淺談我國交通運輸電子政務(wù)信息安全保障體系的構(gòu)建

1、<p>　　淺談我國交通運輸電子政務(wù)信息安全保障體系的構(gòu)建</p><p>　　摘要：信息技術(shù)的發(fā)展越來越深刻地影響著我國電子政務(wù)的發(fā)展。本文結(jié)合交通運輸電子政務(wù)的安全需求，分析了我國交通運輸電子政務(wù)平臺的發(fā)展現(xiàn)狀及其面臨的矛盾，從信息安全保障體系的基本要求出發(fā)，給出了從組織體系、技術(shù)體系、運營體系、策略體系和保障對象體系等五個安全體系構(gòu)建交通運輸電子政務(wù)信息安全保障體系的解決方案。 </p>

2、;<p>　　關(guān)鍵詞：交通運輸；電子政務(wù)；信息化；安全保障體系 </p><p>　　0引言：電子政務(wù)信息安全問題 </p><p>　　電子政務(wù)是一個基于現(xiàn)代信息技術(shù)的綜合性政務(wù)信息系統(tǒng)，涉及政府機(jī)關(guān)、各團(tuán)體、企業(yè)和社會公眾，其基本框架一般來說主要包括政府辦公政務(wù)網(wǎng)、辦公政務(wù)資源網(wǎng)、公眾信息網(wǎng)和辦公政務(wù)信息資源數(shù)據(jù)庫四個部分，即“三網(wǎng)一庫”。我國早在2002年7月《關(guān)于我國

3、電子政務(wù)建設(shè)指導(dǎo)意見》中，明確“把電子政務(wù)建設(shè)作為今后一個時期我國信息化工作的重點，政府先行，帶動國民經(jīng)濟(jì)和社會發(fā)展信息化”，2006年進(jìn)一步在《2006-2020年國家信息化發(fā)展戰(zhàn)略》中明確“電子政務(wù)”作為我國信息化發(fā)展的重點戰(zhàn)略，實現(xiàn)政府“改善公共服務(wù)，加強(qiáng)社會管理，強(qiáng)化綜合監(jiān)管和完善宏觀調(diào)控”。電子政務(wù)上升到國家信息化的發(fā)展戰(zhàn)略，其帶給政府的意義在于不斷促使政府公共服務(wù)創(chuàng)新，建設(shè)服務(wù)型政府。 </p><p&g

4、t;　　而隨著政府電子政務(wù)信息化的不斷發(fā)展，電子政務(wù)對于信息系統(tǒng)的依賴性越來越強(qiáng)，不斷涌現(xiàn)出來的信息安全問題成為政府信息主管部門關(guān)注的焦點。據(jù)CNCERT/CC監(jiān)測顯示， 2010年中國大陸有近3.5萬個網(wǎng)站被黑客篡改，數(shù)量較2009年下降21.5%，但其中被篡改的政府網(wǎng)站高達(dá)4635個，比2009年上升67.6%。政府網(wǎng)站及其政務(wù)平臺安全防護(hù)的薄弱性，不僅影響了政府形象和電子政務(wù)工作的開展，還給不法分子發(fā)布虛假信息或植入網(wǎng)頁木馬以可乘

5、之機(jī)。因此，政府信息化主管部門如何在其信息化過程中，既能創(chuàng)新政府公務(wù)服務(wù)實現(xiàn)服務(wù)性政府職能，又能保障其電子政務(wù)平臺的信息安全，保護(hù)其政務(wù)信息資源價值不受侵犯，保證信息資產(chǎn)的擁有者面臨最小的風(fēng)險，保障政務(wù)平臺的信息基礎(chǔ)設(shè)施、信息應(yīng)用服務(wù)和信息內(nèi)容具有機(jī)密性、完整性、不可修改性、可用性，能夠抵御各種威脅，并在信息安全管理上保持良好的可控性，已成為政府在建設(shè)其電子政務(wù)平臺過程中的重要課題。 </p><p>　　本文將

