《電子政務：第6章 電子政務的安全防范》由會員分享，可在線閱讀，更多相關(guān)《電子政務：第6章 電子政務的安全防范（23頁珍藏版）》請在裝配圖網(wǎng)上搜索。

1、第六章第六章第六章電子政務的電子政務的電子政務的安全防范安全防范安全防范第一節(jié) 電子政務 的安全需 求第二節(jié) 電子政務 的安全防 范技術(shù)第一節(jié)第一節(jié)第一節(jié) 電子政務的安全需求電子政務的安全需求電子政務的安全需求n 1.電子政務安全問題產(chǎn)生的原因n 2.電子政務網(wǎng)絡系統(tǒng)特點n 3.電子政務網(wǎng)絡系統(tǒng)安全要求1.1.1.電子政務安全問題產(chǎn)生的原因電子政務安全問題產(chǎn)生的原因電子政務安全問題產(chǎn)生的原因 （1）開發(fā)者留下的隱患 包括芯片、操作系統(tǒng)以及應用程序，任何一個環(huán)節(jié)都可能被有意或無意地留下“后門”。 （2）網(wǎng)絡設(shè)備和軟件本身的問題 在設(shè)計開發(fā)過程中會出現(xiàn)缺陷和漏洞，而這恰恰是黑客進行攻擊的目標。 （

2、3）管理的漏洞 2.2.2.電子政務網(wǎng)絡系統(tǒng)安全要求電子政務網(wǎng)絡系統(tǒng)安全要求電子政務網(wǎng)絡系統(tǒng)安全要求 國際標準化組織（ISO）將“計算機安全”定義為：“為數(shù)據(jù)處理系統(tǒng)建立和采取的技術(shù)和管理的安全保護，保護計算機硬件、軟件數(shù)據(jù)不因偶然和惡意的原因而遭到破壞、更改和泄露，系統(tǒng)連續(xù)正常運行?！?（1）網(wǎng)絡系統(tǒng)的物理安全和邏輯安全 完整性（Integrity） 保密性（Confidentiality） 可用性 （availability） 2.2.2.電子政務網(wǎng)絡系統(tǒng)安全要求電子政務網(wǎng)絡系統(tǒng)安全要求電子政務網(wǎng)絡系統(tǒng)安全要求（2）網(wǎng)絡系統(tǒng)安全要求 訪問控制 在線監(jiān)視 及時檢查 身份認證 信息加密 信息安

3、全涉及技術(shù)、組織和制度三個層面 第二節(jié)第二節(jié)第二節(jié) 電子政務的安全防范技術(shù)電子政務的安全防范技術(shù)電子政務的安全防范技術(shù)n 1.訪問控制n 2.識別和鑒別n 3.加密技術(shù)n 4.防火墻技術(shù)1.1.1.訪問控制訪問控制訪問控制 訪問控制指對主體訪問客體的權(quán)限或能力的限制，以及限制進入物理區(qū)域（出入控制）和限制使用計算機系統(tǒng)資源（存取控制）。 （1）出入控制 主要用于阻止非授權(quán)用戶進入機構(gòu)或組織的物理區(qū)域。一般是以電子技術(shù)、生物技術(shù)或者電子技術(shù)與生物技術(shù)相結(jié)合，組織非授權(quán)用戶進入物理區(qū)域。 1.1.1.訪問控制訪問控制訪問控制 （2）存取控制 保證系統(tǒng)資源不被非法訪問和使用，主要包括： 保密性控制：

4、保證數(shù)據(jù)資源不被非法讀出； 完整性控制：保證數(shù)據(jù)資源不被非法改寫； 有效性控制：保證網(wǎng)絡資源不被非法用戶使用和破壞。2.2.2.識別和鑒別識別和鑒別識別和鑒別 識別就是分配給每個用戶一個ID來代表用戶和進程。鑒別是根據(jù)用戶的私有信息來確定用戶的真實性，防止欺騙。 （1）口令機制 （2）數(shù)字簽名 （3）鑒別設(shè)備 3.3.3.加密技術(shù)加密技術(shù)加密技術(shù) 加密技術(shù)是對信息采用密碼技術(shù)進行加密，將加密后的信息在互聯(lián)網(wǎng)上進行傳輸，到達目的地后再進行解密，即可以得到原來的信息。 在加密的過程中包含有兩個基本的元素：算法和密鑰。一個加密算法就是將普通的文本（或者是可以理解的信息）與一串數(shù)字進行結(jié)合，從而產(chǎn)生出

