網絡安全服務體系建設精選(五篇)

序言：作為思想的載體和知識的探索者，寫作是一種獨特的藝術，我們為您準備了不同風格的5篇網絡安全服務體系建設，期待它們能激發您的靈感。

篇1

關鍵詞：數字認證技術；網絡安全；PKI

中圖分類號：F062.5 文獻標識碼：A

隨著信息技術的迅速發展，因特網已進入社會生活的各個領域，基于網絡環境下的電子商務、電子政務、電子事務正在蓬勃迅猛的發展。信息化程度已經成為國家乃至個人現代化程度的重要標志。但網絡安全一直困擾著信息化進程，缺乏誠信的網絡世界充滿了欺詐和風險，影響了經濟發展和社會秩序。建立完善的網絡信任體系，保證網絡信息安全是推進信息化必須面對的課題。而電子服務認證是保證網絡信息真實、完整和信息發送不可抵賴，建立起完善網上信任體系的重要手段和措施，大力發展電子認證服務對于加快信息化建設進程具有重要意義。

一、電子認證服務

1.電子認證的認證原理

電子認證服務所采用的數字證書認證技術是以密碼技術為核心，在國際上廣泛流行的是采用PKI(Pubic Key Infrastructure)技術。在PKI鑰系統中，為每個用戶生成一對相關的密鑰：公開密鑰和私有密鑰。雙方進行信息交換的過程是：發送方通過網絡或其他公開途徑得到接收方的公鑰，然后使用該密鑰對信息加密后發送給接收方；接收方用自己的私鑰對收到的信息進行解密，得到信息明文。在這里，只有接收方才能成功地解密該信息，因為只有接收方擁有與之相對應的私有密鑰，從而保證了信息的機密性。如果發送方在發送信息時附上自己的數字簽名，則接收方通過驗證數字簽名可以保證信息的完整性和不可抵賴性。

PKI框架中的核心元素是數字證書；PKI的核心實施者是CA認證中心。數字證書又稱為數字標識（Digital Certificate，Digital ID）。它提供了一種在網絡上身份驗證的方式，是用來標志和證明網絡通信雙方身份的數字信息文件。在網上進行電子政務和電子商務活動時，雙方需要使用數字證書來表明自己的身份，并使用數字證書來進行有關的操作。

2.電子認證服務在網絡信任體系中的作用

網絡信任體系是以密碼技術為基礎，以法律法規、技術標準和基礎設施為主要內容，以解決網絡應用中身份認證、授權管理和責任認定等為目的的完整體系，它是網絡環境下各項業務活動有序開展的基礎保障。電子認證服務就是利用數字證書技術為電子商務、電子政務等網絡業務提供行為主體的真實身份和控制權限，保證信息資源的真實性和可靠性的第三方服務，是建立網絡信任體系的基礎和核心。

二、我國電子認證服務體系的建立

1.法律法規與標準規范建設

2005年4月1日《中華人民共和國電子簽名法》（簡稱《電子簽名法》）正式實施。隨后，信息產業部和為國家密碼管理局出臺了一系列的配套規章和標準規范，包括《電子認證服務管理辦法》、《電子認證服務密碼管理辦法》、《電子認證業務規則規范（試行）》、《證書認證系統密碼及其相關安全技術規范》。等。《電子簽名法》是我國電子商務、電子認證領域的第一部法律，具有極其重要的歷史意義和現實意義，它給網上數字化的商務活動以法律認同的效力和地位，這對推動我國網絡經濟的健康發展可謂意義重大。

2007年2月1日，國家標準化委員會《信息安全技術公鑰基礎設施數字證書格式》、《信息安全技術公鑰基礎設施特定權限管理中心技術規范》和《信息安全技術公鑰基礎設施時間戳規范》三項信息安全國家標準，對《電子簽名法》的實施和我國網絡信任體系建設將起到重要的規范作用。

2．我國電子認證服務的現狀

電子認證服務在我國開展已有近10年的歷史。隨著因特網的普及，伴隨著電子政務 、電子商務的發展，我國數字認證市場逐步從培育期走向成長發展期。《電子簽名法》、《電子認證服務管理辦法》等法律法規出臺后，電子認證服務逐步走向規范化。截至2007年10月10日，我國已有25家電子認證服務機構獲得信息產業部頒發的電子認證服務許可證獲得電子認證服務資質。由于服務資質認證開始的時間不長，還有100多家認證機構未獲得電子認證服務許可證。

三、我國電子認證服務體系建設存在的問題

1.法律環境體系不完善

雖然國家在2005年出臺了《電子簽名法》，信息產業部也相繼出臺了與之配套的法規和標準，但還是缺乏對認證服務過程中的一些實質性的操作進行規范和約束，也沒有確定電子認證在實際應用中的基礎性保障地位。其它法律法規沒有做出相應的調整，無法體現數字認證在法律活動中的法律效力。

2.認證服務缺少行業整體規劃，標準規范滯后

從國內電子認證服務機構開始建設至今，國家政府部門一直沒有出臺一個指導國內電子認證服務機構建設的總體規劃和管理指南，使得電子認證服務機構建設處于無序狀態。長期以來，電子認證服務業的建設和運營一直都缺少統一的標準和規范，嚴重影響了中國電子認證服務行業的發展。目前國內的電子認證服務機構頒發數字證書時所采用的標準和規范都不一樣，證書的發放和運用范圍、審核方式也不盡相同，所涉及到的信息保存及披露更是有較大的差別，導致很多用戶擁有多張證書，無法交叉認證和互聯互通。

3．對電子認證服務機構的作用認識不足

網絡上之所以需要電子認證，是由于網絡化帶來的信任問題引起的。而電子認證中心正是這樣一個服務機構，它提供網上實體身份標識的第三方公證服務，廣泛地服務于電子政務、電子商務、網上銀行、網上身份證、電子公證、安全電郵、電信、保險等領域。然而，在國內電子認證服務行業建設和發展過程中，政府、企業、個人都對電子認證服務機構的作用認識不足，對電子認證服務機構的作用認識存在偏差。

4.區域發展不平衡

電子認證服務機構應該是第三方機構，應該是社會共享資源。但是，由于缺少統一的規劃和管理，國內電子認證服務機構建設過熱，有一定的盲目性，重復建設和資源浪費現象嚴重。一些在經濟欠發達的地區盲目設立的電子認證服務機構，由于當地市場容量有限，不僅不能發揮作用，甚至認證機構本身也難以維持正常的運營，長期虧損；而在經濟發達地區，建設的盲目性就表現為重復建設，資源浪費嚴重。

