电子政务安全管理

第8章电子政务的平安管理PPT制作：江雪灵欧阳怡佩陆晓路陈晓彤PPT修改：李政演讲：李政王世杰论文撰写：郭晓天李政目录8.1电子政务的平安需求8.2电子政务平安管理8.3电子政务平安管理实施8.4平安保障技术8.1电子政务的平安需求什么事电子政务平安需求？答：电子政务的平安需求，是指在信息化环境下，政务活动对信息平安的根本需求和要求。电子政务的平安需求来自于电子政务的外部环境，也取决于信息化背景下政务活动的特点和方式。8.1.1电子政务的平安环境与平安威胁电子政务是基于网络技术运行的，因此，电子政务的平安环境涵盖了与社会普遍相关的根底信息网络平安的根本要素。电子政务的平安实质上关系到国家平安、公共利益和社会稳定。电子政务环境中的平安威胁包括以下几个方面：1.人为因素：支撑电子政务运行的各类信息系统，是为人效劳，由人来操控的，因此，人的因素成为造成电子政务不平安的最为主要的因素。2.技术系统因素：由于电子政务系统是由各种类型的信息技术构成的，技术的复杂性、解决技术问题的复杂性，或者系统构建的健全性、匹配性都可能引起平安问题。3.平安管理因素：政府机构在平安管理的法律、政策、平安制度和平安管理措施方面都可能造成平安管理障碍，从而引起平安管理问题。4.自然因素：自然灾害对电子政务构成的威胁也是现实存在的。8.1.1电子政务的平安环境与平安威胁电子政务平安威胁案例2001年中美黑客大战中美黑客事件是由中美撞机事件直接引发的。据外电报道，首先是一些美国国内的黑客对局部中国网站进行了攻击，从而激怒了中国黑客，双方遂在互联网上展开了一场黑客大战。之后，中国黑客在一个名为“中国红客联盟〞的黑客组织领导下，方案展开“第六次网络卫国战争〞，在“五一〞期间发动一次七日战役，全面袭击美国网站。此事经国内各媒体大加宣传，迅速成为一场轰轰烈烈的黑客事件。5月4日晚，“中国红客同盟〞的行动到达首个高潮，出现了“八万中国红客攻打白宫〞的场面，并迫使白宫网页一度瘫痪。预计“中国红客联盟〞的下一次行动高潮将在5月8日到来。中美黑客大战美国白宫飘起红旗美国平安专家表示，美中黑客之间的网络大战在当地时间4月30日(北京时间5月1日)愈加升级，其中美国白宫的官方网站遭到电子邮件“炸弹〞的攻击，同时假设干个美国和中国网站页面均被改得面目全非。除了美国白宫的网站之外，其他被中国黑客列为攻击目标的网站还包括美国联邦调查局(FBI)、美国航空航天局(NASA)、美国国会、《纽约时报》、《洛杉矶时报》以及美国有线新闻网(CNN)的网站。中美黑客大战&中伊黑客大战中美黑客大战&中伊黑客大战8.1.2电子政务平安方面的需要和要求需要和要求：1、保障电子政务整体有效运行和行政秩序的需求。2、保障根底设施平安的需求。3、保障电子政务系统运行平安的需求。4、保障政务信息资源平安的需求。8.2电子政务平安管理1电子政务平安目标2电子政务平安管理体系3电子政务平安管理策略8.2.1电子政务平安目标电子政务平安目标概括：保护政务信息资源价值不受侵犯，保证政务活动主体面临最小的风险和获取最大的平安利益，使政务的信息根底设施、政务信息应用和政务效劳体系能够抵御侵害，并具有保密性、完整性、真实性、可用性和可控性等平安能力，保障政务活动平安。电子政务平安目标分解1.通过技术自主化保障平安2.保护信息资源3.持续平安保障4电子政务功能指标8.2.2电子政务平安管理体系电子政务的平安管理需建立下述管理体系：一、通过建设电子政务的平安根底措施来保障电子政务的平安。二、建立电子政务的技术保障体系，通过平安技术的应用和维护来保障电子政务系统的平安。三、对电子政务系统的运行进行平安管理四、建立社会效劳体系以实现电子政务的平安电子政务平安管理策略总体策略：1.国家主导、社会参与：电子政务平安关系到政府决策、行政监管和公共效劳质量的大事，必须由国家统筹规划、社会积极参与，才能建立起切实有效的保障。2.全局治理、积极防御：电子政务平安必须采用法律威慑、管理制约、技术保障和平安根底设施支撑的全局治理措施，并且实施防护、检测、恢复和反制的积极防御手段。3.等级保护、保障开展：根据信息资产的价值等级、所面临的威胁等级来选择适度的平安机制强度等级和平安技术保障强壮性等级，寻求一个投入和风险承受能力间的平衡点，保障电子政务系统健康、积极开展。我国电子政务信息平安保护等级：1.第一级为自主保护级:适用于一般信息和信息系统，其收到破坏后，会对公民、法人和其他组织的权益有一定的影响，但不会危害国家平安、社会秩序、经济建设和公共利益2.