等級保護制度的網絡信息安全保障范文

本站小編為你精心準備了等級保護制度的網絡信息安全保障參考范文，愿這些范文能點燃您思維的火花，激發您的寫作靈感。歡迎深入閱讀并收藏。

《上海信息化雜志》2014年第十二期

一、新形勢下網絡信息安全威脅分析

政府部門信息系統和構架的特點，決定了其在網絡信息安全性方面存在問題和隱患。目前，網絡攻擊、信息竊取、運維管理等方面的風險尤為突出。網絡攻擊。目前的網絡攻擊，不僅包括利用網絡和系統存在的漏洞和安全缺陷對計算機信息系統實施入侵，破壞和干擾系統正常運行的行為，還包括對其存儲的數據進行密取、增加、刪除和修改的行為，具有跨國性、欺騙性、隱匿性的特征。比較常見的網絡攻擊方式有：DDOS（拒絕服務式）攻擊、計算機病毒程序攻擊、數據驅動攻擊以及網絡欺騙攻擊等。以計算機病毒程序攻擊為例，攻擊者通過網頁掛載、郵件附件、軟件捆綁、文件偽裝、動態鏈接庫和遠程線程插入等方式向目標系統植入計算機病毒程序、木馬程序，以記錄用戶操作痕跡（鍵盤敲擊記錄、網頁瀏覽記錄）或者直接操作計算機系統，并獲取、修改系統重要信息數據或干擾計算機系統正常運行。這類攻擊，都可以在一定程度上造成信息系統的故障和癱瘓或對網絡傳輸數據和系統內存儲處理數據的安全性造成威脅。特別是一些部署在互聯網上，且防護措施比較薄弱的，一級架構的政府部門信息系統以及提供互聯網服務并進行跨網部署的政府部門信息系統。

信息竊取。對于政府部門的信息系統，主要面臨的信息安全來自于一些國家或境內外敵對勢力。為了達到顛覆政權、擾亂政治穩定、經濟穩定和社會穩定的不法目的，一些國家或敵對勢力正通過各種密取手段和信息監控手段對國家秘密、軍事秘密等涉及國家安全穩定的重要信息進行密取和截獲。通過境外的互聯網內容服務商密取信息、通過境外的互聯網接入服務商截獲信息、利用網絡設備及信息系統設備竊取信息等手段屢見不鮮。通過境外的互聯網內容服務商密取信息，是通過一些在國外注冊并上市的互聯網內容服務商獲取互聯網信息業務和增值業務。這些互聯網內容服務商不僅可以向本國乃至全球用戶提供互聯網內容和應用服務，而且其掌握了大量用戶的數據，包括了用戶上網的IP地址、上網設備標示、登陸時間、登陸口令以及相關應用的交互等內容，甚至涉及公民隱私及政府國家秘密、企業業務秘密的私密數據。

用戶在訪問境外網站的過程中，交互數據可能經過這些向用戶提供互聯網接入服務的境外服務商的數據傳輸設備。而通過境外的互聯網接入服務商截獲信息利用的就是該特點，當用戶在使用部署于互聯網的信息系統終端設備進行互聯網訪問時，信息就會被中途截獲密取。2011年，國外媒體曾報道某知名手機生產商的手機在定位功能關閉后仍在收集用戶位置信息的情況，類似的還有打印機緩存打印數據等竊取私密信息的方法。這些設備都有預留或被植入的“后門”，以達到利用網絡設備及信息系統設備竊取信息的目的。通過這樣的方式可以隨時隨地收集使用者的各種信息，甚至控制網絡和信息系統。運維管理的風險。政府部門的信息系統，按照其應用領域和信息安全要求，都有嚴格的密級劃分，對于系統建設和運維管理的單位也有嚴格明確的資質規定和保密要求。然而，與政府部門相比，系統建設和運維廠商的人員管理相對不夠嚴格和規范，人員的流動性較大，這就可能存在一些風險，例如竊取系統數據或在系統中預留后門和漏洞等。

二、基于信息安全等級保護的防護模式

隨著政府部門網絡規模不斷擴大、各類政府應用不斷擴展、云計算物聯網移動互聯網等技術不斷涌現，網絡的脆弱性和面臨的安全威脅日益顯現。同時，隨著網絡安全攻防技術動態發展，網絡信息安全不再是傳統意義上的信息截獲、病毒破壞、設施破壞，而是呈現出自動化、智能化和專業化的特點。因此，為了更好地保障政府信息系統穩定、高效運行，在系統整體架構及安全保障模式上應不斷進行創新，針對不同的安全防護需求，采取不同的安全機制或措施，提高安全防護能力。結合信息安全等級保護措施，根據政府部門安全防護需求，建設安全防護模型，全方位保障新形勢下政府部門信息系統的安全。

如圖1所示，安全防護模型在安全防護層面上主要由監測預警、區域隔離、安全防護手段、管理控制四部分構成。監測預警。實時把握網絡安全態勢，對發生的攻擊、侵入等破壞系統安全的行為及時發現，并提供警示。區域隔離。落實接入控制措施，嚴格限制非內部網絡段設備與內部網絡及系統的鏈接；要做到內外網物理隔離和網絡區域邏輯隔離，對于必須跨網部署的信息系統，應當引入數據單向傳輸技術，確保內網段系統的數據無法被遠程竊取外泄。安全防護。要按照等級保護標準要求，從物理、網絡、應用、數據和系統層面根據防護需求逐步提升安全防護級別。特別對于部屬于互聯網上用于提供公共服務的信息系統，應做好異常訪問的數據監測，并配置相應性能的專業級防火墻，以抵御DDOS攻擊；對于內部網絡部分的信息系統，應落實訪問控制策略，做好訪問登陸和系統使用的日志記錄，以備安全審計。管理控制。做好機房及重要系統設備的運維管理，甚至更應建立運維監控系統，實時監控系統運行狀況及網絡傳輸狀況。同時，落實網絡安全防護和系統容災備份措施，并完善應急響應預案，確保網絡、系統及主機的安全。

安全防護模型從面到點，再由細節到整體，貫徹到信息安全的整個生命周期，需通過技術和管理措施加強防護面。對于履行行政職權的政府部門來說，與其他企業和機構相比，信息安全更為重要。安全攻防技術和安全威脅瞬息萬變，使得政府部門信息系統的安全防護工作很難一勞永逸。信息安全保障工作，應從安全規劃到安全服務全生命周期進行動態防護考慮，定期進行風險評估，不斷發現新的安全威脅和漏洞，修訂安全防護架構及措施，加大建立完備的安全管理制度、配備專職信息安全人員、并建立完善的責任和監督機制，建立起系統監控、故障報警、解決故障、分析匯報的一整套管理流程及管理制度，通過各方安全相關機構的協同努力，共同保障政府部門網絡系統的安全。

作者：周超