信息安全等级保护解决方案
前言：想要写出一篇令人眼前一亮的文章吗？我们特意为您整理了5篇信息安全等级保护解决方案范文，相信会为您的写作带来帮助，发现更多的写作思路和灵感。
信息安全等级保护解决方案范文第1篇
关键词：信息安全；等级保护；等级测评；实践教学；综合实训
DOIDOI：10.11907/rjdk.161717
中图分类号：G434
文献标识码：A文章编号文章编号：16727800（2016）009017303
基金项目基金项目：贵州省科技厅社发攻关项目（黔科合SY字2012-3050号）；贵州大学自然科学青年基金项目（贵大自青合字2010-026号）；贵州大学教育教学改革研究项目（JG2013097）
作者简介作者简介：张文勇（1973-），男，贵州台江人，硕士，贵州大学计算机科学与技术学院讲师，研究方向为网络与信息安全；李维华（1961-），男，贵州贵阳人，贵州大学计算机科学与技术学院高级实验师，研究方向为网络与信息安全；唐作其（1980-），男，贵州兴义人，硕士，贵州大学计算机科学与技术学院副教授，研究方向为信息安全保障体系。
0引言
信息安全等级保护是国家信息安全保障工作的基本制度、基本策略、基本方法，开展信息安全等级保护工作是保护信息化发展、维护国家信息安全的根本保障，是信息安全保障工作中国家意志的体现。信息安全学科要求学生不仅要具备很强的理论知识，更应具备较强的实践能力。现阶段很多高校在理论教学上有较好的培养方法和模式，学生具备良好的理论基础，但在实践教学中由于各课程的衔接和关联较少，尽管部分学校开设了信息安全实训或信息安全攻防实践等课程，但基本都是做一些单元实验，仅局限于某一方面的技能训练，没有从全局、系统的角度去培养学生综合运用各种信息安全知识解决实际问题的能力[15]。从贵州大学信息安全专业毕业生就业情况调查反馈信息来看，绝大多数毕业生主要从事企事业单位的信息安全管理、信息安全专业服务等工作，少数毕业生从事信息安全产品研发，或继续硕士博士深造，从事信息安全理论研究。用人单位普遍反映学生的基本理论掌握相对较好，但实际操作技能、综合分析能力欠缺。为了解决目前这种状况，笔者根据长期从事信息安全等级保护项目实施工作实践，提出在信息安全专业的实践教学环节中引入信息安全等级保护相关内容。
1信息安全等级保护对学生能力培养的作用
信息安全等级保护工作包括定级、备案、安全建设和整改、信息安全等级测评、信息安全检查5个阶段，信息系统安全等级测评是验证信息系统是否满足相应安全保护等级的评估过程。信息安全等级保护的知识体系完善，信息安全等级保护测评人员的技术要求涵盖多个方面，包括物理环境、主机、操作系统、应用安全、安全设备等，因此国家对于信息安全等级保护人员的技术要求十分综合和全面[3]。如参照信息安全等级保护专业人员的技术要求对学生开展信息安全综合实训将满足社会对信息安全专业人员的技能和知识结构要求，主要体现在以下4个方面：①培养学生了解国家关于非信息系统保护的基本方针、政策、标准；②培养学生掌握各种基本信息安全技术操作技能，熟悉各种信息系统构成对象的基本操作，为将来快速融入到信息安全保护实践工作奠定基础；③培养学生具备从综合、全面的角度去规划、设计、构建符合国家信息安全保障体系要求的信息安全防护方案能力；④培养学生建立信息安全等级保护的基本意识，在工作实践中自觉按国家信息安全等级保护要求开展工作，有利于促进国家信息安全等级保护政策实施。
2实训教学知识体系
信息安全等级保护的相关政策和标准是信息安全实训教学体系建立的基本依据，GB/T 22239-2008《信息安全等级保护基本要求》在信息安全等级保护标准体系中起基础性作用。信息安全等级保护基本要求充分体现了“全面防御，纵深防御”的理念，遵循了“技术和管理并重”的基本原则，而不同级别的业务信息系统在控制点要求项上的区别体现了“适度安全”的根本原则[6]。信息安全保护测评是信息安全等级保护的一项重要基础性工作，GB/T 28449-2012《信息安全等级保护测评过程指南》是对等级测评的活动、工作任务以及每项任务的工作内容作出了详细建议，等级测评中的单元测评、整体测评、风险分析、问题处置及建议环节体现了测评工程师对等保项目基本安全保障情况的综合分析能力[610]。信息安全等级保护知识体系庞大，不可能兼顾所有方面，因而在信息安全实训教学知识体系制订中采用兼顾全局、突出重点的基本原则；在实训教学知识体系的构成中重点以《信息安全等级保护基本要求》和《信息安全等级保护测评过程指南》为基础，包括基本理论培训、基本技能实训、安全管理培训、能力提高实训四大模块；在实际操作中将重点放在基本技能实训和能力提高实训上。各实训模块构成及关系如图1所示。
