《電子政務(wù)：第6章 電子政務(wù)的安全防范》由會(huì)員分享，可在線閱讀，更多相關(guān)《電子政務(wù)：第6章 電子政務(wù)的安全防范（23頁(yè)珍藏版）》請(qǐng)?jiān)谘b配圖網(wǎng)上搜索。
1、第六章第六章第六章電子政務(wù)的電子政務(wù)的電子政務(wù)的安全防范安全防范安全防范第一節(jié) 電子政務(wù) 的安全需 求第二節(jié) 電子政務(wù) 的安全防 范技術(shù)第一節(jié)第一節(jié)第一節(jié) 電子政務(wù)的安全需求電子政務(wù)的安全需求電子政務(wù)的安全需求n 1.電子政務(wù)安全問題產(chǎn)生的原因n 2.電子政務(wù)網(wǎng)絡(luò)系統(tǒng)特點(diǎn)n 3.電子政務(wù)網(wǎng)絡(luò)系統(tǒng)安全要求1.1.1.電子政務(wù)安全問題產(chǎn)生的原因電子政務(wù)安全問題產(chǎn)生的原因電子政務(wù)安全問題產(chǎn)生的原因 （1）開發(fā)者留下的隱患 包括芯片、操作系統(tǒng)以及應(yīng)用程序，任何一個(gè)環(huán)節(jié)都可能被有意或無(wú)意地留下“后門”。 （2）網(wǎng)絡(luò)設(shè)備和軟件本身的問題 在設(shè)計(jì)開發(fā)過程中會(huì)出現(xiàn)缺陷和漏洞，而這恰恰是黑客進(jìn)行攻擊的目標(biāo)。 （
2、3）管理的漏洞 2.2.2.電子政務(wù)網(wǎng)絡(luò)系統(tǒng)安全要求電子政務(wù)網(wǎng)絡(luò)系統(tǒng)安全要求電子政務(wù)網(wǎng)絡(luò)系統(tǒng)安全要求 國(guó)際標(biāo)準(zhǔn)化組織（ISO）將“計(jì)算機(jī)安全”定義為：“為數(shù)據(jù)處理系統(tǒng)建立和采取的技術(shù)和管理的安全保護(hù)，保護(hù)計(jì)算機(jī)硬件、軟件數(shù)據(jù)不因偶然和惡意的原因而遭到破壞、更改和泄露，系統(tǒng)連續(xù)正常運(yùn)行?！?（1）網(wǎng)絡(luò)系統(tǒng)的物理安全和邏輯安全 完整性（Integrity） 保密性（Confidentiality） 可用性 （availability） 2.2.2.電子政務(wù)網(wǎng)絡(luò)系統(tǒng)安全要求電子政務(wù)網(wǎng)絡(luò)系統(tǒng)安全要求電子政務(wù)網(wǎng)絡(luò)系統(tǒng)安全要求（2）網(wǎng)絡(luò)系統(tǒng)安全要求 訪問控制 在線監(jiān)視 及時(shí)檢查 身份認(rèn)證 信息加密 信息安
3、全涉及技術(shù)、組織和制度三個(gè)層面 第二節(jié)第二節(jié)第二節(jié) 電子政務(wù)的安全防范技術(shù)電子政務(wù)的安全防范技術(shù)電子政務(wù)的安全防范技術(shù)n 1.訪問控制n 2.識(shí)別和鑒別n 3.加密技術(shù)n 4.防火墻技術(shù)1.1.1.訪問控制訪問控制訪問控制 訪問控制指對(duì)主體訪問客體的權(quán)限或能力的限制，以及限制進(jìn)入物理區(qū)域（出入控制）和限制使用計(jì)算機(jī)系統(tǒng)資源（存取控制）。 （1）出入控制 主要用于阻止非授權(quán)用戶進(jìn)入機(jī)構(gòu)或組織的物理區(qū)域。一般是以電子技術(shù)、生物技術(shù)或者電子技術(shù)與生物技術(shù)相結(jié)合，組織非授權(quán)用戶進(jìn)入物理區(qū)域。 1.1.1.訪問控制訪問控制訪問控制 （2）存取控制 保證系統(tǒng)資源不被非法訪問和使用，主要包括： 保密性控制：
4、保證數(shù)據(jù)資源不被非法讀出； 完整性控制：保證數(shù)據(jù)資源不被非法改寫； 有效性控制：保證網(wǎng)絡(luò)資源不被非法用戶使用和破壞。2.2.2.識(shí)別和鑒別識(shí)別和鑒別識(shí)別和鑒別 識(shí)別就是分配給每個(gè)用戶一個(gè)ID來(lái)代表用戶和進(jìn)程。鑒別是根據(jù)用戶的私有信息來(lái)確定用戶的真實(shí)性，防止欺騙。 （1）口令機(jī)制 （2）數(shù)字簽名 （3）鑒別設(shè)備 3.3.3.加密技術(shù)加密技術(shù)加密技術(shù) 加密技術(shù)是對(duì)信息采用密碼技術(shù)進(jìn)行加密，將加密后的信息在互聯(lián)網(wǎng)上進(jìn)行傳輸，到達(dá)目的地后再進(jìn)行解密，即可以得到原來(lái)的信息。 在加密的過程中包含有兩個(gè)基本的元素：算法和密鑰。一個(gè)加密算法就是將普通的文本（或者是可以理解的信息）與一串?dāng)?shù)字進(jìn)行結(jié)合，從而產(chǎn)生出
