版權(quán)說明:本文檔由用戶提供并上傳,收益歸屬內(nèi)容提供方,若內(nèi)容存在侵權(quán),請進行舉報或認(rèn)領(lǐng)
文檔簡介
1、第九章電子政務(wù)信息安全第一節(jié) 電子政務(wù)信息安全需求與策略第二節(jié) 電子政務(wù)信息安全整體解決方案第三節(jié)我國電子政務(wù)信息安全管理組織目錄第一節(jié) 電子政務(wù)信息安全需求與策略 電子政務(wù)安全的宗旨:在電子政務(wù)系統(tǒng)建設(shè)和實施過程中充分考慮各種風(fēng)險,最大限度地保護硬件、軟件、信息和網(wǎng)絡(luò)的安全,核心是保護電子政務(wù)信息安全,以確保電子政府能夠有效行使政府職能。一、電子政務(wù)信息安全基本需求 信息安全:包含信息系統(tǒng)的安全和信息的安全。計算機安全:為數(shù)據(jù)處理系統(tǒng)建立和采取的技術(shù)和管理的安全保護,保護計算機硬件、軟件和數(shù)據(jù)不因偶然和惡意的原因而遭到破壞、更改和顯露。這一定義也同樣適用于電子政務(wù)信息安全。(國際標(biāo)準(zhǔn)化組織I
2、SO)電子政務(wù)信息安全的基本需求:可用性、完整性、保密性、不可否認(rèn)性和可控性(保障性)。 電子政務(wù)的安全目標(biāo)有以下三方面:一是保護政務(wù)信息資源價值不受侵犯。二是保證信息資源的擁有者(政務(wù)主體)面臨最小的風(fēng)險和獲取最大的安全利益。三是使政務(wù)的信息基礎(chǔ)設(shè)施、信息應(yīng)用服務(wù)和信息內(nèi)容具有可用性、完整性、保密性、不可否認(rèn)性和可控性的能力。國家計算機網(wǎng)絡(luò)與信息安全管理中心提供的資料政府網(wǎng)站成為重點攻擊對象。 2001年中美黑客大戰(zhàn)期間,在遭受美國黑客攻擊的我國大陸網(wǎng)站中,政府網(wǎng)站占了41.5%。對照安全標(biāo)準(zhǔn)來衡量,中央國家部委的涉密網(wǎng)絡(luò)有一半以上未達(dá)到安全保密要求。 “9.11”恐怖襲擊事件后,美國政府提
3、出建立獨立于Internet的政府專用網(wǎng)GOVNET微軟公司一個員工把工作電腦帶回家,為了獲得更快的運行效率,部分關(guān)閉了防病毒軟件的功能,使得木馬程序植入他的電腦,最后又被植入到微軟公司內(nèi)部網(wǎng)系統(tǒng),導(dǎo)致源代碼的泄露。美國國家安全協(xié)會統(tǒng)計數(shù)據(jù)98%的企業(yè)都曾遇過病毒感染問題63%的企業(yè)都曾因感染病毒失去文件資料80%的Web服務(wù)器受到過黑客攻擊82%以上的企業(yè)建成內(nèi)部網(wǎng);50%以上的CIO認(rèn)為網(wǎng)絡(luò)安全是最頭疼的問題;80%的國內(nèi)網(wǎng)站存在安全隱患;FBI調(diào)查表明,95%的網(wǎng)絡(luò)入侵未被發(fā)現(xiàn)。五個“不知道”不知道采取什么措施有效地保護信息安全;面對眾多的網(wǎng)絡(luò)安全產(chǎn)品,不知道如何合理選擇;購買產(chǎn)品后,不
4、知道如何正確使用;在使用過程中,不知道怎樣制訂安全管理機制;出現(xiàn)問題,不知道怎么辦。投入對比在國外企業(yè)IT投資中,網(wǎng)絡(luò)安全投資占2030%;在國內(nèi)企業(yè)IT投資中,網(wǎng)絡(luò)安全投資僅占5%左右;第一節(jié) 電子政務(wù)信息安全需求與策略 二、電子政務(wù)信息安全威脅一般主要來自技術(shù)和管理方面。技術(shù)風(fēng)險技術(shù)方面的安全風(fēng)險主要包括物理安全風(fēng)險、鏈路安全風(fēng)險、網(wǎng)絡(luò)安全風(fēng)險、系統(tǒng)安全風(fēng)險和應(yīng)用安全風(fēng)險等5個方面。 = 第一節(jié) 電子政務(wù)信息安全需求與策略 物理安全風(fēng)險 各種自然災(zāi)害、物理設(shè)備老化等環(huán)境事故可能導(dǎo)致整個系統(tǒng)毀滅; 電源故障造成設(shè)備斷電,造成信息的毀壞或丟失; 設(shè)備被盜、被毀造成數(shù)據(jù)丟失或信息泄漏; 電磁輻射
5、可能造成數(shù)據(jù)信息被竊取或偷閱; 報警系統(tǒng)的設(shè)計不足或故障可能造成誤報或漏報。2鏈路安全威脅入侵者傳輸線路上安裝竊聽裝置,竊取你在網(wǎng)上傳輸?shù)闹匾獢?shù)據(jù),再通過一些技術(shù)讀出數(shù)據(jù)信息,造成泄密或者做一些篡改來破壞數(shù)據(jù)的完整性 布什栽進“竊聽門”美國今日美國報2006年05月11日再爆“猛料”:美國國家安全局從2001年“911”事件后開始通過一些電信服務(wù)商秘密收集數(shù)千萬美國人的電話記錄。 有分析人士指出,這樣做顯然侵犯了公民的隱私權(quán)。而參議院司法委員會已計劃召開聽證會,要求對參與此事的電信公司進行質(zhì)詢。 據(jù)今日美國報報道,“9?11”事件后不久,美國國家安全局以查找和追蹤恐怖分子為由,與美國電話電報公
6、司、韋里孫通訊公司和貝爾南方公司等3大電信服務(wù)商簽署合同,通過這些電信商收集美國各地的家用和商用電話記錄,并收入一個專用數(shù)據(jù)庫。國家安全局在向各大電信運營商提出合作申請時說,“國家現(xiàn)在正處在危險中,我們需要你們的幫助來保護我們的國家免受恐怖襲擊”,并表示愿意為此支付一定的費用。在這種情況下,、韋里遜通信公司、和西南貝爾通信公司選擇了與國家安全局合作,并為國家安全局“提供了2億份私人通話記錄”。 針對這則報道,布什當(dāng)天通過白宮發(fā)表聲明說,有關(guān)竊聽和收集行動針對的是“基地”組織及其支持者,而且美國情報部門并沒有未經(jīng)法庭允許就監(jiān)聽美國境內(nèi)的電話。此外,他所授權(quán)的竊聽活動都是符合法律的,而且也向有關(guān)國
7、會議員作了匯報。聲明還說,在政府從事的所有活動中,美國普通民眾的隱私權(quán)都得到了充分保護,情報部門并沒有對那些無辜的美國人的私生活進行窺探和調(diào)查。竊聽丑聞?wù)饎禹n國政壇 涉案高官自殺未遂2005年7月26日,涉案的前“安企部”特種竊聽組織密林小組組長孔云英自殺未遂,被送往醫(yī)院。 幾天來,一場竊聽風(fēng)波席卷韓國,并愈演愈烈。韓國前“安全企劃部”(韓國最高國家安全機關(guān)國家情報院的前身)下屬的一個神秘的竊聽機構(gòu),在上世紀(jì)90年代中后期,對韓國政界、金融界和媒體重要人士的私人談話進行秘密竊聽的事突然被媒體曝光。非法竊聽錄音帶中暴露的政治獻金丑聞,最終迫使韓國駐美大使洪錫炫提出了辭呈,而這一事件的沖擊波正向前
8、總統(tǒng)金泳三和金大中蔓延。事件很快驚動了韓國總統(tǒng)盧武鉉,他隨即表示,政府非常重視國家機關(guān)的非法行為,盡管是過去的事情,但“國家機構(gòu)卷入非法竊聽事件,實在令人感到羞愧和憤慨”。他指示國家情報院迅速進行調(diào)查。 = 第一節(jié) 電子政務(wù)信息安全需求與策略 網(wǎng)絡(luò)安全風(fēng)險 一般地,網(wǎng)絡(luò)的安全威脅主要有: 非授權(quán)訪問 信息泄漏 破壞數(shù)據(jù)完整性 拒絕服務(wù)攻擊 傳播病毒 黑客攻破Google服務(wù)器 通過中國網(wǎng)站傳播病毒中網(wǎng)資訊中心 時間:2006-10-25 11:32:21來源:賽迪網(wǎng)據(jù)悉,一位攻擊者成功入侵了G服務(wù)器,并且上傳了一個后門程序,該服務(wù)主要 幫助用戶創(chuàng)建自己的網(wǎng)頁?!霸谡{(diào)查過程中,我們在三家連接到G
9、服務(wù)器的網(wǎng)頁中,均發(fā)現(xiàn)了相同的惡意代碼?!卑踩珜<冶硎荆捌渲械膬蓚€網(wǎng)頁為韓國網(wǎng)站,另一個為中國網(wǎng)站,目前有多少臺電腦感染該病毒還不得而知?!?據(jù)悉,通過安裝最新的殺毒軟件,用戶可以成功避免該后門程序的威脅,然而如果沒有即時進行更新,黑客將可以看到用戶電腦中的文件,并且對其任意進行刪除和修改。 實際上,這已經(jīng)不是G服務(wù)器第一次被發(fā)現(xiàn)存儲惡意代碼,今年六月份的時候,相似的事件曾經(jīng)發(fā)生?!癎oogle需要創(chuàng)建一套應(yīng)急措施,從而應(yīng)對未來出現(xiàn)的該類型事件。”一位安全界專家表示,Google總是在圖方便,并不是十分在乎安全性問題。網(wǎng)絡(luò)安全威脅內(nèi)部黑客內(nèi)部網(wǎng)絡(luò)1.來自互聯(lián)網(wǎng)的安全危脅INTERNET3。來
