信息安全

前言：想要写出一篇令人眼前一亮的文章吗？我们特意为您整理了5篇信息安全范文，相信会为您的写作带来帮助，发现更多的写作思路和灵感。

信息安全范文第1篇

关键词：信息安全；信息安全等级

中图分类号：TP393.08文献标识码：A文章编号：16727800（2011）012014502

作者简介：张新豪（1982-），男，河南郑州人，黄河科技学院现代教育中心助教，研究方向为计算机应用；郭喜建（1978-），男，河南郑州人，黄河科技学院现代教育中心助教，研究方向为计算机应用；宋朝（1983-），男，河南郑州人，黄河科技学院现代教育技术中心职员，研究方向为信息服务质量管理。1网络信息安全

信息安全是指信息网络的硬件、软件及其系统中数据受到保护，不因偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续、可靠、正常地运行，信息服务不中断。信息安全是一门设计计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。从广义上说，设计信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是信息安全的研究领域。

信息安全要实现的目标主要有：①真实性：对信息的来源进行判断，能对伪造来源的信息予以鉴别；②保密性：保证机密信息不被窃听，或窃听者不能了解信息的真实含义；③完整性：保证数据的一致性，防止数据被非法用户篡改；④可用性：保证合法用户对信息和资源的使用不会被不正当的拒绝；⑤不可抵赖性：建立有效的责任机制，防止用户否认其行为；⑥可控制性：对信息的传播及内容具有控制能力；⑦可审查性：对出现的网络安全故障为您能够提供调查的依据和手段。

2网络信息安全性等级

2.1信息安全等级保护

信息安全等级保护是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。

信息安全等级保护制度是国家信息安全保障工作的基本制度、基本策略和基本方法，是促进信息化健康发展，维护国家安全、社会秩序和公共利益的根本保障。国务院法规和中央文件明确规定，要实行信息安全等级保护，重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制度。信息安全等级保护是当今发达国家保护关键信息基础设施、保障信息安全的通行做法，也是我国多年来信息安全工作经验的总结。开展信息安全等级保护工作不仅是保障重要信息系统安全的重大措施，也是一项事关国家安全、社会稳定、国家利益的重要任务。

2.2DoD可信计算机系统评估准则

1983年，美国国家计算机中心发表了著名的“可信任计算机标准评价准则”（Trusted Computer Standards Evaluation Criteria，简称TCSEC，俗称橘皮书）。TCSEC是在20世纪70年代的基础理论研究成果Bell & La Padula模型基础上提出的，其初衷是针对操作系统的安全性进行评估。1985年，美国国防部计算机安全中心（简称DoDCSC）对TCSEC文本进行了修订，推出了“DoD可信计算机系统评估准则，DoD5200.28-STD”。

美国国防部计算机安全中心（DoDCSC）提出的安全性评估要求有：①安全策略：必须有一个明确的、确定的由系统实施的安全策略；②识别：必须唯一而可靠地识别每个主体，以便检查主体/客体的访问请求；③标记：必须给每个客体（目标）作一个“标号”，指明该客体的安全级别。这种结合必须做到对该目标进行访问请求时都能得到该标号以便进行对比；④可检查性：系统对影响安全的活动必须维持完全而安全的记录。这些活动包括系统新用户的引入、主体或客体的安全级别的分配和变化以及拒绝访问的企图；⑤保障措施：系统必须含实施安全性的机制并能评价其有效性；⑥连续的保护：实现安全性的机制必须受到保护以防止未经批准的改变。

根据以上6条要求，“可信计算机系统评估准则”将计算机系统的安全性分为A、B、C、D 4个等级，A、B3、B2、B1、C2、C1、D 7个级别，如表1所示。

表1网络安全性标准（DoD5200.28――STD）

等级名称主要特征A可验证的安全设计形式化的最高级描述和验证，形式化的隐密通道分析，非形式化的代码一致性证明B3安全域机制安全内核，高抗渗透能力B2结构化安全保护设计系统时必须有一个合理的总体设计方案，面向安全的体系结构，遵循最小授权原则，较好的抗渗透能力，访问控制应对所有的主体和客体提供保护，对系统进行隐蔽通道分析B1标号安全保护除了C2级别的安全需求外，增加安全策略模型，数据标号（安全和属性），托管访问控制C2受控的访问环境存取控制以用户为单位广泛的审计C1选择的安全保护有选择的存取控制，用户与数据分离，数据的保护以用户组为单位D最小保护保护措施很少，没有安全功能2.3计算机信息系统安全保护等级划分准则