6、結(jié)合交通運輸電子政務(wù)平臺，分析其信息安全保障體系建設(shè)的基本要求和構(gòu)建框架。 </p><p>　　1我國交通運輸電子政務(wù)平臺的發(fā)展現(xiàn)狀及面臨的矛盾 </p><p>　　2004年2月，交通部在其制定的《中國交通電子政務(wù)建設(shè)總體方案》中，提出了“交通政務(wù)內(nèi)網(wǎng)、交通政務(wù)外網(wǎng)和電子信息資源庫”的交通電子政務(wù)建設(shè)總體架構(gòu)。為進(jìn)一步規(guī)范交通電子政務(wù)的建設(shè)，交通部于2008年12月出臺了《交通運輸電

7、子政務(wù)網(wǎng)絡(luò)及業(yè)務(wù)應(yīng)用系統(tǒng)建設(shè)技術(shù)指南（試行）》。在政策的指導(dǎo)下，我國交通電子政務(wù)平臺的發(fā)展速度加快，交通電子政務(wù)平臺的基礎(chǔ)架構(gòu)已經(jīng)凸顯規(guī)模，部（交通運輸部）省（各省道路運輸管理部門）道路運輸管理信息系統(tǒng)建設(shè)，已實現(xiàn)了20多個省（區(qū)、市）運政系統(tǒng)與部聯(lián)網(wǎng)，縱向業(yè)務(wù)系統(tǒng)互聯(lián)互通、資源共享、整合利用的模式已初步建立。與此同時，交通電子政務(wù)平臺的信息化標(biāo)準(zhǔn)規(guī)范體系也得到進(jìn)一步完善。交通部先后制訂頒布了覆蓋公路、水路交通行業(yè)主要業(yè)務(wù)領(lǐng)域的公路、港

8、口、航道、船舶、道路運輸、水路運輸、船員、建設(shè)項目、交通統(tǒng)計、船舶檢驗、船載客貨、收費公路等10多項交通信息基礎(chǔ)數(shù)據(jù)元標(biāo)準(zhǔn)，頒布了公路水路交通信息資源業(yè)務(wù)分類和元數(shù)據(jù)標(biāo)準(zhǔn)以及道路運輸管理與服務(wù)系統(tǒng)技術(shù)要求和接口規(guī)范等標(biāo)準(zhǔn)。這些標(biāo)準(zhǔn)的出臺對于規(guī)范行業(yè)信息化發(fā)展，推動交通電子政務(wù)建設(shè)，促進(jìn)交通信息資源整合發(fā)揮重要的支撐保障作用。 </p><p>　　在我國交通電子政務(wù)的信息化進(jìn)程中，實現(xiàn)部、省交通部門辦公自動化、電

9、子化、網(wǎng)絡(luò)化；實現(xiàn)信息網(wǎng)絡(luò)寬帶化，網(wǎng)絡(luò)間實現(xiàn)高速互聯(lián)互通；建立交通信息資源數(shù)據(jù)庫，整合、開發(fā)信息資源，形成面向社會的政府公眾信息服務(wù)網(wǎng)等信息化建設(shè)，是交通電子政務(wù)建設(shè)的重點，這些重點建設(shè)內(nèi)容均與信息技術(shù)相關(guān)，離不開網(wǎng)絡(luò)的支撐。網(wǎng)絡(luò)的“開放性”與政務(wù)的“安全性”、網(wǎng)絡(luò)的“可訪問性”與政務(wù)的“穩(wěn)定性”成為當(dāng)前我國交通電子政務(wù)實施過程的兩大矛盾。 </p><p>　　1.1平臺的安全性與開放性之間的矛盾 </p