3实训教学实施
教学实施依据实训教学知识体系进行，教学方式采用集中课堂基本理论教学、在信息系统模拟平台实施现场测评数据采集的基本操作实训和以信息安全等级保护测评报告的编写为基础的数据分析、数据整理、安全方案编写实训。
3.1基本理论教学
该环节采用集中课堂教学方式，讲解的主要内容是信息安全等级保护政策和标准。讲解深度上应有所侧重，讲解重点包括：①信息安全等级保护基本要求中层面的划分原则和依据、控制点的构成、控制点中要求项的解读；②信息安全保护过程指南中单元测评、整体测评、风险分析、问题处置和建议等部分的解读。
理论教学在突出重点的同时，兼顾全局，让学生对信息安全等级保护制度和标准有一个完整、清晰的认识。
3.2基本技能实训
基本技能实训环节主要是强化学生各种信息安全技术的基本操作训练。首先，应根据最真实的企业内部环境搭建符合信息安全等级保护要求的模拟信息系统，并编写好对应的信息安全等级保护现场测评指导书；然后，指导学生在模拟系统上进行现场测评实训，实训过程按信息安全等级保护现场测评指导书要求进行，实训内容以获取信息系统安全配置和运行状态等原始数据为基础。基本技能实训模块包括网络安全、主机安全、应用安全、数据备份及恢复、自动化工具扫描这5个层面的训练项目。
（1）网络安全。学生在模拟平台上开展各种主流的网络设备和安全设备的基本操作训练，要求学生理解网络设备和安全设备的安全功能及安全设置，掌握设备的运行状态和信息数据采集方法。
（2）主机安全。学生在模拟平台上开展各种主流系统软件基本操作训练，包括操作系统、数据库系统、中间件等，要求学生理解各种系统软件的安全功能和安全设置。通过本环节的实训，学生应具备系统软件安全配置核查和运行状态信息采集能力。
（3）应用安全。学生在模拟平台上对所安装的主流商用应用软件和自主开发软件进行安全配置核查和安全功能验证训练，要求学生理解应用软件的安全功能设计要求，掌握应用软件的安全配置核查和安全功能验证方法。
（4） 数据备份和回复。通过模拟系统的磁盘冗余阵列进行基本操作训练，让学生了解磁盘冗余阵列的验证方法；通过训练学生在操作系统和数据库管理系统上配置计划备份任务，使其理解系统软件的数据备份安全功能，掌握系统软件的备份操作计划配置和验证方法。
（5）自动化工具扫描。学生利用主流的开源扫描工具和商用的扫描工具对模拟系统上的网络设备、安全设备、服务器主机等进行扫描，获取信息系统主要软硬件的漏洞，并验证系统的脆弱性。本部分获取的原始数据作为（1）、（2）、（3）部分的补充，通过本环节培训学生整理和分析漏洞扫描结果以及初步验证漏洞真实性的能力。
3.3能力提高实训
在学生掌握信息系统安全配置和运行状态数据采集的基本技能后实施能力提高实训，本模块主要培训学生对原始数据的分析、整理，并编写信息安全等级保护测评报告的能力。能力提高实训模块主要包括单元测评、整体测评、风险分析、问题处置和安全建议4个项目，各项目之间的关系流程如图2所示。
（1）通过基本技能实训获取到原始数据后，根据信息安全等级保护测评过程要求整理、分析原始数据，开展单元测评，并给出各单元层面内控制点中检查项的符合性，分析并给出单元测评结果，按信息安全等级保护报告模板编写单元测评报告。
（2）在完成单元测评后，由于单元测评参照的信息相对独立，未考虑原始数据间的关联性，而实际信息系统的最终安全防护效力和面临的风险是信息系统安全控制点间、安全层面间、安全区域间各组成要素共同作用的结果，因此在完成单元测评后还应该进行整体测评。整体测评主要是考虑单元测评中的各控制点间、安全层面间、安全区域间存在某种关联性，这种关联会对信息系统整体的安全防护效力、面临的风险具有降低或增加的作用，应从整体角度对信息系统安全的状态进行修正。
（3）风险分析结果是制订信息安全系统防护措施的重要依据，风险分析能力是体现信息安全工程师水平的一项重要指标。在风险分析实训项目中结合单元测评和整体测评结果利用风险分析计算工具对信息系统面临的风险等级大小进行定性或定量的分析计算，并编写风险分析报告。