在我国，以《计算机信息系统安全保护等级划分准则》为指导，根据信息和信息系统在国家安全、经济建设、社会生活中的重要程度，针对信息的保密性、完整性和可用性要求及信息系统必须达到的基本的安全保护水平等因素，将信息和信息系统的安全保护分为5个等级。

第一级：用户自主保护级。本级的计算机信息系统可信计算基通过隔离用户与数据，使用户具备自主安全保护的能力。它为用户提供可行的手段，保护用户和用户组信息，避免其他用户对数据的非法读写与破坏。

第二级：系统审计保护级。与用户自主保护级相比，本级的计算机信息系统可信计算基实施了粒度更细的自主访问控制，它通过登录规程、审计安全性相关事件和隔离资源，使用户对自己的行为负责。

第三级：安全标记保护级。本级的计算机信息系统可信计算基具有系统审计保护级所有功能。具有准确地标记输出信息的能力，消除通过测试发现的任何错误。

第四级：结构化保护级。本级的计算机信息系统可信计算基建立于一个明确定义的形式化安全策略模型之上，将第三级系统中的自主和强制访问控制扩展到所有主体与客体，同时考虑隐蔽通道。关于可信计算基则结构化为关键保护元素和非关键保护元素，必须明确定义可信计算基的接口。加强了鉴别机制，增强了配置管理控制，具有相当的抗渗透能力。

第五级：访问验证保护级。本级的计算机信息系统可信计算基满足访问监控器需求。访问监控器仲裁主体对客体的全部访问。访问监控器本身是抗篡改的，信息系统支持安全管理员职能，具有扩充审计机制，提供系统恢复机制。系统具有很高的抗渗透能力。

3结束语

信息安全等级保护是国家信息安全保障的基本制度、基本策略、基本方法，是维护国家信息安全的根本保障。通过开展信息安全等级保护工作，可以有效地解决我国信息安全面临的主要问题，将有限的财力、人力、物力投入到重要信息系统的安全保护中去。参考文献：

[1]赵鹏，李剑.国内外信息安全发展新趋势[J].信息网络安全,2011(7).

[2]肖国煜.信息系统等级保护测评实践[J].信息网络安全,2011(7).

[3]马力，毕马宁.安全保护模型与等级保护安全要求关系的研究[J].信息网络安全,2011(6).

Research on Network Information Security

and Information Security Level

信息安全范文第2篇

安全防范设施要投入到位为加强校园计算机信息安全管理工作,在硬件设施上要舍得投入,要做到事先花钱买安全,不要事后花钱买教训。①配好用好监控设备。当今社会,监控设备可以说是无处不在,无论你走到哪里,你的身影就会留在那里的监控设备中并保留一段时间。近年来监控设备之所以如此普及,最主要的原因是监控设备可以提供适时的图像,以便发生事故问题时可以对现场发生的情况做到一目了然。所以,为了加强校园计算机信息安全,必须配好用好监控设备,以防计算机信息硬件设备的丢失。

如果硬件不安全了,其中的信息自然也就没有安全可言。当然,配置的监控设备不一定能够全部完好,也不一定全天候在工作,还是有不法分子可利用和趁机行事的空隙和空间。但是,不能因为一个事物有不足,就认为它不起作用,我们应该看到,目前,监控发挥的作用是其他方法手段所不能替代的,并且大部分监控设备在大部分时间还是起作用的。

