信息系統(tǒng)安全保護(hù)等級架構(gòu)——以地級市金保工程為例

【摘要】隨著信息化的發(fā)展，信息系統(tǒng)的安全已經(jīng)成為關(guān)注的熱點(diǎn)，但是，我國信息系統(tǒng)的快速發(fā)展，導(dǎo)致信息系統(tǒng)普遍缺乏的全面防護(hù)，大家都知道，信息系統(tǒng)的安全取決于馬奇諾防線中最弱的一塊，因此本文通過參照《信息系統(tǒng)安全等級保護(hù)基本要求》的相關(guān)安全標(biāo)準(zhǔn)，以地級市金保工程為例，按照第三級的安全保護(hù)等級標(biāo)準(zhǔn)進(jìn)行設(shè)計(jì)，該方案的設(shè)計(jì)，不僅能指出原系統(tǒng)的不足，并給出具體整改的方法，確保信息系統(tǒng)安全保護(hù)水平達(dá)到較高的水平。

【關(guān)鍵詞】金保工程;安全等級;風(fēng)險(xiǎn)分析

1. 概述

金保工程自2002年啟動(dòng)以來，一直是我國電子政務(wù)網(wǎng)建設(shè)的重要部分，受到黨中央國務(wù)院與各級政府的重視，該工程是人力資源和社會(huì)保障的核心平臺(tái)，是促進(jìn)社會(huì)和諧穩(wěn)定的電子政務(wù)工程。

金保工程是構(gòu)建部級-省級-市級的三級信息系統(tǒng)平臺(tái)，隨著地市級金保工程市級平臺(tái)隨著近些年參保人員的增加，其各項(xiàng)應(yīng)用范圍逐漸擴(kuò)大，系統(tǒng)平臺(tái)必須保證系統(tǒng)運(yùn)行的安全性和可靠性，一旦出現(xiàn)信息安全問題，將直接影響到千家萬戶的利益，因此解決地市級金保工程信息安全問題就非常重要。

目前，地級市金保工程信息系統(tǒng)的安全幾乎全部依賴防火墻等安全防護(hù)設(shè)備上，并沒有從根本上認(rèn)識到信息系統(tǒng)的安全是整體的和動(dòng)態(tài)的，不能從簡單的幾個(gè)設(shè)備來實(shí)現(xiàn)，因此，本文將從技術(shù)和管理兩個(gè)角度入手，設(shè)計(jì)一個(gè)比較完善的信息系統(tǒng)安全防護(hù)方案。

2. 信息安全等級保護(hù)介紹

2.1 信息安全等級保護(hù)的實(shí)施流程

2016年9月，安徽省人大常委會(huì)通過《安徽省信息化促進(jìn)條例》，要求各企事業(yè)單位根據(jù)本單位的實(shí)際確定信息系統(tǒng)安全防護(hù)等級，并按照相關(guān)標(biāo)準(zhǔn)進(jìn)行相應(yīng)的信息安全建設(shè)，且報(bào)備公安機(jī)關(guān)。因此，地級市金保工程安全等級保護(hù)對提高信息系統(tǒng)的安全性，促進(jìn)信息系統(tǒng)安全健康發(fā)展有重要的意義。我們需要結(jié)合信息系統(tǒng)的實(shí)際情況，優(yōu)化信息安全資源配置，確保其通過相應(yīng)的安全等級。

2.3 信息安全等級保護(hù)基本要求

《信息安全等級保護(hù)基本要求》是對不同的安全保護(hù)等級信息系統(tǒng)應(yīng)具備安全保護(hù)能力給出了相應(yīng)要求，具體如圖2所示：

該標(biāo)準(zhǔn)從安全技術(shù)要求和安全管理要求兩個(gè)方面對信息系統(tǒng)提出了基本達(dá)標(biāo)線，不同信息系統(tǒng)根據(jù)實(shí)際情況確定安全防護(hù)等級，并根據(jù)要求對各項(xiàng)規(guī)定進(jìn)行相應(yīng)安全等級防護(hù)能力的提升，保障信息系統(tǒng)處于安全狀態(tài)。