5.認證業務整體發展水平偏低

技術基礎問題將直接影響著中國的電子認證服務業的發展：電子認證目前使用的主要是數字簽名技術，也主要是指PKI；而從技術角度看，PKI潛在問題是涉及到證書機制，對客戶不透明；對證書簽發后管理問題技術實現和管理方法落后，不方便客戶。公鑰算法的生命周期問題目前成為關注的焦點，各種算法的應用將面臨挑戰；PKI的核心機構就是CA，而目前信息孤島現象比較嚴重，一個CA一個信任域，信息交流和互聯互通是一個迫在眉睫的問題。

四、電子認證服務體系發展建議

1.建立健全法律規范，完善標準體系建設

法律法規是大力發展電子認證服務的基本保障，《電子簽名法》對電子認證服務管理只是做了框架性的規定，配套的法律法規、行業規范亟待健全；技術規范是電子認證服務的安全核心，電子認證的技術標準和服務規范繼續統一和完善。

2.從國家戰略高度統籌規劃

應該加強電子認證服務業發展的基礎性研究，做好電子政務服務的整體發展規劃。政府部門應該針對我國電子認證服務機構的發展現狀，做出統籌規劃，進行合理布局，以構建適合我國國情的電子認證技術體系、運營體系和服務體系。

3.積極提升技術水平，加強安全監控

電子認證服務機構的認證系統安全，涉及到諸多方面。政府部門和認證機構應該積極合作，密切配合，盡力消除安全隱患，提高安全強度，采取多種方式提高整個認證系統運行的安全性和穩定性。

4.積極地參與電子認證的國際合作

電子商務的本質，決定了與之相關的服務必然逐步呈現國際化的趨勢，電子認證服務也不例外。從長遠的角度看，電子認證在國際范圍內的交叉認證、統一和標準化是一種必然趨勢。

作者單位: 遼東學院 信息技術學院

參考文獻：

[1]謝先江.淺論我國數字認證建設[J].現代情報,2004,(11):20-22.

[2]全國信息安全標準化技術委員會秘書處. 我國電子認證相關標準簡介[J]. 信息網絡安全,2007,(3):2-4.

篇2

【關鍵詞】組織機構代碼；數據安全；體系建設

Research of the Xinjiang Organization Code Data Security System Build

Ke Junfan

（Xinjiang Studio of Standardization， Urumqi 830000， China）

Abstract：Protection organization code data from malicious attacks and sabotage， Xinjiang organization code management departments must be considered and resolved the problem. The article describes the Xinjiang organization code data security system construction， and all levels to play in this system.

Keywords：Organization Code； Data Security； System Build

1、緒論

1.1組織機構代碼系統面臨的問題

網絡的普及使計算機系統所處的環境變得日益復雜，為了提供完善的功能，大量的應用軟件、服務軟件安裝到計算機系統中，軟件本身的瑕疵和軟件之間可能的沖突都成為威脅計算機安全的隱患。通過公共網絡，計算機系統暴露在潛在的、形形的用戶之前，非法用戶的惡意攻擊、合法用戶的誤操作都可能給計算機系統帶來安全威脅。組織機構代碼建設與應用系統也是如此，越來越開放的系統將面對更加復雜的工作環境，為了保障系統在新的網絡環境中安全、穩定、可靠的運行，必須通過不斷提高自身的安全防護技術水平，引入科學高效的安全管理，強調全面準確的安全評估等措施來實現系統整體的安全性。

1.2新疆組織機構代碼安全體系建設的目標

組織機構代碼的數據安全體系的研究通過部署安全系統，投入技術力量，加強網絡安全管理等方式確保組織機構代碼數據信息的機密性、完整性、可用性、可控性與可審查性，最終達到如下目標：

1）合理管理和分配網絡資源，防止濫用網絡資源導致網絡癱瘓；

2）抵御病毒、惡意代碼等對信息系統發起的惡意破壞和攻擊，保障網絡系統硬件、軟件穩定運行；

3）保護重要數據的存儲與傳輸安全，防止和防范數據被篡改，建立數據備份機制和提高容災能力；

4）加強對重要敏感數據信息的保護，確保數據的機密性；

5）構建統一的安全管理與監控機制，統一配置、調控整個網絡多層面、分布式的安全問題，提高安全預警能力，加強安全應急事件的處理能力，實現網絡與信息安全的可控性；

6）建立認證體系保障網絡行為的真實可信以及可審查性，并建立基于角色的訪問控制機制。

2、代碼數據安全體系建設中面臨的風險

2.1互聯網攻擊

組織機構代碼各類業務系統基于B/S架構開發，是面向互聯網的開放式業務平臺，同時對互聯網用戶提供公開的信息查詢服務，因此很容易受到黑客的攻擊，針對互聯網的常見的攻擊行為有：主頁篡改、拒絕服務攻擊、網絡假冒、黑客滲透。

2.2內部破壞

與外部攻擊不同，內部破壞往往由內部合法人員造成，他們具有對內部系統更多的訪問權限，因此內部人員的惡意或無意破壞，對代碼系統的安全、可靠運行將造成更大的影響，如：內部惡意破壞、內部無意破壞、技術缺陷。

2.3管理風險

隨著組織機構代碼數據庫應用推廣工作的開展，為社會提供更全面服務的目的，代碼各類業務系統的不斷增加，網絡結構也在日益復雜，安全防范技術與管理方式逐漸不能適應越來越復雜的應用需求。主要表現在缺乏整體安全策略，沒有統一規范的安全體系建設標準，安全職責劃分不明確，各業務系統的安全防護程度不高、人員安全意識不強、缺乏統一的安全管理平臺、操作流程和指導手冊等。

3、代碼數據安全體系建設研究的路線

新疆維吾爾自治區組織機構代碼系統將現在和將來的安全建立一個安全體系框架。參考照國家信息安全等級保護相關政策與技術標準，從安全技術和安全管理兩個方面進行比較，有針對性的提出現有機房基礎環境、網絡架構、安全保護設施和管理制度等方面的基本差距、安全漏洞和隱患。