用好防盗设施，计算机信息安全只配置监控来防护还是不能百分之百安全,所以还要用好防盗设施,防盗设施包括多个方面。一是硬件防盗,如门禁系统、自动报警系统、电磁屏蔽和干扰系统等等;二是软件防盗,如设置开机密码、登录密码和屏保密码,防使用和复制软件以及其他数据认证系统等等。这些防盗设施有必要配备和使用,多一道门槛就多一层安全,多一次验证就多一份保险。当然,在使用这些防盗设施时,要使用通过安全部门认证的有效设施和软件,并尽可能确保安全、确保使用方便。否则太过于繁琐的防盗设施可能引起使用人员的诸多反感,渐渐从心里产生抵触情绪,这样的使用可能因防盗设施太多而影响工作,自然最终不能坚持下去。③监督使用人员。如果校院计算机里有需要保守的信息,除加强其他设施措施外,还要加强对计算机使用和管理人员的监督。计算机信息安全,说白了就是人们思想的安全,为此,要加强监督使用和管理人员,对计算机人员,要进行登记、注册、签订安全责任书,确保使用和管理人员保护校院计算机信息安全,确保计算机信息,不为别有用心的人所利用。

信息安全范文第3篇

论文提要：当今世界已进入了信息化时代，信息化和信息产业发展水平已成为衡量一个国家综合国力的重要标准。党的十七大明确提出了一条“以信息化带动工业化，以工业化促进信息化”的具有中国特色的信息化道路。信息资源随之成为社会资源的重要组成部分，但由于信息资源不同于其他资源的特殊性质，如何保证信息的安全性和保密性成为我国信息化建设过程中需要解决的重要问题。

一、信息化的内涵、信息资源的性质及信息的安全问题

“信息化”一词最早是由日本学者于20世纪六十年代末提出来的。经过40多年的发展，信息化已成为各国社会发展的主题。

信息作为一种特殊资源与其他资源相比具有其特殊的性质，主要表现在知识性、中介性、可转化性、可再生性和无限应用性。由于其特殊性质造成信息资源存在可能被篡改、伪造、窃取以及截取等安全隐患，造成信息的丢失、泄密，甚至造成病毒的传播，从而导致信息系统的不安全性，给国家的信息化建设带来不利影响。因此，如何保证信息安全成为亟须解决的重要问题。

信息安全包括以下内容：真实性，保证信息的来源真实可靠；机密性，信息即使被截获也无法理解其内容；完整性，信息的内容不会被篡改或破坏；可用性，能够按照用户需要提供可用信息；可控性，对信息的传播及内容具有控制能力；不可抵赖性，用户对其行为不能进行否认；可审查性，对出现的网络安全问题提供调查的依据和手段。与传统的安全问题相比，基于网络的信息安全有一些新的特点：

一是由于信息基础设施的固有特点导致的信息安全的脆弱性。由于因特网与生俱来的开放性特点，从网络架到协议以及操作系统等都具有开放性的特点，通过网络主体之间的联系是匿名的、开放的，而不是封闭的、保密的。这种先天的技术弱点导致网络易受攻击。

二是信息安全问题的易扩散性。信息安全问题会随着信息网络基础设施的建设与因特网的普及而迅速扩大。由于因特网的庞大系统，造成了病毒极易滋生和传播，从而导致信息危害。

三是信息安全中的智能性、隐蔽性特点。传统的安全问题更多的是使用物理手段造成的破坏行为，而网络环境下的安全问题常常表现为一种技术对抗，对信息的破坏、窃取等都是通过技术手段实现的。而且这样的破坏甚至攻击也是“无形”的，不受时间和地点的约束，犯罪行为实施后对机器硬件的信息载体可以不受任何损失，甚至不留任何痕迹，给侦破和定罪带来困难。

信息安全威胁主要来源于自然灾害、意外事故；计算机犯罪；人为错误，比如使用不当，安全意识差等；“黑客”行为；内部泄密；外部泄密；信息丢失；电子谍报，比如信息流量分析、信息窃取等；信息战；网络协议自身缺陷，等等。

二、我国信息化中的信息安全问题

近年来，随着国家宏观管理和支持力度的加强、信息安全技术产业化工作的继续进行、对国际信息安全事务的积极参与以及关于信息安全的法律建设环境日益完善等因素，我国在信息安全管理上的进展是迅速的。但是，由于我国的信息化建设起步较晚，相关体系不完善，法律法规不健全等诸多因素，我国的信息化仍然存在不安全问题。