5、不可理解的密文的一系列步驟。在算法中使用的那一串?dāng)?shù)字就是密鑰，密鑰和算法對(duì)加密來(lái)說是同等重要的。 根據(jù)加密和解密使用的密鑰是否相同，可將數(shù)據(jù)加密技術(shù)分為兩類：對(duì)稱加密和非對(duì)稱加密。 3.3.3.加密技術(shù)加密技術(shù)加密技術(shù) 對(duì)稱加密采用的是對(duì)稱密碼編碼技術(shù)，其特點(diǎn)是文件加密和解密使用的是一個(gè)相同的密鑰，即加密密鑰同時(shí)也可以作為解密密鑰，這種方法使用起來(lái)簡(jiǎn)單快捷，密鑰較短。 對(duì)稱加密算法中不能提供信息完整性的鑒別，使用同一密鑰進(jìn)行加密和解密后，得到的信息是否就是原有的信息，這一點(diǎn)在信息傳輸?shù)碾p方是不能給出肯定的答復(fù)的。而且，這種算法不能驗(yàn)證發(fā)送者和接收者的身份。3.3.3.加密技術(shù)加密技術(shù)加密技術(shù)
6、與對(duì)稱加密算法不同，采用非對(duì)稱加密算法需要兩個(gè)密鑰：公開密鑰和私有密鑰，對(duì)于要傳輸?shù)男畔?，如果用公開密鑰對(duì)數(shù)據(jù)加密，那么只有用對(duì)應(yīng)的私有密鑰才能解密；反之，如果使用的是私有密鑰進(jìn)行加密，必須使用對(duì)應(yīng)當(dāng)公開密鑰才能解密。在加密和解密過程中，使用的是不同的密鑰，稱為非對(duì)稱加密。 3.3.3.加密技術(shù)加密技術(shù)加密技術(shù) 數(shù)字簽名就是非對(duì)稱加密技術(shù)的典型應(yīng)用。 在電子政務(wù)的安全技術(shù)中，有一個(gè)很重要的內(nèi)容，就是如何辨認(rèn)出發(fā)送者和接收者的身份，并記錄其身份，以保證信息的真實(shí)性和不可抵賴性。 數(shù)字簽名提供了一種鑒別方法，以解決偽造、抵賴、冒充和篡改等問題。 第一，接收方能夠鑒別發(fā)送方所宣稱的身份。 第二，發(fā)送
7、方以后不能否認(rèn)他發(fā)送過數(shù)據(jù)這一事實(shí)。 除此之外，還要驗(yàn)證信息在發(fā)送過程中沒有被更改，這需要采用數(shù)字摘要技術(shù)來(lái)解決這個(gè)問題。4.4.4.防火墻技術(shù)防火墻技術(shù)防火墻技術(shù) 防火墻（Firewall）是指一個(gè)由軟件和硬件設(shè)備組合而成，處于機(jī)構(gòu)或網(wǎng)絡(luò)群體計(jì)算機(jī)與外界通道之間，用來(lái)加強(qiáng)互聯(lián)網(wǎng)與內(nèi)部網(wǎng)絡(luò)之間安全防范的一個(gè)或一組系統(tǒng)。它具有限制外界用戶對(duì)機(jī)構(gòu)內(nèi)部網(wǎng)絡(luò)訪問及管理內(nèi)部用戶訪問外部網(wǎng)絡(luò)的權(quán)限的功能。 現(xiàn)有的防火墻技術(shù)主要有兩類：數(shù)據(jù)包過濾技術(shù)和代理服務(wù)技術(shù)。 4.4.4.防火墻技術(shù)防火墻技術(shù)防火墻技術(shù) 數(shù)據(jù)包過濾技術(shù)是在網(wǎng)絡(luò)層對(duì)數(shù)據(jù)包實(shí)施有選擇的放行。事先在防火墻內(nèi)設(shè)定好一個(gè)過濾邏輯，對(duì)于通過防火墻
8、數(shù)據(jù)流中的每一個(gè)數(shù)據(jù)包，根據(jù)其源地址、目的地址、所用的TCP端口與TCP鏈路狀態(tài)等進(jìn)行檢查，確定它是否可以通過。 代理服務(wù)技術(shù)是一種基于代理服務(wù)器的防火墻技術(shù)，通常由兩個(gè)部分組成：客戶與代理服務(wù)器聯(lián)接、代理服務(wù)器再與外部服務(wù)器聯(lián)接，內(nèi)部網(wǎng)絡(luò)用戶是不能直接與外部網(wǎng)絡(luò)進(jìn)行聯(lián)接的。 除了以上兩種防火墻外，還有其他一些類型的防火墻，但基本上都是這兩種防火墻的改進(jìn)，或是這兩種防火墻的綜合。第三節(jié)第三節(jié)第三節(jié) 電子政務(wù)安全防護(hù)體系電子政務(wù)安全防護(hù)體系電子政務(wù)安全防護(hù)體系n 1.安全管理體系n 2.安全技術(shù)體系n 3.安全組織體系n 4.安全基礎(chǔ)體系電子政務(wù)安全防護(hù)體系電子政務(wù)安全防護(hù)體系電子政務(wù)安全防護(hù)體
