[摘要]本文首先强调了保障电子政务安全的关键在于管理。然后，指出了构建电子政务的安全管理体系应从四个方面着手：技术保障体系、运行管理体系、社会服务体系和基础设施建设，并具体分析了这四方面的主要内容。

   [关键词]电子政务 安全管理 体系构建

   发展电子政务，就是要充分应用现代信息技术，大力推进政府信息化的进程。然而，在这一进程中，安全问题成为阻碍其发展的重要因素之一。病毒、黑客侵袭信息网络系统的例子不胜枚举。这些破坏行为会带来巨大的经济损失，尤其对于政府网络系统而言，除了经济损失外，还会带来国家安全、社会稳定，甚至是人类生存等重大问题。具体而言，在维护电子政府的良好形象、保证政务系统的安全运行、保护涉密政务信息的内容和传输安全、控制政务系统中的权限、认证政务活动中的身份、保障政务信息存储安全、系统的安全备份与恢复机制等诸多方面，电子政务有着强烈的安全需求，

   1．管理是保障电子政务安全的关键

   保障电子政务安全的重要性不容置疑。首先，这是一个国家安全的问题，关系到国家的生死存亡。电子政务安全是在一定的社会环境下，由信息和网络技术与国家安全因素的相关性所构成的国家安全的一种态势，这种态势描述了国家免受国外信息和网络优势威胁的能力和以信息维护国家综合安全的能力和以信息手段维护国家安全的能力。其次，电子政务安全是国家各种利益得以保证的基础。发展电子政务是政府转变职能、转换运行机制、提高决策效率与科学性、提升政府的社会服务职能、增加政府行政管理的透明度、促进政府信息资源的共享等方面的共同需求，它所代表的不仅仅是政府部门的利益，更代表了企业和广大民众的利益，因此保障电子政务安全是维护国家各阶层利益的基本前提。第三，电子政务安全是社会稳定的基本保障。如上所述，电子政务大大增强了政务的社会服务职能，使得企业的经营和广大民众的生活都越来越依赖于电子政务系统的安全运行。一旦某个环节出了问题，势必造成社会秩序的混乱。

   但是，解决电子政务的安全问题不能仅仅依靠技术，关键还是在于“管理”。技术是一把“双刃剑”，从发展角度来看，安全的防范技术与破坏技术总是“势均力敌”、“相互促进”的。就破坏者而言，从技术上寻找突破口，远比从管理上寻找突破口的代价要大的多。反过来说，作为防范者就更应该在安全防范的管理上下更大的工夫，安全防范技术只是作为安全管理体系的一部分。

   实际上，电子政务的安全保障是一个复杂的系统工程，电子政务的安全管理不仅仅是各机构各部门内部的事情，也是一个国家层面的事情，因为政务信息的安全涉及到不同国家之间、不同政治集团之间的利益关系，它的安全保障问题需要从国家范围来统一规划，以抵御来自外部的信息安全威胁。因此，电子政务的安全管理体系应该是一个多层次、多方面的保障体系，涉及技术、管理、服务等多个领域的问题。

   2．构建电子政务安全管理体系

   从国家范围来看，构建电子政务安全管理体系应从以下4个方面考虑：技术保障体系、运行管理体系、社会服务体系和基础设施平台。如图1所示。

   2．1技术保障体系

   技术保障体系是安全管理体系的重要组成部分。它涉及到两个层面的问题，一是信息安全的核心技术和基本理论的研究与开发，二是信息安全产品和系统构建综合防护系统。

   2．1．1核心技术的研发

   信息安全的核心技术主要包括数据加密技术、信息隐藏技术和信息认证技术。

   数据加密是把有意义的信息编码为伪随机性的乱码，以实现信息保护的目的，实际上它包含了加密和解密两个方面。加／解密的算法有很多种，安全性就依赖于算法的强度如何，因此，需要不断地开发新的、高强度的算法。尤其应用于电子政务领域的系统采用的加密算法必须由国家有关密码管理部门审批。