1、信息与网络安全的防护能力较弱。我国的信息化建设发展迅速，各个企业纷纷设立自己的网站，特别是“政府上网工程”全面启动后，各级政府已陆续设立了自己的网站，但是由于许多网站没有防火墙设备、安全审计系统、入侵监测系统等防护设备，整个系统存在着相当大的信息安全隐患。美国互联网安全公司赛门铁克公司2007年发表的报告称，在网络黑客攻击的国家中，中国是最大的受害国。

2、对引进的国外设备和软件缺乏有效的管理和技术改造。由于我国信息技术水平的限制，很多单位和部门直接引进国外的信息设备，并不对其进行必要的监测和改造，从而给他人入侵系统或监听信息等非法操作提供了可乘之机。3、我国基础信息产业薄弱，核心技术严重依赖国外，缺乏自主创新产品，尤其是信息安全产品。我国信息网络所使用的网管设备和软件基本上来自国外，这使我国的网络安全性能大大减弱，被认为是易窥视和易打击的“玻璃网”。由于缺乏自主技术，我国的网络处于被窃听、干扰、监视和欺诈等多种信息安全威胁中，网络安全处于极脆弱的状态。

4、信息犯罪在我国有快速发展趋势。除了境外黑客对我国信息网络进行攻击，国内也有部分人利用系统漏洞进行网络犯罪，例如传播病毒、窃取他人网络银行账号密码等。

5、在研究开发、产业发展、人才培养、队伍建设等方面与迅速发展的形势极不适应。

造成以上问题的相关因素在于：首先，我国的经济基础薄弱，在信息产业上的投入还是不足，尤其是在核心和关键技术及安全产品的开发生产上缺乏有力的资金支持和自主创新意识。其次，全民信息安全意识淡薄，警惕性不高。大多数计算机用户都曾被病毒感染过，并且病毒的重复感染率相当高。

除此之外，我国目前信息技术领域的不安全局面，也与西方发达国家对我国的技术输出进行控制有关。

三、相关解决措施

针对我国信息安全存在的问题，要实现信息安全不但要靠先进的技术，还要有严格的法律法规和信息安全教育。

1、加强全民信息安全教育，提高警惕性。从小做起，从己做起，有效利用各种信息安全防护设备，保证个人的信息安全，提高整个系统的安全防护能力，从而促进整个系统的信息安全。

2、发展有自主知识产权的信息安全产业，加大信息产业投入。增强自主创新意识，加大核心技术的研发，尤其是信息安全产品，减小对国外产品的依赖程度。

3、创造良好的信息化安全支撑环境。完善我国信息安全的法规体系，制定相关的法律法规，例如信息安全法、数字签名法、电子信息犯罪法、电子信息出版法、电子信息知识产权保护法、电子信息个人隐私法、电子信息进出境法等，加大对网络犯罪和信息犯罪的打击力度，对其进行严厉的惩处。

4、高度重视信息安全基础研究和人才的培养。为了在高技术环境下发展自主知识产权的信息安全产业，应大力培养信息安全专业人才，建立信息安全人才培养体系。

5、加强国际防范，创造良好的安全外部环境。由于网络与生俱有的开放性、交互性和分散性等特征，产生了许多安全问题，要保证信息安全，必须积极参与国际合作，通过吸收和转化有关信息网络安全管理的国际法律规范，防范来自世界各地的黑客入侵，加强信息网络安全。

信息安全范文第4篇

（一）档案信息制度不健全带来的信息安全隐患

在档案信息化突飞猛进的背景下，相关的档案信息安全管理制度却未及时地建立起来，给别有用心的人窃取和不当利用档案信息以可乘之机，严重危害着档案信息的安全。比如，有的档案管理单位解答了档案利用者的问题，因为认为该问题具有代表性，就将该问题放入常见问题资讯库中。若该档案管理单位缺乏档案信息的保护制度和保密意识，没有对咨询人的个人信息进行必要的屏蔽和处理，可能会造成用户信息的泄露，侵犯档案利用者的隐私权。再比如，有的地市住房公积金管理网络系统由于缺乏相应的安全制度和技术保障措施，只需要输入公积金缴存人的姓名就可以查阅到其工资水平和住房公积金缴纳情况，而个人的收入状况属于个人不愿向外界透漏的的隐私，这就造成了个人档案信息的泄露。