9、系 電子政務(wù)使政府社會(huì)服務(wù)職能得到最大程度的發(fā)揮，但也使政府敏感信息暴露在無(wú)孔不入的網(wǎng)絡(luò)威脅面前。要趨利避害，電子政務(wù)安全防護(hù)體系的構(gòu)建至關(guān)重要。電子政務(wù)安全防護(hù)體系包括安全管理體系、安全技術(shù)體系、安全組織體系和安全基礎(chǔ)設(shè)施，涉及從管理到組織，從網(wǎng)絡(luò)到數(shù)據(jù)，從法規(guī)標(biāo)準(zhǔn)到基礎(chǔ)設(shè)施等各個(gè)方面。 3.1 3.1 3.1 安全管理體系安全管理體系安全管理體系 安全管理體系包括：法律政策、規(guī)章制度和標(biāo)準(zhǔn)規(guī)范。安全管理體系的建立應(yīng)符合組織使命，符合組織利益。 電子政務(wù)信息系統(tǒng)存在著來(lái)自社會(huì)環(huán)境、技術(shù)環(huán)境和物理自然環(huán)境的安全風(fēng)險(xiǎn)，其安全威脅無(wú)時(shí)無(wú)處不在。對(duì)于電子政務(wù)信息系統(tǒng)的安全問題，不能企圖單憑利用一些集
10、成了信息安全技術(shù)的安全產(chǎn)品來(lái)解決，而必須建立電子政務(wù)信息系統(tǒng)安全管理體系，考慮技術(shù)、管理和法律的因素，全方位地、綜合解決系統(tǒng)安全問題。 3.2 3.2 3.2 安全技術(shù)體系安全技術(shù)體系安全技術(shù)體系 技術(shù)是信息保障的基礎(chǔ)，沒有好的信息安全技術(shù)，任何管理都無(wú)法有效施展。目前，得到大多數(shù)學(xué)者認(rèn)同的信息安全屬性主要有五個(gè)，它們是保密性（Confidentiality）、完整性（Integrity）、可用性（Availability）、真實(shí)性（Authenticity）和不可抵賴性（Non-repudiation）。電子政務(wù)信息安全技術(shù)保障體系的構(gòu)建應(yīng)當(dāng)圍繞這些方面來(lái)進(jìn)行。 3.2 3.2 3.2 安全
11、技術(shù)體系安全技術(shù)體系安全技術(shù)體系（1）保障信息完整性、真實(shí)性和不可抵賴性的技術(shù) 數(shù)字簽名 、報(bào)文鑒別、身份認(rèn)證 （2）保障信息保密性的技術(shù) 訪問控制、數(shù)據(jù)加密（3）保障信息可用性的技術(shù) 防火墻、入侵檢測(cè)、漏洞掃描、數(shù)據(jù)備份、災(zāi)難恢復(fù)3.3 3.3 3.3 安全組織體系安全組織體系安全組織體系 發(fā)達(dá)國(guó)家一般都建立有網(wǎng)絡(luò)安全管理機(jī)構(gòu)，美國(guó)安全委員會(huì)下設(shè)了國(guó)家保密政策委員會(huì)和信息系統(tǒng)安全保密委員會(huì);英法等國(guó)家建立了“國(guó)家網(wǎng)絡(luò)安全委員會(huì)”。我國(guó)信息安全管理職能的格局已經(jīng)形成，包括國(guó)家安全部、國(guó)家保密局、國(guó)家密碼管理委員會(huì)、信息產(chǎn)業(yè)部、信息化領(lǐng)導(dǎo)小組、國(guó)家電子政務(wù)協(xié)調(diào)小組和國(guó)家安全協(xié)調(diào)小組等，盡管能各司其責(zé)，責(zé)權(quán)明確，但在許多的具體實(shí)施過程中缺乏統(tǒng)一性。 3.4 3.4 3.4 安全基礎(chǔ)設(shè)施安全基礎(chǔ)設(shè)施安全基礎(chǔ)設(shè)施u 信息安全等級(jí)保護(hù)體系 u 電子簽名及數(shù)字證書認(rèn)證體系 u 信息安全產(chǎn)品和系統(tǒng)評(píng)測(cè)體系 u 信息安全的應(yīng)急支援體系 u 計(jì)算機(jī)病毒防治體系
電子政務(wù)：第6章 電子政務(wù)的安全防范