10、自內(nèi)部網(wǎng)絡(luò)的安全威脅外部網(wǎng)絡(luò)2.內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)互聯(lián)的安全威脅= 第一節(jié) 電子政務(wù)信息安全需求與策略 系統(tǒng)安全風(fēng)險很多系統(tǒng)操作系統(tǒng)以及底層支撐系統(tǒng)。有漏洞和“后門”, 即在各種軟硬件中有意或無意間留下的特殊代碼,通過這些代碼可以獲得軟硬件設(shè)備的標(biāo)識信息或獲得進入操作系統(tǒng)特權(quán)控制的信息。例如:Pentium中設(shè)置了序列碼功能,該功能留有自動傳送計算機有關(guān)硬件方面信息的后門;Windows98或Windows2000操作系統(tǒng)會根據(jù)用戶的計算機硬件配置情況生成一串與用戶名字、地址相關(guān)的硬件標(biāo)識碼全球惟一識別碼。安全威脅系統(tǒng)安全威脅 操作系統(tǒng)或應(yīng)用系統(tǒng)的開發(fā)廠商必然有其Back-Door,而且系統(tǒng)本身
11、必定存在安全漏洞。這些后門或安全漏洞都將存在重大安全隱患。= 第一節(jié) 電子政務(wù)信息安全需求與策略 應(yīng)用安全風(fēng)險電子政務(wù)應(yīng)用系統(tǒng)是軟件。軟件既是重要的系統(tǒng)資源,是安全保護的對象,是安全控制的措施,又是危害安全的途徑和手段,而且由于電子政務(wù)應(yīng)用系統(tǒng)直接面向業(yè)務(wù)進行信息處理,其業(yè)務(wù)范圍廣泛,應(yīng)用主體眾多,涉及到復(fù)雜的權(quán)限管理和業(yè)務(wù)責(zé)任等原因,使得應(yīng)用系統(tǒng)極為復(fù)雜,程序量很大,設(shè)計失誤的風(fēng)險難免會增多,加之還涉及到軟件開發(fā)人員的品行的可靠性問題,所以,軟件本身是十分脆弱的。 安全威脅應(yīng)用安全威脅應(yīng)用系統(tǒng)的安全涉及很多方面。應(yīng)用系統(tǒng)是動態(tài)的、不斷變化的。應(yīng)用的安全性也是動態(tài)的。這就需要我們對不同的應(yīng)用,
12、檢測安全漏洞,采取相應(yīng)的安全措施,降低應(yīng)用的安全風(fēng)險。資源共享病毒侵害 電子郵件系統(tǒng)網(wǎng)絡(luò)威脅的時代變遷類型:多數(shù)病毒,少數(shù)木馬行為:明顯破壞行為或引人注意的特征目的:惡作劇或故意破壞成果:獲得“成就感”類型:大部分是潛伏的惡意代碼行為:力求不被注意目的:信息竊取、遠(yuǎn)程控制成果:獲取經(jīng)濟利益危害程度監(jiān)聽篡改廣告軟件蠕蟲間諜軟件木馬后門病毒主動傳播可控圖例快速增長網(wǎng)絡(luò)欺詐的過程= 第一節(jié) 電子政務(wù)信息安全需求與策略 管理方面內(nèi)部安全威脅有:內(nèi)部人員故意泄漏網(wǎng)絡(luò)結(jié)構(gòu);安全管理員有意透露其用戶名及口令;內(nèi)部不懷好意的員工編些破壞程序在內(nèi)網(wǎng)上傳播;或者內(nèi)部人員通過各種方式盜取他人的涉密信息并傳播出去等。
13、大多數(shù)技術(shù)安全措施,如防火墻、入侵者探測系統(tǒng)等旨在對付來自于系統(tǒng)外部的攻擊的手段,對內(nèi)部的攻擊卻束手無策。= 第一節(jié) 電子政務(wù)信息安全需求與策略 三、電子政務(wù)信息安全策略所謂安全策略,是指在一個特定的環(huán)境里,為保證提供一定級別的安全保護所必須遵守的規(guī)則。電子政務(wù)信息安全是一個涉及環(huán)境、設(shè)備、技術(shù)、人員、管理等多方面的復(fù)雜系統(tǒng)工程,在其各個安全環(huán)節(jié)中,安全管理是核心,安全技術(shù)為安全管理服務(wù),是實施安全管理的工具與保障。電子政務(wù)信息安全目標(biāo)和原則電子政務(wù)信息安全目標(biāo)電子政務(wù)信息安全目標(biāo)是,保護政務(wù)信息資源不受侵犯,保證信息面臨最小的風(fēng)險和獲取最大的價值,保證政府的形象和權(quán)威,使信息服務(wù)體現(xiàn)最佳效果
14、。電子政務(wù)安全目標(biāo)由以下幾個方面構(gòu)成:1.可用性目標(biāo)是電子政務(wù)系統(tǒng)的首要信息安全目標(biāo)。2.完整性目標(biāo)完整性目標(biāo)包括兩個方面:數(shù)據(jù)完整性和系統(tǒng)完整性。通常,完整性目標(biāo)是電子政務(wù)系統(tǒng)除了可用性目標(biāo)之外最重要的信息安全目標(biāo)。 3.保密性目標(biāo)保密性目標(biāo)是指不向非授權(quán)個人和部門暴露私有或者保密信息。在信息安全的重要程度排序中僅次于可用性目標(biāo)和完整性目標(biāo)。= 電子政務(wù)安全目標(biāo)由以下幾個方面構(gòu)成4.可記賬性目標(biāo)(防抵賴性) 可記賬性目標(biāo)是指電子政務(wù)系統(tǒng)能夠如實記錄一個實體的全部行為。通常,可記賬性目標(biāo)是政府部門的一種策略需求??捎涃~性目標(biāo)可以為拒絕否認(rèn)、威懾違規(guī)、隔離故障、檢測和防止入侵、事后恢復(fù)和法律訴訟
15、提供支持。5.保障性目標(biāo)(可控性) 保障性是電子政務(wù)系統(tǒng)信息安全的信任基。保障性目標(biāo)突出了這樣的事實:對于希望做到安全的信息系統(tǒng)而言,不僅需要提供預(yù)期的功能,而且需要保證不會發(fā)生非預(yù)期的行為。= 第一節(jié) 電子政務(wù)信息安全需求與策略 電子政務(wù)信息安全建設(shè)原則電子政務(wù)信息安全建設(shè)必須遵照以下原則:安全分級原則。政府應(yīng)該根據(jù)政務(wù)信息的不同密級,采取不同的安全技術(shù)和安全產(chǎn)品。同步性原則。同步性原則要求信息安全保障體系同信息系統(tǒng)的運行在時間上是重疊的。多重防護原則。在政務(wù)系統(tǒng)的不同層次要采用不同的安全產(chǎn)品、安全技術(shù)和安全策略。合法性原則。根據(jù)國家密碼辦的相關(guān)規(guī)定,政務(wù)信息化應(yīng)用中涉密部分必須采用通過國家
16、檢測并獲得相關(guān)密級資質(zhì)的產(chǎn)品。 = 第一節(jié) 電子政務(wù)信息安全需求與策略 政府需要在電子政務(wù)安全策略實施過程中做好以下工作:建設(shè)可靠的安全保障體系。這是電子政務(wù)建設(shè)的必要條件。其內(nèi)容應(yīng)包括:安全管理策略規(guī)范、物理安全建設(shè)規(guī)范、網(wǎng)絡(luò)安全規(guī)范、信息安全規(guī)范、數(shù)字證書管理規(guī)范、應(yīng)用系統(tǒng)安全規(guī)范、系統(tǒng)管理規(guī)范、應(yīng)急系統(tǒng)構(gòu)建規(guī)范等內(nèi)容。安全與應(yīng)用要并行。電子政務(wù)安全建設(shè)非常重要,必須本著安全與應(yīng)用并行的原則,將安全體系建設(shè)納入電子政務(wù)總體建設(shè)規(guī)劃中進行統(tǒng)一安排、統(tǒng)籌考慮,不能過分強調(diào)各部門或業(yè)務(wù)的獨立性。信息安全體系建設(shè)。在電子政務(wù)系統(tǒng)建設(shè)中,必須考慮完善的信息安全機制,保證滿足信息安全的基本需求,確保用
17、戶身份安全認(rèn)證、信息安全處理、安全存儲和安全傳輸。支撐平臺與產(chǎn)品選擇的安全。根據(jù)安全策略要求,選擇確定國家權(quán)威部門檢測通過的產(chǎn)品,在滿足需要的前提下,優(yōu)先選擇國產(chǎn)產(chǎn)品,以減少安全隱患。在進行安全評估的同時,應(yīng)進行信息安全評估工作,并以此為基礎(chǔ),對信息進行嚴(yán)格分類,明確信息的訪問權(quán)限和信息加密強度。= 第一節(jié) 電子政務(wù)信息安全需求與策略電子政務(wù)信息安全策略選擇針對電子政務(wù)信息安全基本需求的策略使用訪問控制機制,阻止非授權(quán)用戶進入網(wǎng)絡(luò),即“進不來”,從而保證網(wǎng)絡(luò)系統(tǒng)的可用性。使用授權(quán)機制,實現(xiàn)對用戶的權(quán)限控制,即不該拿走的“拿不走”,同時結(jié)合內(nèi)容審計機制,實現(xiàn)對網(wǎng)絡(luò)資源及信息的可控性。使用加密機制