（二）档案网络化管理带来的信息安全隐患

网络化管理给档案管理工作带来便利。但是，计算机感染木马病毒和遭受黑客恶意攻击的风险给档案信息的安全性带来隐患。木马程序一旦侵入档案管理系统，很可能会破坏档案信息数据，甚至会采取篡改、盗窃、销毁档案数据的破坏手段，造成档案管理的混乱，给档案数据的安全性带来致命损害。另外，以光盘、硬盘等存储介质为载体的电子数据档案有其自身不可克服的缺点，如信息数据不够稳定、易于损坏和难以固定保存等，加之档案存储设备更新速度很快，若不对档案存储设备以及相关的计算机硬件和软件及时更新，解决数字档案的格式转换等问题，极易造成档案数据丢失、毁损或无法顺利读取等情况发生。

（三）档案管理造成的信息安全隐患

档案信息化对档案管理人员的素质提出了更高的要求，要求档案管理人员不但要精通档案管理知识，还要精通互联网知识、计算机和相应档案管理软件的操作方法。但是，当前档案管理人员的年龄结构存在普遍偏大的状况。有些年龄较大的档案管理人员知识更新不够及时，仍然拘泥于传统的档案管理模式，对信息化的档案管理可能会感觉力不从心。因为对档案管理设备和档案管理软件研究不够深入，操作熟练程度不够等原因，在管理过程中容易造成档案数据意外删除等丢失毁损情况，构成档案信息的安全隐患。

二、加强档案信息安全的举措

（一）加强制度建设，提高档案安全管理意识

首先，单位领导要充分认识到档案信息安全管理的重要性，制定相应的档案信息安全管理制度，与档案管理人员签订档案安全管理责任承诺书，安排专门档案管理人员对所有档案信息进行保密管理，规范档案信息的保密审查程序和公开程序，确保做到公开的档案信息不，的档案信息不公开。同时，要完善档案信息安全防范机制，严格禁止其他计算机对档案管理系统网络的接入和访问，的档案信息不允许与互联网联接，的计算机要设置专用密码，在转为非计算机时要按照《保密法》的规定对存储硬盘进行拆除。

（二）不断提高档案安全管理技术，做好电子档案的异质备份工作

首先，提升档案安全管理技术是保障档案信息安全的有效途径，要定期对管理档案的计算机设备进行杀毒软件的升级，及时对病毒进行扫描和查杀，避免木马程序和黑客恶意侵入档案管理系统。同时，定期对档案管理设备如计算机设备、打印机、复印设备等进行检查，确保各种档案管理设备的正常使用。其次，承载电子数据档案的存储设备有别于传统的档案载体文件，对它的读取必须依靠必要的硬件设备和阅读软件才能够实现，对这些电子文件档案同时转化为其他类型的载体就成为必要。做好电子档案的异质备份工作，就可以防止随着技术的发展出现现有的电子档案因为缺乏相应的阅读设备和软件而不能顺利读取的尴尬局面。异质备份的常见方法主要有：将网络下载文件转变成纸质文档；将纸质文档通过扫描等手段转换成电子文档；将现有的电子照片通过拷贝等形式制作成多份备查等。

（三）优化档案管理人员结构，提高档案安全防范意识

档案管理的信息化对档案管理人员的素质提出了更高要求，要优化档案管理人员结构，建立形成梯队的复合型档案管理队伍。档案管理人员不但要熟悉档案管理方面的业务知识以及相关的档案管理法规，还要对计算机操作、互联网知识等现代化的科技知识做到熟练掌握。这就要求我们必须要建立健全档案管理人员的管理制度，对档案管理人员的配备、流入流出等规定严格的程序，明确各类管理人员的工作职责和违反规定造成档案安全信息不当泄露应承担的责任。要定期对档案管理人员进行业务知识和档案信息安全管理方面的培训，提高他们的安全防范意识和防范技能水平。

