摘 要：随着信息化技术的迅速发展,各种信息安全与网络安全风险问题也日益突出。结合当今实际信息化规划建设工作,对于电子政务信息化建设中可能面临的信息安全风险,按照不同特点和层面进行了分析与评估,并提出了相应防护对策。
关键词：信息化 风险 安全
当今,大型电子政务信息化规划与建设在国内方兴未艾,在这些系统中存储、共享、应用有大量的科学研究与行政管理的数据和信息,将对领域内工作进行全面、及时、动态地监管与响应。但由于这些系统规模较大,涉及的机构人员范围众多,业务需求与目标复杂各异,涵盖的技术、产品、设备庞杂,在各个环节都可能存在诸多安全隐患,如果系统安全得不到保证,不但将会给相关领导决策、技术研究的正确性、及时性带来非常不利影响、甚至将影响到社会的稳定和谐。因此,在政务信息化建设中,系统安全风险评估与防范需要引起各方高度重视,也是我们在实际系统规划设计初期就必须重点关注的问题。
1 可能面临的安全风险与威胁分析评估
1. 1 信息化环境中存在的安全威胁与破坏的行为方式与目的分析
1. 1. 1 显形破坏方式
(1) 破坏系统软、硬件,造成系统直接瘫痪甚至崩溃,直接造成系统不可用;
(2) 大量消耗占用网络资源,造成网络阻塞瘫痪,以破坏网络通讯与用户使用;
(3) 破坏系统内的数据和信息,使其不能正常提供信息服务。
显形破坏方式造成的后果比较直观,相对容易发现、容易处置,损失也较为容易评估,由于易于发觉而被及时修复,因此其实际攻击影响时间往往并不会太长,而且其破坏目标具有随意性。
1. 1. 2 隐形破坏方式
(1) 感染、植入病毒或木马程序,悄然影响系统的整体安全与应用以及效率,恶意控制和滥用受害系统从事非法活动;
(2) 利用各种手段盗取系统密码,窃取用户信息,进入系统,收集情报、敏感信息、篡改重要信息与数据,严重损害信息与数据的可靠性与可用性,对相关信息和数据的研究与应用以至领导决策造成难以估量的危害。
由于隐形破坏方式隐藏周期长,攻击目标具有针对性和目的性,手法隐蔽,难于及时发现和恢复,难于及时准确评估损失,其造成的实际危害与后果往往大于显形破坏方式。
1. 2 信息系统体系架构各个层面的安全威胁分析
1. 2. 1 实体安全威胁分析
实体安全指的是整个网络中存在的所有的通信线路、网络设备、安全设备等,保证计算机信息系统各种设备的物理安全,是保障整个网络系统安全的前提。
由于面临着地震、水灾、火灾等环境事故、人为操作失误或错误以及各种计算机犯罪行为导致破坏的风险,因此对整个网络的基础设备及上层的各种应用有着严重的安全威胁,这些事故一旦出现,就可能使整个网络不可用。
1. 2. 2 网络安全威胁分析
系统网络作为信息采集传输和应用流通的物理平台,信息交流和连接涉及全国广大区域,同时也是网络入侵者进攻信息系统的基本渠道和通路。许多安全问题都集中体现在网络的安全方面。网络入侵者一般采用预攻击探测、窃听等手段搜集信息,然后利用IP欺骗、重放或重演、拒绝服务攻击( SYN FLOOD, P ING FLOOD 等) 、分布式拒绝服务攻击、篡改、堆栈溢出等手段进行攻击。大型网络系统内运行的TCP / IP协议并非专为安全通讯而设计,所以网络系统层面存在大量安全隐患和威胁,风险较大。