18、,確保信息不暴露給未授權(quán)的實體或進程,即未授權(quán)者“看不懂”,從而實現(xiàn)信息的保密性。使用數(shù)據(jù)完整性鑒別機制,保證只有得到允許的人才能修改數(shù)據(jù),而其他人“改不了”,從而確保信息的完整性。使用審計、監(jiān)控、跟蹤、防抵賴等安全機制,使得攻擊者、破壞者、抵賴者“走不脫”,并進一步對出現(xiàn)的安全問題提供調(diào)查依據(jù)和手段,實現(xiàn)信息安全的可審查性。 = 第一節(jié) 電子政務(wù)信息安全需求與策略針對電子政務(wù)信息安全威脅的策略通過對電子政務(wù)信息可能遭受的各種風(fēng)險的全面了解,對電子政務(wù)系統(tǒng)中不同層次采取各不相同的安全策略(51)。物理安全。包括三方面內(nèi)容:第一,環(huán)境安全; 第二,設(shè)備安全; 第三,媒體安全策略:備用系統(tǒng)、雙機熱
19、備、故障隔離機制、電磁波干擾或屏蔽,以及機房的防火、防盜措施等,來保證系統(tǒng)即使遭遇危機也能正常運轉(zhuǎn)。對主機房和重要信息的存儲、收發(fā)部門進行必要的安全保護設(shè)計,如構(gòu)建屏蔽室,采用輻射干擾機,防止電磁輻射泄漏機密信息等措施,以防范或減少可能遭受的安全風(fēng)險。 = 第一節(jié) 電子政務(wù)信息安全需求與策略鏈路安全即使信息在鏈路上被非法截獲,明文信息也不應(yīng)暴露,信息也不能被篡改策略:數(shù)據(jù)在鏈路上傳輸必須加密。網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全是指通過網(wǎng)絡(luò)安全檢測、網(wǎng)絡(luò)監(jiān)控與入侵防范等手段,防止非法用戶穿過系統(tǒng)的訪問控制進行特權(quán)數(shù)據(jù)的讀取或?qū)ο到y(tǒng)進行破壞。從技術(shù)的角度分析,網(wǎng)絡(luò)安全包括技術(shù)防護體系和技術(shù)監(jiān)督體系兩個方面。 VPN
20、技術(shù)(Virtual Private Network)專網(wǎng)所需的端到端的物理鏈路。架構(gòu)在公用網(wǎng)絡(luò)平臺之上的邏輯網(wǎng)絡(luò)公用網(wǎng)絡(luò)VPN= 第一節(jié) 電子政務(wù)信息安全需求與策略系統(tǒng)安全系統(tǒng)安全通常是指網(wǎng)絡(luò)操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)以及其他底層支撐系統(tǒng)的安全,目的是建立一個可信的安全操作環(huán)境。為避免在核心技術(shù)方面受制于人,保證信息安全,政府必須重視具有民族自主知識產(chǎn)權(quán)的信息安全技術(shù)和產(chǎn)品的研發(fā)和應(yīng)用,逐步從關(guān)鍵產(chǎn)品開始替代國外產(chǎn)品,尤其在重要領(lǐng)域及要害部門更要如此。支撐系統(tǒng)的安全性除取決于系統(tǒng)產(chǎn)品自身的技術(shù)特性、產(chǎn)品特性及安全特性外,還與系統(tǒng)本身以及系統(tǒng)間的合理配置和合理選擇有很大的關(guān)系。= 第一節(jié) 電子政務(wù)信
21、息安全需求與策略應(yīng)用安全應(yīng)用安全是指為保障應(yīng)用系統(tǒng)功能的安全實現(xiàn),提供包括風(fēng)險分析、權(quán)限管理、訪問控制、審計跟蹤、備份與恢復(fù)等在內(nèi)的一系列安全措施,來保護信息處理過程的安全。 = 第一節(jié) 電子政務(wù)信息安全需求與策略管理安全中國國家計算機網(wǎng)絡(luò)與信息安全實驗室主任白碩表示,中國信息安全最大的隱患在于管理。管理安全是指有關(guān)的法律法令和規(guī)章制度以及安全管理手段,以確保系統(tǒng)的安全運行。管理安全是電子政務(wù)信息整體安全的核心,也貫穿于電子政務(wù)技術(shù)安全內(nèi)容的各個方面,是安全技術(shù)發(fā)揮作用的保證。安全制度安全制度是指為保證系統(tǒng)的安全運轉(zhuǎn)而建立的一套自上而下的安全組織機構(gòu)及與管理有關(guān)的規(guī)章制度。需要制定的制度包括:
22、日常系統(tǒng)操作及維護制度、審計制度、文檔管理制度、應(yīng)急響應(yīng)制度等。安全管理規(guī)范包括:人員安全管理規(guī)范、物理環(huán)境安全規(guī)范、網(wǎng)絡(luò)安全規(guī)范、主機系統(tǒng)及操作系統(tǒng)安全規(guī)范、信息安全管理規(guī)范等。安全管理制度建設(shè)的四項基本原則安全管理制度建設(shè)應(yīng)明確原則:多人負(fù)責(zé)制原則、任期有限制原則、職責(zé)分離原則等。1.多人負(fù)責(zé)原則-每一項與安全有關(guān)的活動,都必須有兩人或多人在場。2.任期有限原則 任何人最好不要長期擔(dān)任與安全有關(guān)的職務(wù),以免使他認(rèn)為這個職務(wù)是專有的或永久的。3.職責(zé)分離原則在信息處理系統(tǒng)工作的人員不要打聽、了解或參與職責(zé)以外的任何與安全有關(guān)的事情,除非系統(tǒng)主管領(lǐng)導(dǎo)批準(zhǔn)。4.最小權(quán)限原則 每個人只負(fù)責(zé)一種事務(wù)
23、,只有一種權(quán)限。 在此基礎(chǔ)上,制定包括機房管理、網(wǎng)絡(luò)管理、系統(tǒng)管理、設(shè)備管理、信息管理、應(yīng)急處理、人員管理、技術(shù)資料管理等有關(guān)信息系統(tǒng)建設(shè)的規(guī)范。= 第一節(jié) 電子政務(wù)信息安全需求與策略安全審計安全審計是利用安全設(shè)施或軟件提供的審計跟蹤功能,對使用何種系統(tǒng)資源、使用時間、如何使用以及由哪個用戶使用等問題進行審核,提供一個完備的記錄,以備事件發(fā)生后能夠?qū)嵤┯行У淖凡?。它是對系統(tǒng)安全實施有效監(jiān)控的重要手段。安全審計能夠迅速、系統(tǒng)地識別問題,并且為事故處理提供重要依據(jù),為系統(tǒng)故障的確定、追查網(wǎng)絡(luò)犯罪行為及泄密行為提供依據(jù)。安全審計還能通過對安全事件的不斷收集、積累和分析,有選擇性地對其中的某些站點或用
24、戶進行審計跟蹤,以便為追查已經(jīng)發(fā)現(xiàn)的或可能產(chǎn)生的破壞性行為提供有力的證據(jù)。政府可以采取的管理策略有:對于一些事關(guān)重大的網(wǎng)上管理權(quán)限和數(shù)據(jù),要輔以人工認(rèn)證,對技術(shù)無法解決的信息安全問題,要努力尋求在制度上和法律上來解決,采取法律、政策或制度上的應(yīng)對策略??傊?,在整個安全體系中,安全管理策略與安全技術(shù)密不可分,只有將兩者有機結(jié)合,融為一體,才能有效地保證電子政務(wù)信息的安全。安全管理工具身份標(biāo)識認(rèn)證審計管理工具安全屬性信息政策支持安全管理安全審計訪問仲裁文件系統(tǒng)政策支持政策支持安全判定安全相關(guān)系統(tǒng)調(diào)用應(yīng)用環(huán)境安全系統(tǒng)調(diào)用一般系統(tǒng)調(diào)用Linux 內(nèi)核判定實施服務(wù)請求信息請求處理結(jié)果信息12N安全支持結(jié)
25、構(gòu)那么,我們?nèi)绾螌崿F(xiàn)電子政務(wù)的安全目標(biāo)呢答案是尋求電子政務(wù)信息安全整體解決方案,構(gòu)建一個電子政務(wù)綜合安全體系。這種安全體系應(yīng)該包括風(fēng)險評估、策略制定、技術(shù)實現(xiàn)、制度建立、流程保障、人員培訓(xùn)等一系列內(nèi)容。第二節(jié) 電子政務(wù)信息安全整體解決方案 一、電子政務(wù)信息安全整體解決方案(RiseNet)制定電子政務(wù)信息安全整體解決方案制定準(zhǔn)備應(yīng)該借助安全管理、安全技術(shù)、業(yè)務(wù)系統(tǒng)等多方面專家的力量,在充分分析業(yè)務(wù)目標(biāo)的基礎(chǔ)上,明確安全需求,確定安全的主要威脅來自于哪些方面;對信息、信息系統(tǒng)進行分析,制定嚴(yán)格的信息訪問機制和訪問權(quán)限;制定安全管理規(guī)范,明確人員職責(zé);選擇合適的安全技術(shù)和安全產(chǎn)品。制定安全體系的總
