第8章電子政務(wù)安全管理課件

第8章電子政務(wù)安全管理2023/8/14第8章電子政務(wù)安全管理第8章電子政務(wù)安全管理2023/8/1第8章電子政務(wù)安全管理11、電子政務(wù)的安全概述1.1電子政務(wù)安全的重要性保護(hù)國(guó)家信息安全的需要。保護(hù)個(gè)人信息特別是私密信息的需要保護(hù)信息系統(tǒng)和政務(wù)網(wǎng)站不被侵入的需要第8章電子政務(wù)安全管理1、電子政務(wù)的安全概述1.1電子政務(wù)安全的重要性第8章電子政2第8章電子政務(wù)安全管理第8章電子政務(wù)安全管理3第8章電子政務(wù)安全管理第8章電子政務(wù)安全管理4第8章電子政務(wù)安全管理第8章電子政務(wù)安全管理5面臨的主要安全問題：黑客入侵和犯罪病毒泛濫和蔓延信息間諜的潛入和竊密內(nèi)部人員的違規(guī)和違法操作電子政府第8章電子政務(wù)安全管理面臨的主要安全問題：信息間諜的潛入和竊密內(nèi)部人員的違規(guī)和違法61.2我國(guó)電子政務(wù)安全的現(xiàn)狀缺乏安全意識(shí)信息與網(wǎng)絡(luò)安全防護(hù)能力較弱缺乏一系列的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)第8章電子政務(wù)安全管理1.2我國(guó)電子政務(wù)安全的現(xiàn)狀缺乏安全意識(shí)第8章電子政務(wù)安全管7電子政務(wù)安全問題產(chǎn)生的原因電子政務(wù)系統(tǒng)對(duì)網(wǎng)絡(luò)的高度依賴安全技術(shù)的缺陷（股票系統(tǒng)、千年蟲問題）網(wǎng)絡(luò)的開放性管理的漏洞第8章電子政務(wù)安全管理電子政務(wù)安全問題產(chǎn)生的原因電子政務(wù)系統(tǒng)對(duì)網(wǎng)安全技術(shù)的缺陷網(wǎng)81.3電子政務(wù)安全分類技術(shù)風(fēng)險(xiǎn)管理風(fēng)險(xiǎn)信息的可用性信息的完整性信息的保密性信息的可控性信息的不可抵賴性第8章電子政務(wù)安全管理1.3電子政務(wù)安全分類技術(shù)風(fēng)險(xiǎn)第8章電子政務(wù)安全管理9按攻擊手段分類

系統(tǒng)穿透

指未經(jīng)授權(quán)人通過一定手段對(duì)認(rèn)證系統(tǒng)進(jìn)行攻擊，假冒合法用戶接入政府內(nèi)部系統(tǒng)，實(shí)現(xiàn)對(duì)文件進(jìn)行篡改、竊取機(jī)密信息、非法使用資源等違反授權(quán)植入通信監(jiān)視通信串?dāng)_中斷拒絕服務(wù)否認(rèn)指入侵者要在系統(tǒng)中設(shè)置一種能力，為以后攻擊提供方便條件。植入一般在系統(tǒng)穿透或違反授權(quán)攻擊成功后，采取向系統(tǒng)中注入病毒等

指授權(quán)進(jìn)入系統(tǒng)做某件事的用戶，在系統(tǒng)中進(jìn)行未經(jīng)授權(quán)的其他事情指攻擊者對(duì)系統(tǒng)可用性進(jìn)行攻擊，使系統(tǒng)不能正常工作指在通信過程中從信道進(jìn)行搭線竊聽

指攻擊者對(duì)通信數(shù)據(jù)或通信過程進(jìn)行干預(yù)，對(duì)完整性進(jìn)行攻擊，篡改系統(tǒng)中數(shù)據(jù)的內(nèi)容，修正消息次序、時(shí)間，注入偽造消息

指合法接入者所進(jìn)行的正當(dāng)行為無辜受阻

指一個(gè)實(shí)體進(jìn)行某種通信或交易活動(dòng)后否認(rèn)曾進(jìn)行過這一活動(dòng)

（1）技術(shù)風(fēng)險(xiǎn)第8章電子政務(wù)安全管理按系統(tǒng)穿透指未經(jīng)授權(quán)人通過一定手段對(duì)認(rèn)證系統(tǒng)進(jìn)行攻擊，假冒10組織及人員風(fēng)險(xiǎn)管理制度不完善安全策略有漏洞缺乏應(yīng)急體系（2）管理風(fēng)險(xiǎn)一些安全保密管理制度第8章電子政務(wù)安全管理組織及人員風(fēng)險(xiǎn)管理制度不完善安全策略有漏洞缺乏應(yīng)急體系112.電子政務(wù)安全管理體系電子政務(wù)安全管理體系技術(shù)支撐體系物理安全網(wǎng)絡(luò)安全系統(tǒng)及應(yīng)用安全運(yùn)行管理體系行政管理安全策略管理風(fēng)險(xiǎn)管理基礎(chǔ)保障體系第三方安全服務(wù)提供商PKI認(rèn)證平臺(tái)電子政務(wù)安全法規(guī)電子政務(wù)安全標(biāo)準(zhǔn)第8章電子政務(wù)安全管理2.電子政務(wù)安全管理體系電子政務(wù)安全管理體系技術(shù)支撐體系物理122.1電子政務(wù)技術(shù)支撐體系1物理安全2網(wǎng)絡(luò)安全3.系統(tǒng)和應(yīng)用安全第8章電子政務(wù)安全管理2.1電子政務(wù)技術(shù)支撐體系1物理安全第8章電子政務(wù)安全管理131.物理安全：就是保證對(duì)物理設(shè)施的合法訪問，避免人為破壞，并將自然災(zāi)難的影響降到最低。物理安全線路設(shè)備安全