10、><p>　　即電子政務(wù)的安全要求與電子政務(wù)平臺的開放性要求成為交通電子政務(wù)實施過程中最難以平衡的一對矛盾。如何把握政務(wù)“安全”與網(wǎng)絡(luò)“開放”的平衡,一方面要把握住哪些信息是交通政府部門的機(jī)密，哪些是開放；另一方面，在電子政務(wù)平臺的建設(shè)過程中如何擺脫“安全絕對化”傾向，否則電子政務(wù)服務(wù)的公眾性就會失去落腳點，以政務(wù)信息化帶動社會信息化、企業(yè)信息化的戰(zhàn)略意圖也將難以實現(xiàn)。 </p><p>　　

11、1.2平臺的安全性與可訪問性之間的矛盾 </p><p>　　電子政務(wù)的安全性要求與電子政務(wù)平臺的可訪問性要求成為交通電子政務(wù)實施過程中另一對矛盾。電子政務(wù)平臺應(yīng)重視其信息安全問題，其另一層含義還應(yīng)注意保持網(wǎng)絡(luò)安全性與可訪問性之間的平衡。交通電子政務(wù)平臺必須易于訪問，這樣才能激勵公眾去使用它。而在提供了更好的可訪問性的同時，也將交通運輸?shù)臄?shù)據(jù)暴露在不斷增長的病毒及未授權(quán)訪問的威脅之下，導(dǎo)致政務(wù)平臺的不安全性。 &

12、lt;/p><p>　　2我國交通運輸電子政務(wù)平臺信息安全保障體系的構(gòu)建 </p><p>　　當(dāng)前我國交通電子政務(wù)實施過程的兩大矛盾的解決，依賴于安全、穩(wěn)定、可靠的交通運輸電子政務(wù)平臺信息安全保障體系。對于電子政務(wù)平臺實施過程中所面臨的信息安全保障問題，我國早在2003年9月頒發(fā)的《關(guān)于加強(qiáng)信息安全保障工作的意見》中明確提出了建立等級保護(hù)制度和風(fēng)險管理體系的要求。2004年11月，公安部等國

13、家四部委聯(lián)合推出信息安全等級保護(hù)要求、測評準(zhǔn)則和實施指南，為政務(wù)領(lǐng)域進(jìn)一步建立政務(wù)信息系統(tǒng)風(fēng)險管理體系提供了技術(shù)基礎(chǔ)和指導(dǎo)。交通運輸部也于2008年12月頒布的《交通運輸電子政務(wù)網(wǎng)絡(luò)及業(yè)務(wù)應(yīng)用系統(tǒng)建設(shè)技術(shù)指南》中對交通電子政務(wù)平臺的安全保障體系作了詳細(xì)的技術(shù)規(guī)范。 </p><p>　　隨著交通政府機(jī)構(gòu)的信息安全基礎(chǔ)建設(shè)日趨完善，建立一套信息安全管理平臺，既滿足電子政務(wù)平臺的開放性和可訪問性，又保證電子政務(wù)平臺的

14、安全性，也日益迫切。交通電子政務(wù)信息安全保障體系可從以下幾個角度進(jìn)行充分構(gòu)建： </p><p>　　2.1信息安全保障體系及其基本要求 </p><p>　　信息安全保障體系是基于PKI體系而開發(fā)的為多個應(yīng)用系統(tǒng)提供統(tǒng)一認(rèn)證、訪問控制、應(yīng)用審計和遠(yuǎn)程接入的應(yīng)用安全網(wǎng)關(guān)系統(tǒng)，它可以將不同地理位置、不同基礎(chǔ)設(shè)施（主機(jī)、網(wǎng)絡(luò)設(shè)備和安全設(shè)備等）中分散且海量的安全信息進(jìn)行樣式化、匯總、過濾和關(guān)聯(lián)分