26、體目標(biāo);在各個層次上可能的安全威脅有哪些,如何分類;網(wǎng)絡(luò)訪問是否可控制,對惡意入侵是否跟蹤和記錄,網(wǎng)絡(luò)存在哪些安全漏洞,系統(tǒng)資源的安全訪問策略;網(wǎng)絡(luò)中存在哪些應(yīng)用系統(tǒng),涉及到哪些用戶,用戶的操作行為是否可控、可跟蹤,用戶身份是否真實、可靠;信息包括哪些類別,操作權(quán)限如何劃分;哪些信息傳輸、存儲需要進行加密,哪些操作需要簽名;全局性的、局部的病毒防御策略;網(wǎng)絡(luò)出現(xiàn)安全問題時的應(yīng)急措施。技術(shù)安全管理安全電子政務(wù)信息安全安全制度安全審計應(yīng)用安全系統(tǒng)安全物理安全網(wǎng)絡(luò)安全數(shù)據(jù)安全鏈路安全電子政務(wù)系統(tǒng)安全解決方案電子政務(wù)系統(tǒng)安全的總體結(jié)構(gòu) 信息安全保障體系建設(shè)方法論= 第二節(jié) 電子政務(wù)信息安全整體解決方案
27、電子政務(wù)整體解決方案設(shè)計必須遵循以下原則:符合國際標(biāo)準(zhǔn)根據(jù)應(yīng)用的實際需求進行多層結(jié)構(gòu)的架構(gòu),采用先進的開發(fā)技術(shù)提供較為全面的業(yè)務(wù)功能,增強系統(tǒng)的實用性和針對性提供基于局域網(wǎng)的產(chǎn)品解決方案和基于Internet廣域網(wǎng)的產(chǎn)品解決方案權(quán)限嚴(yán)密穩(wěn)定性強集成度高系統(tǒng)性好安全可靠性原則實用性原則統(tǒng)一規(guī)劃,分布實施原則 = 第二節(jié) 電子政務(wù)信息安全整體解決方案 電子政務(wù)信息安全整體解決方案內(nèi)容按照涉及角色和政務(wù)類型的不同,可分解為:1.政府間的電子政務(wù)解決方案:關(guān)注不同的政府部門或是上下級政府之間的政務(wù)活動,一般會包括數(shù)據(jù)傳輸系統(tǒng)、公文傳輸系統(tǒng)、協(xié)調(diào)辦公系統(tǒng)等解決方案。2.政府內(nèi)部的電子政務(wù)解決方案:關(guān)注政
28、府的某個單位內(nèi)部的電子政務(wù)活動,該部分系統(tǒng)一般會有嚴(yán)格的訪問控制,特定的群體可以使用該部分資源,該群體里面不同的角色的訪問操作權(quán)限不同。內(nèi)網(wǎng)辦公系統(tǒng)、決策支持系統(tǒng)是該部分解決方案的重要組成部分。3.政府對企業(yè)的電子政務(wù)解決方案:解決政府和企業(yè)間的政務(wù)電子化問題,包括企業(yè)注冊、企業(yè)報稅和一些業(yè)務(wù)審批活動等,一般涉及行政審批系統(tǒng)、財務(wù)報稅系統(tǒng)、政府采購系統(tǒng)等。4.政府對個人的電子政務(wù)解決方案:解決政府和個人間的政務(wù)電子化問題,包括個人車輛登記、罰款認(rèn)繳、護照辦理等事物,涉及到個人報稅系統(tǒng)、行政收費系統(tǒng)等。= 第二節(jié) 電子政務(wù)信息安全整體解決方案個人企業(yè)政府部門OA、審批系統(tǒng)、信息系統(tǒng)等應(yīng)用系統(tǒng)層工
29、作流引擎、數(shù)據(jù)交換、時間戳等應(yīng)用支撐層物理連接、通訊協(xié)議等系統(tǒng)網(wǎng)絡(luò)層系統(tǒng)安全層身份識別系統(tǒng)、入侵檢測系統(tǒng)等Digital Time-stamp圖 電子政務(wù)系統(tǒng)的層次結(jié)構(gòu)= 第二節(jié) 電子政務(wù)信息安全整體解決方案 電子政務(wù)信息安全整體解決方案內(nèi)容按照網(wǎng)絡(luò)構(gòu)成類型的不同,可分解為:政務(wù)內(nèi)網(wǎng)安全解決方案政務(wù)專網(wǎng)安全解決方案政務(wù)外網(wǎng)安全解決方案數(shù)據(jù)讀取數(shù)據(jù)讀取公眾信息網(wǎng)內(nèi)部的辦公業(yè)務(wù)網(wǎng)政府專用辦公業(yè)務(wù)資源網(wǎng)政務(wù)資源數(shù)據(jù)庫物理隔離采用數(shù)據(jù)交換設(shè)備進行交換數(shù)據(jù)存儲數(shù)據(jù)存儲電子政務(wù)應(yīng)用系統(tǒng)解決方案內(nèi)、專、外三網(wǎng)間的數(shù)據(jù)交換示意圖防病毒政務(wù)信息化網(wǎng)絡(luò)總體安全數(shù)據(jù)交換內(nèi)部網(wǎng)絡(luò)INTERNET外部網(wǎng)絡(luò)專用網(wǎng)絡(luò)防黑客
30、物理隔離訪問控制訪問控制應(yīng)用系統(tǒng)安全應(yīng)用系統(tǒng)安全應(yīng)用系統(tǒng)安全物理隔離 邏輯隔離物理隔離:是指將兩個網(wǎng)絡(luò)完全斷開,使之不發(fā)生實際的物理連接。這樣一來,網(wǎng)絡(luò)黑客便無法進入內(nèi)網(wǎng)。 “9.11”恐怖襲擊事件后,美國政府提出建立獨立于Internet的政府專用網(wǎng)GOVNET。邏輯隔離:是指兩個網(wǎng)絡(luò)之間通過專用的計算機設(shè)備連接,這個計算機通過執(zhí)行一定的安全策略,從而控制兩個網(wǎng)絡(luò)之間信息包的流入和流出。最常用的設(shè)備是防火墻。內(nèi)網(wǎng)隔離器外網(wǎng)= 第二節(jié) 電子政務(wù)信息安全整體解決方案 電子政務(wù)信息安全整體解決方案內(nèi)容按照網(wǎng)絡(luò)構(gòu)成類型的不同,又可分解為:政務(wù)內(nèi)網(wǎng)安全解決方案政務(wù)外網(wǎng)安全解決方案內(nèi)網(wǎng)防火墻外網(wǎng)服務(wù)器工
31、作站工作站社會管理與服務(wù)部委局域網(wǎng)政府專網(wǎng)物理隔離邏輯隔離因特網(wǎng)邏輯隔離47個地方政府內(nèi)外網(wǎng)的結(jié)構(gòu):整合統(tǒng)一的電子政務(wù)網(wǎng)絡(luò)電子政務(wù)中的內(nèi)外網(wǎng)隔離電子政務(wù)外網(wǎng)統(tǒng)一的基礎(chǔ)傳輸平臺省委辦公廳省直委辦廳局(上述機構(gòu)的下屬職能部門)省法院省檢察院省政府辦公廳省政協(xié)省人大廣域政務(wù)外網(wǎng)省委其他部門省委統(tǒng)戰(zhàn)部省委宣傳部省委組織部省電子政務(wù)網(wǎng)絡(luò)管理中心XX地州市電子政務(wù)網(wǎng)管中心XX地州市電子政務(wù)網(wǎng)管中心XX縣電子政務(wù)網(wǎng)管中心XX區(qū)電子政務(wù)網(wǎng)管中心XX縣電子政務(wù)網(wǎng)管中心XX區(qū)電子政務(wù)網(wǎng)管中心云南省電子政務(wù)外網(wǎng)規(guī)劃示意圖= 第二節(jié) 電子政務(wù)信息安全整體解決方案 電子政務(wù)信息安全整體解決方案內(nèi)容政務(wù)內(nèi)網(wǎng)安全內(nèi)網(wǎng)安全集
32、中表現(xiàn)在應(yīng)用系統(tǒng)的安全和數(shù)據(jù)信息的安全上。應(yīng)用系統(tǒng)自身的安全隱患第一,如何認(rèn)證用戶的身份。通過身份認(rèn)證系統(tǒng)來解決。第二,如何對合法用戶進行授權(quán),根據(jù)安全策略的要求,允許其訪問特定的資源。通過權(quán)限管理來解決。第三,如何防止繞開應(yīng)用系統(tǒng)非法訪問數(shù)據(jù)。通過數(shù)據(jù)加密來解決。繞開應(yīng)用系統(tǒng)對數(shù)據(jù)進行直接訪問的安全隱患。電子政務(wù)信息一般存放在數(shù)據(jù)庫或文件系統(tǒng)中,通過應(yīng)用系統(tǒng)進行操作。但是,應(yīng)用系統(tǒng)安全并不等于數(shù)據(jù)安全。病毒對政務(wù)內(nèi)網(wǎng)的應(yīng)用系統(tǒng)和數(shù)據(jù)的安全隱患。應(yīng)注意應(yīng)用系統(tǒng)和數(shù)據(jù)的備份,并保證備份文件和原文件的物理隔離,使系統(tǒng)被病毒感染造成的損失降至最低限度。= 第二節(jié) 電子政務(wù)信息安全整體解決方案針對上述