第二级为指导保护级:适用于一定程度上涉及国家平安、社会秩序、经济建设和公共利益的一般信息和信息系统，其受到破坏后，会对国家平安、社会秩序、经济建设和公共利益造成一定损害。3.第三级为监督保护级:适用于涉及国家平安、社会秩序、经济建设和公共利益的信息和信息系统，其受到破坏后，会对国家平安、社会秩序、经济建设和公共利益造成较大损害。我国电子政务信息平安保护等级：4.第四级为强制保护级：适用于涉及国家平安、社会秩序、经济建设和公共利益的信息和信息系统，其受到破坏后，会对国家平安、社会秩序、经济建设和公共利益造成严重损害。5.第五级为专控保护级：适用于涉及国家平安、社会秩序、经济建设和公共利益的信息和信息系统，其受到破坏后，会对国家平安、社会秩序、经济建设和公共利益造成特别严重损害。8.3电子政务平安管理实施一.电子政务平安管理的行政管理二.电子政务平安管理的技术管理三.电子政务平安管理的风险管理一.电子政务平安的行政管理1.平安组织机构〔1〕明确本单位电子政务系统的平安目标，根据平安目标来制定整体的平安策略。〔2〕根据电子政务的平安策略制定并实施各项平安措施。〔3〕制定明确的规章制度〔4〕制定平安规划和应急方案〔5〕制定敏感信息和保密信息的平安策略，划分需要保护的数据的范畴、密级或保护等级，根据现实需要和客观条件确定存取控制方法和加密手段。一.电子政务平安的行政管理2.平安人事管理主要包括：认识审查与录用，岗位与责任范围确实定，工作评价，人事档案管理，提升、调动与免职‘根底培训等。3.平安责任制度制度体系由以下几个局部组成：〔1〕系统运行维护管理制度〔4〕操作和管理人员管理制度〔2〕计算机处理控制管理制度〔5〕机房平安管理制度〔3〕文档资料管理制度〔6〕定期检查与监督制度一.电子政务平安的行政管理4.平安教育培训“两个方面〞：一方面需要专业的信息平安人才另一方面要求非专业人士也应具备相应的信息平安素养。“多个层次〞：专业的信息平安人才队伍应包括多种层次的人才，如专业技术人员、平安管理人员、专业研究人员和高级战略人员等。二.电子政务平安的技术管理1.实体平安管理〔1〕环境平安〔2〕设备平安〔3〕存储媒体平安2.软件系统管理〔1〕保护软件系统的完整性〔2〕保证软件系统的存储平安〔3〕保障软件的通信平安〔4〕保障软件的使用平安3.密钥管理〔1〕保证密钥难以窃取〔2〕密钥有使用范围和使用时间的限制〔3〕密钥的分配和更换过程对用户透明，而用户不需要亲自掌管密钥三.电子政务平安的风险管理1.平安风险评估〔1〕要识别风险〔2〕应进行风险度量，即确定风险对组织或系统的影响程度〔3〕要确定风险级别〔4〕制定相应的风险管理策略2.平安风险控制〔1〕选择风险控制手段〔2〕采取风险躲避措施〔3〕必要的风险转移措施〔4〕尽可能降低威胁的影响程度〔5〕对剩余风险的接受三.电子政务平安的风险管理3.应急响应〔1〕要有必要的事前准备，包括异常信息的检测工具和技术，以及应对突发事件的行动策略。〔2〕要经常地甚至是持续地对防火墙日志、IDS日志及其他可能的信息源进行异常检测，以保证及早发现突发事件。〔3〕对初现的突发事件应能予以初始响应，包括确认事件是否真正发生、组织有关救援人员收集易失证据等。〔4〕须及时制定响应战略，并报请相关管理部门以获得批准。〔5〕积极实现有关平安急救措施，包括将尚未被破坏的系统隔离出去，对已遭破坏的局部采取补救等。〔6〕应尽可能将受害系统恢复到平安、正常运转的状态。〔7〕还需将整个事件的过程及响应行为详细准确地记入文档。8.4平安保障技术电子政务安全保护技术电子政务安全防范技术安全保障技术电子政务平安保护技术1.数据加密技术：是把有意义的信息编码为伪随机性的乱码，以实现对信息保护的技术方法。它是各种现代平安保护技术或平安防范系统的技术核心2.信息隐藏技术：是利用信息本身存在的冗余性和人的感官对一些信息的掩蔽效应而形成的。3.平安认证技术：当前的认证主要采用数字签名技术和身份认证技术。电子政务平安防范技术反病毒系统：反病毒技术是防范病毒的主要工具，通常是一种软件系统。防火墙系统：防火墙实际上是一种由软件或硬件设备组合而成的网络平安防范系统。虚拟专用网络：VPN是指以公用开放的网络作为根本传输媒介，通过附加的多种技术而构建出的，具有专用网络性能的逻辑网络。入侵检测系统：IDS用于检测各种形式的入侵行为，是平安防御体系的一个重要组成局部。流量、内容。物理隔离系统：使两个系统在空间上物理隔离，就可以使它们的平安性相互独立。防火墙及黑客攻击手段黑客攻击手段：1.后门