15、析，形成基于基礎(chǔ)設(shè)施與域的統(tǒng)一等級的威脅與風(fēng)險管理，并依托安全知識庫和工作流程驅(qū)動，對威脅與風(fēng)險進(jìn)行響應(yīng)和處理。信息安全保障體系的基本要求主要體現(xiàn)在以下幾個方面： </p><p><b>　　1）保密性 </b></p><p>　　主要體現(xiàn)在誰能擁有信息，如何保證秘密和敏感信息僅為授權(quán)者享有。 </p><p><b>　　2）完

16、整性 </b></p><p>　　主要體現(xiàn)在擁有的信息是否正確以及如何保證信息從真實的信源發(fā)往真實的信宿，傳輸、存儲、處理中未被刪改、增添、替換。 </p><p><b>　　3）可用性 </b></p><p>　　主要體現(xiàn)在信息和信息系統(tǒng)是否能夠使用以及如何保證信息和信息系統(tǒng)隨時可為授權(quán)者提供服務(wù)而不被非授權(quán)者濫用。 <

17、;/p><p><b>　　4）可控性 </b></p><p>　　主要體現(xiàn)在是否能夠監(jiān)控管理信息和系統(tǒng)以及如何保證信息和信息系統(tǒng)的授權(quán)認(rèn)證和監(jiān)控管理。 　5）不可否認(rèn)性 </p><p>　　主要體現(xiàn)在信息行為人為信息行為承擔(dān)責(zé)任，保證信息行為人不能否認(rèn)其信息行為。 </p><p>　　總之，信息安全保障體系的基本要求

18、主要從技術(shù)和管理兩個層面得以實現(xiàn)。技術(shù)層面在實現(xiàn)信息資源的公開性、共享性和可訪問性的同時，通過主機(jī)安全、網(wǎng)絡(luò)安全、物理安全、數(shù)據(jù)安全和應(yīng)用安全等技術(shù)要素保障信息的安全性。管理層面則可通過安全管理機(jī)制、安全管理制度、人員安全管理、系統(tǒng)建設(shè)管理以及系統(tǒng)運營管理等規(guī)范化機(jī)制得以保障信息的安全性。信息安全保障體系的基本要求如下圖所示： </p><p>　　圖1 信息安全保障體系的基本要求 </p><

19、;p>　　2.2交通電子政務(wù)平臺信息安全保障體系的構(gòu)建 </p><p>　　交通電子政務(wù)平臺的信息安全保障體系，應(yīng)該由組織體系、技術(shù)體系、運營體系、策略體系和保障對象體系等共同組成。以安徽省交通電子政務(wù)平臺為例，進(jìn)行構(gòu)建交通電子政務(wù)平臺的信息安全保障體系。 </p><p>　　2.2.1 安全組織體系 </p><p>　　政府高度重視交通運輸信息化工作的

20、同時，堅持把“積極防御，綜合防范”放在優(yōu)先位置，首先要求成立專門的信息安全領(lǐng)導(dǎo)小組。信息安全領(lǐng)導(dǎo)小組可由交通主管領(lǐng)導(dǎo)擔(dān)任領(lǐng)導(dǎo)小組組長主管信息安全工作，下設(shè)信息安全工作組，各管理部門負(fù)責(zé)人、業(yè)務(wù)部門負(fù)責(zé)人為成員。 </p><p>　　2.2.2 安全技術(shù)體系 </p><p>　　交通電子政務(wù)平臺的安全技術(shù)體系可搭建專業(yè)的安全管理運營中心，并從基礎(chǔ)設(shè)施安全和應(yīng)用安全兩個方面去搭建安全技術(shù)支

21、撐體系。 </p><p>　　2.2.3 安全運營體系 </p><p>　　交通電子政務(wù)的安全運營體系一般可由安全體系推廣與落實、項目建設(shè)的安全管理、安全風(fēng)險管理與控制和日常安全運行與維護(hù)四個部分組成。安全運營體系是一個完整的過程體系，在交通電子政務(wù)平臺的整個過程中，正常的運作流程，其信息流遵循自上而下的流程，即交通上級部門根據(jù)電子政務(wù)平臺信息安全需求的目標(biāo)、規(guī)劃和控制要求做計劃，下級