按照體系化的設計思想從全局性策略出發，以互聯互通的安全技術為保障，以平臺化的管理工具為支撐，以長期可靠的安全運維保障和規范化的安全管理為輔助，結合現有管理制度，制定信息安全管理策略和制度。建立科學的安全運維服務體系，做到系統故障“三早方針”，早發現、早報告、早解決，確保系統、網絡和應用的連續性、可靠性和安全運行，降低發生故障的可能性，提高整體的系統運行維護管理水平和服務保障能力，來為保障組織機構代碼數據安全，搭建出真正能夠有效對抗威脅的安全體系建設為目標。

4、代碼數據安全體系建設

4.1物理環境安全

物理環境安全就是為組織機構代碼系統提供機房、電力環境保障以及設備、設施和介質防災、防盜、防破壞等防護措施的基礎環境安全。因此物理環境安全是整個安全體系的根本。

因此代碼系統數據中心機房設計應嚴格按照GB9361《計算機場地安全要求》、GB50173《電子信息系統機房設計規范》、GB2887《計算站場地技術條件》中的A類機房的指標進行設計、建設和實施，來符合物理環境安全的要求。物理環境安全應考慮的主要因素有環境安全防護、設備安全保護、線路安全防護和媒體介質的安全保護等四個方面。

4.2鏈路及網絡安全

對網絡集成結構規劃采取滿足最高使用率設計的同時全面考慮網絡鏈路使用時的通信安全，是鏈路及網絡安全防范工作的最終任務。鏈路及網絡結構根據網絡安全域劃分方式進行網絡集成方法，是提高鏈路及網絡安全防范能力的最佳選擇。新疆維吾爾自治區組織機構代碼系統用戶，從業務相似性、數據資源相似性、安全需求相似性、地域環境相似性等特點，分為省、地、縣三級業務辦理終端用戶、數據安全管理用戶和覆蓋全疆的申報、查詢等用戶類型。將網絡系統根據業務訪問關系劃分為多個安全區域，然后根據各個安全區域的特點分別有針對性地設計保護措施和安全策略，將大大提升防護的有效性，同時也能體現出數據資源的重點防范功能。因此采用基于安全域的安全設計方法是非常有效的。

4.3系統層安全

1）操作系統安全加固。主要通過對操作系統人工方式進行安全加固來實現系統層安全防護，實現文件強制訪問控制、注冊表強制訪問控制、進程強制訪問控制、服務強制訪問控制、三權分立的管理、管理員登錄的強身份認證、文件完整性監測等功能。

2）漏洞掃描系統。在組織機構代碼數據安全網絡系統核心交換區旁路部署一套漏洞掃描系統實現全網網絡設備、服務器及安全設備的漏洞掃描。并提供安全建議和改進措施等功能，幫助安全管理人員控制可能發生的安全事件，最大可能的消除安全隱患。

4.4應用層安全

病毒防護是在代碼數據安全架構應用層進行防護措施的關鍵部分，所以需要在組織機構代碼數據安全系統網絡核心服務器區域部署網絡版防病毒中心，來實現網絡安全核心服務器和終端用戶計算機防病毒統一集中管理，在服務器與終端上有效查殺，威脅正常運行的木馬、蠕蟲病毒等惡意代碼。

4.5數據安全

數據安全是實現組織機構代碼數據安全體系架構的最終目的，根據所使用的SQL數據庫可采用人工方式實現數據庫網絡加密、數據庫加密和強身份驗證等安全策略，并可通過數據庫審計系統進一步強化數據庫資源的安全管理和使用。

1）數據庫人工安全加固。通過強身份驗證、網絡加密策略、網絡傳輸數據完整性、存儲數據完整性校驗完成。

2）數據庫審計系統。組織機構代碼數據安全網絡系統核心交換區旁路部署一套數據庫安全審計系統，對代碼應用系統和數據存儲區域流經交換機的所有數據庫操作信息進行審計，通過記錄、分析所有數據庫的操作、應用信息，及時、有效分析出數據庫系統中發生的安全事件。

4.6安全管理

安全管理是通過全面有效的管理方式及制度，來制約在每一個安全環節中人為因素對安全架構造成的威脅及危害，安全管理主要在管理制度方面分為：中心機房管理制度、網絡運維管理辦法、信息系統運維管理辦法、業務系統應用管理辦法、數據安全事故處理應急預案等。組織機構代碼數據安全體系架構中，各項管理制度的建立并實施，在安全體系建設以及運作過程中至關重要，可以說安全管理也是整個安全體系的總制度。

5、總結與展望

5.1總結

織機構代碼的數據安全體系的研究通過部署安全系統，投入技術力量，加強網絡安全管理等方式確保組織機構代碼數據信息的機密性、完整性、可用性、可控性與可審查性，建設新疆維吾爾自治區組織機構代碼數據安全系統，按照數據安全體系的設計目標，完成了物理環境安全、鏈路及網絡安全、系統層安全、應用層安全、數據安全和安全管理等六個層面的設計內容，確保組織機構代碼數據信息的機密性、完整性、可用性、可控性與可審查性的研究。

5.2展望

各類代碼業務系統穩定運作，代碼數據的安全、可靠的使用，實現代碼數據安全體系的整體安全性，是為全區的電子政務建設提供規范、完整、實效的組織機構基礎信息資源，為政府部門全面、快速、準確的掌握組織機構的社會和經濟行為信息，增強宏觀調控和決策能力的技術支撐，是企業、個體在社會經濟行為中準確把握機遇，促進產業發展的信息源泉。

參考文獻

[1]全國組織機構代碼中心.組織機構代碼管理信息系統建設與維護相關法規和文件選編[M].北京：中國計量出版社.2009.