（4）确定信息系统存在的风险后，接着应分析引起信息系统风险的因素，对不可接受风险因素或不能满足等级保护要求的安全防护项提出完整的问题处置和整改建议。问题处置和整改建议环节要求信息安全工程技术人员具备扎实理论知识的同时还具备相当丰富的实践经验，工程技术人员必须熟悉信息安全的各种防护技术和目前市场上相关的信息安全软硬件安全产品。因此，本实训项目主要是训练并提高学生综合运用信息安全技术解决实际问题的能力。
4结语
在信息安全专业的实践教学中引入信息安全等级保护内容，实训教学知识体系完全参照信息安全等级保护要求来构建，信息安全等级保护知识体系完善，保证了实训内容的广度和深度。通过信息安全等级保护现场测评环节训练学生的信息安全技术基本操作技能，通过信息安全等级保护测评报告的编制训练学生运用信息安全等级保护基本知识、理论和方法去分析信息系统存在的漏洞、面临的安全风险，并编制符合信息安全等级保护要求的安全防护方案，提高学生综合运用信息安全技术解决实际问题的能力，较好地满足了社会对信息安全人才的需求，深受信息安全等级保护技术服务机构和已开展或拟开展信息系统安全等级保护的企事业及机关单位的欢迎，为学生毕业后尽快适应工作要求奠定了基础。
由于实验环境的限制，所制订的基于信息安全等级保护的实训教学知识体系仍存在以下3点不足：①实训教学体系未涉及虚拟化、云计算、物联网安全实训，而这些是当前发展较快且正被广泛运用的信息技术；②由于渗透测试对测试环境搭建和学生基本技能要求较高，因而实训教学体系中并未涉及渗透测试项目；③信息安全管理在信息安全防护工作中是非常重要但却最容易被忽视的工作内容，可以说一个组织的信息安全管理水平高低直接决定其信息系统的安全防护能力。因为安全管理测评基本上采用的是制度类、证据类、记录类文档性资料的核查和访谈，而在实训中难以模拟一个完整的安全管理体系实际案例，所以在实训中安全管理部分更多地是采用课堂教学讲解，没有操作实训。 这些在后续教学实践工作中都有待改进。
参考文献参考文献：
[1]杨冬晓，严晓浪，于慧敏.信息类特色专业建设的若干实践[J].中国电子教育，2010（1）：3945.
[2]田秀霞.创新实践项目驱动的信息安全专业教学改革[J].计算机教育，2015（23）：3033.
[3]张胜生，吕绪银.基于信息安全场景下的等级保护技术人才培养模式研究[C].第二届全国信息安全等级保护测评体系建设会议论文集，2012：8385.
[4]李琳，陈东方，李涛，等.信息安全专业实践教学体系研究[J].电脑知识与技术.2014，10（35）：85148515.
[5]蒋炜.信息安全等级保护培训探讨[J].现代企业研究，2015（2）：64.
[6]公安部信息安全等级保护评估中心.信息安全等级保护政策培训教程[M].北京：电子工业出版社，2015.
[7]公安部信息安全等级保护评估中心.信息安全等级测评师培训教程（中级） [M].北京：电子工业出版社，2015.
[8]公安部信息安全等级保护评估中心.信息安全等级测评师培训教程（初级） [M].北京：电子工业出版社，2015.
信息安全等级保护解决方案范文第2篇
【关键词】等级保护；虚拟专网；VPN
1.引言
随着因特网技术应用的普及，以及政府、企业和各部门及其分支结构网络建设和安全互联互通需求的不断增长，VPN技术为企业提供了一种低成本的组网方式。同时，我国现行的“计算机安全等级保护”也为企业在建设信息系统时提供了安全整体设计思路和标准。如何充分利用VPN技术和相关产品，为企业提供符合安全等级保护要求、性价比高的网络安全总体解决方案，是当前企业信息系统设计中面临的挑战。
2.信息安全管理体系发展轨迹
对于信息安全管理问题，在上世纪90年代初引起世界主要发达国家的注意，并投入大量的资金和人力进行分析和研究。英国分别于1995年和1998年出版BS7799标准的第一部分《信息安全管理实施细则》和第二部分《信息安全管理体系规范》，规定信息安全管理体系与控制要求和实施规则，其目的是作为确定工商业信息系统在大多数情况所需控制范围的唯一参考基准，是一个全面信息安全管理体系评估的基础和正式认证方案的根据。国际标准化组织（ISO）联合国际电工委员会（IEC）分别于2000年和2005年将BS7799标准转换为ISO/IEC 17799《信息安全管理体系 实施细则》和ISO/IEC 27001《信息安全管理体系 要求》，并向全世界推广。中国国家标准化管理委员会（SAC）于1999年了GB/T 17859《计算机信息系统安全保护等级划分准则》标准，把信息安全管理划分为五个等级，分别针对不同组织性质和对社会、国家危害程度大小进行了不同等级的划分，并提出了监管方法。2008年制订并下发了与ISO/IEC 17799和ISO/IEC 27001相对应的GBT 22081-2008《信息安全管理体系 实用规则》和GBT 22080-2008《信息安全管理体系 要求》。
