剖析检察信息系统的安全防范体系

1 / 7剖析检察信息系统的安全防范体系我国检察机关的信息化建设从2000 年起步至今，经历了由点及面，由弱渐强的发展阶段，并在全国范围内初步形成了较为系统的信息一体化网络。随着检察机关信息网络建设的全面开展以及应用的逐步深入，信息安全系统的建设便显得更为迫在眉睫，对这项工作的丝毫懈怠都将会给未来检察机关的网络信息系统带来致命的危险。因此，加强检察信息系统的安全防范体系建设成为影响检察事业发展的重要课题。一、检察信息网络建设的现状按照高检院“151”工程和全国检察机关信息化建设工作“统一规划、统一技术、统一规范、统一应用软件和统一归口管理”的原则，目前全国省市级检察机关的二级专线网络已经逐步进入应用阶段，市级院与省级院以及省级院与高检院之间的专线电话、视频会议和计算机数据传输的“三网合一”也基本能够实现，而且一些技术较为先进的地区也率先完成了三级专线网络的搭建。部分基层检察院的内部局域网络已经能够将检察业务、办公事务、综合业务和全面检索等应用系统运用于实际的检察工作中。2 / 7同时，依靠较为成型的网络系统，并辅之以充足的数据库资源，保证了上下级院之间直接的视频、数据、语音的传输，并基本满足了与其他兄弟院之间进行广泛数据交换的互联要求。目前在我国，检察机关已不同程度地将计算机作办公、办案的必要辅助工具，检察人员的计算机应用能力较之几年前有了相当程度的提高，检察业务软件、网络办公软件以及其他的辅助处理软件也普遍地应用于日常的工作之中。同时，相当一部分检察院已经开通了网站，并通过这一媒介，发布信息、收集反馈，形成了具有自身特点的网络工作平台。二、流行在检察信息系统中的埃博拉网络不安全因素网络中的不安全因素，之所以称其为埃博拉，并非危言耸听。在当前的检察信息网络中，存在着种种高危的“致病”因素。1.病毒入侵与黑客攻击。网络病毒的入侵、感染与黑客的恶决击、破坏是影响当前检察信息网络安全的主要3 / 7因素。目前，全球发现的病毒数以万计，并以每天十种以上的速度增长，可以说每时每刻网络都在经受着新的病毒或其变种的冲击。而对于网络系统而言，黑客攻击较之病毒威胁则更加让人防不胜防。在网络立法十分匮乏、跟踪防范手段有限的今天，面对网络黑客针对操作系统以及应用软件漏洞的频繁地、具有隐蔽性的攻击，我们所要承受的威胁往往是毁灭性的。2.网络硬件、软件方面存在的缺陷与漏洞。与银行、邮电等行业相比，目前，检察机关的局域网建设还存在首明显的差距。从硬件上讲，检察系统的网络产品尤其是关键部位的配套设施还相对较为落后，核心部件的性能还不能完全满足检察机关信息化的发展要求。在软件方面，由于网络的基础协议 TCP/IP 本身缺乏相应的安全机制，所以基与此存在的任何网络都无法摆脱不安全因素的困扰。而目前广泛运行在检察网络中的微软件 windows 操作系统更是破绽百出，再加之相当数量的办公软件与网络软件自身开发的局限性，存在着这样或那样的病毒，前的网络“风雨飘摇”一点也不为过。3.使用人员的不良习惯与非法操作。客观的讲，目前检察机关的网络操作水平仍处在相对较低的水平，网络4 / 7使用者中普遍存在着操作不规范和软件盲目应用的现象。相当一部分检察网络用户对于网络存储介质的使用缺乏安全和保密意识，对硬件的维护缺少必要的常识，带来涉密数据在存储与传递环节不必要的隐患。同时，由于操作熟练程度的原因，网络中的误操作率相对较高，系统宕机的情况时有发生，一方面造成了网络资源的浪费，另一方面也给本地数据带来了一定的危险。4.网络管理与相关制度的不足。网络信息系统三分靠建，七分靠管。严格的管理与健全的制度是保障检察信息系统安全的主要手段。但是事实上，目前各级检察机关的信息系统并没有建立起较为健全、完善的管理制度，网络管理缺乏严格的标准，大多数检察机关仍采取较为粗犷的管理模式。三、构想中的检察信息系统安全防范体系针对以上问题，笔者认为，要建立、健全检察信息系统的安全防护体系首先需要从检察机关信息安全性的要求出发，充分结合当前检察信息网络的建设现状，从整体上把握，重规划，抓落实。5 / 7第一，做好检察信息系统整体的安全评估与规划，为安全防范体系的构建奠定基础。检察机关的网络信息化建设有别于其他应用网络的一个显著特征就是对于安全性有着更为严格的要求。在构造安全防范体系的过程中，我们需要全面地了解自身网络可能会面临怎样的安全状况，这就使得我们不得不对譬如网络会受到那些攻击，网络系统内部的数据安全级别是何等级，网络遭遇突发性安全问题时应如何反应，局域网络内部的域应怎样设定，用户的权限应给予哪些控制等问题进行初步地认定和判断。通过进行安全评估，确定相应的安全建设规划。第二，加强网络安全组织、管理的制度化建设，从制度的层面构造安全防范体系。健全检察机关网络安全管理的关键在于将其上升到制度的层面，以制度化促进管理的规范化。网络安全管理的制度化建设需要做好两方面的工作。首先，要建立明确的安全管理组织体系，设置相应的领导机构。机构以院主管领导、办公室部门领导、网络管理人员、网络安全联络员组成，全面负责局域网的日常维护、管理工作。网络安全联络员由各科室选定，负责本部门网络应用过程中的信6 / 7息上报和反馈工作。其次，要加快网络安全管理的规范性章程的制定，将网络管理的各项工作以制度化的形式确定下来。具体来讲，要尽快形成信息系统重要场所、设施的安全管理制度，例如服务器机房的管理制度；要尽快制定网络安全操作的管理制度，尤其是网络用户的软件使用与技术应用的规范化标准；同时，也要进一步研究网络遭遇突发事件时的安全策略，形成网络安全的应急保障制度，并针对网络安全责任事故进行制度化约束，追究责任人的主观过错。第三，提高网络应用与管理的技术水平，弥补自身缺陷，减少外来风险。在当前检察信息网络的安全威胁中，病毒及恶意攻击可能是其最主要的方面。要解决这一问题，首先要使网络用户对网络病毒及黑客攻击有必要的认识，并了解病毒感染的主要渠道，同时要加强网络应用的规范化培训，整体提高操作的技术水平，最大程度地减少人为因素造成的安全隐患。此外，在网络管理中，对操作系统的漏洞应及时的安装安全补丁，并留意微软定期发布的安全公告，关闭操作系统中并不常用的默认端口，防止为恶意攻击留下“后门” 。同时，对网络中的应用软件进行全面检查，尽量7 / 7避免使用来历不明的盗版软件，将软件的选择导向正版化、网络化的轨道。第四，加强应急策略下的物理安全、数据保护与日志管理，健全管理保障体系。在信息安全的所有方面中，计算机的物理安全是最基本的问题。计算机的物理安全的保护中，除了要有必要的安全防护设备外，更重要是必须建立完善的管理制度，以管理来保障安全。安全审计可以说是整个安全体系中最后一个保障手段。在全面实施了 win2000 系统的域结构并对进行了所有用户绑定后，我们就可以在安