办公自动化杂志0前言
随着社会信息化应用程度不断加深，技术和应用场景不断创新，自20世纪80年代至今，我国政务信息系统持续高速发展，国家政务服务逐步实现数字化。信息系统建设旨在快速提高政务信息化水平，然而在四十年的发展过程中，政务信息系统由于资金和技术等多方面的限制，往往忽略了系统的网络安全防护，暴露在外的电子政务外网和互联网信息系统的安全风险长期处于高位。
1政务信息系统网络安全威胁越发严重
根据国家计算机网络应急技术处理协调中心
（National-Internet Emergency Center，缩写CNCERT）发布的《2019年中国互联网网络安全报告》统计，2019年全年捕获计算机恶意程序样本量超过6200万个，日均传播次数达824万余次；国家信息安全漏洞共享平台（CNVD）收录安全漏洞数量创下历史新高，攻击16193个，同比增长14%；DDoS 攻击事件平均每日220起，同比增加40%；网站安全方面，发现约8.5万个针对我国境内网站的仿冒页面，同比增长59.7%，我国网络安全环境逐渐恶化[1]
。
同时，我国持续遭受来自“方程式组织”、“APT28”、“蔓灵花”、“海莲花”、“黑店”、“白金”等30余个APT 组
织的网络窃密攻击，攻击对象以我国党政机关、国防军工和科研院所为主，并逐渐向军民融合、“一带一路”、基础行业、物联网和供应链等领域延伸，电信、外交、能源、商务、金融、军工、海洋等领域也逐渐成为网络攻击组织的重点攻击对象。某黑客组织2019年对我国300余个政府网站发起了1000余次DDoS 攻击，在攻击初期阶段导致80%以上的攻击目标网站正常服务受到不同程度的影响。政务信息系统网络安全威胁越发严重。
2网络安全等级保护制度日趋完善
1994年，国务院颁布《中华人民共和国计算机信息系统安全保护条例》（等保1.0时代），规定要求计算机信息系统实行安全等级保护。二十多年来，我国的计算机等级保护制度得到了完善的发展，并实践执行于各个行业，对我国的网络信息安全具有重要的指导作用。如今随着互联网、云计算、5G、大数据、区块链、物联网等新技术、新应用的快速发展，传统以被动防御为主的等级保护制度已经无法应对日趋严峻的网络安全形势。
基于等级保护2.0的政务信息系统安全保障
体系设计思路
胡鹏
企业网站设计思路王晖
（华信咨询设计研究院有限公司
杭州
310052）
摘
要：分析我国政务信息系统所面临的严峻的网络安全态势，基于国家网络安全等级保护制度，
研究“先定级，再分域，一个中心、三重防护”的设计思路，设计政务信息系统安全体系框架，从保护对象实际需求出发，划分政务信息系统网络安全域，并制订安全防护技术方案和安全防护管理方案。关键词：政务信息系统；等级保护2.0；
安全保障；
设计思路；
安全防护
中图分类号:TP393.08
文献标识码:B
文章编号:7778
Design Ideas of the Security Guarantee of Government Information
System Based on Hierarchical Protection 2.0
HU Peng
WANG Hui
（Huaxin Consulting Design Research Inst.Co.,Ltd.