3. 地級市金保工程信息系統(tǒng)安全保障模型構(gòu)建

地級市金保工程是一個(gè)保障民生的復(fù)雜信息工程，隨著信息化水平的提高，地級市金保工程各個(gè)業(yè)務(wù)都需要信息系統(tǒng)的大力支持。

在地級市金保工程信息安全模型的構(gòu)建應(yīng)遵循以下原則：

（1）安全性原則

（2）適用性原則

（3）先進(jìn)性原則

（4）可擴(kuò)展性原則

（5）可管理性原則

信息系統(tǒng)與實(shí)物資產(chǎn)相比，更容易受到損害，需要給予妥善的保護(hù)。而隨著信息技術(shù)的發(fā)展，對于地級市金保工程面臨著較大的風(fēng)險(xiǎn)和挑戰(zhàn)，因此，如何解決地級市金保工程信息系統(tǒng)的信息安全問題是非常重要的。本文將參照《信息安全等級保護(hù)基本要求》第三級要求構(gòu)建信息安全模型，全面提升地級市金保工程信息系統(tǒng)的信息安全。

3.1 地級市金保工程信息安全模型的構(gòu)建思路

由于信息安全是動(dòng)態(tài)的、整體的，需要一整套的方法來有效的保障信息系統(tǒng)安全。參照《信息系統(tǒng)安全等級保護(hù)定級指南》標(biāo)準(zhǔn)，結(jié)合地級市金保工程的實(shí)際對信息安全等級進(jìn)行確定。

地級市金保工程業(yè)務(wù)包括社保管理系統(tǒng)、醫(yī)保結(jié)算系統(tǒng)、就業(yè)失業(yè)信息系統(tǒng)等，該信息系統(tǒng)承載的業(yè)務(wù)涉及到社會(huì)的穩(wěn)定，它是否正常運(yùn)行關(guān)系到所在地級市千家萬戶的利益，如表3.1。參照《信息系統(tǒng)安全等級保護(hù)定級指南》相關(guān)要求后，我們建議確定地級市金保工程信息系統(tǒng)安全等級為第三級。

3.2 地級市金保工程信息安全模型的構(gòu)建與實(shí)現(xiàn)

3.2.1 物理安全

物理安全是信息系統(tǒng)運(yùn)行的基礎(chǔ)，我們參照《信息系統(tǒng)安全等級保護(hù)基本要求》第三級的規(guī)定，對機(jī)房進(jìn)行保護(hù)和改造。

機(jī)房選址應(yīng)在樓層的第二或三層，機(jī)房需要設(shè)置服務(wù)器區(qū)、網(wǎng)絡(luò)設(shè)備區(qū)、空調(diào)電源區(qū)等，不同區(qū)域需用玻璃墻物理隔離;其機(jī)房需安裝精密空調(diào)，參照信息系統(tǒng)安全等級保護(hù)第三級的基本要求溫度控制在20℃±2℃（冬季）、23℃±2℃（夏季）范圍內(nèi)，濕度控制在55%±10%范圍內(nèi)，無線電干擾場強(qiáng)應(yīng)小于等于128dB，機(jī)房內(nèi)磁場強(qiáng)度應(yīng)小于等于800A/m。在防雷方面，需要安裝電源防雷器，保護(hù)機(jī)房工作人員和設(shè)備的安全運(yùn)行;在防盜方面，機(jī)房24小時(shí)無死角監(jiān)控，同時(shí)通過門禁系統(tǒng)限制人員出入。

3.2.2 主機(jī)安全

參照《信息系統(tǒng)安全等級保護(hù)基本要求》第三級的規(guī)定，結(jié)合地級市金保工程信息系統(tǒng)的實(shí)際，從主機(jī)安全的角度對等級保護(hù)進(jìn)行建設(shè)與改造。

第一，在身份鑒別方面，我們采用用戶名密碼+USBKEY的方式;在訪問策略上僅限非法登錄的次數(shù)。

第二，在訪問控制方面，網(wǎng)絡(luò)設(shè)備需要?jiǎng)澐諺LAN，各用戶根據(jù)業(yè)務(wù)設(shè)置最小權(quán)限;服務(wù)器管理員權(quán)限需要相互制約。