5、不可理解的密文的一系列步驟。在算法中使用的那一串數(shù)字就是密鑰，密鑰和算法對加密來說是同等重要的。 根據(jù)加密和解密使用的密鑰是否相同，可將數(shù)據(jù)加密技術(shù)分為兩類：對稱加密和非對稱加密。 3.3.3.加密技術(shù)加密技術(shù)加密技術(shù) 對稱加密采用的是對稱密碼編碼技術(shù)，其特點是文件加密和解密使用的是一個相同的密鑰，即加密密鑰同時也可以作為解密密鑰，這種方法使用起來簡單快捷，密鑰較短。 對稱加密算法中不能提供信息完整性的鑒別，使用同一密鑰進行加密和解密后，得到的信息是否就是原有的信息，這一點在信息傳輸?shù)碾p方是不能給出肯定的答復的。而且，這種算法不能驗證發(fā)送者和接收者的身份。3.3.3.加密技術(shù)加密技術(shù)加密技術(shù)

6、與對稱加密算法不同，采用非對稱加密算法需要兩個密鑰：公開密鑰和私有密鑰，對于要傳輸?shù)男畔?，如果用公開密鑰對數(shù)據(jù)加密，那么只有用對應的私有密鑰才能解密；反之，如果使用的是私有密鑰進行加密，必須使用對應當公開密鑰才能解密。在加密和解密過程中，使用的是不同的密鑰，稱為非對稱加密。 3.3.3.加密技術(shù)加密技術(shù)加密技術(shù) 數(shù)字簽名就是非對稱加密技術(shù)的典型應用。 在電子政務的安全技術(shù)中，有一個很重要的內(nèi)容，就是如何辨認出發(fā)送者和接收者的身份，并記錄其身份，以保證信息的真實性和不可抵賴性。 數(shù)字簽名提供了一種鑒別方法，以解決偽造、抵賴、冒充和篡改等問題。 第一，接收方能夠鑒別發(fā)送方所宣稱的身份。 第二，發(fā)送

7、方以后不能否認他發(fā)送過數(shù)據(jù)這一事實。 除此之外，還要驗證信息在發(fā)送過程中沒有被更改，這需要采用數(shù)字摘要技術(shù)來解決這個問題。4.4.4.防火墻技術(shù)防火墻技術(shù)防火墻技術(shù) 防火墻（Firewall）是指一個由軟件和硬件設(shè)備組合而成，處于機構(gòu)或網(wǎng)絡群體計算機與外界通道之間，用來加強互聯(lián)網(wǎng)與內(nèi)部網(wǎng)絡之間安全防范的一個或一組系統(tǒng)。它具有限制外界用戶對機構(gòu)內(nèi)部網(wǎng)絡訪問及管理內(nèi)部用戶訪問外部網(wǎng)絡的權(quán)限的功能。 現(xiàn)有的防火墻技術(shù)主要有兩類：數(shù)據(jù)包過濾技術(shù)和代理服務技術(shù)。 4.4.4.防火墻技術(shù)防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)包過濾技術(shù)是在網(wǎng)絡層對數(shù)據(jù)包實施有選擇的放行。事先在防火墻內(nèi)設(shè)定好一個過濾邏輯，對于通過防火墻

