（山西省经济信息中心 山西 太原 030002）

摘  要：基于对电子政务外网系统安全的需求和目标，描述了对其实施等级保护的过程、机制和效果，依据等级保护测评报告，详细说明了整改措施和内容，并对今后开展信息安全等级保护工作提出了建议。

关键词：电子政务外网 安全 等级保护 

1 概述

1.1背景介绍

      为了进一步提高山西省电子政务外网信息安全的保障能力和防护水平，维护国家安全、公共利益和社会稳定，保障和促进我省信息化建设的健康发展，依据《国家信息化领导小组关于加强信息安全保障工作的意见》（办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）、《信息安全等级保护管理办法的通知》（公通字[2007]43号、文件《关于开展信息安全等级保护安全建设整改工作的通知》（并公发【2010】20号）文件精神，按照主管部门和省外网工程办的统一安排和部署，决定开展对省级电子政务外网（一期工程）信息安全等级保护工作。

山西省电子政务外网采用国产自主可控的安全解决方案，构建了较完善的网络安全保障体系。在对山西省电子政务外网进行信息安全风险评估的基础上，率先完成了省级节点的政务外网信息安全等级保护测评工作，为我省电子政务外网信息安全提供了有力的保障。

1.2外网系统安全等级保护需求

山西省电子政务外网是集网络技术、共享数据、业务应用一体的网络系统，随着全球信息技术的快速发展，信息科技在电子政务系统中的应用越来越广，政务机构对信息系统的依赖程度也越来越大，与此同时，政府部门所面临的信息科技风险也随之增大。面对网络黑客的攻击与不法组织的蓄意破坏，风险的抵御能力还有待提高，为此国家相关部门也在积极促进信息安全等级保护工作的推进，意在促进国内政务部门建立起信息安全保障机制，以增强抵御外界风险的能力，防止网络信息安全风险的发生。

要保证电子外网的正常运行，为各级政务部门的业务提供网络传输、信息交换、安全保障等支撑服务，为社会公众提供政务信息服务，实施信息安全等级保护既是政策合规性管理的要求，也是保障网络信息安全的需求。

1.3外网系统安全等级保护目标

 通过对山西省电子政务外网实施安全信息等级保护，掌握外网网络平台、安全保障体系、外网服务支撑体系的安全情况，排查评估子系统所关联网络设备、安全设备及服务应用系统的安全隐患和薄弱环节，明确信息系统安全建设整改需求；

衡量信息系统的安全保护管理措施和技术措施是否符合等级保护基本要求，是否具备了相应的安全保护能力；

实现网络信息安全等级保护，采取分级、分类、分阶段的策略坚持分级实施保护，突出关注重点、要害部位，实现纵深防护；依据各大系统应用和结构的不同特点，采取不同的方法，分类加以指导和推进。

2 实施外网系统安全等级保护环境

2.1基础环境

山西省电子政务外网与互联网逻辑隔离，已实现了与国家电子政务外网互联，并能为省级政务部门提供互联网出口，目前完成了大部分省级政务部门接入外网工作，完成了10个市级节点单位路由器的安装和调试。基本具备各项网络服务功能和为各电子政务部门服务的能力。

2.2网络环境

2.2.1山西省电子政务外网总体功能

 山西省省电子政务外网总体功能主要包括以下内容：

（1）上联国家电子政务外网；下联地市政务政务外网，实现网络纵向延伸；横向连接各厅局单位，实现网络横向延伸。

（2）互联网出口承担着两方面的作用：一是电子政务外网内省级所有用户访问互联网的出口；二是为公众提供访问政府信息的入口，同时也是可信用户通过互联网访问政务外网的唯一通道。