3.信息系统安全的等级
为加快推进信息安全等级保护，规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，国家公安部、保密局、密码管理局和国务院信息化工作办公室等，于2007年联合了《信息安全等级保护管理办法》，就全国机构/企业的信息安全保护问题，进行了行政法规方面的规范，并组织和开展对全国重要信息系统安全等级保护定级工作。同时，制订了《信息系统安全等级保护基本要求》、《信息系统安全等级保护实施指南》、《信息系统安全等级保护测评准则》和《信息系统安全等级保护定级指南》等相应技术规范（国家标准审批稿），来指导国内机构/企业进行信息安全保护。
在《信息系统安全等级保护基本要求》中，要求从网络安全、主机安全、应用安全、数据安全及备份恢复、系统运维管理、安全管理机构等几方面，按照身份鉴别、访问控制、介质管理、密码管理、通信和数据的完整、保密性以及数据备份与恢复等具体要求，对信息流进行不同等级的划分，从而达到有效保护的目的。信息系统的安全保护等级分为五级：第一级为自主保护级，第二级指导保护级，第三级为监督保护级，第四级为强制保护级，第五级为专控保护级。
针对政府、企业常用的三级安全保护设计中，主要是以三级安全的密码技术、系统安全技术及通信网络安全技术为基础的具有三级安全的信息安全机制和服务支持下，实现三级安全计算环境、三级安全通信网络、三级安全区域边界防护和三级安全管理中心的设计。
图1 三级系统安全保护示意图
图2 VPN产品部署示意图
4.VPN技术及其发展趋势
VPN即虚拟专用网，是通过一个公用网络（通常是因特网）建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。通常，VPN是对企业内部网的扩展，通过它可以帮助远程用户、公司分支机构、商业伙伴及供应商同公司的内部网建立可信的安全连接，并保证数据的安全传输。VPN可用于不断增长的移动用户的全球因特网接入，以实现安全连接；可用于实现企业网站之间安全通信的虚拟专用线路，用于经济有效地连接到商业伙伴和用户的安全外联网虚拟专用网。
VPN使用三个方面的技术保证了通信的安全性：隧道协议、身份验证和数据加密。VPN通道的加密方式成为主要的技术要求，目前VPN技术主要包括IPSec VPN，非IPSec VPN（如PPTP，L2TP等），基于WEB的SSL VPN等。
IPSec VPN是基于IPSec协议的VPN产品，由IPSec协议提供隧道安全保障，协议包括AH、ESP、ISAKMP等协议。其通过对数据加密、认证、完整性检查来保证数据传输的可靠性、私有性和保密性。通过采用加密封装技术，对所有网络层上的数据进行加密透明保护。IPSec协议最适合于LAN到LAN之间的虚拟专用网构建。
SSL VPN是基于SSL协议的VPN产品。在企业中心部署SSL VPN设备，无需安装客户端软件，授权用户能够从任何标准的WEB浏览器和互联网安全地连接到企业网络资源。SSL VPN产品最适合于远程单机用户与中心之间的虚拟网构建。
整个VPN通信过程可以简化为以下4个步骤：
（1）客户机向VPN服务器发出连接请求。
（2）VPN服务器响应请求并向客户机发出身份认证的请求，客户机与VPN服务器通过信息的交换确认对方的身份，这种身份确认是双向的。
（3）VPN服务器与客户机在确认身份的前提下开始协商安全隧道以及相应的安全参数，形成安全隧道。
（4）最后VPN服务器将在身份验证过程中产生的客户机和服务器公有密钥将用来对数据进行加密，然后通过VPN隧道技术进行封装、加密、传输到目的内部网络。
目前国外公开的相关VPN产品多数采用软件加密的方式，加解密算法也多使用通用的3DES、RSA加解密算法，不符合国家密码产品管理和应用的要求。《商用密码管理条例》（中华人民共和国国务院第273号令，1999年10月7日）第四章第十四条规定：任何单位或者个人只能使用经国家密码管理机构认可的商用密码产品，不得使用自行研制的或者境外生产的密码产品。国家密码管理局在2009年针对VPN产品下发了《IPSec VPN技术规范》和《SSL VPN技术规范》，明确要求了VPN产品的技术体系和算法要求。