三、结语

信息安全范文第5篇

摘 要： 通过研究云计算的三类服务模式：软件即服务（SaaS）、平台即服务（PaaS）和基础设施即服务（IaaS），结合当前云计算在电子政务领域的应用现状，分析了当前政务云面临的监管能力受限、数据管理困难、责任界定不清三类安全风险，最后提出了针对安全风险的应对措施。

关键词： 云计算； 政务云； 安全风险； 应对措施

中图分类号：TP393 文献标志码：A 文章编号：1006-8228（2016）07-24-03

Analysis of information security of E-government cloud

Shen Xiaohui， Bao Ke， Liu Xiaoli

（Zhejiang Provincial Testing Institute of Electronic information Products， Hangzhou， Zhejiang 310007， China）

Abstract： By studying the three service models of cloud computing： Software as a Service （SaaS）， Platform as a Service （PaaS）， and Infrastructure as a Service （IaaS）， combined with the current application status of cloud computing in the field of E-government， three types of security risks E-government cloud faced， i.e. the regulatory capacity is limited， the data is difficult to manage and the responsibility is not clearly defined， are analyzed. Finally， the countermeasures are put forward.

Key words： cloud computing； E-government cloud； security risk； countermeasures

0 引言

在电子政务“十二五”规划及相关政策的影响下，云计算在我国各地电子政务领域的应用越来越广泛。电子政务云的产生，有助于实现政务信息的横向拉通，推动信息资源整合，实现重要信息系统的跨部门协同与资源共享；同时云计算技术的应用有助于加速业务信息系统的建设和提升应用效果，进一步提高设备资源的利用率和运行维护的专业水准，避免重复建设、重复投资。云计算使电子政务更加高效化、集约化和节约化，同时也伴随着诸多安全问题，信息安全问题是政府面临的前所未有的挑战。作为一种新的管理模式，电子政务云有很长的路要走，我们有必要发现和探寻政务云潜在的风险，并做好风险评估和脆弱性评估[1]。

本文首先介绍了政务云的体系架构和云计算的三种服务模式，包括软件即服务（SaaS）、平台即服务（PaaS）和基础设施即服务（IaaS）；其次分析了在政府单位采用政务云后面临的监管能力受限、数据管理困难、责任界定不清等安全风险；最后提出了应对政务云信息安全风险的相应措施。

1 政务云体系架构

云计算是指一种用于计算的信息技术模式，包括Internet或私有网络上进行开发及交付云服务所需的所有IT组件（硬件、软件、网络以及服务）[2]。根据云服务商提供的资源类型不同，云计算的服务模式主要可分为三类[3]：

⑴ 软件即服务（SaaS）：在SaaS模式下，云服务商向客户提供的是运行在云基础设施之上的应用软件，如电子邮件系统、协同办公系统等[3]。

⑵ 平台即服务（PaaS）：在PaaS模式下，云服务商向客户提供的是云基础设施之上的软件开发和运行平台，如：标准语言与工具、通用接口等[3]。

⑶ 基础设施即服务（IaaS）：在IaaS模式下，云服务商向客户提供虚拟计算机、存储、网络等计算资源，提供访问云基础设施的服务接口[3]。

电子政务云以电子政务为基础，通过云计算超大规模、虚拟化、高可扩展性等性能提升政府在服务社会、内部管理、部门间协同等方面的能力，有利于资源整合和合理利用，提高政府工作效率，加强政府公共服务能力。其服务平台框架由客户端、SaaS、PaaS、IaaS四部分组成，并通过管理和业务支撑、开发工具进行联通。电子政务云体系架构如图1所示。

2 政务云面临的安全风险

政务云建设涉及多个部门和多个服务对象的协同、海量的信息收集和处理，以及多层次的信息安全保障等需求，其带来便利的同时也产生了新的网络安全和风险：用户对数据、系统的控制管理能力减弱；云平台的复杂性增加，对其控制和监管的手段不足；云平台之间的互联互通极其困难，用户数据和业务迁移到云计算平台后容易形成对服务商的过度依赖等。因此，在各地城市政务云建设中容易产生“机制瓶颈”、“条块分割”、“信息孤岛”等诸多问题。CSA云安全联盟（2010）指出“云计算应用面临七大安全威胁：云计算非法利用、伪装的云底层接口及API、管理人员违法操作、物理设施共享、数据来源不确定、云账户被盗取、以及非传统的安全风险”[4]。