第三，在安全審計(jì)方面，需要監(jiān)視所保護(hù)網(wǎng)段內(nèi)到每個(gè)用戶、每個(gè)事件的安全審計(jì)，相對于入侵而言比較被動(dòng)，但它對記錄入侵犯罪行為非常重要，也對內(nèi)部工作人員起到威懾作用。

第四，在惡意代碼防范方面，由于它的破壞性非常大，是信息系統(tǒng)的重大安全隱患。所以信息系統(tǒng)需在系統(tǒng)內(nèi)部部署防毒系統(tǒng)，并建成一個(gè)立體的防病毒體系。

3.2.3 應(yīng)用安全

參照《信息系統(tǒng)安全等級保護(hù)基本要求》第三級的規(guī)定，結(jié)合地級市金保工程信息系統(tǒng)的實(shí)際，從應(yīng)用系統(tǒng)安全的角度對等級保護(hù)進(jìn)行建設(shè)與改造。

第一，在剩余信息保護(hù)方面，存儲(chǔ)空間分配給其他用戶前需要及時(shí)清除原數(shù)據(jù)，不能因惡意恢復(fù)造成信息泄露。

第二，，通信數(shù)據(jù)需進(jìn)行安全加密，保障通信過程的抗抵賴性。

第三，在資源控制方面，需要限制單個(gè)賬戶只能同時(shí)使用一個(gè)客戶端登錄，而一個(gè)客戶端也只能允許一個(gè)用戶登錄;同一個(gè)時(shí)間段也要設(shè)置一定的并發(fā)會(huì)話數(shù)。

3.2.4 數(shù)據(jù)安全及備份恢復(fù)

在數(shù)據(jù)備份方面，我們采用同城異地備份的方式實(shí)現(xiàn)第三級中建立異地備份中心的要求，我們選擇本市電信運(yùn)營商的機(jī)房作為容災(zāi)備份地。在數(shù)據(jù)恢復(fù)方面，一旦信息系統(tǒng)數(shù)據(jù)由于各種原因出現(xiàn)故障，容災(zāi)中心將在極短時(shí)間內(nèi)接管信息系統(tǒng)的數(shù)據(jù)運(yùn)行，保障業(yè)務(wù)不間斷，數(shù)據(jù)不丟失;同時(shí)也需建立數(shù)據(jù)定期恢復(fù)測試制度，定期測試。

3.2.5 安全管理體系

要建立健全安全管理體系，使得技術(shù)與管理相輔相成，結(jié)合地級市金保工程信息系統(tǒng)的實(shí)際，對安全管理體系進(jìn)行建設(shè)。

第一，成立安全管理機(jī)構(gòu)，并參照第三級標(biāo)準(zhǔn)，制定了安全管理制度、安全運(yùn)維制度、安全培訓(xùn)制度等內(nèi)容。

第二，建立安全培訓(xùn)的長效機(jī)制，使員工能明確自己的職責(zé)，使其認(rèn)識到各項(xiàng)安全措施所具有的意義，保障各項(xiàng)安全策略能有效的執(zhí)行，避免安全事件的發(fā)生。

第三，使各管理員之間權(quán)限相互獨(dú)立和互相制約，有效避免一權(quán)獨(dú)大，以達(dá)到系統(tǒng)安全管理的目標(biāo)。

參考文獻(xiàn)：

[1]安徽省人民代表大會(huì)常務(wù)委員會(huì).安徽省信息化促進(jìn)條例[S]，2016年9月

[2]畢馬寧.國家信息安全保障體系與信息安全等級保護(hù)制度實(shí)施[J].電子商務(wù)，2008：31-35

[3]呂麗娟.金保工程網(wǎng)絡(luò)系統(tǒng)安全防護(hù)體系建設(shè)[J].信息網(wǎng)絡(luò)安全，2005（5）：13-15.

[4]張冬.地級市金保工程安全體系研究與應(yīng)用[D].碩士論文.2017.

[5]韓煜.等級保護(hù)三級信息系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn)[D].北京：北京郵電大學(xué)碩士論文，2011：40-41