5.VPN技术在等级保护中的应用
在三级防护四大方面的设计要求中，VPN技术可以说是在四大方面的设计要求中都有广泛的应用：
在安全计算环境的设计要求中：首先在实现身份鉴别方面，在用户访问的中心，系统管理员都统一建立的有用户的用户组和用户名，用户会通过VPN的设备登录访问中心的应用系统，当身份得到鉴别通过时才可访问应用系统；其次在数据的完整性保护和保密性保护上都能够防止用户的数据在传输过程中被恶意篡改和盗取。
在安全区域边界的设计要求中：网络边界子系统的边界控制与VPN功能一体化实现，在保证传输安全性的同时提高网络数据包处理效率。
在安全通信网络的设计要求中：网络安全通信的子系统主要是为跨区域边界的通信双方建立安全的通道，通过IPSEC协议建立安全的VPN隧道传输数据。完成整个应用系统中边界或部门服务器边界的安全防护，为内部网络与外部网络的间的信息的安全传输提供加密、身份鉴别及访问控制等安全机制。在客户端和应用服务器进出的总路由前添加网络VPN网关，通过IPSEC协议或者SSL协议建立VPN隧道为进出的数据提供加密传输，实现应用数据的加密通信。
在安全管理中心的设计要求中：系统管理中，VPN技术在主机资源和用户管理能够实现很好的保护，对用户登录、外设接口、网络通信、文件操作及进程服务等方面进行监视机制，确保重要信息安全可控，满足对主机的安全监管需要。
在信息系统安全等级保护设计中VPN产品的部署示意图如图2所示。
信息安全等级保护解决方案范文第3篇
动联作为中央国家机关政府集中采购入围企业，同时也是上海市高新技术企业、软件企业、商用密码产品生产定点单位和销售单位、ISO9001国际质量体系和ISO27001信息安全管理体系认证企业，产品拥有“计算机信息系统安全专用产品销售许可证”、“商用密码产品型号证书”、“信息系统安全产品认证”、“军用信息安全产品认证证书”、“产品信息安全认证证书”等完善的资质，并获得数十项发明专利和实用新型专利。产品主要应用领域有：为企业、政府、金融、电信、教育、公共的IT信息系统如计算机主机、网络设备、操作系统、中间件、数据库、OA、ERP、SCM、CRM等应用软件提供登录保护，满足国家《信息安全等级保护条例》等政策性要求，为客户提供安全又方便的动态密码身份安全保护服务。目前动联的客户已经覆盖了中国主要的银行、证券、政府、电信、公共事业部门和电力、汽车、零售、设备制造、软件的著名品牌。
动联身份认证产品
动联动态密码身份认证软件是由动联自主研发的一种安全可靠、简单易用的身份认证软件。该软件基于动态密码技术，采用双因素认证机制，可以为网络设备登录（如IT设备的账号）、操作系统登录（如Windows、Linux、Unix等）、各种信息系统应用软件登录（如OA 、ERP、CRM、SCM等）以及各类Web应用账号登录提供高强度的身份认证保护，保障信息系统和业务系统的安全。
动联动态密码身份认证软件支持多种动态密码认证技术形式，为用户的账号提供全面的保护。通过动态密码保护账号，可以有效防止盗号木马攻击；通过主机认证，可以有效防止网络钓鱼；通过签名动态密码，可以有效保护用户交易的真实性和安全性，防止中间人攻击。动联身份认证软件支持多种的动态密码认证终端，并支持多种终端混合使用。支持的终端形式包括多种品牌的多个型号的硬件动码令、软件动码令、手机动码令、SIM动码令和短信动码令等。客户可以根据自己的实际需求和预算选择适合自己的认证终端。
动联身份认证软件具备极高的性能，只需采用一套动联身份认证软件就可以为企业主要信息资产提供全面的动态密码保护，保护的范围包括多个应用系统、VPN访问、大型数据库、网络设备、服务器和计算机终端。
动联提供全面的接口调用，包括Socket方式（可提供Jar包、动态链接库或Socket编程方式）、支持WebServices，支持Radius协议。与应用系统的集成开发极为方便，在实际的应用案例中，往往1～3天内即可完成。
动码令用户终端
动联电子政务身份认证解决方案是动联结合电子政务的实际需求，采用动态密码认证机制来鉴别用户的身份合法性。只允许提供了动态密码的用户接入系统，最大程度地保证登录用户确实为授权的个体，大大降低了攻击和非法访问的风险。