33、三點原因,電子政務(wù)內(nèi)網(wǎng)采用的安全手段有訪問控制、應(yīng)用系統(tǒng)安全保證和防病毒三種。其中,訪問控制通過對網(wǎng)絡(luò)區(qū)域邊界的劃分、訪問身份和地址的控制,來防止非法訪問和越界訪問;應(yīng)用系統(tǒng)安全手段有身份認(rèn)證(用戶名、密碼的身份認(rèn)證、數(shù)字證書認(rèn)證)、權(quán)限管理(資源誰可以操作,誰不能操作的控制)和數(shù)據(jù)信息加密/解密操作等;病毒防治要求提供桌面、服務(wù)器和Internet網(wǎng)關(guān)的集成的防病毒系統(tǒng) ,對所有潛在的病毒進入點實行全面保護。 此外,內(nèi)網(wǎng)的安全管理包括機房的安全制度、服務(wù)器的安全審計制度、訪問控制策略和網(wǎng)絡(luò)服務(wù)器安全控制等。 = 第二節(jié) 電子政務(wù)信息安全整體解決方案 2政務(wù)外網(wǎng)安全目前的網(wǎng)絡(luò)攻擊可分為三類:探
34、測式攻擊、訪問攻擊和拒絕服務(wù)攻擊。 探測式攻擊實際上是信息采集活動,黑客通過這種攻擊搜集網(wǎng)絡(luò)數(shù)據(jù),用于以后進一步攻擊網(wǎng)絡(luò)。通常,探測器和掃描器等軟件工具被用于了解網(wǎng)絡(luò)資源情況,尋找目標(biāo)網(wǎng)絡(luò)、主機和應(yīng)用中的潛在漏洞。訪問攻擊用于發(fā)現(xiàn)身份認(rèn)證服務(wù)、文件傳輸協(xié)議(FTP)功能等網(wǎng)絡(luò)領(lǐng)域的漏洞,以訪問電子郵件帳號、數(shù)據(jù)庫和其他保密信息。拒絕服務(wù)攻擊可以防止用戶對于部分或全部計算機系統(tǒng)的訪問。它們的實現(xiàn)方法通常是:向某個連接到專網(wǎng)或者Internet的設(shè)備發(fā)送大量的雜亂的或者無法控制的數(shù)據(jù),從而讓正常的訪問無法到達(dá)該主機。更惡毒的是分布式拒絕服務(wù)攻擊,這種攻擊會危及到多個設(shè)備或者主機的安全。外部網(wǎng)絡(luò)安全
35、外部網(wǎng)絡(luò)INTERNET入侵檢測防病毒訪問控制訪問控制防病毒漏洞掃描網(wǎng)站服務(wù)器主機審查外部網(wǎng)絡(luò)安全文件監(jiān)控網(wǎng)站網(wǎng)頁的監(jiān)控自動監(jiān)控 JIT-Keeper可按照用戶規(guī)定的掃描策略自動檢測所監(jiān)控文件系統(tǒng)(主要指Web服務(wù)器)。 自動報警 JIT-Keeper可對系統(tǒng)運行期間出現(xiàn)的通信中斷、監(jiān)控目錄下文件或目錄的非法創(chuàng)建、刪除與修改等異常情況進行自動報警。 自動恢復(fù) JIT-Keeper自動恢復(fù)監(jiān)控目錄下文件或目錄的非法創(chuàng)建、刪除與修改,而無需人工干預(yù)。外部網(wǎng)絡(luò)外部網(wǎng)絡(luò)安全防病毒外部網(wǎng)絡(luò)網(wǎng)站服務(wù)器INTERNET主機審查日志審查、用戶管理系統(tǒng)訪問、系統(tǒng)資源系統(tǒng)管理員外部網(wǎng)絡(luò)安全網(wǎng)絡(luò)結(jié)構(gòu)訪問控制外部網(wǎng)絡(luò)
36、網(wǎng)站服務(wù)器INTERNET包過濾技術(shù) 代理服務(wù)技術(shù) 多級的過濾技術(shù) 網(wǎng)絡(luò)地址轉(zhuǎn)換技術(shù) 安全服務(wù)器網(wǎng)絡(luò)(SSN)審計和告警 用戶鑒別與加密 1234防火墻外部網(wǎng)絡(luò)安全入侵檢測外部網(wǎng)絡(luò)監(jiān)視用戶和系統(tǒng)的運行狀況,查找非法用戶和合法用戶的越權(quán)操作。檢測系統(tǒng)配置的正確性和安全漏洞,并提示管理員修補漏洞。對用戶的非正?;顒舆M行統(tǒng)計分析,發(fā)現(xiàn)入侵行為的規(guī)律。檢查系統(tǒng)程序和數(shù)據(jù)的一致性與正確性。如計算和比較文件系統(tǒng)的校驗和能夠?qū)崟r對檢測到的入侵行為進行反應(yīng)。外部網(wǎng)絡(luò)安全入侵檢測IDS(Intrusion Detection System )入侵檢測技術(shù)是為保證計算機系統(tǒng)的安全而設(shè)計與配置的一種能夠及時發(fā)現(xiàn)并報
37、告系統(tǒng)中未授權(quán)或異?,F(xiàn)象的技術(shù),是一種用于檢測計算機網(wǎng)絡(luò)中違反安全策略行為的技術(shù)。違反安全策略的行為有:入侵非法用戶的違規(guī)行為;濫用用戶的違規(guī)行為。專業(yè)郵件安全網(wǎng)關(guān)外部網(wǎng)絡(luò)安全防病毒外部網(wǎng)絡(luò)1.桌面防毒:提供對所有桌面客戶 機的多平臺保護。2.服務(wù)器防毒:保護所有文件、應(yīng) 用程序和群件服務(wù)器。3.網(wǎng)關(guān)防毒:在網(wǎng)關(guān)上鎖住病毒和 有敵意的Java、ActiveX程序。防病毒KSG:領(lǐng)先的蠕蟲過濾技術(shù)IntranetInternetWormKSGWorm 蠕蟲代碼傳播(SMTP,POP3,HTTP,FTP) 蠕蟲動態(tài)攻擊 (數(shù)據(jù)包)過濾!阻斷!Trojan 蠕蟲種植的 木馬活動阻止!蠕蟲特征碼入侵阻
38、斷特征碼外部網(wǎng)絡(luò)安全訪問控制(Access Control)是通過一組機制來控制不同級別的主體對受保護的資源客體的不同級別的授權(quán)訪問。具體地說,主體可能包括網(wǎng)絡(luò)用戶、用戶組、終端、主機或者應(yīng)用程序等等對網(wǎng)絡(luò)資源進行訪問的實體。資源客體可能包括主機、設(shè)備、程序、數(shù)據(jù)、目錄等等受訪問的實體。訪問控制就是要在這些主體和客體之間建立可否訪問、可以如何訪問的關(guān)系,將絕大多數(shù)攻擊阻止在到達(dá)攻擊目標(biāo)之前。 網(wǎng)站服務(wù)器訪問控制用戶控制權(quán)限控制日志檢查流量控制資源控制外部網(wǎng)絡(luò)從技術(shù)層面分析物理層信息安全問題。主要是物理通路的損壞、物理通路的竊聽、對物理通路的攻擊(干擾等)。鏈路層的網(wǎng)絡(luò)安全是通過網(wǎng)絡(luò)鏈路傳送的數(shù)
39、據(jù)被竊聽。網(wǎng)絡(luò)層的安全是非法用戶與非授權(quán)的客戶的非法使用,而造成網(wǎng)絡(luò)路由錯誤,信息被攔截或監(jiān)聽。操作系統(tǒng)安全是主要安全問題。目前流行的許多操作系統(tǒng)均存在網(wǎng)絡(luò)安全漏洞,如unix服務(wù)器、NT服務(wù)器及Windows桌面PC。要求保證客戶資料、操作系統(tǒng)訪問控制的安全,同時能夠?qū)υ谠摬僮飨到y(tǒng)上的應(yīng)用進行審計。應(yīng)用平臺安全是人們沒有太重視的部分。事實上在網(wǎng)絡(luò)系統(tǒng)之上的應(yīng)用軟件服務(wù),如數(shù)據(jù)庫服務(wù)器、電子郵件服務(wù)器、Web服務(wù)器等均存在大量的安全隱患,很容易受到病毒、黑客的攻擊。應(yīng)用系統(tǒng)做為直接面向最終用戶的層面,其安全問題最多,包括規(guī)范化操作、合法性使用、系統(tǒng)本身安全漏洞、信息泄露、信息篡改、信息抵賴、信
40、息假冒等等。從技術(shù)層面分析操作系統(tǒng)的選擇1、方便性,易用性和易維護性 2、常用操作系統(tǒng): Windows、UNIX、Linux 3、國產(chǎn)的中文linux在價格上占有很大優(yōu)勢 很難為不熟悉電腦的普通工作人員所接受4、桌面:Windows 服務(wù)器:中文Linux 或 Windows從技術(shù)層面分析數(shù)據(jù)庫的選擇 根據(jù)具體的應(yīng)用環(huán)境要求和數(shù)據(jù)量的大小可以做出選擇好多種關(guān)系數(shù)據(jù)庫管理系統(tǒng)。對于小型數(shù)據(jù)庫系統(tǒng)或單機應(yīng)用環(huán)境,可以選擇Visual Fox Pro或Microsoft Access數(shù)據(jù)庫;對于中等規(guī)模的數(shù)據(jù)庫系統(tǒng),可以選擇 Microsoft SQL Server或 Sysbase、Mysql等