   信息隐藏是国际信息安全技术研究领域出现的一个新的分支，该技术是利用多媒体信息本身存在的冗余性和人的感官对一些信息的掩蔽效应而形成的。其含义是，把一个有意义的信息隐藏在另一个称为载体的信息中，形成隐秘载体，非授权者不知道这个信息中是否隐藏了其他的信息，即便知道，也难以提取或去除隐藏的信息。电子政务领域可用隐藏技术实现稳蔽信道、匿名通信、信息(签名或红印)隐写、版权标记等功能。

   认证技术在电子政务系统中是非常重要的。当某个实体声称具有一个特定的身份(例如，一个特定的用户名)时，认证服务所能提供的证实这一声明是正确的方法和手段。当前的认证技术主要采用数字签名技术和身份认证技术两类，它们又包括多种具体的技术手段。

   2．1．2信息安全防护体系

   目前，主要的信息安全的产品和系统包括防病毒软件、防火墙、入侵检测系统、漏洞扫描、安全审计系统、物理隔离系统等。这些系统可提供的安全防患措施包括：对特定网段、服务建立访问控制体系，将绝大多数攻击阻止在到达攻击目标之前；对安全漏洞的周期检查，使绝大多数攻击无效；对特定网段、服务建立攻击监控体系，可实时检测出绝大多数攻击，并采取相应的行动，如断开网络连接、记录攻击过程、跟踪攻击源等；建立多层防御体系，攻击者在突破第一道防线后，延缓或阻断其到达攻击目标；建立良好的认证体系可防止攻击者假冒合法用户；建立良好的备份和恢复机制，可在攻击造成损失时，尽快地恢复数据和系统服务；设立安全监控中心，为信息系统提供安全体系管理、监控、维护及紧急情况服务等。就电子政务安全而言，需要考虑如何充分利用这些系统合理的组织安全防护体系，如何全面的、综合的设计解决方案，而不是各个子系统的简单集合。

   2．2运行管理体系

   2．2．1安全行政管理

   电子政务的安全行政管理应包括：1)建立安全组织机构，其目的是统一规划各级网络系统的安全、制定完善的安全策略和措施、协调各方面的安全事宜，主要职责包括制定整体安全策略、明确规章制度、落实各项安全措施实施，以及制订安全应急方案和保密信息的安全策略；2)安全人事管理，其主要内容包括：人事审查与录用、岗位与责任范围的确定、工作评价、人事档案管理、提升、调动与免职、基础培训等；3)制定和落实安全责任制度，包括系统运行维护管理制度、计算机处理控制管理制度、文档资料管理制度、操作和管理人员管理制度、机房安全管理制度、定期检查与监督制度、网络通信安全管理制度、病毒防治管理制度、安全等级保护制度、对外交流安全维护制度，以及对外合作制度等。

   2．2．2安全技术管理

   电子政务的安全技术管理可以从3个方面着手，一是对硬件实体的安全管理，其目的是保护计算机和网络设备、设施免遭地震、水灾、火灾以及人为等因素的破坏，主要涉及环境安全、设备安全和存储媒体安全三个方面。二是对软件系统的安全管理，具体包括保护软件系统的完整性，防止软件丢失、被破坏、被篡改、被伪造；保证软件的存储安全，如保密存储、压缩存储、备份存储，以及系统恢复等重要措施；保障软件的安全传输、加密传输、安全下载、用户识别等要素；保障软件的合法使用和合理使用、用户合法性的管理、授权访问、系统的访问控制、防止软件滥用、防止被窃取被非法复制、按规程操作等。三是密钥管理，包括系统的初始化、密钥的产生、存储、备份／恢复、装入、分配、保护；更新、控制、丢失、吊销、销毁等内容。安全的密钥管理要求：一是密钥难以窃取；二是密钥有使用范围和使用时间的限制；三是密钥的分配和更换过程对用户透明，而用户不需要亲自掌管密钥。

   2．2．3风险管理

   风险管理是对项目风险的识别、分析和应对过程。它包括对正面事件效果的最大化及对负面事件影响的最小化。电子政务安全风险管理的主要任务是风险评估和风险缓解，前者是识别并分析系统中的风险因素，估计可能造成的损失，后者是选择和实施安全控制，将风险降低到一个可接受的水平。因此，电子政务安全风险管理的关键职能有4个方面：管理现有的安全控制措施、定期评估风险、通过实现和有效的监控安全保护和控制来缓解风险、风险评估和战略规划。

