組織內網和外網的通道之間，用來加強互聯網與內部網絡之間安全防范的一個或一組系統。它具有限制外界用戶對組織內部網絡訪問及管理內部用戶訪問外部服務。第8章電子政務安全管理一切未被允許的都是禁止的防火墻的安全策略

一切未被禁止的都是允許的防火墻第8章電子政務安全管理防火墻的分類共同缺點：依賴特定的邏輯判斷是否允許數據包通過，這不利于抗擊非法訪問和攻擊。這是針對數據包過濾和應用網關技術存在的缺點而引入的防火墻技術，其特點是將所有跨越防火墻的網絡通信鏈路分為兩段。數據包過濾防火墻代理服務器型防火墻應用級網關型防火墻防火墻第8章電子政務安全管理防火墻的局限性

有OS和軟件，就有漏洞很難防護新出現的病毒安全性和速度成反比無法阻止病毒在內部傳播防火墻第8章電子政務安全管理3.OS系統和應用安全防病毒系統漏洞掃描系統

安全認證

入侵檢測系統入侵檢測系統（IntrusionDetectionSystems,IDS）是依照一定的安全策略，對網絡、系統的運行狀況進行監視，盡可能發現各種攻擊企圖、攻擊行為或者攻擊結果，以保證網絡系統資源的機密性、完整性和可用性。第8章電子政務安全管理防病毒系統漏洞掃描系統

安全認證

入侵檢測系統計算機病毒是指編制或在計算機程序中插入的破壞計算機功能或者毀壞數據，影響計算機使用，并能自我復制的一組計算機指令或者程序代碼。計算機病毒有主動傳染性、隱藏性、欺騙性、破壞性、衍生性等特點。第8章電子政務安全管理防病毒系統漏洞掃描系統

安全認證

入侵檢測系統防病毒技術分為主機防病毒和網絡防病毒。主機防病毒主要是安裝防病毒軟件，對電腦文件訪問實時監測，發現病毒就立即清除或修復。網絡防病毒通常由安全提供商提供一整套的解決方案，進行全面的防護。第8章電子政務安全管理防病毒系統漏洞掃描系統

安全認證

入侵檢測系統漏洞掃描系統的功能：動態分析系統的安全漏洞，檢查用戶網絡中的安全隱患，發布檢測報告、提供有關漏洞的詳細信息和最佳解決對策。案例12：微軟的漏洞

第8章電子政務安全管理防病毒系統漏洞掃描系統

安全認證

入侵檢測系統用戶訪問系統之前必須經過身份認證，系統根據用戶身份和授權決定用戶能否訪問某個資源。第8章電子政務安全管理2.2電子政務安全運營管理體系1安全運營組織結構2安全運營規章制度3安全運營的內容第8章電子政務安全管理安全領導小組安全專家小組日常信息安全管理辦公室日常安全維護工作小組決策組織制定工作方案，下達具體工作，監督管理下級工作日常安全維護工作單位，完成具體的安全維護工作應急響應工作小組處理突發事件，實施應急響應方案，恢復系統正常運行信息應急響應管理辦公室1.安全組織機構第8章電子政務安全管理安全機構的職責：（1）對整個電子政務系統進行整體的安全規劃，制定整體的安全解決方案。（2）制定安全管理制度、安全策略、應急方策略等；（3）監控網絡的安全性，監督安全方案的實施情況；（4）評估風險，及時提出修改、彌補方案。第8章電子政務安全管理2.安全管理制度安全人員管理制度；系統安全運行維護管理制度；密鑰管理制度；保密制度；訪問控制管理制度等。第8章電子政務安全管理（1）實體的安全管理（2）密鑰的安全管理（3）風險管理（4）應急管理3.安全運營管理的內容第8章電子政務安全管理2.3電子政務安全的基礎保障體系1法律法規2安全標準3PKI認證平臺4.PMI第8章電子政務安全管理2.電子政務安全標準建設電子政務安全標準規范：電子文檔密級及標記格式密碼算法標準、密鑰管理標準PKI/CA標準、PMI標準、信息系統安全評估標準和網絡安全產品測評標準第8章電子政務安全管理3.公鑰基礎認證平臺PKI（PublicKeyInfrastructure）公鑰基礎平臺采用數字證書，通過第三方的可信任機構——認證中心CA（CertificationAuthority），將用戶公鑰和用戶標識捆綁，提供身份驗證的機制。第8章電子政務安全管理PKI的基本組成數字證書庫密鑰備份及恢復系統證書管理系統應用接口（API）公鑰基礎認證平臺第8章電子政務安全管理4.特權管理認證平臺PMI:PriviliegeManagementInfrastructure特權管理基礎平臺，建立在PKI基礎上，接受用戶的委托對終端用戶實施權限控制，實現用戶身份到應用授權的映射功能。第8章電子政務安全管理PKI與PMI之間的比較第8章電子政務安全管理PKI（構建信息安全平臺，提供智能化的信任服務）PMI（構建授權管理平臺，在PKI信息安全平臺的基礎上提供智能化的授權服務）