（3）为外网业务应用系统提供基于数字证书的身份认证。

（4）部署邮件系统，实现省电子政务外网中WEB服务器对互联网提供服务。

（5）实现局域网用户能访问山西省电子政务外网，并能通过政务外网访问互联网。

（6）为接入山西省电子政务外网的政务部门提供各种应用服务。

（7）实现对山西省电子政务外网中的交换、路由、安全、服务器等设备进行监控、安全管理。

（8）支持MPLS VPN 技术 、支持与多种VPN对接；支持政务部门用户移动接入。

2.2.2业务应用

目前，省电子政务网络业务应用系统已开始起步。典型案例有：

（1）为发改委终端用户和门户网站提供网络支撑。

（2）省政府应急办使用小型移动应急平台向国务院报送现场图像取得成功。

（3）省审计厅依托政务外网构建国家、省、地、县四级审计专网，已经成功打通了纵向VPN，实现了跨网、跨域、跨不同厂商硬件设备的VPN互连。

（4）为省宗教事务局网站提供安全服务。

（5）开通山西省地理信息公共服务平台。

（6）由山西省气象局承建的“山西省国家突发事件预警信息发布中心”依托政务外网开通各联网厅局节点到省气象局的预警信息传输通道。

3 外网系统安全等级保护实施过程和等级测评机制

3.1实施过程

对山西省电子政务外网信息安全等级保护包括自主定级、备案和信息安全系统等级保护测评、网络系统安全整改四个阶段：

3.1.1自主定级阶段

山西省经济信息中心外网工程办组织专家和有关人员召开了我省电子政务外网信息安全等级保护自主定级评审会，形成《山西省电子政务外网等级保护自主定级评审意见》。

根据专家组的评审意见，山西省电子政务外网信息安全等级划分了外网应用支撑平台、外网安全管理系统、外网门户网站系统等7个应用系统的定级对象。

3.1.2定级备案阶段

撰写了《山西省电子政务外网省级网络系统定级报告》及相关材料，并在市公安局进行定级备案。

3.1.3信息等级保护测评阶段

完成了7个子系统定级对象的等级保护测评工作，形成了相应的等级保护测评报告，所有等级测评结论均为基本符合。

3.1.4网络系统安全整改阶段

根据山西省电子政务外网等级测评报告及整改建议，对网络系统和主机系统的配置进行了优化，同时，启动了《山西省电子政务外网网络系统安全整改工程》。通过上述整改，降低了网络信息安全在保密性、完整性、可用性、可扩展性等方面所面临的威胁，提高山西省电子政务外网信息安全的保障能力和防护水平。

3.2等级保护测评机制

3.2.1组织保障

为了保证山西省电子政务外网信息安全等级测评工作的顺利实施，成立了等级测评组织机构，机构有领导组和工作组组成。领导组主要工作职责是：按照国家关于信息安全等级保护工作的有关制度和标准，指导、监督和协调测评工作；工作组的职责是协助测评方，做好测评工作。

3.2.2技术保障和相关管理措施

项目实施遵循客观性和公正性原则、经济性和可重用性原则、可重复性和可再现性原则、符合性原则，以保证等级测评服务质量和测评结果的客观性。为了保证测评质量，采取措施：

3.2.2.1适当选点，保证强度

恰当选取测试点是指对具体测评对象的选择要恰当，既要避免重要的对象、可能存在的安全除患的对象没有被选择，也要避免过多的选择，使得工作量增大，不能按期完成测评任务。

保证强度是指对被测系统应实施与其等级相适应的测评力度。

3.2.2.2规范行为，规避风险

测评组人员的行为规范包括：树立服务意识、质量意识；在不违反测评工作原则的基础上，遵守使用单位的机房管理制度；严格按照测评指导书使用规范的测评技术进行测评；准确记录测评证据；不泄露信息系统信息；不将测评结果复制给非测评人员等。

规避风险是指要充分估计测评可能给被测系统带来的影响，向被测系统运营、使用单位揭示风险，要求其提前采取预防措施进行规避。同时，测评机构也应和测评委托单位签署委托测评协议、现场测评授权书、保密协议等。