本文主要从政府单位选择政务云后面临的监管能力减弱、数据管理困难、责任界定不清等安全风险进行分析。

⑴ 监管能力减弱

在传统模式下，政府单位的硬件设施（云平台包括服务器、防火墙、存储器等）和软件（数据和业务系统等）都部署在单位的机房，可直接进行管理和控制。但采用政务云后，政府单位将本单位的数据和业务系统迁移到云服务商的云计算平台上，无法对硬件设施和软件进行直接控制，同时无法对设备所处的物理位置进行控制管理。

一方面，硬件设施存放在云服务商的机房中，其归属权是云服务商的。通常，云服务商把云平台的安全措施及状况视为知识产权和商业秘密，政府单位无法掌握云平台的实施情况和运行情况，难以对这些安全措施进行有效的监督和管理。另一方面，在业务系统运行过程中生成、获取的数据受到云服务商的直接控制，云服务商具有访问、利用或操作数据的能力，政府单位失去了对其数据的直接管控，增加了政府单位数据和业务的安全风险。

⑵ 数据管理困难

胡水晶、李伟等人[5]指出政府云服务的优势备受关注，但数据安全性是政府采用云服务的前提。首先，政府单位将数据迁移至云计算平台之前要考虑哪些数据可以迁移。政府单位的数据很多可能会涉及到民生问题、社会建设、行业发展等敏感信息，因此政府单位需梳理自身业务和数据，选择迁移到云平台上业务。其次，数据迁移至云计算平台后，本身独立的、不敏感的信息通过大数据运算和分析可能产生新的其他信息，而新产生的信息由云服务商掌握，但新信息的使用权和归属权无明确规定。最后，政府单位想要更换云服务商或退出云服务也很困难。云服务商之间的接口往往是不同的，基于商业机密等原因，云服务商之间的技术也不可能完全共享，更换云服务商技术上是否可实现，目前还未验证。如果政府单位想终止服务，由于云平台的虚拟化存储，一家单位的数据可能分散存储在多个云存储中，在没有云服务商的配合下很难独自将数据迁出，数据的迁出和保护变得很困难，客户的数据存在被“绑架”的风险。

⑶ 责任界定不清的安全风险

客户与云服务商之间的责任难以界定。传统模式下，按照谁主管谁负责、谁运行谁负责的原则，信息安全责任相对清晰。云服务模式下，云计算平台的管理和运行主体与数据安全的责任主体不同，相互之间的责任如何界定，缺乏明确的规定[6]。一些单位采购云服务后，由于数据和业务的外包而放松安全管理，易形成数据和系统安全责任由云服务商全权承担的误解，事实上，采购方仍是数据和系统安全的最终责任人。此外，政府单位在采购云服务时由于选择的服务模式不同，可能涉及到多家云服务商。例如，2013年丽水市智慧政务云试点项目中，涉及到的云服务商有三家，分别为北京中软国际信息技术有限公司、浙江华通云数据科技有限公司和阿里云计算有限公司，由这三家公司合作提供基于SaaS、PaaS和IaaS三位一体的全方位云服务。不同的服务模式和部署模式、云计算环境的复杂性使各单位承担的责任难以清晰界定。一旦出现安全事件，存在无法明确追究责任主体的安全风险。

3 政务云安全风险应对措施

针对本文提出的政务云面临的三方面安全风险，提出以下几点应对措施。

⑴ 完善相应法律法规建设

目前保障云平台安全的应对措施主要是技术手段，但监管政策和法律法规作为上层建筑，从宏观层面影响着云平台上所承载的具体业务。尤其是近期云平台数据集中存储所带来的个人隐私泄露、数据泄露等事件层出不穷，更需要从国家层面对于云服务进行统一监管，将其纳入法律条文，并制定一系列规范云平台的数据收集、数据存储与保护、数据使用与维护、数据的传输与披露、数据销毁等方面的法律法规，明确对云服务商关于云平台中数据使用不当或泄漏等行为的处罚措施，从宏观层面给予云平台服务的安全性更加全面、有力的法律保障。对政府及重要行业采购云服务做出明确规定，有利于提高云计算服务的安全水平和服务质量，保障政务应用的安全性和可靠性。

