第8章電子政務(wù)安全管理課件

第8章電子政務(wù)安全管理2023/8/14第8章電子政務(wù)安全管理第8章電子政務(wù)安全管理2023/8/1第8章電子政務(wù)安全管理11、電子政務(wù)的安全概述1.1電子政務(wù)安全的重要性保護國家信息安全的需要。保護個人信息特別是私密信息的需要保護信息系統(tǒng)和政務(wù)網(wǎng)站不被侵入的需要第8章電子政務(wù)安全管理1、電子政務(wù)的安全概述1.1電子政務(wù)安全的重要性第8章電子政2第8章電子政務(wù)安全管理第8章電子政務(wù)安全管理3第8章電子政務(wù)安全管理第8章電子政務(wù)安全管理4第8章電子政務(wù)安全管理第8章電子政務(wù)安全管理5面臨的主要安全問題：黑客入侵和犯罪病毒泛濫和蔓延信息間諜的潛入和竊密內(nèi)部人員的違規(guī)和違法操作電子政府第8章電子政務(wù)安全管理面臨的主要安全問題：信息間諜的潛入和竊密內(nèi)部人員的違規(guī)和違法61.2我國電子政務(wù)安全的現(xiàn)狀缺乏安全意識信息與網(wǎng)絡(luò)安全防護能力較弱缺乏一系列的網(wǎng)絡(luò)安全標準第8章電子政務(wù)安全管理1.2我國電子政務(wù)安全的現(xiàn)狀缺乏安全意識第8章電子政務(wù)安全管7電子政務(wù)安全問題產(chǎn)生的原因電子政務(wù)系統(tǒng)對網(wǎng)絡(luò)的高度依賴安全技術(shù)的缺陷（股票系統(tǒng)、千年蟲問題）網(wǎng)絡(luò)的開放性管理的漏洞第8章電子政務(wù)安全管理電子政務(wù)安全問題產(chǎn)生的原因電子政務(wù)系統(tǒng)對網(wǎng)安全技術(shù)的缺陷網(wǎng)81.3電子政務(wù)安全分類技術(shù)風險管理風險信息的可用性信息的完整性信息的保密性信息的可控性信息的不可抵賴性第8章電子政務(wù)安全管理1.3電子政務(wù)安全分類技術(shù)風險第8章電子政務(wù)安全管理9按攻擊手段分類

系統(tǒng)穿透

指未經(jīng)授權(quán)人通過一定手段對認證系統(tǒng)進行攻擊，假冒合法用戶接入政府內(nèi)部系統(tǒng)，實現(xiàn)對文件進行篡改、竊取機密信息、非法使用資源等違反授權(quán)植入通信監(jiān)視通信串擾中斷拒絕服務(wù)否認指入侵者要在系統(tǒng)中設(shè)置一種能力，為以后攻擊提供方便條件。植入一般在系統(tǒng)穿透或違反授權(quán)攻擊成功后，采取向系統(tǒng)中注入病毒等

指授權(quán)進入系統(tǒng)做某件事的用戶，在系統(tǒng)中進行未經(jīng)授權(quán)的其他事情指攻擊者對系統(tǒng)可用性進行攻擊，使系統(tǒng)不能正常工作指在通信過程中從信道進行搭線竊聽

指攻擊者對通信數(shù)據(jù)或通信過程進行干預(yù)，對完整性進行攻擊，篡改系統(tǒng)中數(shù)據(jù)的內(nèi)容，修正消息次序、時間，注入偽造消息

指合法接入者所進行的正當行為無辜受阻

指一個實體進行某種通信或交易活動后否認曾進行過這一活動

（1）技術(shù)風險第8章電子政務(wù)安全管理按系統(tǒng)穿透指未經(jīng)授權(quán)人通過一定手段對認證系統(tǒng)進行攻擊，假冒10組織及人員風險管理制度不完善安全策略有漏洞缺乏應(yīng)急體系（2）管理風險一些安全保密管理制度第8章電子政務(wù)安全管理組織及人員風險管理制度不完善安全策略有漏洞缺乏應(yīng)急體系112.電子政務(wù)安全管理體系電子政務(wù)安全管理體系技術(shù)支撐體系物理安全網(wǎng)絡(luò)安全系統(tǒng)及應(yīng)用安全運行管理體系行政管理安全策略管理風險管理基礎(chǔ)保障體系第三方安全服務(wù)提供商PKI認證平臺電子政務(wù)安全法規(guī)電子政務(wù)安全標準第8章電子政務(wù)安全管理2.電子政務(wù)安全管理體系電子政務(wù)安全管理體系技術(shù)支撐體系物理122.1電子政務(wù)技術(shù)支撐體系1物理安全2網(wǎng)絡(luò)安全3.系統(tǒng)和應(yīng)用安全第8章電子政務(wù)安全管理2.1電子政務(wù)技術(shù)支撐體系1物理安全第8章電子政務(wù)安全管理131.物理安全：就是保證對物理設(shè)施的合法訪問，避免人為破壞，并將自然災(zāi)難的影響降到最低。物理安全線路設(shè)備安全