41、;對于大型數(shù)據(jù)庫系統(tǒng) Oracle數(shù)據(jù)庫為首選。 在選擇數(shù)據(jù)庫管理系統(tǒng)時還要考慮操作系統(tǒng)的支持,如在Microsoft Windows 環(huán)境下 Visual Fox Pro、Microsoft Access、SQL Server等可以運行得很好;在Unix操作系統(tǒng)下一般選用 Oracle數(shù)據(jù)庫;在Linux免費操作系統(tǒng)下可選擇性能很好的數(shù)據(jù)庫管理系統(tǒng)Mysql。DB數(shù)據(jù)庫技術(shù)從技術(shù)層面分析防病毒軟件的選擇Norton著名的金山軟件公司的金山毒霸瑞星電腦科技開發(fā)有限責(zé)任公司的瑞星殺毒防火墻的選擇東軟-NETEYE億陽-網(wǎng)警天網(wǎng)天融信東方龍馬 從技術(shù)層面分析應(yīng)用系統(tǒng)安全 采用以CA認(rèn)證中心系統(tǒng)為核
42、心的PKI體系,實現(xiàn):身份識別 數(shù)據(jù)信息的保密數(shù)據(jù)信息的完整數(shù)據(jù)信息的真實不可抵賴(不可否認(rèn))系統(tǒng)結(jié)構(gòu)網(wǎng)絡(luò)安全防護體系網(wǎng)絡(luò)安全防護體系構(gòu)架網(wǎng)絡(luò)安全評估安全防護網(wǎng)絡(luò)安全服務(wù)系統(tǒng)漏洞掃描網(wǎng)絡(luò)管理評估病毒防護體系網(wǎng)絡(luò)監(jiān)控數(shù)據(jù)保密網(wǎng)絡(luò)訪問控制應(yīng)急服務(wù)體系安全技術(shù)培訓(xùn)數(shù)據(jù)恢復(fù)從管理層面分析管理組織不完善:由于網(wǎng)絡(luò)安全是一個相對較新的問題,絕大多數(shù)單位由于各種原因并沒有一個實際的安全管理組織。因此,具體的安全管理任務(wù)就沒有辦法落實到人,從而造成有了問題沒有人管,即便管了也沒有明確的責(zé)權(quán),而不能真正落實。管理規(guī)范未建立:對一件事情的管理由于沒有真正的責(zé)權(quán)人,就很難談得上有什么管理規(guī)范,大多數(shù)都是有一些并不完
43、整的制度,而安全是一個整體工程,不完整的管理幾乎等于不管。技術(shù)管理不到位:技術(shù)管理大概是目前問題最少的,這是因為幾乎所有的系統(tǒng)建設(shè)時都有一定的管理制度,但是這些基本上是網(wǎng)絡(luò)管理和應(yīng)用系統(tǒng)的用戶管理,真正的安全管理基本上是空白,因為大多數(shù)單位只是考慮防火墻、防病毒等基本技術(shù)安全措施,并沒有提高到管理的程度。日常管理更是幾乎空白:從計算機的日常使用(如網(wǎng)絡(luò)共享管理不嚴(yán))到信息保存(如秘書為領(lǐng)導(dǎo)打印的密件不加密)、流轉(zhuǎn)(如領(lǐng)導(dǎo)干部的任免審批過程被擴散)、到歸檔資料的處理(如系統(tǒng)開發(fā)文檔未確定借閱限制)、甚至包括應(yīng)用系統(tǒng)用戶的權(quán)限變更(如人員調(diào)離單位未注銷帳戶)等處處存在漏洞。= 第二節(jié) 電子政務(wù)信息
44、安全整體解決方案外網(wǎng)可以利用入侵檢測系統(tǒng)、漏洞掃描、主機審查進行防黑客處理,并同時運用文件監(jiān)控系統(tǒng)對網(wǎng)站進行監(jiān)控。如果條件允許,可利用防火墻控制網(wǎng)站與Internet的直接相連,制約黑客對網(wǎng)站的直接攻擊。所采用的安全技術(shù)主要包括:提供網(wǎng)站主頁防篡改和電子文檔防偽功能的文件監(jiān)控系統(tǒng),用于防止對網(wǎng)站主頁和電子文檔的人為破壞、病毒入侵等任何形式的篡改;能監(jiān)視網(wǎng)絡(luò)或操作系統(tǒng)上的可疑行為,并做出策略反應(yīng)的入侵檢測系統(tǒng),它能幫助系統(tǒng)對付網(wǎng)絡(luò)攻擊;采用模擬攻擊形式對目標(biāo)可能存在的已知安全漏洞進行逐項檢查的漏洞掃描器。外網(wǎng)安全管理則主要依靠建立網(wǎng)絡(luò)安全管理制度、信息發(fā)布登記制度和信息內(nèi)容審核制度。 安徽省安慶
45、市城域光纖網(wǎng)拓?fù)鋱D信息化整體安全電子政務(wù)安全體系技術(shù)體系組織體系管理體系服務(wù)體系通信平臺安全網(wǎng)絡(luò)平臺安全系統(tǒng)平臺安全應(yīng)用平臺安全應(yīng)用系統(tǒng)安全決策組織日常管理機構(gòu)執(zhí)行維護單元法規(guī)與政策安全管理制度日常服務(wù)應(yīng)急響應(yīng)災(zāi)難恢復(fù)= 第二節(jié) 電子政務(wù)信息安全整體解決方案 數(shù)據(jù)交換安全電子政務(wù)數(shù)據(jù)的傳遞不能像在一個網(wǎng)絡(luò)環(huán)境下一樣便捷,因此,需要采用安全的數(shù)據(jù)交換技術(shù)??梢酝ㄟ^安全島來實現(xiàn)內(nèi)外網(wǎng)間信息的過濾和兩個網(wǎng)絡(luò)間的物理隔離,從而在內(nèi)外網(wǎng)間實現(xiàn)安全的數(shù)據(jù)交換。隔離網(wǎng)閘(GAP)技術(shù)是實現(xiàn)安全島的關(guān)鍵技術(shù),它如同一個高速開關(guān)在內(nèi)外網(wǎng)間來回切換,同一時刻內(nèi)外網(wǎng)間沒有連接,處于物理隔離狀態(tài)。在此基礎(chǔ)上,隔離網(wǎng)閘
46、作為代理,從外網(wǎng)的網(wǎng)絡(luò)訪問包中抽取出數(shù)據(jù),然后通過反射開關(guān)轉(zhuǎn)入內(nèi)網(wǎng),完成數(shù)據(jù)中轉(zhuǎn)。針對電子政務(wù)的安全特性,有兩種觀點及操作方法。一是技術(shù)隔離,二是物理隔離。內(nèi)網(wǎng)與外網(wǎng)安全數(shù)據(jù)交換外部網(wǎng)絡(luò)網(wǎng)站服務(wù)器內(nèi)部網(wǎng)絡(luò)工作站防病毒INTERNET介質(zhì)交換前置機= 第二節(jié) 電子政務(wù)信息安全整體解決方案 二、電子政務(wù)信息技術(shù)安全解決方案電子政務(wù)信息技術(shù)安全體系構(gòu)成要素安全保障要素安全防御要素安全監(jiān)控要素安全認(rèn)證要素= 第二節(jié) 電子政務(wù)信息安全整體解決方案電子政務(wù)信息安全技術(shù)入侵檢測IDS(Intrusion Detection System )入侵檢測技術(shù)是為保證計算機系統(tǒng)的安全而設(shè)計與配置的一種能夠及時發(fā)現(xiàn)并
47、報告系統(tǒng)中未授權(quán)或異?,F(xiàn)象的技術(shù),是通過從計算機網(wǎng)絡(luò)或計算機系統(tǒng)中的若干關(guān)鍵點收集信息并對其進行分析,以發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和遭到攻擊的跡象。違反安全策略的行為有:入侵非法用戶的違規(guī)行為;濫用用戶的違規(guī)行為。入侵檢測是對透過防火墻的網(wǎng)絡(luò)或操作系統(tǒng)上的可疑行為進行檢測,做出相應(yīng)的策略反應(yīng)(記錄、報警、阻斷),并通過各種途徑通知網(wǎng)絡(luò)管理員,最大程度地保障系統(tǒng)安全。入侵檢測系統(tǒng)主要通過以下幾種活動來完成任務(wù):監(jiān)視、分析用戶及系統(tǒng)活動;對系統(tǒng)配置和弱點進行審計;識別與已知的攻擊模式匹配的活動;對異?;顒幽J竭M行統(tǒng)計分析;評估重要系統(tǒng)和數(shù)據(jù)文件的完整性;對操作系統(tǒng)進行審計跟蹤管理,識
48、別用戶違反安全策略的行為。除此之外,有的入侵檢測系統(tǒng)還能夠自動安裝廠商提供的安全補丁軟件,并自動記錄有關(guān)入侵者的信息。入侵陷阱技術(shù)是通過設(shè)置誘餌,將入侵者引入圈套,從而捕獲入侵者的技術(shù)。2.漏洞掃描查找網(wǎng)絡(luò)安全漏洞、評估并提出修改建議的網(wǎng)絡(luò)安全掃描工具。主機型安全漏洞掃描器數(shù)據(jù)庫安全漏洞掃描器網(wǎng)絡(luò)型安全漏洞掃描器INTERNET數(shù)據(jù)庫3.病毒防治病毒的概念: 計算機病毒是一種特殊的程序,它能夠?qū)ψ陨磉M行復(fù)制和傳播,而且往往是在用戶不知情的情況下進行。病毒的特征: 1傳染性 2未經(jīng)授權(quán)而執(zhí)行 3隱蔽性 4潛伏性 5破壞性 網(wǎng)絡(luò)病毒新特點: 1破壞性強 2傳播性強 3具有潛伏性和可激發(fā)性 4針對性