篇3

關鍵詞：電子政務 政務外網 總體設計方案

一、前言

2004年9月30日，根據中辦發[2002]17號文件（《國家信息化領導小組關于我國電子政務建設指導意見》）以及中辦發[2006]18號文件（《轉發〈國家信息化領導小組關于推進國家電子政務網絡建設的意見〉的通知》）要求，國家發展和改革委員會正式批復《國家電子政務外網項目立項》（發改高技[2004]2135號），明確該項目由國家信息中心負責組織建設。國家電子政務外網項目一期工程的主要任務包括：建設統一的網絡平臺，建設數據交換中心、安全保障系統，承載相關政府部門的業務應用系統，支持相關部門的專網接入，形成統一的管理服務體系等。

山西省電子政務外網是國家電子政務外網的省級節點，是國家電子政務外網項目的重要組成部分，同時也是國家要求盡快建設的項目。根據國家電子政務頂層設計要求，山西省電子政務外網（一期工程）總體方案，十分強調和突出全局觀。山西省的電子政務建設是一個長期、復雜的發展過程，很多問題需要在實踐中總結經驗，為此，山西省提出了分期建設的思路，先行搭建統一的外網平臺的基本架構，在此基礎上不斷完善和擴展，通過不斷的探索和學習，逐步實現建設統一外網平臺的任務。

圖1 山西省電子政務外網總體框架

山西省在實施電子政務外網總體方案時，十分注重統籌協調電子政務建設中各個方面的關系。外網平臺建設與山西省電子政務總體建設工作緊密相關，涉及的部門多、地域廣、業務領域寬，為此，在進行電子政務外網建設方案設計時，通盤考慮了現實和未來各業務部門應用系統對網絡支撐環境的具體要求，以保證外網平臺既滿足各應用系統的現實需求，又兼顧網絡的可擴展性，為各業務部門的潛在需求提供必要的支持。按照這樣的原則，山西省電子政務外網一期工程建設目標歸納為：“統一的網絡平臺、統一的應用支撐平臺、統一的信息交換平臺、統一的安全保障體系和服務體系”。

二、總體框架

山西省電子政務外網一期工程總體框架如圖1所示。一期工程將建立標準統一的網絡平臺，支持相關政府部門的專網接入；建設省級外網網管中心；建設政務外網數據交換中心和外網綜合門戶網站，形成統一的外網服務體系；促進電子政務業務應用系統的互聯互通、資源共享；建設政務外網安全保障體系，保證政務外網的信息安全和網絡運行穩定。

從技術實現層面講，山西省政務外網（一期工程）建設的整體基礎架構分為基礎網絡層、業務實現層和應用系統層(如圖2所示)。

圖2 山西省電子政務外網基礎技術架構

三、外網一期工程建設內容

根據項目規劃，山西省電子政務外網（一期工程）將上聯國家電子政務外網，橫向聯接省內各直屬廳局，縱向聯接11個市級政務外網，邊界通過邏輯隔離聯接Internet。

一期工程建設的工作重點是：按照國家的統一要求，利用公用基礎通信設施和現有資源，建設統一的山西省電子政務外網平臺，重點內容包括省級城域網和省－市廣域網建設，實現山西省直屬部分廳局城域網連接和山西省與下屬各市的電子政務外網連接；根據國家電子政務廣域網安全保障體系的統一標準，建設山西省電子政務外網安全保障體系；建設統一的數據交換中心和服務體系，推進應用服務系統建設，突出重點，實現信息共享、業務協同和網上服務。

⒈網絡平臺建設

構建統一的電子政務外網網絡平臺，以外網建設為核心，優先建設省級城域網、外網廣域網，一期工程首先實現主要廳局的政務外網連接和省－市的政務外網。具體而言，包括以下內容：省級城域網、省－市廣域網、省級網管中心（NIC/NOC）、大部分省直單位及市級政務外網的接入、互聯網出口。

⒉安全保障體系建設

政務外網的建設，必須符合中辦發[2002]17號文件的精神，滿足與互聯網邏輯隔離的要求，保障外網及其支撐的電子政務業務系統的安全可靠運行。因此，必須合理劃分安全域，實施安全等級保護，建立政務外網的安全保障體系。基于網絡建設分階段實施和投資兩方面的考慮，初步建設政務外網安全保障體系，包括如下三個方面的內容：

⑴網絡安全防護體系，包括：網絡防護與隔離系統，入侵防御系統，接入認證系統，業務隔離和加密傳輸系統，防病毒，防漏洞系統等；

⑵網絡信任體系，包括：PKI/CA系統、權限管理系統和認證授權審計系統；

⑶安全管理體系，包括：按照國家安全保障體系建設標準，建設省級安全管理中心(SOC)；以《國家電子政務標準化指南》為標準，貫徹執行國家已有安全法規標準，同時制訂符合山西省政務外網自身特點和要求的有關規定和技術規范。

⒊管理服務體系建設

政務外網的建設，不僅是建設網絡本身。政務外網的可持續發展，管理服務體系至關重要。事實上，以政務外網為核心的管理服務體系建設，是政務外網建設的重要組成部分，也是未來政務外網運行維護與可持續發展的基礎。因此，管理服務體系的完善將貫穿政務外網建設的全過程。具體而言，建立的政務外網管理中心，具有以下職能：

⑴網絡信息管理，包括域名注冊、IP地址規劃等；

⑵網絡運行管理，包括網絡運行監控、設備配置、故障排查等；

⑶安全管理，包括病毒防范、安全認證、授權管理、證書管理等；

⑷客戶服務，包括服務受理、熱線服務、接入服務、投訴處理等。

山西省經濟信息中心有關部門在現有組織機構和隊伍基礎上，形成山西省、市二級網管中心原型，承擔山西省電子政務外網管理中心的建設和今后的運行維護工作。在此基礎上，按照統一的標準規范逐步推廣、完善管理服務體系建設。

⒋應用服務系統建設

山西省電子政務應用系統建設應以需求為導向，以應用促發展，緊緊圍繞深化經濟結構調整，加快新型能源和工業基地建設，面向決策支持和面向公眾服務，提高政府部門決策的準確性和科學性，建設高效、公開、勤政的公眾服務系統。應用服務系統建設的主要內容包括以下方面：綜合門戶網站、公文交換、電子郵件、干部在線培訓、網上審批、數據存儲體系等系統。

山西省電子政務外網建成后，將選擇宏觀經濟管理信息系統、山西省發展和改革委員會（簡稱“發改委”）的業務系統、“金”字工程項目在網上進行示范運行。例如，結合山西省發改委職能和中心工作，根據業務需求、經濟結構調整以及“1311”項目急需的領域，進行業務應用服務系統建設，其主要內容是：

⑴辦公業務系統的建設。公文運轉系統，包括登記、分辦、傳批、辦理、審核、督辦、歸檔全過程的網上全程流轉；文件、信函的智能交換和跟蹤系統；政務信息、信息采編、管理信息系統；檔案管理信息系統。

