【文章內(nèi)容簡介】 備份及恢復(fù)，數(shù)據(jù)庫的安全及數(shù)據(jù)庫系統(tǒng)的設(shè)備的冗余。第2章 電子政務(wù)系統(tǒng)安全性解決的辦法第一節(jié) 電子政務(wù)網(wǎng)絡(luò)系統(tǒng)的安全 系統(tǒng)安全是包括設(shè)備安全、運行安全和網(wǎng)絡(luò)安全。設(shè)備安全是指運行電子政務(wù)系統(tǒng)中的計算機、存儲設(shè)備、網(wǎng)絡(luò)設(shè)備、通信設(shè)備、安全設(shè)備等物理保證安全，防止人為和自然的損壞；運行安全是指服務(wù)器操作系統(tǒng)及電子政務(wù)軟件運行安全性，防止系統(tǒng)運行軟件故障，減少因軟件故障導(dǎo)致的系統(tǒng)運行不穩(wěn)定；網(wǎng)絡(luò)安全是指運行電子政務(wù)網(wǎng)絡(luò)的聯(lián)通性，保證網(wǎng)絡(luò)聯(lián)通，刪除非正常通信中。也就是說提供電子政務(wù)服務(wù)的軟、硬件的可用性。在構(gòu)建電子政務(wù)網(wǎng)絡(luò)時。就要考慮到一定的設(shè)備冗余。電子政務(wù)網(wǎng)站的運行具有不問斷性。威脅電子政務(wù)信息安全的主要行為有非法使用資源、惡意破壞、盜竊數(shù)據(jù)，等等。目前我國電子政務(wù)中的信息安全方面也存在著一些問題，電子政務(wù)網(wǎng)絡(luò)比較脆弱，各種安全隱患普遍存在。同時，病毒破壞、黑客入侵、重要信息泄漏等危害越來越大。此外，我國部分政府官員和公務(wù)員對信息技術(shù)、網(wǎng)絡(luò)技術(shù)和計算機技術(shù)還接觸不多，所以對高新信息技術(shù)應(yīng)用方面的能力也比較欠缺，整體素質(zhì)與電子政務(wù)建設(shè)的要求還有一定的距離，等等。導(dǎo)致我國電子政務(wù)信息安全系統(tǒng)薄弱的原因是多方面的，具體地說，有法律、管理、技術(shù)等因素。電子政務(wù)網(wǎng)站一般情況下。要24sJ、時提供服務(wù)。這就考驗我們所選擇的服務(wù)器和操作系統(tǒng)及 電子政務(wù)軟件了。我們一方面要保障計算機的正常運行．還要防止一些惡意的攻擊，故此，在服務(wù)器上安裝殺毒軟件和試用防火墻對服務(wù)器進行保護。服務(wù)器的操作系統(tǒng)要進行專業(yè)的配置．網(wǎng)管人員要對服務(wù)器進行24JJ、時不問斷的監(jiān)控。一要防止因設(shè)備、系統(tǒng)、軟件故障導(dǎo)致的停機；二要防止黑客的攻擊或病毒的破壞(傳播)；三要對數(shù)據(jù)進行實時監(jiān)控，對操作人員的操作進行審核，并修復(fù)誤操作。需要說明的三點是：(1)在電子政務(wù)網(wǎng)絡(luò)構(gòu)架中，防火墻的位置和設(shè)置至關(guān)重要。最佳設(shè)置是在服務(wù)器邊緣設(shè)置，置不當(dāng)就會造成安全漏洞或?qū)W(wǎng)絡(luò)訪問功能產(chǎn)生限制，影響電子政務(wù)運行效率，此外關(guān)鍵服務(wù)器的訪問要受到防火墻的監(jiān)控。