3.2.3实施方法

本次等级测评项目的主要测评方法有访谈、检查、测试。

访谈：访谈的对象主要是人员。

检查：包括评审、核查、审查、观察、研究和分析等。检查对象是文档、机制、设备等，工具是安全检测专用工具。

测试：主要是功能、性能测试及渗透测试，测评对象包括安全的机制，设备等。

4 外网系统安全等级保护测评报告

针对七个不同等级的应用系统产生了七个相应等级的等级测评报告，主要内容包括:

4.1系统描述

描述了承载业务情况和网络结构（业务应用软件、主机/存储设备、网络互联设备、安全设备、安全相关人员、安全管理文档）。

4.2单元测评和整体测评

测评每个定级系统的物理安全、网络安全、主机安全、应用安全等指标，并对测评记录汇总，分析存在的安全问题。

4.3测评结论

综合测评与分析结果，对信息系统基本安全保护状态进行综合分析判断，产生测评结论。

4.4提出安全建设整改建议

根据定级报告中提出的安全建设整改建议，我们采取了如下整改措施：

（1）在原有的安全管理系统软件基础上，增加了综合业务监控管理软件达到使用两种或两种以上组合的鉴别技术对同一用户身份鉴别。

（2）建立数据库审计系统、网络审计系统和综合审计管理系统，对安全隐患做出预测，并采取相应的管理措施。

（3）建立终端安全防护系统，建设国家政务终端安全护理系统山西节点，为终端用户提供全面强大且易于管理的安全防护功能。

（4）在路由、交换、防火墙设备上关闭telnet 服务，开启ssh服务；绑定主机和维护终端机mac地址；启用所有设备的登录超时功能；细化防火墙策略；按照复杂性要求定义所有设备的密码；在核心交换机上配置带宽策略；主机管理员帐号设置系统管理员、安全管理员和安全审计员；主机操作系统关闭远程、任务和无线端口；主机操作系统配置审核策略。

总之，采取配置上述安全策略和访问控制策略，降低山西省电子政务外网安全管理系统运行风险，提高了信息系统的整体防御能力和安全性。

5 对等级保护工作建议

我省外网等级保护工作刚刚起步，为了保证信息安全等级保护工作能长期、持续发展，提出以下建议：

5.1等级保护意识应贯穿于信息系统的各个阶段中

为了避免走弯路和节约开支，应把等级保护意识应贯穿于信息系统的各个阶段中。在项目规划设计阶段，依据等级保护的安全策略规定，确定系统的安全目标；在项目建设验收阶段，通过等级保护测评，确定系统的安全目标是否实现；在运行维护阶段，要不断实施等级保护以识别系统面临的不断变化的风险和安全隐患，从而确定安全措施的有效性。

5.2完善的管理制度是做好等级保护工作的有力保障

电子政务信息安全问题七分在管理，三分在技术。要从管理和技术两个层面人手，既要注重信息技术的不断提高，更要重视人的管理，制定完善的管理制度，才能明确安全管理责任制，从管理的内外部建立有力可行的约束机制，保证等级保护工作顺利开展。

5.3要正确处理安全与发展的关系

在进行电子政务信息安全保护的设计时，应该从科学和实际应用出发，合理利用现有的安全设备，做到适度保护，而不是过度保护。要充分认识到安全是为应用服务，通过安全等级和安全域的划分，对不同等级信息系统和安全域的安全保护采取管理与技术相结合的手段，实现适度的安全保障。要正确处理安全与发展的关系，以安全促发展，在发展中求安全，统筹规划，突出重点，做好日常管理工作。

参考文献：

〔1〕比马宁.国家信息安全保障体系与信息安全等级保护制度实施.电子商务,2008(2)

〔2〕孙强,等.信息安全管理全球最佳实务与实施指南.北京:清华大学出版社,2004

〔3〕张建军,孟亚平.信息安全风险评估探索与实践.北京:中国标准出版社,2005

〔4〕GB 17859-1999.计算机信息系统安全保护等级划分准则,1999

作者简介：

阎彩英，山西省经济信息中心，研究生，高级工程师。