完全兼容现有电子政务系统的基础认证体系，包括公务员内部办公认证、外部公众身份认证等。在认证过程中，不影响电子政务系统的原业务逻辑，与电子政务系统应用服务器之间的通信过程中采取双向身份认证的机制，能够保证整个认证过程不被绕过。
动联电子政务解决方案符合国家“信息安全等级保护条例”等政策性要求，从物理安全、网络安全、主机系统安全、应用安全等各方面提供了身份鉴别保护，帮助政府提高政务工作的效率，提升电子政务系统的安全等级。
网上银行解决方案
随着我国银行业及网络技术的发展，各大银行分别推出不同的网银业务，网上银行已经越来越普遍地出现在我们的生活之中。网上银行的安全随着业务普及，逐渐就成为人们关注的焦点，随之而来的安全需求被银行提上议程。
某银行网上银行面临的风险来自如下方面：假银行网站欺诈，骗取用户账号及密码信息；通过种植木马等程序进行密码窃取。为保障网银用户的安全，该行采用了数字证书作为保障用户登录安全的主要手段。但是由于使用数字证书需要签约，下载证书，安装驱动程序，有问题更换麻烦且需要额外开支，银行面临需要提供一种使用户感觉安全又方便使用的解决办法。
信息安全等级保护解决方案范文第4篇
关键词:电子政务 信息安全
0 引言
随着电子政务不断推进，社会各阶层对电子政务的依赖程度越来越高，信息安全的重要性日益突出，在电子政务的信息安全管理问题中，基于现实特点的电子政务信息安全体系设计和风险评估[1]模型是突出的热点和难点问题。本文试图就这两个问题给出分析和建议。
1 电子政务信息安全的总体要求
随着电子政务应用的不断深入，信息安全问题日益凸显，为了高效安全的进行电子政务，迫切需要搞好信息安全保障工作。电子政务系统采取的网络安全措施[2][3]不仅要保证业务与办公系统和网络的稳定运行，另一方面要保护运行在内部网上的敏感数据与信息的安全，因此应充分保证以下几点：
1.1 基础设施的可用性：运行于内部专网的各主机、数据库、应用服务器系统的安全运行十分关键，网络安全体系必须保证这些系统不会遭受来自网络的非法访问、恶意入侵和破坏。
1.2 数据机密性：对于内部网络，保密数据的泄密将直接带来政府机构以及国家利益的损失。网络安全系统应保证内网机密信息在存储与传输时的保密性。
1.3 网络域的可控性:电子政务的网络应该处于严格的控制之下，只有经过认证的设备可以访问网络，并且能明确地限定其访问范围，这对于电子政务的网络安全十分重要。
1.4 数据备份与容灾:任何的安全措施都无法保证数据万无一失，硬件故障、自然灾害以及未知病毒的感染都有可能导致政府重要数据的丢失。因此，在电子政务安全体系中必须包括数据的容灾与备份，并且最好是异地备份。
2 电子政务信息安全体系模型设计
完整的电子政务安全保障体系从技术层面上来讲，必须建立在一个强大的技术支撑平台之上，同时具有完备的安全管理机制，并针对物理安全，数据存储安全，数据传输安全和应用安全制定完善的安全策略
在技术支撑平台方面，核心是要解决好权限控制问题。为了解决授权访问的问题， 通常是将基于公钥证书（PKC）的PKI（Public Key Infrastructure）与基于属性证书（AC）的PMI（Privilege Management Infrastructure)结合起来进行安全性设计，然而由于一个终端用户可以有许多权限， 许多用户也可能有相同的权限集， 这些权限都必须写入属性证书的属性中， 这样就增加了属性证书的复杂性和存储空间， 从而也增加了属性证书的颁发和验证的复杂度。为了解决这个问题，作者建议根据X.509标准建立基于角色PMI的电子政务安全模型。该模型由客户端、验证服务器、应用服务器、资源数据库和LDAP 目录服务器等实体组成，在该模型中：
2.1 终端用户：向验证服务器发送请求和证书， 并与服务器双向验证。
2.2 验证服务器：由身份认证模块和授权验证模块组成提供身份认证和访问控制，是安全模型的关键部分。
2.3 应用服务器： 与资源数据库连接， 根据验证通过的用户请求，对资源数据库的数据进行处理， 并把处理结果通过验证服务器返回给用户以响应用户请求。
2.4 LDAP目录服务器：该模型中采用两个LDAP目录服务器， 一个存放公钥证书（PKC）和公钥证书吊销列表（CRL），另一个LDAP 目录服务器存放角色指派和角色规范属性证书以及属性吊销列表ACRL。
安全管理策略也是电子政务安全体系的重要组成部分。安全的核心实际上是管理，安全技术实际上只是实现管理的一种手段，再好的技术手段都必须配合合理的制度才能发挥作用。需要制订的制度包括安全行政管理和安全技术管理。安全行政管理应包括组织机构和责任制度等的制定和落实；安全技术管理的内容包括对硬件实体和软件系统、密钥的管理。