環(huán)境安全

存儲媒體安全

第8章電子政務(wù)安全管理1.物理安全：就是保證對物理設(shè)施的合法訪問，避免人為破141）隔離技術(shù)：政府內(nèi)網(wǎng)政府外網(wǎng)互聯(lián)網(wǎng)網(wǎng)絡(luò)安全指網(wǎng)絡(luò)通信的安全性，政府內(nèi)網(wǎng)、外網(wǎng)和公網(wǎng)之間的隔離，界定訪問權(quán)限等。物理隔離，采用隔離網(wǎng)閘技術(shù)邏輯隔離，包括VLAN、訪問控制、VPN、防火墻、身份識別、代理服務(wù)器2.網(wǎng)絡(luò)安全：網(wǎng)絡(luò)安全指網(wǎng)絡(luò)通信的安全性，政府內(nèi)網(wǎng)、外網(wǎng)和公網(wǎng)之間的隔離，界定訪問權(quán)限等。第8章電子政務(wù)安全管理1）隔離技術(shù)：政府內(nèi)網(wǎng)政府外網(wǎng)互聯(lián)網(wǎng)網(wǎng)絡(luò)安全指網(wǎng)絡(luò)通信的安全15源文件（明文）解密后的信息（明文）加密后的信息（密文）加密后的信息（密文）密鑰加密因特網(wǎng)密鑰解密數(shù)據(jù)加密過程

加密技術(shù)第8章電子政務(wù)安全管理源文件解密后的信息（明文）加密后的信息（密文）加密后的信息（16對稱密鑰加密技術(shù)不對稱密鑰加密技術(shù)對稱加密，是指使用同一把密鑰對信息加密、信息解密。一個加密系統(tǒng)的加密密鑰和解密密鑰相同，或者雖然不同，但可以由其中一個推導(dǎo)另一個，則為對稱密鑰密碼體制。加密和解密的速度很快，效率也很高，但需要仔細保存密鑰，其保密性主要取決于密鑰本身的保密強度和密鑰傳送通道的安全性。

加密技術(shù)第8章電子政務(wù)安全管理對稱密鑰加密技術(shù)不對稱密鑰加密技術(shù)加密技術(shù)第8章電子政務(wù)安全17對稱密鑰加密技術(shù)不對稱密鑰加密技術(shù)不對稱加密又稱為公開密鑰加密，是1976年由斯坦福大學(xué)提出來的。與對稱密鑰系統(tǒng)相比，公開密鑰加密技術(shù)需要使用一對相關(guān)的密鑰：一個用來加密，另一個用來解密。該技術(shù)的設(shè)想是，密鑰對是與相應(yīng)的系統(tǒng)聯(lián)系在一起的，其中私有密鑰是由系統(tǒng)所保密持有的，而公開密鑰則是公開的，但知道公開密鑰是不能推導(dǎo)出私有密鑰的。加密技術(shù)第8章電子政務(wù)安全管理對稱密鑰加密技術(shù)不對稱密鑰加密技術(shù)加密技術(shù)第8章電子政務(wù)安全18防火墻防火墻（firewall）是指一個由軟件和硬件設(shè)備組合而成，處于組織內(nèi)網(wǎng)和外網(wǎng)的通道之間，用來加強互聯(lián)網(wǎng)與內(nèi)部網(wǎng)絡(luò)之間安全防范的一個或一組系統(tǒng)。它具有限制外界用戶對組織內(nèi)部網(wǎng)絡(luò)訪問及管理內(nèi)部用戶訪問外部服務(wù)。第8章電子政務(wù)安全管理防火墻19一切未被允許的都是禁止的防火墻的安全策略