8、數(shù)據(jù)流中的每一個數(shù)據(jù)包，根據(jù)其源地址、目的地址、所用的TCP端口與TCP鏈路狀態(tài)等進行檢查，確定它是否可以通過。 代理服務技術(shù)是一種基于代理服務器的防火墻技術(shù)，通常由兩個部分組成：客戶與代理服務器聯(lián)接、代理服務器再與外部服務器聯(lián)接，內(nèi)部網(wǎng)絡用戶是不能直接與外部網(wǎng)絡進行聯(lián)接的。 除了以上兩種防火墻外，還有其他一些類型的防火墻，但基本上都是這兩種防火墻的改進，或是這兩種防火墻的綜合。第三節(jié)第三節(jié)第三節(jié) 電子政務安全防護體系電子政務安全防護體系電子政務安全防護體系n 1.安全管理體系n 2.安全技術(shù)體系n 3.安全組織體系n 4.安全基礎(chǔ)體系電子政務安全防護體系電子政務安全防護體系電子政務安全防護體

9、系 電子政務使政府社會服務職能得到最大程度的發(fā)揮，但也使政府敏感信息暴露在無孔不入的網(wǎng)絡威脅面前。要趨利避害，電子政務安全防護體系的構(gòu)建至關(guān)重要。電子政務安全防護體系包括安全管理體系、安全技術(shù)體系、安全組織體系和安全基礎(chǔ)設(shè)施，涉及從管理到組織，從網(wǎng)絡到數(shù)據(jù)，從法規(guī)標準到基礎(chǔ)設(shè)施等各個方面。 3.1 3.1 3.1 安全管理體系安全管理體系安全管理體系 安全管理體系包括：法律政策、規(guī)章制度和標準規(guī)范。安全管理體系的建立應符合組織使命，符合組織利益。 電子政務信息系統(tǒng)存在著來自社會環(huán)境、技術(shù)環(huán)境和物理自然環(huán)境的安全風險，其安全威脅無時無處不在。對于電子政務信息系統(tǒng)的安全問題，不能企圖單憑利用一些集

10、成了信息安全技術(shù)的安全產(chǎn)品來解決，而必須建立電子政務信息系統(tǒng)安全管理體系，考慮技術(shù)、管理和法律的因素，全方位地、綜合解決系統(tǒng)安全問題。 3.2 3.2 3.2 安全技術(shù)體系安全技術(shù)體系安全技術(shù)體系 技術(shù)是信息保障的基礎(chǔ)，沒有好的信息安全技術(shù)，任何管理都無法有效施展。目前，得到大多數(shù)學者認同的信息安全屬性主要有五個，它們是保密性（Confidentiality）、完整性（Integrity）、可用性（Availability）、真實性（Authenticity）和不可抵賴性（Non-repudiation）。電子政務信息安全技術(shù)保障體系的構(gòu)建應當圍繞這些方面來進行。 3.2 3.2 3.2 安全

11、技術(shù)體系安全技術(shù)體系安全技術(shù)體系（1）保障信息完整性、真實性和不可抵賴性的技術(shù) 數(shù)字簽名 、報文鑒別、身份認證 （2）保障信息保密性的技術(shù) 訪問控制、數(shù)據(jù)加密（3）保障信息可用性的技術(shù) 防火墻、入侵檢測、漏洞掃描、數(shù)據(jù)備份、災難恢復3.3 3.3 3.3 安全組織體系安全組織體系安全組織體系 發(fā)達國家一般都建立有網(wǎng)絡安全管理機構(gòu)，美國安全委員會下設(shè)了國家保密政策委員會和信息系統(tǒng)安全保密委員會;英法等國家建立了“國家網(wǎng)絡安全委員會”。我國信息安全管理職能的格局已經(jīng)形成，包括國家安全部、國家保密局、國家密碼管理委員會、信息產(chǎn)業(yè)部、信息化領(lǐng)導小組、國家電子政務協(xié)調(diào)小組和國家安全協(xié)調(diào)小組等，盡管能各司其責，責權(quán)明確，但在許多的具體實施過程中缺乏統(tǒng)一性。 3.4 3.4 3.4 安全基礎(chǔ)設(shè)施安全基礎(chǔ)設(shè)施安全基礎(chǔ)設(shè)施u 信息安全等級保護體系 u 電子簽名及數(shù)字證書認證體系 u 信息安全產(chǎn)品和系統(tǒng)評測體系 u 信息安全的應急支援體系 u 計算機病毒防治體系