⑵綜合經濟管理業務應用服務系統的建設。主要包括：宏觀經濟管理信息系統；國民經濟和社會發展規劃與計劃系統；價格監督信息系統；固定資產投資項目管理信息系統；高新技術項目管理信息系統；國外貸款投資及國際合作項目管理信息系統；社會發展信息管理系統；經濟結構調整及“1311”項目系統。

⑶數據交換中心建設。建設政務外網數據交換中心，為政務信息資源和國家基礎信息資源提供登記、備案、、交換和共享等公共服務，為有需求的部門和地方提供數據備份和托管服務。

⑷對電子政務信息資源目錄體系與交換體系進行原型設計。首先，實現山西省政務信息資源和國家基礎信息資源的目錄服務，包括外網自身的目錄（含設備、系統、管理員等信息）、國家政府部門黃頁、白頁、Web服務的目錄（含各級政府部門機構名稱、電話、郵件地址、辦公地點、網址）等；其次，建立和完善政務信息分類標準、登記制度和交換制度，逐步建立完善的信息采集、登記、處理、交換、利用和平臺。

⒌綜合門戶網站建設

初步建設“面向外網用戶、以內容管理為基礎”的政務外網綜合門戶網站。政務外網綜合門戶網站是政務外網用戶的入口網站，是為用戶提供信息服務、互動式和“一站式”服務的總門戶。

⒍標準規范建設

統一標準規范是實現政務外網互聯互通的基礎之一。政務外網建設，要遵循統一的標準規范。首先，要遵守國家電子政務外網的標準規范，執行國務院信息化工作辦公室頒布的我國電子政務相關標準；同時，依據外網建設的實際需要，采用其他國際相關標準和我國的其他有關國家標準，包括國際互聯網工作組（IETF）、國際電聯（ITU）、國標（GB）等有關標準。此外，在國家信息中心指導下，山西省信息中心還將結合山西省的實際情況制定有關地方規范，主要涉及外網工程實施的技術要求和規定，包括外網體系結構，IP地址、域名、路由規劃，安全保障體系結構，外網接入規范，設備和軟件選型參考規范等；同時，要研究制定整體框架標準，數據建模標準，數據交換標準，應用系統標準和應用集成標準等。

⒎設備選型依據

根據山西省電子政務外網建設需求，在方案和設備選型上必須遵循高性能、高可靠性、高安全性、高擴展能力、技術先進性、實用性、靈活性和可管理性等多方面因素相結合的原則。從技術角度出發，核心和骨干設備應采用國內外知名品牌（盡量與國家電子政務外網保持一致），保證質量和服務能力；全網路由器和核心交換機均應具備三層MPLS VPN特性，保證電子政務業務隔離的關鍵需求；全網設備需具有QoS支持，保證未來視頻、語音、數據等業務的流量帶寬保證和服務質量；核心網絡設備均需滿足2.5G核心速率的接口要求。

根據該項目的實際情況和特點，將通過多方面的比較和衡量，選擇合適的網絡、存儲產品以及解決方案，采用高性能的服務器等；門戶網站、各應用服務系統則根據具體情況選擇實力強、產品適合的軟件開發公司定制。

從總體上看，山西省電子政務外網建設項目既是國家電子政務外網建設不可缺少的一個重要節點，又是山西省電子政務外網建設中全局性、關鍵性的工程項目。統一的外網平臺是山西省電子政務系統聯結各部門業務系統的橋梁和紐帶，是未來政務工作的“高速公路”。政務外網提供的高度集成化、一體化、規范化的服務，其本質是為各業務系統的安全、順暢、高效的數據傳輸、信息交換等構造網絡基礎環境，它是未來實現各業務系統互聯、互通、互操作以促進資源共享的基礎性工作。因此，應按照統一規劃，統一標準，整合資源，保障安全的原則盡快建設好山西省電子政務外網。

作者介紹：

篇4

關鍵詞：醫院；信息化；網絡；安全

中圖分類號：TP309.2

隨著醫改的不斷深入，借助信息化提高醫院的管理水平和服務質量已成為大勢所趨，伴著網絡技術的迅猛發展，Web化應用呈現出爆發式增長趨勢，一方面，增強了各行業及部門間的協作能力，提高了生產效率，另一方面也不可避免的帶來了新的安全威脅。從國家到地方，衛生行政主管部門非常重視醫院信息安全，與公安部門聯合發文，要求醫院完成等級保護工作。

1 我院網絡安全建設現狀

1.1 醫院信息系統現狀

我院的信息信息系統主要有：醫院信息管理系統（HIS）、醫學影像信息系統（PACS）、臨床實驗室檢驗信息系統（LIS）、電子病歷系統（EMR）、手術麻醉信息系統（AIMS）、醫院辦公自動化系統（HOA）等。隨著各系統應用的不斷深入，以及這些系統與醫保、合療、健康檔案、財務、銀行一卡通等系統的直連，安全問題已越來越突顯，網絡安全作為信息安全的基礎，變得尤為重要。

1.2 網絡安全現狀與不足

1.2.1 網絡安全現狀

（1）我們采用內外網物理隔離，內網所有U口禁用。對開放的U口通過北信源的桌面管理軟件進行管理；（2）內外網都使用了賽門鐵克的網絡殺毒軟件，對網絡病毒進行了防范；（3）與外部連接。

內網與省醫保是通過思科防火墻、路由器和醫保專線連接進行通信；與市醫保是通過聯想網御的網閘、醫保路由器與醫保專線連接進行通信；與合療及虛擬桌面是通過綠盟的下一代防火墻與互聯網進行通信；與健康檔案是通過天融信的VPN與互聯網進行通信的。另外，內網與財務專用軟件、一卡通也是通過網閘及防火墻進行通信的。

另外，我們有較完善的網絡安全管理制度體系，這里不再贅述。

1.2.2 網絡安全存在的問題

（1）由于醫院信息系統與外部業務連接不斷增長，專線與安全設備比較繁雜，運維復雜度較高；（2）通過部署網絡殺毒軟件及安全設備，雖然提升了網絡的安全性，但卻帶來了系統性能下降的問題，如何在不過多影響整體網絡性能的前提下，又可以完善整網的安全策略的部署，是后續網絡優化所需要重點關注的；（3）終端用戶接入網絡后所進行的網絡訪問行為無法進行審計和追溯。