(2)病毒服務(wù)器要單獨獨立，安裝網(wǎng)絡(luò)版的殺毒軟件，對系統(tǒng)中的各個工作站(終端)及服務(wù)器安裝客戶端，實施全網(wǎng)監(jiān)控，全網(wǎng)查殺，杜絕網(wǎng)絡(luò)病毒的發(fā)生。(3)設(shè)有專人對防火墻及網(wǎng)絡(luò)病毒服務(wù)器負責(zé)，對安全日志(訪問日志)要有專門的審核。發(fā)現(xiàn)問題要及時上報并處理。第二節(jié) 選擇合適的電子政務(wù)系統(tǒng)目前，我國有多家軟件公司在做電子政務(wù)系統(tǒng)。每個公司的系統(tǒng)都有其自身的特點和優(yōu)點，也有其不足。我們的政府機關(guān)。不必要非得選擇功能強大的巨型電子政務(wù)軟件，各級政府要有步驟、有目的的統(tǒng)一選購適合本級政府的電子政務(wù)系統(tǒng)。軟件系統(tǒng)要和本部門的硬件設(shè)備及管理人員及操作人員相匹配。某些大型、巨型的電子政務(wù)系統(tǒng)需要有較高的專業(yè)水平的網(wǎng)絡(luò)管理人員來管理，對操作員【工作人員】的要求也較高。此外，軟件所需要的網(wǎng)絡(luò)設(shè)備的負載及網(wǎng)絡(luò)拓撲結(jié)構(gòu)也是非常重要的，各公司的軟件對此要求也不一。這樣，只有根據(jù)實際情況出發(fā)，才能選擇到適合本級政府的電子政務(wù)軟件。才能使國家的資金發(fā)揮應(yīng)有的作用，才能更好地運行和管理電子政務(wù)系統(tǒng)。筆者曾于2007年對某地級市的電子務(wù)系統(tǒng)進行檢測，發(fā)現(xiàn)其購買的系統(tǒng)使用率不足5％，沒有一個網(wǎng)絡(luò)管理人員熟悉其使用的Oracle數(shù)據(jù)庫及Unix操作系統(tǒng)，系統(tǒng)出了問題就只有等軟件廠商來解決。其實，其在選擇時大可選用基于微軟Servers平臺上的電子政務(wù)系統(tǒng)，這樣懂的人就多了，經(jīng)過較短時間的培訓(xùn)。既可以輕松上手，這樣的管理、維護要好的多。第三節(jié) 電子政務(wù)的保密性使用恰當(dāng)?shù)募用芗罢J證手段，保證連接的安全性在電子政務(wù)系統(tǒng)中?？蛻舳?工作機)與服務(wù)器的連接是必須的。目前，隨著計算機技術(shù)的發(fā)展及網(wǎng)絡(luò)的普及，單機版的電子政務(wù)軟件已經(jīng)越來越少了。網(wǎng)絡(luò)版中，客戶端(工作機)必須與服務(wù)器連接，讀寫服務(wù)器中數(shù)據(jù)庫中的數(shù)據(jù)。對于基于C／s的結(jié)構(gòu)來說，目前，我國電子政務(wù)系統(tǒng)中主要使用的網(wǎng)絡(luò)連接有非加密連接(ODBC直接連接)、VPN遠程接入兩種。使用非加密直連黑客可以通過嗅探器輕松的獲取數(shù)據(jù)庫的數(shù)據(jù)庫名稱及數(shù)據(jù)庫用戶名、密碼，其可以構(gòu)建一個虛擬環(huán)境來對服務(wù)器數(shù)據(jù)庫進行讀寫，造成極大的安全漏洞，據(jù)筆者所知。這樣的連接還大量的存在。此外，使用VPN遠程接入的，由于選擇VPN設(shè)備的不同，也存在密碼強度問題及數(shù)據(jù)被解密的情況。有些VPN設(shè)備本身存在缺陷。也為電子政務(wù)系統(tǒng)安全造成隱患。對于基于B／S的模式下，目前有非加密、IPSectJIl密、SSLtJll密、使用VPN連接及數(shù)字認證(卡證)等。