一切未被禁止的都是允許的防火墻第8章電子政務(wù)安全管理一切未被允許的都是禁止的防火墻的安全策略一切未被禁止的都是20防火墻的分類共同缺點：依賴特定的邏輯判斷是否允許數(shù)據(jù)包通過，這不利于抗擊非法訪問和攻擊。這是針對數(shù)據(jù)包過濾和應(yīng)用網(wǎng)關(guān)技術(shù)存在的缺點而引入的防火墻技術(shù)，其特點是將所有跨越防火墻的網(wǎng)絡(luò)通信鏈路分為兩段。數(shù)據(jù)包過濾防火墻代理服務(wù)器型防火墻應(yīng)用級網(wǎng)關(guān)型防火墻防火墻第8章電子政務(wù)安全管理防火墻的分類共同缺點：依賴特定的邏輯判斷是否允許數(shù)據(jù)包通過21防火墻的局限性

有OS和軟件，就有漏洞很難防護新出現(xiàn)的病毒安全性和速度成反比無法阻止病毒在內(nèi)部傳播防火墻第8章電子政務(wù)安全管理防火墻的局限性有OS和軟件，就有漏洞很難防護新出現(xiàn)的病毒安223.OS系統(tǒng)和應(yīng)用安全防病毒系統(tǒng)漏洞掃描系統(tǒng)

安全認證

入侵檢測系統(tǒng)入侵檢測系統(tǒng)（IntrusionDetectionSystems,IDS）是依照一定的安全策略，對網(wǎng)絡(luò)、系統(tǒng)的運行狀況進行監(jiān)視，盡可能發(fā)現(xiàn)各種攻擊企圖、攻擊行為或者攻擊結(jié)果，以保證網(wǎng)絡(luò)系統(tǒng)資源的機密性、完整性和可用性。第8章電子政務(wù)安全管理3.OS系統(tǒng)和應(yīng)用安全防病毒系統(tǒng)漏洞掃描系統(tǒng)安全認證入侵23防病毒系統(tǒng)漏洞掃描系統(tǒng)

安全認證

入侵檢測系統(tǒng)計算機病毒是指編制或在計算機程序中插入的破壞計算機功能或者毀壞數(shù)據(jù)，影響計算機使用，并能自我復(fù)制的一組計算機指令或者程序代碼。計算機病毒有主動傳染性、隱藏性、欺騙性、破壞性、衍生性等特點。第8章電子政務(wù)安全管理防病毒系統(tǒng)漏洞掃描系統(tǒng)安全認證入侵檢測系統(tǒng)計算機病毒是指24防病毒系統(tǒng)漏洞掃描系統(tǒng)

安全認證

入侵檢測系統(tǒng)防病毒技術(shù)分為主機防病毒和網(wǎng)絡(luò)防病毒。主機防病毒主要是安裝防病毒軟件，對電腦文件訪問實時監(jiān)測，發(fā)現(xiàn)病毒就立即清除或修復(fù)。網(wǎng)絡(luò)防病毒通常由安全提供商提供一整套的解決方案，進行全面的防護。第8章電子政務(wù)安全管理防病毒系統(tǒng)漏洞掃描系統(tǒng)安全認證入侵檢測系統(tǒng)防病毒技術(shù)分為25防病毒系統(tǒng)漏洞掃描系統(tǒng)

安全認證

入侵檢測系統(tǒng)漏洞掃描系統(tǒng)的功能：動態(tài)分析系統(tǒng)的安全漏洞，檢查用戶網(wǎng)絡(luò)中的安全隱患，發(fā)布檢測報告、提供有關(guān)漏洞的詳細信息和最佳解決對策。案例12：微軟的漏洞

第8章電子政務(wù)安全管理防病毒系統(tǒng)漏洞掃描系統(tǒng)安全認證入侵檢測系統(tǒng)漏洞掃描系統(tǒng)的26防病毒系統(tǒng)漏洞掃描系統(tǒng)