2 醫院網絡層安全策略部署規劃

在等級保護安全策略指導下，我們將整個醫院的安全保障體系設計分為安全管理體系建設和安全技術體系建設兩個方面，其中安全技術體系建設的內容包括安全基礎設施（主要包括安全網關、入侵防護系統、安全審計系統等），安全管理體系建設的內容包括組織、制度、管理手段等。通過建立醫院安全技術體系、安全服務體系和安全管理體系，提供身份認證、訪問控制、抗抵賴和數據機密性、完整性、可用性、可控性等安全服務，形成集防護、檢測、響應于一體的安全防護體系，實現實體安全、應用安全、系統安全、網絡安全、管理安全，以滿足醫院安全的需求[1]。

在這里，我主要從安全技術體系建設方面闡述醫院網絡層安全策略。

網絡層安全主要涉及的方面包括結構安全、訪問控制、安全審計、入侵防范、惡意代碼防范、網絡設備防護幾大類安全控制。

2.1 安全域劃分[2]

2.1.1 安全域劃分原則

（1）業務保障原則。安全域方法的根本目標是能夠更好的保障網絡上承載的業務。在保證安全的同時，還要保障業務的正常運行和運行效率；（2）適度安全原則。在安全域劃分時會面臨有些業務緊密相連，但是根據安全要求（信息密級要求，訪問應用要求等）又要將其劃分到不同安全域的矛盾。是將業務按安全域的要求強性劃分，還是合并安全域以滿足業務要求？必須綜合考慮業務隔離的難度和合并安全域的風險（會出現有些資產保護級別不夠），從而給出合適的安全域劃分；（3）結構簡化原則。安全域方法的直接目的和效果是要將整個網絡變得更加簡單，簡單的網絡結構便于設計防護體系。比如，安全域劃分并不是粒度越細越好，安全域數量過多過雜可能導致安全域的管理過于復雜和困難；（4）等級保護原則。安全域的劃分要做到每個安全域的信息資產價值相近，具有相同或相近的安全等級安全環境安全策略等；（5）立體協防原則。安全域的主要對象是網絡，但是圍繞安全域的防護需要考慮在各個層次上立體防守，包括在物理鏈路網絡主機系統應用等層次；同時，在部署安全域防護體系的時候，要綜合運用身份鑒別訪問控制檢測審計鏈路冗余內容檢測等各種安全功能實現協防；（6）生命周期原則。對于安全域的劃分和布防不僅僅要考慮靜態設計，還要考慮不斷的變化；另外，在安全域的建設和調整過程中要考慮工程化的管理。

2.2.2 區域劃分

業務網內部根據業務類型及安全需求劃分為如圖1所示的幾個個安全區域，也可以根據醫院自己的業務實際情況，添加刪減相關的安全域，網絡規劃拓撲圖[3]如下：

圖1

（1）外聯區：主要與醫保網、外聯單位進行互聯，此區域與數據中心核心交換機互聯；在外聯區接入處部署防火墻、IPS、硬件殺毒墻，也可以部署下一代防火墻產品，添加IPS功能模塊、殺毒功能模塊，通過防火墻、IPS、殺毒進行訪問控制，實現安全隔離；與數據中心核心交換機處部署網閘設備，實現物理隔離；（2）運維管理區：主要負責運維管理醫院信息化系統，此區域與數據中心核心交換機互聯；在運維管理區與核心交換機之間部署堡壘機（SAS-H），對運維操作進行身份識別與行為管控；部署遠程安全評估系統（RSAS），對系統的漏洞進行安全評估；部署安全配置核查系統，對系統的安全配置做定期檢查；部署日志管理軟件，對網絡設備、安全設備、重要服務器的日志做收集整理和報表呈現；部署網絡版殺毒系統，與硬件殺毒墻非同一品牌；部署網絡審計系統，對全網所有用戶行為進行網絡審計；部署主機加固系統，對重要服務器定期進行安全加固，以符合等保的安全配置要求；（3）辦公接入區：主要負責在住院部大樓、門急診樓、公寓后勤樓等辦公用戶的網絡接入；接入匯聚交換機旁路部署IDS；與核心交換機接入采用防火墻進行訪問控制；重要辦公用戶安裝桌面終端系統控制非法接入問題；（4）核心交換區：主要負責各個安全域的接入與VLAN之間的訪問控制；在兩臺核心交換機上采用防火墻板卡，來實現各個區域的訪問控制。在核心交換機旁路部署安全審計系統，對全網數據進行內容審計，可以與運維管理區的網絡審計使用同一臺；（5）互聯網接入區：主要負責為辦公區用戶訪問互聯網提供服務，以及互聯網用戶訪問門戶網站及網上預約等業務提供服務；在互聯網出口處，部署負載均衡設備對鏈路做負載處理；部署下一代防火墻設備（IPS+AV+行為管理），對進出互聯網的數據進行安全審計和管控；在門戶服務器與匯聚交換機之間部署硬件WEB應用防火墻，對WEB服務器進行安全防護；在門戶服務器上安裝防篡改軟件，來實現對服務器的防篡改的要求；部署網閘系統，實現互聯網與業務內網的物理隔離要求；（6）數據中心區：此區域主要為醫院信息系統防護的核心，可分為關鍵業務服務器群和非關鍵業務服務器群，為整個醫院內網業務提供運算平臺；在非關鍵業務服務器群與核心交換區之間部署防火墻和入侵保護系統，對服務器做基礎的安全防護；在關鍵業務服務器群與核心交換機之間部署防火墻、入侵保護系統、WEB應用防護系統，對服務器做安全防護；（7）開發測試區：為軟件開發機第三方運維人員提供接入醫院內網服務，與核心交換機互聯；部署防火墻進行訪問控制，所有的開發測試區的用戶必須通過堡壘機訪問醫院內網；（8）存儲備份區：此區域主要為醫院信息化系統數據做存儲備份，與核心交換機互聯。

2.2 邊界訪問控制[1]

在網絡結構中，需要對各區域的邊界進行訪問控制，對于醫院外網邊界、數據交換區邊界、應用服務區域邊界及核心數據區邊界，需采取部署防火墻的方式實現高級別的訪問控制，各區域訪問控制方式說明如下：