49、強 5擴散面廣網(wǎng)絡(luò)安全防病毒內(nèi)部網(wǎng)絡(luò)防病毒防病毒訪問控制訪問控制信息加密信息加密包括信息傳輸加密和信息存儲加密等內(nèi)容。訪問控制訪問控制主要是利用操作系統(tǒng)設(shè)置和利用專用設(shè)備兩種手段。操作系統(tǒng)一般都提供用戶管理、文件權(quán)限管理的功能,通過對操作系統(tǒng)的合理設(shè)置來實現(xiàn)訪問控制。專用設(shè)備中最常用的是防火墻。網(wǎng)絡(luò)安全訪問控制服務(wù)器操作系統(tǒng)進行訪問控制用戶控制權(quán)限控制日志檢查流量控制資源控制內(nèi)部網(wǎng)絡(luò)防火墻網(wǎng)絡(luò)安全訪問控制通過防火墻進行訪問控制地址控制(地址過濾)數(shù)據(jù)包控制(包過濾)流量控制內(nèi)部網(wǎng)絡(luò)防火墻= 第二節(jié) 電子政務(wù)信息安全整體解決方案電子政務(wù)信息安全技術(shù)和產(chǎn)品選擇第一,對于核心應(yīng)用系統(tǒng)和關(guān)鍵政務(wù)環(huán)節(jié),
50、必須確保在各類實施方案中的技術(shù)自主性;第二,對于位于核心層外部,但又與其他外部信息系統(tǒng)(如Internet)存在一定可監(jiān)控的隔絕層的層次,可以盡量采用先進技術(shù)以提高系統(tǒng)的效率和可靠性;第三,對于直接與外部信息系統(tǒng)相連的部分,也要針對不同情況分別加以考慮,對于其中安全監(jiān)控系統(tǒng),需要在其中的核心部分(如核心加密算法)確保技術(shù)自主;第四,其余部分,由于所承載的信息基本都屬于非關(guān)鍵信息,并且需要與其他信息系統(tǒng)的接口保持通信協(xié)議、數(shù)據(jù)格式甚至軟件體系的一致性,安全問題相對較小。= 第二節(jié) 電子政務(wù)信息安全整體解決方案安全技術(shù)和產(chǎn)品的選擇標(biāo)準(zhǔn)是:安全、標(biāo)準(zhǔn)性兼容性成熟性先進性國內(nèi)自主知識產(chǎn)權(quán)產(chǎn)品經(jīng)濟性用戶
51、/事件源運作支持部門內(nèi)部信息安全事件響應(yīng)小組業(yè)務(wù)部門及外部相關(guān)組織準(zhǔn)備階段安全事件檢測匯報信息收集一次評估真實?二次評估真實?檢測分析階段抑制根除和恢復(fù)階段誤報鑒證分析溝通交流事件是否可控?根除恢復(fù)抑制后續(xù)響應(yīng)立即響應(yīng)啟動緊急處理流程事后活動階段緊急處理活動否是是否否是否是總結(jié)改進時間第三節(jié) 我國電子政務(wù)信息安全管理組織 一、機構(gòu)格局 維護國家信息安全是全社會的共同職責(zé),公安部、國家安全部、國家保密局、國家密碼管理委員會、國家技術(shù)監(jiān)督局和信息產(chǎn)業(yè)部等各主管部門的管理職能尤為重要。我國的信息安全管理工作的機構(gòu)格局如下: 國務(wù)院信息化領(lǐng)導(dǎo)小組對Internet安全中的重大問題進行管理協(xié)調(diào),國務(wù)院信
52、息化領(lǐng)導(dǎo)小組辦公室作為Internet安全工作的辦事機構(gòu),負(fù)責(zé)組織、協(xié)調(diào)和制定有關(guān)Internet安全的政策、法規(guī)和標(biāo)準(zhǔn),并檢查監(jiān)督其執(zhí)行情況。 政府有關(guān)信息安全的其他管理和執(zhí)法部門,如公安部、國家安全部、國家保密局、國家密碼管理委員會和國務(wù)院新聞辦公室等,分別依據(jù)其職能和權(quán)限進行信息安全的管理和執(zhí)法活動。電子政務(wù)建設(shè)組織管理= 第三節(jié) 我國電子政務(wù)信息安全管理組織公安部主管全國計算機系統(tǒng)安全保護工作。其中,公安部公共信息網(wǎng)絡(luò)安全監(jiān)察局負(fù)責(zé)計算機信息系統(tǒng)安全專用產(chǎn)品的生產(chǎn)銷售認(rèn)證許可;公安部計算機信息系統(tǒng)安全產(chǎn)品質(zhì)量監(jiān)督檢驗中心作為國家法定的檢測機構(gòu),承擔(dān)國內(nèi)計算機信息系統(tǒng)安全產(chǎn)品和同類進口產(chǎn)
53、品的質(zhì)量監(jiān)督檢驗工作,對送檢單位提供的送檢樣品和技術(shù)資料嚴(yán)格保密。根據(jù)中華人民共和國計算機信息系統(tǒng)安全保護條例和公安部計算機信息系統(tǒng)安全專用產(chǎn)品檢測和銷售許可證管理辦法之規(guī)定,公安部于1998年8月10日起對在中華人民共和國境內(nèi)銷售的計算機信息系統(tǒng)安全專用產(chǎn)品中的網(wǎng)絡(luò)安全類、訪問控制類和鑒別類產(chǎn)品頒發(fā)銷售許可證(產(chǎn)品分類可參閱計算機信息系統(tǒng)安全專用產(chǎn)品分類原則GA1631997中的C30、C52和C70)。公安部計算機信息系統(tǒng)安全產(chǎn)品質(zhì)量監(jiān)督檢驗中心是公安部認(rèn)可的對上述產(chǎn)品的惟一法定發(fā)證檢測機構(gòu)。 = 第三節(jié) 我國電子政務(wù)信息安全管理組織國家安全部主管計算機信息網(wǎng)絡(luò)國際聯(lián)網(wǎng)的國家安全保護管理工
54、作。 國家保密局主管全國計算機信息系統(tǒng)的保密工作。 國家密碼管理委員會主管密碼算法與設(shè)備的審批和使用工作。 國務(wù)院新聞辦公室負(fù)責(zé)信息內(nèi)容的監(jiān)察。 有關(guān)信息安全技術(shù)的檢測和網(wǎng)上技術(shù)偵查由國家授權(quán)的部門進行,如天津市計算機防治病毒產(chǎn)品質(zhì)量檢驗站和鐵道部產(chǎn)品質(zhì)量監(jiān)督檢驗中心通信信號檢驗站。 = 第三節(jié) 我國電子政務(wù)信息安全管理組織在目前情況下,公安部、國家安全部、國家保密局、國家密碼管理委員會、國務(wù)院新聞辦公室、國家技術(shù)監(jiān)督局和信息產(chǎn)業(yè)部都擔(dān)負(fù)有一定的維護國家信息安全的任務(wù),有些方面還有一定的交叉,這就更需要這些部門圍繞維護信息安全這一中心任務(wù),形成一個有機的整體,通過明確分工,各司其職,嚴(yán)格執(zhí)法,
55、強化監(jiān)管,組成一個維護信息安全的有效系統(tǒng)。各部門必須密切協(xié)調(diào)和配合,既避免部門間的沖突,又不留任何工作“漏洞”,不給破壞者任何可乘之機。此外,各部門應(yīng)在相應(yīng)的法律和法規(guī)的授權(quán)范圍內(nèi)依法定期進行安全檢查,進行法律和安全教育,加強對信息安全產(chǎn)品的研制和管理,以及為發(fā)現(xiàn)、追蹤和查處通過計算機信息網(wǎng)絡(luò)進行的違法和犯罪行為實行實時的網(wǎng)絡(luò)監(jiān)控,并不斷研制先進的網(wǎng)絡(luò)監(jiān)控和網(wǎng)上追蹤技術(shù)及相關(guān)設(shè)備。 = 第三節(jié) 我國電子政務(wù)信息安全管理組織為了確保信息技術(shù)與產(chǎn)品的安全,我國根據(jù)國際慣例,由中央批準(zhǔn)成立、國家質(zhì)量監(jiān)督檢驗檢疫總局授權(quán),成立了中國信息安全產(chǎn)品測評認(rèn)證中心,負(fù)責(zé)國家信息安全測評認(rèn)證工作,包括信息安全產(chǎn)
56、品、信息系統(tǒng)、信息安全服務(wù)資質(zhì)和信息安全人員的四類認(rèn)證。經(jīng)過幾年的工作,中國信息安全產(chǎn)品測評認(rèn)證中心已對百余種產(chǎn)品和系統(tǒng)進行了測評,其中有140多項產(chǎn)品和系統(tǒng)先后通過了國家認(rèn)證。2001年度信息安全產(chǎn)品政府采購指南(簡稱指南)正式出版發(fā)行。該指南主要介紹了1999年2001年期間通過中國信息安全產(chǎn)品測評認(rèn)證中心認(rèn)證的國內(nèi)外108個信息安全產(chǎn)品,包括防火墻產(chǎn)品、入侵檢測產(chǎn)品、安全審計產(chǎn)品、安全操作系統(tǒng)、電信智能卡等十一類產(chǎn)品;指南還介紹了國內(nèi)外信息安全認(rèn)證制度和評估標(biāo)準(zhǔn);同時,指南介紹了中國信息安全產(chǎn)品測評認(rèn)證管理委員會章程和管理辦法、中央和地方以及證券等行業(yè)對信息安全產(chǎn)品認(rèn)證的相關(guān)政策與法規(guī)以