3 电子政务信息安全管理体系中的风险评估
电子政务信息安全等级保护是根据电子政务系统在国家安全、经济安全、社会稳定和保护公共利益等方面的重要程度。等级保护工作的要点是对电子政务系统进行风险分析，构建电子政务系统的风险因素集。
3.1 信息系统的安全定级 信息系统的安全等级从低到高依次包括自主保护级、指导保护级、监督保护级、强制保护级、专控保护级五个安全等级。对电子政务的五个安全等级定义，结合系统面临的风险、系统特定安全保护要求和成本开销等因素，采取相应的安全保护措施以保障信息和信息系统的安全。
3.2 采用全面的风险评估办法 风险评估具有不同的方法。在ISO/IEC TR13335-3《信息技术IT安全管理指南:IT安全管理技术》中描述了风险评估方法的例子，其他文献，例如NIST SP800-30、AS/NZS 4360等也介绍了风险评估的步骤及方法，另外，一些组织还提出了自己的风险评估工具，例如OCTAVE、CRAMM等。
电子政务信息安全建设中采用的风险评估方法可以参考ISO17799、OCTAVE、CSE、《信息安全风险评估指南》等标准和指南，从资产评估、威胁评估、脆弱性评估、安全措施有效性评估四个方面建立风险评估模型。其中，资产的评估主要是对资产进行相对估价，其估价准则依赖于对其影响的分析，主要从保密性、完整性、可用性三方面进行影响分析;威胁评估是对资产所受威胁发生可能性的评估，主要从威胁的能力和动机两个方面进行分析;脆弱性评估是对资产脆弱程度的评估，主要从脆弱性被利用的难易程度、被成功利用后的严重性两方面进行分析;安全措施有效性评估是对保障措施的有效性进行的评估活动，主要对安全措施防范威胁、减少脆弱性的有效状况进行分析;安全风险评估就是通过综合分析评估后的资产信息、威胁信息、脆弱性信息、安全措施信息，最终生成风险信息。
在确定风险评估方法后，还应确定接受风险的准则，识别可接受的风险级别。
4 结语
电子政务与传统政务相比有显著区别，包括:办公手段不同，信息资源的数字化和信息交换的网络化是电子政务与传统政务的最显著区别;行政业务流程不同，实现行政业务流程的集约化、标准化和高效化是电子政务的核心;与公众沟通方式不同，直接与公众沟通是实施电子政务的目的之一，也是与传统政务的重要区别。在电子政务的信息安全管理中，要抓住其特点，从技术、管理、策略角度设计完整的信息安全模型并通过科学量化的风险评估方法识别风险和制定风险应急预案，这样才能达到全方位实施信息安全管理的目的。
参考文献：
[1]范红，冯国登，吴亚非.信息安全风险评估方法与应用.清华大学出版社.2006.
信息安全等级保护解决方案范文第5篇
提起《指导意见》的背景，印·希尔咨询高级咨询师刘秀丽认为，经过近几年的发展，我国物联网在技术研发、标准研制、产业培育和行业应用等方面初步具备了一定基础。2012年我国物联网产业市场规模达到3650亿元，比2011年增长了38.6%。不过在迅速发展的同时，产业基础薄弱、关键核心技术有待突破、网络信息安全存在潜在隐患等问题依然突出，亟需加强引导和加快解决。
从物联网全球竞争形势来看，物联网目前仍处于起步阶段，在全球还没有成熟的技术和标准，发达国家一方面加大力度发展传感器节点核心芯片、嵌入式操作系统、智能计算等核心技术，另一方面不断加快标准制定和产业化进程，积极谋求在未来的物联网大规模发展及国际竞争中占据有利位置。基于物联网的战略地位及其在国内的发展现状，我国政府亟需大力推动行业标准制定。因此，在此前颁布的政策的基础上，细化和明确产业发展指导规范，是物联网发展的当务之急。
“物联网产业链分布广，具有很强的行业示范作用，在政策支持下，这一新兴行业将吸引众多投资者进入，此次《指导意见》出台，物联网产业链上的行业，如无线通信、有线通信、设备和芯片等都会成为受益者，这无疑会推动中国物联网市场快速发展。”刘秀丽如此评价《指导意见》。
物联网促终端融合
以长虹为代表的家电企业，近年在以“智能家居系统”为代表的物联网智能技术研发及重大应用等领域，持续发力，走在行业的前列。