Hangzhou
310052）
Abstract ：This paper analyzes the severe network security situation faced by China's government in
formation system.Based on the national network security hierarchy protection system，studies the design idea of "first grading，then subdi-viding，one center，triple protection"，and designs the security system framework of government information system.Based on the actual needs of the protection objects，the government information system network security domain is divid-ed，and the security protection technology scheme and security protection management scheme are formulated.Keywords ：government information system；hierarchy protection 2.0；security guarantee；design ideas；
security protection
2021215Collection of Translations
总第441期
15··
办公自动化杂志
2016年10月10日，第五届全国信息安全等级保护技术大会召开，公安部网络安全保卫局郭启全总工指出“国家对网络安全等级保护制度提出了新的要求，等级保护制度已进入2.0时代”。2017年5月，国家
公安部发布《GA/T 1389—2017网络安全等级保护定级指南》等4个公共安全行业等级保护标准。
根据信息技术发展应用和网络安全态势，等保2.0在等保1.0的基础上，丰富制度内涵，拓展保护范围，完善监管措施，注重全方位主动防御、安全可信、动态感知和全面审计，等级保护对象涵盖电子政务信息系统、基础网络、云计算、大数据、物联网、移动互联网和工控信息系统，形成涉及全网的网络安全等级保护制度、标准和体系。
3安全保障体系设计思路
基于等级保护2.0的政务信息系统安全保障体系以等级保护安全框架为依据和参考，在满足国家法律、法规和标准体系的前提下，可参照“先定级，再分域，一个中心、三重防护”的设计思路，进行系统设计。安全保障体系设计思路如下图1所示：
图1安全保障体系设计思路示意图
首先，针对等级保护要求确定政务信息系统保护对象，同时依据《GBT 22240-2020信息安全技术网络安全等级保护定级指南》进行系统定级；其次，根据防护要求进行合理的网络安全域划分，按照合规需求的安全物理环境和“一个中心、三重防护”的总体思路开展网络安全技术设计。其中，“一个中心”指“安全管理中心”，对安全进行统一管理与把控，集中分析与审计，定期识别漏洞与隐患；“三重防
护”指“安全计算环境、安全区域边界、安全网络通信”，构建安全的网络通信架构，保障信息传输安全，强化安全边界防护及入侵防护，优化访问控制策略，强调系统及应用安全，加强身份鉴别机制与入侵防范。对安全方案进行体系化设计，全面满足等级保护安全需求及单位网络安全战略目标。
4安全体系框架
依照等级保护2.0的体系要求，采取技术、管理“双核心”思维设计政务信息系统安全体系框架。其中，
安全技术体系实现政务信息系统从物理环境安全、通信网络安全、区域边界安全、计算环境安全到安全管理中心的技术能力建设；安全管理体系则从安全管理制度、安全管理机构、安全管理人员、安全运维管理以及安全建设管理等方面对政务信息系统进行管理防护。政务信息系统安全体系框架如下图2所示：
安全体系框架依据《信息安全技术网络安全等级保护定级指南》、《信息安全技术网络安全等级保护测评要求》等标准规范，指导政务信息系统构建可信、可控、可管安全体系，具备网络安全防护、安全风险检测、风险应急响应、系统问题恢复等能力，抵御不断出现的安全威胁与风险，保证政务信息系统长期、
稳定、可靠的运行。5网络安全域
庞大复杂的一整套政务信息系统往往存在网络、功能或业务一致性的特点，形成局部相互信任并具有相同的安全保护需求。对此在确保业务安全、保证业务正常稳定运行的同时，结合自身业务特定、安全需求和网络结构等因
素，将政务信息系统划分成不同的网络安全域，制订、共享
相同的安全访问控制和边界控制等策略。网络安全域的划
分不是越细越好，相反，网络安全域划分得越多越细，会使网络安全域的管理过于困难和复杂，而简单的网络结构更便于安全防护体系的设计；另外，安全域的划分也要根据系统的变化而变化，不断地优化调整。网络安全域主要有以下几种划分方法：
5.1按服务器类型划分
服务器按层级分为企业级服务器、
部门级服务器、个人级服务器；按应用类型分为计算型服务器、存储型服务器、应用服务器。可根据以上服务器的层级或应用类型进行安全与设计。[2]
5.2按功能类型划分