相對于C／S模式。加密的選擇種類較多。算法多種多樣，支持第三方認證。加密強度也較高，許多加密手段集成到操作系統(tǒng)中，在目前的電子政務(wù)系統(tǒng)中使用較多。當(dāng)前，基于非加密連接的電子政務(wù)系統(tǒng)已經(jīng)微乎其微了．大部分使用的是VPN連接和lPSec力I：I密，SSL力I：I密目前大部分用于電子商務(wù)網(wǎng)站，在新的電子政務(wù)系統(tǒng)中也有應(yīng)用。基于VPN連接,客戶端(工作機)連接至fJVPN設(shè)備(VPN服務(wù)器)，獲得一加密通道，啟用安全連接，進行數(shù)據(jù)傳輸，黑客無法進行正常的嗅探。基于IPSectJ]1密，是服務(wù)器和客戶端全部啟用IPSec協(xié)議，傳輸數(shù)據(jù)實施制定的加密強度的加密，即便黑客嗅探到數(shù)據(jù)，其解密難度及其大?；赟SL協(xié)議加密，客戶端與服務(wù)器連接認證時，使用SSL進行加密通訊，選擇適當(dāng)?shù)募用軓姸?，即便遭到黑客嗅探，所得的抓的包解密也需要極其漫長的時間，相對來說能夠很好地保護戶登錄信息；在傳輸敏感信息時，啟用SSL，這樣保護數(shù)據(jù)安全。不過，目前我國電子政務(wù)系統(tǒng)中，此方數(shù)據(jù)技術(shù)使用較少。有些電子政務(wù)系統(tǒng)使用數(shù)字證書(卡證)等進行身份認證，在連接時，將數(shù)字證書(卡證)附著在登錄中。進行加密等。不過，目前有些高技術(shù)的黑客可以通過分析嗅探得到的數(shù)據(jù)包分離出數(shù)字證書或卡證，冒用身份認證。有些基于域的用戶可以使用域信任．一般情況。此信任在內(nèi)部相對安全，也方便的多。認證使用高版本的Kerberos(KB認證)，網(wǎng)絡(luò)管理員和軟件廠商通過合理的加密強度及認證方法來保障客戶端(工作機)與服務(wù)器的安全鏈接。第四節(jié) 適時對人員進行必要的培訓(xùn)有了組織機構(gòu)和相應(yīng)的安全制度，還需要領(lǐng)導(dǎo)的重視和安全責(zé)任人的重視。這需要進行網(wǎng)絡(luò)信息安全意識的教育，提高相關(guān)人員網(wǎng)絡(luò)安全意識和法律觀念，引起人們對信息安全問題的高度重視，尤其需要對電子政務(wù)方面的主管領(lǐng)導(dǎo)和計算機系統(tǒng)管理員、操作員進行信息安全法律法規(guī)和安全技術(shù)知識的培訓(xùn)，使相關(guān)人員增強計算機安全意識，在信息安全方面做到知法、懂法、守法。目前，電子政務(wù)系統(tǒng)軟件開發(fā)廠商對部分使用人員進行短期培訓(xùn)，其主要針對的是操作使用，也有必要增度及職業(yè)道德修養(yǎng)等方面。很多基于開發(fā)等方面的內(nèi)容。由于涉及到各廠商的商業(yè)秘密。不予介紹。說明書上也不做進一步解釋。這就要求，電子政務(wù)系統(tǒng)網(wǎng)絡(luò)管理員要有必要的技術(shù)能力來從電子政務(wù)系統(tǒng)分析可能發(fā)現(xiàn)的問題及安全隱患，如有可能到軟件廠商系統(tǒng)熟悉軟件開發(fā)，做到了解軟件，及更好的應(yīng)用軟件、管理電子政務(wù)系統(tǒng)。使用單位要對操作人