22、交通部門根據(jù)計劃進(jìn)行執(zhí)行、檢查和改進(jìn)。而若交通電子政務(wù)平臺其安全性出現(xiàn)威脅，影響正常的運作流程時，此時信息流則遵循自下而上的逆向過程，下級交通部門向上級部門報送安全事件，上級部門根據(jù)其安全事件進(jìn)行分析、總結(jié)和改進(jìn)。 </p><p>　　2.2.4 安全策略體系 </p><p>　　網(wǎng)絡(luò)安全策略是為了保護(hù)網(wǎng)絡(luò)不受來自網(wǎng)絡(luò)內(nèi)外的各種危害而采取的防范措施的總和，因此信息安全策略是信息安全保障

23、體系建設(shè)和實施的指導(dǎo)和依據(jù)，全面科學(xué)的安全策略體系應(yīng)貫穿信息安全保障體系建設(shè)的始終。安全策略體系，主要包含安全政策體系、安全組織體系、安全技術(shù)體系和安全運行體系四個方面的要素，在采用各種安全技術(shù)控制措施的同時，必須制訂層次化的安全策略，完善安全管理組織機(jī)構(gòu)和人員配備，提高安全管理人員的安全意識和技術(shù)水平，完善各種安全策略和安全機(jī)制，利用多種安全技術(shù)實施和網(wǎng)絡(luò)安全管理實現(xiàn)對網(wǎng)絡(luò)的多層保護(hù)，減小網(wǎng)絡(luò)受到攻擊的可能性，防范網(wǎng)絡(luò)安全事件的發(fā)生，

24、提高對安全事件的反應(yīng)處理能力，并在網(wǎng)絡(luò)安全事件發(fā)生時盡量減少事件造成的損失。 </p><p>　　圖4 安全策略體系 </p><p>　　2.2.5 安全保障對象體系 </p><p>　　交通電子政務(wù)平臺，其保障對象應(yīng)該以由交通運輸政務(wù)內(nèi)網(wǎng)所承擔(dān)著涉密的政務(wù)信息傳輸作為其重中之重，包括交通運輸系統(tǒng)內(nèi)部日常辦公業(yè)務(wù)和公文流轉(zhuǎn)系統(tǒng)、涉密政務(wù)信息報送系統(tǒng)、部長辦公系

25、統(tǒng)、內(nèi)部數(shù)據(jù)共享平臺，與全國政府系統(tǒng)業(yè)務(wù)網(wǎng)絡(luò)連接等。 </p><p>　　圖5 交通運輸電子政務(wù)安全保障對象體系 </p><p><b>　　3結(jié)論 </b></p><p>　　信息安全保障體系建設(shè)是交通電子政務(wù)建設(shè)不可缺少的重要組成部分。由于交通電子政務(wù)信息系統(tǒng)承載著大量事關(guān)國家政治安全、經(jīng)濟(jì)安全、交通安全和社會穩(wěn)定的重要數(shù)據(jù)和信息，網(wǎng)

26、絡(luò)與信息安全不僅關(guān)系到交通電子政務(wù)的健康發(fā)展，還成為服務(wù)型政府形象的重要窗口，更成為國家安全保障體系的重要組成部分。一個完整的交通電子政務(wù)信息安全保障體系，應(yīng)在保證電子政務(wù)信息的保密性、完整性、可用性、可控性和不可否認(rèn)性的前提下，堅持把“積極防御，綜合防范”的應(yīng)對策略，按照“重點突破、自上而下、資源共享、統(tǒng)一規(guī)劃、分布實施”的原則，從組織體系、技術(shù)體系、運營體系、策略體系和保障對象體系等五個安全體系建設(shè)我國的交通電子政務(wù)信息安全保障體系