57、及中國信息安全產(chǎn)品測評認(rèn)證中心的組織機構(gòu)和認(rèn)證業(yè)務(wù)。中國信息安全產(chǎn)品測評認(rèn)證中心承諾今后將每年推出最新的信息安全產(chǎn)品政府采購指南,持續(xù)為政府部門提供信息安全采購的指導(dǎo)和決策建議,保證我國電子政務(wù)建設(shè)的健康發(fā)展。= 第三節(jié) 我國電子政務(wù)信息安全管理組織二、方針政策我國信息安全管理的基本方針是“興利除弊,集中監(jiān)控,分級管理,保障國家安全”。 國家信息化領(lǐng)導(dǎo)小組關(guān)于我國電子政務(wù)建設(shè)指導(dǎo)意見(中辦發(fā)200217號)提出我國電子政務(wù)建設(shè)必須堅持的四條原則,其中之一是“統(tǒng)一標(biāo)準(zhǔn),保障安全。加快制定統(tǒng)一的電子政務(wù)標(biāo)準(zhǔn)規(guī)范,大力推進統(tǒng)一標(biāo)準(zhǔn)的貫徹落實。要正確處理發(fā)展與安全的關(guān)系,綜合平衡成本和效益,一手抓電子
58、政務(wù)建設(shè),一手抓網(wǎng)絡(luò)與信息安全,制定并完善電子政務(wù)網(wǎng)絡(luò)與信息安全保障體系?!? 第三節(jié) 我國電子政務(wù)信息安全管理組織(一 )關(guān)于電子政務(wù)標(biāo)準(zhǔn)管理標(biāo)準(zhǔn)化是我國電子政務(wù)建設(shè)的基礎(chǔ)性工作,是電子政務(wù)系統(tǒng)實現(xiàn)互聯(lián)互通、信息共享、業(yè)務(wù)協(xié)同、安全可靠的前提。當(dāng)前,電子政務(wù)建設(shè)缺乏統(tǒng)一的標(biāo)準(zhǔn),共享性較差,缺乏系統(tǒng)間的接口和數(shù)據(jù)交換機制,各級地方政府和部門在開展電子政務(wù)時往往各自為政,采用的標(biāo)準(zhǔn)各不相同,造成信息共享困難,并不能真正實現(xiàn)數(shù)據(jù)的深層挖掘、分析及決策支持等功能。2002年1月,為有效支撐我國電子政務(wù)工程的建設(shè),加快電子政務(wù)標(biāo)準(zhǔn)的研究和制定工作,國務(wù)院信息化工作辦公室和國家標(biāo)準(zhǔn)化管理委員會在京成立了
59、電子政務(wù)標(biāo)準(zhǔn)化總體組,全面啟動電子政務(wù)標(biāo)準(zhǔn)化工作。國家電子政務(wù)標(biāo)準(zhǔn)化總體組致力于提出我國電子政務(wù)的標(biāo)準(zhǔn)體系框架和實施計劃,組織制定電子政務(wù)建設(shè)需要的標(biāo)準(zhǔn),參與解決我國電子政務(wù)網(wǎng)絡(luò)建設(shè)和應(yīng)用過程中產(chǎn)生的互聯(lián)互通問題和其他與標(biāo)準(zhǔn)有關(guān)的問題等。成立后,總體組提出了我國電子政務(wù)首批26個標(biāo)準(zhǔn)研究制定項目,由總體組主持研究制定的電子政務(wù)標(biāo)準(zhǔn)體系和電子政務(wù)標(biāo)準(zhǔn)化指南第一部分已完成第一版。這些文件闡述了電子政務(wù)標(biāo)準(zhǔn)化的意義、電子政務(wù)標(biāo)準(zhǔn)化的組織結(jié)構(gòu)和工作思路、電子政務(wù)標(biāo)準(zhǔn)體系和近期需要開展的標(biāo)準(zhǔn)項目,并給出了電子政務(wù)標(biāo)準(zhǔn)項目的管理辦法,標(biāo)志著我國電子政務(wù)標(biāo)準(zhǔn)化工作已經(jīng)正式啟動。= 第三節(jié) 我國電子政務(wù)信息安
60、全管理組織電子政務(wù)標(biāo)準(zhǔn)體系包括總體標(biāo)準(zhǔn)、應(yīng)用標(biāo)準(zhǔn)、應(yīng)用支撐標(biāo)準(zhǔn)、網(wǎng)絡(luò)基礎(chǔ)設(shè)施標(biāo)準(zhǔn)、信息安全標(biāo)準(zhǔn)、管理標(biāo)準(zhǔn)??傮w標(biāo)準(zhǔn)包括電子政務(wù)總體性、框架性、基礎(chǔ)性的標(biāo)準(zhǔn)和規(guī)范;應(yīng)用標(biāo)準(zhǔn)包括各種電子政務(wù)應(yīng)用方面的標(biāo)準(zhǔn),主要有數(shù)據(jù)元、代碼、電子公文格式和流程控制等方面的標(biāo)準(zhǔn);應(yīng)用支撐標(biāo)準(zhǔn),包括為各種電子政務(wù)應(yīng)用提供支撐和服務(wù)的標(biāo)準(zhǔn),主要有信息交換平臺、電子公文交換、電子記錄管理、日志管理和數(shù)據(jù)庫等方面的標(biāo)準(zhǔn);信息安全標(biāo)準(zhǔn)包括為電子政務(wù)提供安全服務(wù)所需的各類標(biāo)準(zhǔn),主要有安全級別管理、身份鑒定、訪問控制管理、加密算法、數(shù)字簽名和公共基礎(chǔ)設(shè)施等方面的標(biāo)準(zhǔn);網(wǎng)絡(luò)基礎(chǔ)設(shè)施標(biāo)準(zhǔn)包括為電子政務(wù)提供基礎(chǔ)通信平臺的標(biāo)準(zhǔn),主要有基
溫馨提示
- 1. 本站所有資源如無特殊說明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請下載最新的WinRAR軟件解壓。
- 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
- 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁內(nèi)容里面會有圖紙預(yù)覽,若沒有圖紙預(yù)覽就沒有圖紙。
- 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
- 5. 人人文庫網(wǎng)僅提供信息存儲空間,僅對用戶上傳內(nèi)容的表現(xiàn)方式做保護處理,對用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯,并不能對任何下載內(nèi)容負(fù)責(zé)。
- 6. 下載文件中如有侵權(quán)或不適當(dāng)內(nèi)容,請與我們聯(lián)系,我們立即糾正。
- 7. 本站不保證下載資源的準(zhǔn)確性、安全性和完整性, 同時也不承擔(dān)用戶因使用這些下載資源對自己和他人造成任何形式的傷害或損失。
最新文檔
- 2024煤炭管道運輸合同規(guī)范范本及風(fēng)險評估3篇
- 2024橋梁工程橋梁加固設(shè)計與施工合同3篇
- 2025版鋼板租賃及租賃保險服務(wù)協(xié)議3篇
- 二零二五年度個人教育借款合同3篇
- 2025年度寵物用品店經(jīng)營權(quán)及產(chǎn)品開發(fā)合同3篇
- 2024年度擔(dān)保人變更擔(dān)保公司服務(wù)合同3篇
- 2025年配混合飼料項目可行性研究報告
- 2025年度創(chuàng)新型創(chuàng)業(yè)項目合伙協(xié)議補充條款
- 2025年度XX醫(yī)院醫(yī)院康復(fù)治療聘用合同樣本3篇
- 2025年中國醫(yī)療器械行業(yè)市場調(diào)研分析及投資戰(zhàn)略咨詢報告
- 110kVGIS設(shè)備狀態(tài)評價細(xì)則
- 中小學(xué)數(shù)學(xué)學(xué)科德育實施指導(dǎo)綱要
- 并聯(lián)無功補償項目節(jié)約電量的計算中國電力企業(yè)聯(lián)合會
- 《病毒》教學(xué)設(shè)計
- 路面基層允許彎沉值計算+彎沉系數(shù)圖+允許彎沉值計算公式
- 連鑄意外事故處理
- 國家開放大學(xué)(中央廣播電視大學(xué))報名登記表【模板】
- 新職業(yè)英語1-基礎(chǔ)篇-Unit 3(課堂PPT)
- 公司各部門協(xié)作情況互評表滿意度調(diào)查表
- 第二章水準(zhǔn)測量PPT課件
- 長輸管道原油輸送基本知識
評論
0/150
提交評論