将基础网络平台按不同的功能区域进行划分，每个功能区按照网络分层设计方法进行层次化、结构化设计，如核心层、交换层、接入层、应用层分别实现不同的服务功能，同时应用层支持横向灵活扩展。
图2政务信息系统安全体系框架
总第441期
2021215Collection of Translations
16··
办公自动化杂志5.3按防护等级划分
先针对不同的安全需求分别进行定级，再将相同等级的区域合并成一个区域，比如核心业务里的数据存储区存了很多重要的数据，可定为等保三级，将它划分进等保三级域中，而有的不是很重要的，如一般业务，并不需要上三级防护，可定为等保二级，
就划分进等保二级域。实际划分政务信息系统的网络安全域可根据系统情况、特点进行划分方法的选择，按“手段优、成本低”的原则进行网络安全域的划分。
6安全防护技术方案
政务信息系统安全防护技术方案主要从安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心五个方面进行安全防护设计。
6.1安全物理环境
主要指机房环境配套，包括机房的抗震、承重、防水、屏蔽等物理特性；机架（柜）的承重、屏蔽等物理特性；计算存储设备、网络交换设备、安全设备、传输设备等所处的其它基础物理环境。往往需要使用彩钢板、防火门等进行区域隔离，同时配备视频监控系统、防盗报警系统、灭火设备和火灾自动报警系统、水敏感检测仪及漏水检测报警系统、精密空调、除湿装置、备用发电机、
电磁屏蔽柜等。6.2安全通信网络
信息系统或计算网络环境之间部署安全设备，实施安全策略，这些软、硬件设备是重要基础设施，也是保证数据安全传输和业务可靠运行的关键，安全通信网络主要是实现数据内部纵向交互，并对外提供服务，确保对外交流的正常稳定的进行。
6.3安全区域边界
对应用系统计算环境进行安全防护和防止敏感信息泄露。通过区域边界的安全控制，对进入和流出应用环境的信息流进行安全检查，既可以保证应用系统中的敏感信息不被泄漏出去，同时也可防止应用系统遭受外界的恶意攻击和破坏。[3]
6.4安全计算环境
是业务数据和信息的主要载体，而业务数据和信息是信息资产的重要组成，主要用于防范和解决各类计算机服务资源和操作系统层面的安全风险。作为用于信息存储、传输、应用处理的计算服务资源，其自身安全性涉及承载业务的方方面面，任一节点的安全隐患都可能威胁到整个网络的安全。
6.5安全管理中心
对网络中多层面、分布式的安全系统进行统一监控管理、统一配置管理，形成统一的网络安全状况视图，可更加准确地定位攻击行为，获得网络的整体安全状况信息，并对网络中的安全威胁进行集中检测和响应。
为满足安全通信网络、安全计算环境、安全区域边界和安全管理中心的技术要求，往往在关键部位必须部署入侵防御系统、VPN、上网行为管理系统、网络准入系统、
统一监控平台、防病毒软件、堡垒机、防火墙、审计平台、数据异地备份存储设备、数据加密软件；主要网络设备、通信线路和数据处理系统的硬件需要冗余部署，其中关键的设备需要采取双机冗余；若有网站系统，
需要部署网页防篡改系统。7安全防护管理方案
政务信息系统安全防护管理方案主要从安全管理制度、安全管理机构、安全管理人员、安全建设管理和安全运维管理五个方面进行安全防护设计。
7.1安全管理制度
明确电子政务信息系统网络安全防护的总体目标、工作范围、管理职能、执行规程，制订管理制度的制定、执行办法，从整体上确保制度有序发挥管理能效。
7.2安全管理机构
全面负责电子政务信息系统安全防护工作的领导、组织、执行等工作，具体包含岗位配备、授权和审批、沟通和合作、审查和核查等内容。
7.3安全管理人员
分别对内部人员和外部人员进行安全管理，包括对内部人员的录用、离岗、考核、安全培训，对外部人员访问管理，对管理人员进行安全技能和安全认知考核，提高安全管理的效率。[4]
7.4安全运维管理
包括信息系统的日常管理、变更管理、制度化管理、安全事件处置、应急预案管理和安管中心等，对系统进行整体全面的管理，时刻确保系统正常、稳定的运行。
7.5安全建设管理
政务信息系统网络安全建设是一项综合性工程，为确保防护技术和管理手段发挥效力，需要不断在建设和运维过程中完善信息系统工程建设管理制度中有关网络安全的内容。参考文献
[1]李湘宁等.2019年中国互联网网络安全报告[R].北京：
国家计算机网络应急技术处理协调中心，2020.
[2]刘仲晖.探究多类服务器计算机网络系统优化配置[J].
中国电子商务，2013，5：53-53.
[3]龚雷，赵勇，韩培胜.典型应用系统安全保护框架研究[J].
计算机工程与应用，2010，46（28）：90-93.
[4]罗光明.信息管理系统安全建设探讨[J].中文信息，2014，3：1-2.作者简介
胡鹏（1987-），男，汉族，河南省开封市，副所长，中级工程师，主要从事在华信咨询设计研究院有限公司的政务信息化、网络信息安全、信息技术应用创新等领域的咨询设计工作。
王晖（1997-），女，汉族，江苏省南通市，通信设计人员，主要从事在华信咨询设计研究院有限公司的政务信息化、网络信息安全、信息技术应用创新等领域的咨询设计、集成管理工作。
2021215Collection of Translations
总第441期
17··

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。