   2．3社会服务体系

   2．3．1安全管理服务

   信息安全管理服务是一个正在崛起的业态模式。目前，一些信息安全管理服务提供商(Managed Security Service Providers，MSSP)正在逐步形成，它们有的是专门从事安全管理服务达到增值目的的，有的是一些软件厂商为弥补其软件系统的不足而附加一些服务的，有的是一些从IT集成或咨询商发展而来提供信息安全咨询的。当前，MSSP所能提供的服务内容有：安全咨询服务，包括系统安全策略咨询、安全解决方案咨询，安全规范、安全制度等管理方面的咨询；安全技术管理服务，如对网络系统的入侵监测、网络周边扫描、VPN／防火墙的监视与管理、防病毒内容保护、数据／文件的加密服务等；数据安全分析服务，MSSP事先建立自己的知识库，通过知识库来分析数据中是否隐藏攻击行为及其攻击模式，并判断威胁的严重性级别；安全管理评估服务，定期的评估报告可以帮助客户及时调整安全策略、弥补安全漏洞、更新安全系统、改进管理措施等。此外，有些MSSP把即时的安全事件响应也列入服务范围之内。

    2．3．2安全测评服务

   测评认证的实质是由一个中立的权威机构，通过科学、规范、公正的测试和评估向消费者、购买者即需方，证实生产者或供方所提供的产品和服务，符合公开、客观和先进的标准。由于信息安全直接涉及国家利益、安全和主权，各国政府对信息产品、信息系统安全性的测评认证要比对其他产品更为严格。首先，在市场准入上，发达国家为严格进出口控制，通过颁布有关法律、法规和技术标准，推行安全认证制度，以控制国外进口产品和国内出口产品的安全性能。其次，对国内使用的产品，实行强制性认证，凡未通过强制性认证的安全齐品一律不得出厂、销售和使用。第三，对信息技术和信息安全技术中的核心技术，由政府直接控制，如密码技术和密码产品，多数发达国家都严加控制，即使政府允许出口的密码产品，其关键技术仍然控制在政府手中。第四，在国家信息安全各主管部门的支持和指导下，由标准化和质量技术监督主管部门授权，并且依托专业的职能机构提供技术支持，形成政府的行政管理与技术支持相结合、相依赖的管理体制。

   2．3．3应急响应服务

   应急响应是计算机或网络系统遇到安全事件 (如黑客入侵、网络恶意攻击、病毒感染和破坏等)时，所能够提供的紧急的响应和快速的救援与恢复服务。1988年，Morris蠕虫程序破坏事件，直接导致了计算机网络应急服务组织的诞生。在我国，一些政府机关和大型企业已经成立了计算机网络安全技术与管理部门，负责自身的计算机网络安全与应急处理工作，但目前大都处于筹建阶段或运行的初期，尚不足以提供全面的计算机网络安全与应急处理服务。而一些中小型的企业受限于规模，没有自己的安全技术队伍，同时也没有条件承担组建这支队伍所需要的经费，因此他们迫切希望能有专业组织来提供商业性的安全与应急处理服务。

   专家们认为：开展应急处理工作的必要性已毋庸置疑，当务之急是着手建立全国性的应急处理体系，并制定出工作纲要及相应的管理办法。为统一协调和管理全国的应急处理工作，国信安办联合了职能部门、技术部门和用户部门的7个单位组成了我国计算机网络应急处理协凋小组，共同负责我国应急处理体系的建设工作。初步形成了我国应急处理的基本构架，将“积极预防、及时发现、快速响应、确保恢复”作为我国应急处理工作的基本方针，本着自由、自主、自愿的原则，将行业安全组织和商业化的救援服务机构很好地融入到我国的应急处理体系中来，充分调动各方面的积极性，尽快建立并完善我国的应急处理体系。