云服务采购与传统政府采购模式不同，传统政府采购已较成熟，采购流程也较规范，而云服务采购是购买一种服务，它是区别与传统政府采购的一种新颖的、不规范的采购形式。建议制定标准定义具体的服务内容与基本质量（可用性）、安全条款、服务交付模式和采购指南等，并将评估认证纳入采购监管环节中，有利于指导各部门进行云服务采购，同时不断完善政府采购云服务标准体系，推动政府采购云服务的持续开展。

⑵ 加快安全监管机构建立

由于云计算服务市场还未成熟，采购云服务的单位缺少相应的人力资源和技术水平去管理迁移至云平台上的业务和数据。首先，通过引入安全专业团队作为第三方的安全监管，协助云服务采购方进行数据安全的日常监管，是履行数据安全责任主体不变的一种强有力的手段。其次，各省市成立云计算服务网络安全审查的领导小组和工作组，具体负责开展云计算服务网络安全审查工作，对各云服务提供商的安全级别进行评价，包括云应用的迁移验证有效性、政务云基础设施运行性能、云平台安全监测机制的有效性以及计费监控方式的合理性等，为政府部门采购云服务提供有效的合格供应商白名单。将云平台的安全评估认证纳入强制推行的安全审查工作中，对保障云服务采购方的利益，消除不同云服务提供商之间的技术壁垒具有重要意义。

⑶ 提高政府单位相关人员技术实力

政府部门在将信息部署或迁移到云计算平台之前，需要内部人员对采用云服务的效益和风险进行综合分析，对本部门的信息和业务根据重要性、敏感性进行分类，确定信息的类型和业务部署的优先级。通过与云服务商的沟通，了解公开信息和敏感信息的存储方式、逻辑隔离情况和对信息的保护措施。在此基础上，政府部门应归纳梳理形成信息和业务分类的指导文档和相关的程序文件。此外，政府部门需对云计算服务的需求进行分析，提出各项功能、性能及安全指标，并研究《云计算服务合同》的签订。这要求技术人员对本部门的数据、业务信息有深刻的认识，并对云计算服务有一定的了解。

政府部门在将信息部署或迁移到云计算平台之后，需要有专门的人员负责云平台上业务的运行情况。迁到云平台上后，虽然政府部门失去了对业务和数据直接控制能力，但应要求云服务商提供监管接口，对运行状态、重大变更、策略更新、流量使用等情况进监管。如遇到安全事件，需协同云服务商共同处理，对本单位的业务和数据安全负责。因此，提高相关人员的技术水平对政务云的安全运行至关重要。

4 结束语

随着云计算技术的不断发展，政务云作为一种新型的电子政务模式，它必将为电子政务带来新的变革。如何确保政务云平台安全可信，本文针对目前政务云面临的监管能力减弱、数据管理困难、责任界定不清等安全风险，提出了三点应对措施：完善相应法律法规建设、加快安全监管机构建立和提高政府单位相关人员技术实力。这些措施对保障政府单位切身利益、降低采购云服务的安全风险、推动政府采购云服务的持续开展有着积极作用。在今后的学习、探索中，将不断加强政务信息安全风险的研究，并提出切实有效的应对措施。

参考文献（References）：

[1] LIANG J. Government cloud：enhancing efficiency of

e-government and providing better public services； proceedings of the Service sciences（IJCSS）， 2012 international joint conference on， F， 2012[C]. IEEE.

[2] 刘戈舟，杨泽明，许俊峰译.云计算安全[M].机械工业出版社，

2013.

[3] GB/T 31167-2014信息安全技术云计算服务安全指南.

[4] 云安全联盟著.云计算关键领域安全指南.

[5] 胡水晶，李伟.政府公共云服务中的数据及其保障策略

探讨[J].情报杂志，2013.9：157-162