“和iPhone和iPad的风靡一样，智能电视为人们提供了一种全新的生活理念，也代表了未来智能家居的发展方向”，长虹相关负责人介绍，“目前长虹做的就是将智能家电整合为一个开放性的应用平台，不仅能够提供硬件终端，还可以提供应用软件、内容和服务等整体解决方案。”依托无线网络这一平台，一举实现了3C产品、智能家居系统的互联、管理以及数字媒体信息的共享。“整个家电行业已经表现出互通、互联、共享的趋势，物联网冰箱肯定是未来大型家电企业必争的领域之一。”消费电子产业观察家梁振鹏认为。
长虹还将物联网技术应用到智慧家庭中，使新一代的信息技术与消费者的生活需求紧密结合起来，集中反映了我国物联网产业在应用示范、技术研发等方面所取得的阶段成果和未来发展的考虑。长虹表示，未来将以智能家电为基础，逐渐开展智能小区和智能家居系统方案设计服务，提供成套解决方案，并建设运营维护E家平台，为消费者提供各种个性化服务，如远程教育、团购、缴费等服务。
鼓励民间资本进入物联网
《意见》明确，到2015年，要实现物联网在经济社会重要领域的规模示范应用，突破一批核心技术，初步形成物联网产业体系。意见提出多项保障措施，要求加强财税政策扶持，支持符合条件的物联网企业按规定享受相关税收优惠政策。鼓励金融资本、风险投资及民间资本投向物联网应用和产业发展。加快建立包括财政出资和社会资金投入在内的多层次担保体系。积极支持符合条件的物联网企业在海内外资本市场直接融资。
新兰德首席投资顾问徐充认为，物联网概念是这个时代一个特有的产物。国务院此次支持鼓励民间资本投向物联网应用，是对物联网企业的重要支持，或将出现一批具有相当实力的上市公司。金融界资深分析师马小东认为，有了财税政策以及资金等必要条件支持，物联网产业有望真正进入高速发展期，相关子行业将蕴含巨大创新空间。
对于此次投资策略，徐充表示，物联网概念具备极强的题材和炒作性，建议投资者关注具有核心竞争力的企业，如远望谷、新大陆、软控股份、同方股份、东信和平、新开普等。可重点关注国民技术，该公司具备高研发、高自主的特点，并涉足多方面的物联网技术。二级市场上，在本轮大反弹中并未完全释放出其题材本身的独特性，具备明显补涨需求。
马小东认为，在具体投资方面，相关关键设备需求规模较大，其中传感器、芯片处于产业链上游，是物联网金字塔的塔座，在物联网发展初期受益比较明显，将是整个物联网产业中需求量最大和最基础的环节。在传感器、RFID方面，可关注远望谷。远望谷是国内RFID产业的龙头企业，公司在超高频及微波芯片设计方面优势明显，符合“十二五”规划的技术重点。另外，随着城镇化、城市的快速发展，相关交通、安防等需求将大幅增加。在智能交通方面，可关注银江股份、赛为智能等。公共安全方面，可关注大华股份、海康威视等。
安全问题较突出
值得注意的是，本次《指导意见》重点提及了安全保护。“强化安全意识，注重信息系统安全管理和数据保护。加强物联网重大应用和系统的安全测评、风险评估和安全防护工作，保障物联网重大基础设施、重要业务系统和重点领域应用的安全可控。”《指导意见》这样提及。
对于物联网安全问题的重要性，中国联通物联网办公室主任马彦这样认为，物联网的某些应用，如车联网和移动医疗等，可能会涉及人生安全，一旦出现安全问题，后果将不堪想象。因此物联网的安全标准要远远高于互联网的安全标准。
不过，现实情况是，目前国内外的物联网安全都还处于起步阶段，虽然在无线传感器网络和射频识别领域有一些针对性的研发工作，但是统一标准的物联网安全体系尚未正式形成。国内外较为流行的无线通信协议均采用为不同安全等级应用配置不同加密等级策略的思路，对如何为物联网划分安全等级的研究还较少。
“从物联网安全需求和特点可以看出，物联网安全将是其能否真正普及的决定性因素，物联网的发展已经开始加速，对安全的需求日益迫切。”刘秀丽表示。
网络层和应用层应区别对待
对于如何构建物联网安全保障体系，《指导意见》提出：“完善安全等级保护制度，建立健全物联网安全测评、风险评估、安全防范、应急处置等机制，增强物联网基础设施、重大系统、重要信息等的安全保障能力，形成系统安全可用、数据安全可信的物联网应用系统。”
对于安全等级保护制度，中国移动研究院首席科学家杨景认为，首先是应用层和网络层建立不同的安全等级保护制度。因为网络的应用层面跟传统信息安全风险评估差距不大，但是网络传输使用到专用网关设备与网络环境，所以物联网安全保障体系的重点应该是物联网专网及相关协议。其次，计算体系和信息存储体系的可用性，以及对生命周期中各种活动的安全评估和处理，也都是物联网安全运营所必须考虑的。
刘秀丽认为，与互联网安全相比，物联网安全呈现出平民化、轻量级、非对称和复杂性等特点。