   2．3．4安全培训服务

   根据不同层次的人才需求，社会化的信息安全人才培养体系应分为专业型教育、应用型教育和安全素养教育三个层次。专业型教育主要是培养信息安全领域的专业研发、工程技术、战略管理等方面的人才。我国在这方面已初步形成一定基础，上海交通大学、山东大学、四川大学、武汉大学等高校已经建立了信息安全科学研究及人才培养基地，它们开设了以计算机网络安全技术为核心的理论性和技术性课程体系。应用型(半专业)教育则是以从事现代信息管理工作的人作为对象，培养目标是要求学生具备信息安全的基本知识、网络和信息系统安全防范技能、组织机构或系统安全管理的能力等。这种应用型的信息安全教育要求受教育对象数量要多，覆盖面要广，基本信息技能要强。从需求的角度看，这类人才的需求量是最大的，包括信息安全观念培训、安全技术培训、安全管理培训等。最基础的部分应该是信息安全素养教育，面向所有社会成员的，通过课程、讲座、宣传等多种形式，达到让每一个人都具备必要的安全意识和常规的信息安全自我防范技术的目的。要求企事业单位领导应具备必要信息安全意识和安全知识；信息管理人员应具备一定的信息安全知识和基本技能；从事信息服务或信息安全服务的有关人员应具备必要的信息安全知识和技术基础等。

   2．4基础设施平台

   2．4．1法规基础建设

   相关的法规建设主要有以下几方面：

   1)在国家宪法和各部门法中对各类法律主体的有关信息活动涉及国家安全的权利和义务进行规范，形成国家关于信息及信息安全的总则性、普适性的法规体系；

   2)针对各类计算机和网络犯罪。制订直接约束各社会成员的信息活动的行为规范，形成计算机、网络犯罪监察屿防范体系；

   3)对信息安全技术、信息安全产品(系统)的授权审批应制订相应的规定，形成信息安全审批与监控体系；

   4)针对信息内容的安全与保密问题，制订相应规定，形成信息内容的审批、监控、保密体系；

   5)从国家安全的角度，制订网络信息预警与反击体系等。

   2．4．2标准基础建设

   标准是技术性法规。在信息安全这一特殊高技术领域，没有标准，国家有关的立法、执法就会因缺乏相应的技术尺度而失之偏颇，最终会给国家信息安全的管理带来严重后果。我国信息安全标准化工作起步较晚，但是近10年来发展较快，在国家质量技术监督局领导下，全国信息化标准委员会及其下属的信息安全分技术委员会在制订我国信息安全标准方面做了大量的工作，国标、国军标、行业标准对信息安全领域均有涉及，初步形成了我国信息安全测评认证的基础。

   随着我国信息安全测评认证制度的建立与推进，以及有关主管部门管理力度的加大，信息安全标准化建设任务将更为艰巨。需尽快完成信息系统安全性评价准则及测试规范、商用密码产品安全技术要求、信息安全服务评估准则、信息安全工程质量管理要求、交换机安全技术要求、PBX安全技术要求、电子商务产品安全测评规范、电子商务认证中心 (CA)安全评估要求等应用急需的标准，并进一步完善国家信息安全标准体系。

    2．4．3 PKI认证平台

    PKI是公钥基础设施(Public Key lnfrastructure)的简称，是一个用非对称密码算法原理和技术来实现并提供安全服务的、具有通用性的安全基础设施。在电子政务和电子商务的建设中，PKI实际上是提供了一整套的、遵循标准的密钥管理基础平台。用户可以利用PKI平台进行安全通信，因为 PKI能够为所有网络应用透明地提供采用加密和数字签名等密码服务所必需的密钥和证书管理。

   公钥基础设施包括：—整套的数字签名和加密技术，一个在地理上合理分布的、有相当数量的证书管理机构位，以及一个包括发方、收方和证书管理机构在内的数据通信网络(软、硬件设备)。建立这样一个公钥基础设施，显然不仅需要投入大量的人力、物力和财力，而且与整个电子政务的安全和有效运转息息相关。由于电子政务、电子商务和电子社区的建设均有赖于数字签名的实现，公钥基础设施的重要性及对其庞大的需求是显而易见的。

   [作者简介]褚峻，男，1971年生、博士，中国人民大学政务信息管理系讲师，发表论文10余篇。