安全認證

入侵檢測系統(tǒng)用戶訪問系統(tǒng)之前必須經(jīng)過身份認證，系統(tǒng)根據(jù)用戶身份和授權(quán)決定用戶能否訪問某個資源。第8章電子政務(wù)安全管理防病毒系統(tǒng)漏洞掃描系統(tǒng)安全認證入侵檢測系統(tǒng)用戶訪問系統(tǒng)之272.2電子政務(wù)安全運營管理體系1安全運營組織結(jié)構(gòu)2安全運營規(guī)章制度3安全運營的內(nèi)容第8章電子政務(wù)安全管理2.2電子政務(wù)安全運營管理體系1安全運營組織結(jié)構(gòu)第8章電子政28安全領(lǐng)導(dǎo)小組安全專家小組日常信息安全管理辦公室日常安全維護工作小組決策組織制定工作方案，下達具體工作，監(jiān)督管理下級工作日常安全維護工作單位，完成具體的安全維護工作應(yīng)急響應(yīng)工作小組處理突發(fā)事件，實施應(yīng)急響應(yīng)方案，恢復(fù)系統(tǒng)正常運行信息應(yīng)急響應(yīng)管理辦公室1.安全組織機構(gòu)第8章電子政務(wù)安全管理安全領(lǐng)導(dǎo)小組安全專家小組日常信息安全日常安全維護決策組織制定29安全機構(gòu)的職責：（1）對整個電子政務(wù)系統(tǒng)進行整體的安全規(guī)劃，制定整體的安全解決方案。（2）制定安全管理制度、安全策略、應(yīng)急方策略等；（3）監(jiān)控網(wǎng)絡(luò)的安全性，監(jiān)督安全方案的實施情況；（4）評估風險，及時提出修改、彌補方案。第8章電子政務(wù)安全管理安全機構(gòu)的職責：（1）對整個電子政務(wù)系統(tǒng)進行整體的安全規(guī)劃，302.安全管理制度安全人員管理制度；系統(tǒng)安全運行維護管理制度；密鑰管理制度；保密制度；訪問控制管理制度等。第8章電子政務(wù)安全管理2.安全管理制度安全人員管理制度；第8章電子政務(wù)安全管理31（1）實體的安全管理（2）密鑰的安全管理（3）風險管理（4）應(yīng)急管理3.安全運營管理的內(nèi)容第8章電子政務(wù)安全管理（1）實體的安全管理3.安全運營管理的內(nèi)容第8章電子政務(wù)安全322.3電子政務(wù)安全的基礎(chǔ)保障體系1法律法規(guī)2安全標準3PKI認證平臺4.PMI第8章電子政務(wù)安全管理2.3電子政務(wù)安全的基礎(chǔ)保障體系1法律法規(guī)第8章電子政務(wù)安全332.電子政務(wù)安全標準建設(shè)電子政務(wù)安全標準規(guī)范：電子文檔密級及標記格式密碼算法標準、密鑰管理標準PKI/CA標準、PMI標準、信息系統(tǒng)安全評估標準和網(wǎng)絡(luò)安全產(chǎn)品測評標準第8章電子政務(wù)安全管理2.電子政務(wù)安全標準建設(shè)電子政務(wù)安全標準規(guī)范：第8章電子政343.公鑰基礎(chǔ)認證平臺PKI（PublicKeyInfrastructure）公鑰基礎(chǔ)平臺采用數(shù)字證書，通過第三方的可信任機構(gòu)——認證中心CA（CertificationAuthority），將用戶公鑰和用戶標識捆綁，提供身份驗證的機制。第8章電子政務(wù)安全管理3.公鑰基礎(chǔ)認證平臺PKI（PublicKeyInfra35PKI的基本組成數(shù)字證書庫密鑰備份及恢復(fù)系統(tǒng)證書管理系統(tǒng)應(yīng)用接口（API）公鑰基礎(chǔ)認證平臺第8章電子政務(wù)安全管理PKI的基本組成數(shù)字證書庫密鑰備份及恢復(fù)系統(tǒng)證書管理系統(tǒng)應(yīng)用364.特權(quán)管理認證平臺PMI:PriviliegeManagementInfrastructure特權(quán)管理基礎(chǔ)平臺，建立在PKI基礎(chǔ)上，接受用戶的委托對終端用戶實施權(quán)限控制，實現(xiàn)用戶身份到應(yīng)用授權(quán)的映射功能。第8章電子政務(wù)安全管理4.特權(quán)管理認證平臺PMI:PriviliegeManag37PKI與PMI之間的比較第8章電子政務(wù)安全管理PKI與PMI之間的比較第8章電子政務(wù)安全管理38PKI（構(gòu)建信息安全平臺，提供智能化的信任服務(wù)）PMI（構(gòu)建授權(quán)管理平臺，在PKI信息安全平臺的基礎(chǔ)上提供智能化的授權(quán)服務(wù)）DMS（目錄管理體系：提供政務(wù)信息資源發(fā)現(xiàn)、定位功能、及相關(guān)應(yīng)用的系統(tǒng)。）國家信息安全基礎(chǔ)設(shè)施（NISI）