（1）外聯區：通過部署高性能防火墻，實現數據中心網絡與醫院外網之間的訪問控制；（2）核心交換區：通過核心交換機的VLAN劃分、訪問控制列表以及在出口處部署防火墻實現對數據交換區的訪問控制；（3）數據中心區：通過核心交換機的VLAN劃分、訪問控制列表以及在出口處部署防火墻實現對應用服務區的訪問控制；（4）運維區：通過核心交換機的VLAN劃分、訪問控制列表以及在出口處部署防火墻實現對核心數據區的訪問控制；（5）互聯網區：與內網核心交換區采用網閘系統進行物理隔離；與互聯網出口采用防火墻實現訪問控制；（6）開發測試區：通過核心交換機的VLAN劃分、訪問控制列表以及在出口處部署防火墻實現對應用服務區的訪問控制；（7）辦公網接入區：通過核心交換機的VLAN劃分、訪問控制列表以及在出口處部署防火墻實現對應用服務區的訪問控制；（8）備份存儲區：通過核心交換機的VLAN劃分、訪問控制列表以及在出口處部署防火墻實現對應用服務區的訪問控制。

2.3 網絡審計[1]

網絡安全審計系統主要用于監視并記錄網絡中的各類操作，偵查系統中存在的現有和潛在的威脅，實時地綜合分析出網絡中發生的安全事件，包括各種外部事件和內部事件。在數據中心核心交換機處旁路部署網絡行為監控與審計系統，形成對全網網絡數據的流量檢測并進行相應安全審計，同時和其他網絡安全設備共同為集中安全管理提供監控數據用于分析及檢測。

網絡行為監控和審計系統將獨立的網絡傳感器硬件組件連接到網絡中的數據匯聚點設備上，對網絡中的數據包進行分析、匹配、統計，通過特定的協議算法，從而實現入侵檢測、信息還原等網絡審計功能，根據記錄生成詳細的審計報表。網絡行為監控和審計系統采取旁路技術，不用在目標主機中安裝任何組件。同時玩了個審計系統可以與其他網絡安全設備進行聯動，將各自的監控記錄送往安全管理安全域中的安全管理服務器，集中對網絡異常、攻擊和病毒進行分析和檢測。

2.4 網絡入侵防范[1]

根據數據中心的業務安全需求和等級保護三級對入侵防范的要求，需要在網絡中部署入侵防護產品。

入侵防護和產品通過對計算機網絡或計算機系統中的若干關鍵點收集信息并對其進行分析，從中發現網絡或系統中是否有違反安全策略的行為和被攻擊的跡象。入侵檢測產品應支持深度內容檢測、技術。配合實時更新的入侵攻擊特征庫，可檢測網絡攻擊行為，包括病毒、蠕蟲、木馬、間諜軟件、可疑代碼、探測與掃描等各種網絡威脅。當檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發生嚴重入侵事件時應提供報警。

入侵防護產品部署在數據中心與核心交換機之間，繼防火墻邊界訪問控制后的第二道防線。

2.5 邊界惡意代碼防范[1]

根據數據中心業務風險分析和等級保護三級對邊界惡意代碼防范的要求，需要在互聯網邊界部署防病毒產品，也可以在下一代防火墻添加防病毒模塊來實現此功能；防病毒產品應具備針對HTTP、FTP、SMTP、POP3、IMAP以及MSN協議的內容檢查、清除病毒的能力。支持查殺引導區病毒、文件型病毒、宏病毒、蠕蟲病毒、特洛伊木馬、后門程序、惡意腳本等各種惡意代碼，并定期提供對病毒庫版本的升級。

2.6 網絡設備保護[1]

對于網絡中關鍵的交換機、路由器設備，也需要采用一定的安全設置及安全保障手段來實現網絡層的控制。主要是根據等級保護基本要求配置網絡設備自身的身份鑒別與權限控制，包括：登錄地址、標識符、口令復雜度、失敗處理、傳輸加密、特權用戶權限分配等方面對網絡設備進行安全加固。

由于不同網絡設備安全配置的不同、配置維護工作繁雜，且信息安全是動態變化的，因此這里推薦通過自動化的配置核查設備，對網絡層面和主機層的安全配置進行定期掃描核查，及時發現不滿足基線要求的相關配置，并根據等級保護的安全配置要求提供相對應的安全配置加固指導。

3 結束語

通過以上六個方面的安全加固，重點解決了醫院當前網絡安全環境中面臨的主要問題。隨著醫院數字化進程的不斷深入，我們還將重點跟蹤網絡安全方面出現的新問題、新的技術思路和新的技術解決方案，做好醫院的網絡安全工作，為醫院信息化建設保駕護航。

目前，網絡已經深刻影響與改變現有的醫療模式[4]，網絡安全已成為醫院信息化建設中的重中之重，它是一項復雜而艱巨的系統工程，需全方位入手，切實保障醫院各信息系統安全穩定的運行、醫院各項工作順利的開展，真正為廣大患者提供優質便捷的服務。

參考文獻：

[1]GB/T 22239-2008，信息系統安全等級保護基本要求[S].

[2]GB/T 9387.2-1995，開放系統互連基本參考模型第2部分：安全體系結構《醫療機構》，P14-P18：安全服務與安全機制的配置[S].

[3]ISO 10181：1996 信息技術開放系統互連開放系統安全框架[S].

[4]陳理兵，陳起燕.論醫院網絡應用系統的安全設計[J].福建電腦，2013（11）.

篇5

關鍵詞：計算機網絡；網絡安全；威脅；防范措施

互聯網一直不平靜，近來鬧得沸沸揚揚的“斯諾登事件”和“棱鏡門”揭示了黑客行為不單是個人所為，還有政府組織背景。筆者無意探討其中的是非曲折，僅結合計算機網絡中的一些的安全威脅及防范措施進行分析和探討。據《CNCERT互聯網安全威脅報告》，2013年4月份我國境內感染網絡病毒的終端數近371萬個；被篡改網站數量為9020個，其中被篡改政府網站數量為810個；CNVD收集到系統安全漏洞732個，其中高危漏洞226個，可被利用實施遠程攻擊的漏洞有624個。這里指出了計算機網絡常見的幾大安全威脅：病毒、網絡攻擊、安全漏洞。下面進行討論。

一、網絡安全與主要威脅

1.關于網絡安全。網絡安全是指計算機網絡系統的軟硬件以及系統數據處于保護狀態，不因自然因素或人為惡意破壞而導致系統破壞、數據被惡意地篡改和泄漏，從而保證計算機系統可以安全、可靠、穩定的運行。從該定義可以看出，“棱鏡門”導致全球范圍內難以計數的計算機系統受到了安全威脅，因為在人們不知不覺中個人信息可能已經泄漏出去了。

2.計算機網絡主要威脅。（1）病毒威脅。按照《中華人民共和國計算機信息系統安全保護條例》給出的定義，病毒（Virus）是編寫或插入計算機程序中，具有破壞計算機功能或數據，影響計算機使用并且可以自我復制的一組計算機指令或程序代碼。計算機病毒可以像生物病毒那樣，通過電腦硬盤、光盤、U盤、網絡等途徑自我復制而大量傳播，也能像生物病毒對待宿主那樣造成巨大破壞，例如幾年前“熊貓燒香”病毒的破壞力人們記憶尤存。（2）木馬威脅。木馬（Trojan）源于希臘傳說特洛伊木馬計的故事。木馬也是一種計算機程序，與病毒不同的是它一般不會自我復制，也不會感染其他文件，而常常偽裝成游戲或對話框吸引用戶下載，一旦進入用戶計算機系統就如同施了特洛伊木馬計那樣，在用戶電腦中破壞、盜取數據或者通過遠程操控用戶電腦。可見，木馬的危害不亞于病毒。（3） 黑客攻擊。黑客（Hacker）是指那些利用網絡攻擊技術攻擊計算機網絡中的計算機系統的人。黑客攻擊目標可能是個人電腦，也可能是企業、政府部門的服務器系統，攻擊所要達到的目的可以是獲取商業機密，進行網絡詐騙、網絡釣魚，也可能懷有某種政治目的而進行破壞，如篡改網站，攻擊政府、企事業單位的網站而使其癱瘓。（4）安全漏洞。安全漏洞是指計算機系統中存在的可能被黑客利用的缺陷，它包括系統漏洞、應用軟件漏洞、網絡設備漏洞、安全產品漏洞（如防火墻、入侵檢測系統等存在的漏洞）等。漏洞是客觀存在的，而且很難完全避免，這是由計算機系統的復雜性所決定的。但有那么一些漏洞是人為設置的，如軟件后門。（5）操作與管理漏洞。有些計算機用戶操作不當及安全意識較差。例如無意中的操作失誤，口令設置過于簡單，隨意將自己的帳號轉借給他人或者與人共享等。部分集團用戶缺乏嚴密的管理措施，使內部網絡容易受到攻擊，如一些單位的局域網、校園網為了便于資源共享，訪問控制或安全通信方面有所欠缺，采用移動設備無線傳輸數據時不經過必要的安全檢查，增加了數據泄密的幾率。

3.網絡威脅的后果。計算機網絡中的威脅已帶來許多不良影響，比較典型的后果有：一是數據丟失，對于失去重要的商業資料，其經濟損失難以估量；二是系統癱瘓，對于一些經營性網站將無法提供服務；三是機密失竊，對于推行辦公自動化的部門、單位而言，核心機密失竊不僅意味著巨大經濟損失，而且對其以后發展可能是致命的；四是威脅社會安定，一些政府網站信息資料被篡改及傳播謠言，將對社會穩定構成極大威脅。

二、計算機網絡安全防范措施

1.構建網絡安全防護體系。目前，網絡安全的形勢已不單局限于國內、某一部門、單位或個人，“棱鏡門”事件說明網絡安全更需要國際合作。從國內來說網絡安全的法律體系尚不完善，針對網絡犯罪存在一些明顯的不足，例如量刑程度較粗，相比傳統犯罪刑罰偏輕，所以健全法律法規體系建設是確保網絡安全的基礎。網絡安全防護體系應由網絡安全評估體系、網絡安全服務體系和安全防護結構體系組成。評估體系是對網絡漏洞、管理進行評估；服務體系包括應急服務體系、數據恢復服務和安全技術培訓服務；防護結構體系包括病毒防護體系、網絡訪問控制技術、網絡監控技術和數據保密技術。

2. 網絡安全技術防范措施。（1） 重視安全漏洞的修補。安全漏洞意味著系統存在可預知的不足，既然如此就應當設法彌補漏洞。如系統漏洞、應用軟件漏洞可借漏洞掃描軟件定期掃描找出漏洞，再打足補丁。對于操作系統和應用軟件應該開啟實時更新功能，及時打上補丁或更新軟件。（2）防范病毒。一般可通過安裝防病毒軟件防范病毒攻擊。防病毒軟件有單機版和網絡版兩種類型。單機版可用于個人電腦和局域網內使用，網絡版可用于互聯網環境。但需要注意的是，在當今網絡環境中使用防病毒軟件也只能提供有限度的防護，對于黑客入侵并不總有效，仍需要其他安全防護措施。（3）利用好防火墻技術。防火墻技術實質上是隔離內網與外網的屏障，避免非授權訪問。使用防火墻的關鍵是合理配置，不少人卻忽略了這一點。正確配置方案包括身份驗證、口令驗證級別以及過濾原則等。（4）訪問控制技術。訪問控制就是根據用戶身份設置不同的訪問權限。通過訪問控制技術可阻止病毒或惡意代碼入侵，減少非授權用戶訪問行為。（5）數據加密技術。數據加密可有效防止機密失竊，即使數據傳輸時被截獲，信息也不會完全泄漏。數據加密方法一般可分為對稱加密算法和非對稱加密算法兩種，前者加密與解密的密鑰相同，系統安全性與密鑰安全性關系較大；后者加密與解密密鑰不同，且需要一一對應，安全性更高。（6）其他常用安全技術。如入侵防御技術（IPS）、入侵檢測技術（IDS）、虛擬專用網技術（VPN）、網絡隔離技術等。日常應加強數據備份管理，確保數據丟失、破壞后可以迅速恢復。

三、結語

計算機網絡已經改變了人們的生活方式，也提升了生活質量，但無法忽略的是網絡威脅也始終相伴。通過有效的管理機制、技術防范措施，可以減少網絡威脅所帶來的問題，然而沒有絕對安全的技術，唯有不斷提高安全意識和更新安全技術，才能最大限度地保障網絡安全。

參考文獻：