環(huán)境安全

存儲(chǔ)媒體安全

第8章電子政務(wù)安全管理1.物理安全：就是保證對(duì)物理設(shè)施的合法訪問，避免人為破141）隔離技術(shù)：政府內(nèi)網(wǎng)政府外網(wǎng)互聯(lián)網(wǎng)網(wǎng)絡(luò)安全指網(wǎng)絡(luò)通信的安全性，政府內(nèi)網(wǎng)、外網(wǎng)和公網(wǎng)之間的隔離，界定訪問權(quán)限等。物理隔離，采用隔離網(wǎng)閘技術(shù)邏輯隔離，包括VLAN、訪問控制、VPN、防火墻、身份識(shí)別、代理服務(wù)器2.網(wǎng)絡(luò)安全：網(wǎng)絡(luò)安全指網(wǎng)絡(luò)通信的安全性，政府內(nèi)網(wǎng)、外網(wǎng)和公網(wǎng)之間的隔離，界定訪問權(quán)限等。第8章電子政務(wù)安全管理1）隔離技術(shù)：政府內(nèi)網(wǎng)政府外網(wǎng)互聯(lián)網(wǎng)網(wǎng)絡(luò)安全指網(wǎng)絡(luò)通信的安全15源文件（明文）解密后的信息（明文）加密后的信息（密文）加密后的信息（密文）密鑰加密因特網(wǎng)密鑰解密數(shù)據(jù)加密過程

加密技術(shù)第8章電子政務(wù)安全管理源文件解密后的信息（明文）加密后的信息（密文）加密后的信息（16對(duì)稱密鑰加密技術(shù)不對(duì)稱密鑰加密技術(shù)對(duì)稱加密，是指使用同一把密鑰對(duì)信息加密、信息解密。一個(gè)加密系統(tǒng)的加密密鑰和解密密鑰相同，或者雖然不同，但可以由其中一個(gè)推導(dǎo)另一個(gè)，則為對(duì)稱密鑰密碼體制。加密和解密的速度很快，效率也很高，但需要仔細(xì)保存密鑰，其保密性主要取決于密鑰本身的保密強(qiáng)度和密鑰傳送通道的安全性。

加密技術(shù)第8章電子政務(wù)安全管理對(duì)稱密鑰加密技術(shù)不對(duì)稱密鑰加密技術(shù)加密技術(shù)第8章電子政務(wù)安全17對(duì)稱密鑰加密技術(shù)不對(duì)稱密鑰加密技術(shù)不對(duì)稱加密又稱為公開密鑰加密，是1976年由斯坦福大學(xué)提出來的。與對(duì)稱密鑰系統(tǒng)相比，公開密鑰加密技術(shù)需要使用一對(duì)相關(guān)的密鑰：一個(gè)用來加密，另一個(gè)用來解密。該技術(shù)的設(shè)想是，密鑰對(duì)是與相應(yīng)的系統(tǒng)聯(lián)系在一起的，其中私有密鑰是由系統(tǒng)所保密持有的，而公開密鑰則是公開的，但知道公開密鑰是不能推導(dǎo)出私有密鑰的。加密技術(shù)第8章電子政務(wù)安全管理對(duì)稱密鑰加密技術(shù)不對(duì)稱密鑰加密技術(shù)加密技術(shù)第8章電子政務(wù)安全18防火墻防火墻（firewall）是指一個(gè)由軟件和硬件設(shè)備組合而成，處于組織內(nèi)網(wǎng)和外網(wǎng)的通道之間，用來加強(qiáng)互聯(lián)網(wǎng)與內(nèi)部網(wǎng)絡(luò)之間安全防范的一個(gè)或一組系統(tǒng)。它具有限制外界用戶對(duì)組織內(nèi)部網(wǎng)絡(luò)訪問及管理內(nèi)部用戶訪問外部服務(wù)。第8章電子政務(wù)安全管理防火墻19一切未被允許的都是禁止的防火墻的安全策略

一切未被禁止的都是允許的防火墻第8章電子政務(wù)安全管理一切未被允許的都是禁止的防火墻的安全策略一切未被禁止的都是20防火墻的分類共同缺點(diǎn)：依賴特定的邏輯判斷是否允許數(shù)據(jù)包通過，這不利于抗擊非法訪問和攻擊。這是針對(duì)數(shù)據(jù)包過濾和應(yīng)用網(wǎng)關(guān)技術(shù)存在的缺點(diǎn)而引入的防火墻技術(shù)，其特點(diǎn)是將所有跨越防火墻的網(wǎng)絡(luò)通信鏈路分為兩段。數(shù)據(jù)包過濾防火墻代理服務(wù)器型防火墻應(yīng)用級(jí)網(wǎng)關(guān)型防火墻防火墻第8章電子政務(wù)安全管理防火墻的分類共同缺點(diǎn)：依賴特定的邏輯判斷是否允許數(shù)據(jù)包通過21防火墻的局限性

有OS和軟件，就有漏洞很難防護(hù)新出現(xiàn)的病毒安全性和速度成反比無法阻止病毒在內(nèi)部傳播防火墻第8章電子政務(wù)安全管理防火墻的局限性有OS和軟件，就有漏洞很難防護(hù)新出現(xiàn)的病毒安223.OS系統(tǒng)和應(yīng)用安全防病毒系統(tǒng)漏洞掃描系統(tǒng)

安全認(rèn)證

入侵檢測(cè)系統(tǒng)入侵檢測(cè)系統(tǒng)（IntrusionDetectionSystems,IDS）是依照一定的安全策略，對(duì)網(wǎng)絡(luò)、系統(tǒng)的運(yùn)行狀況進(jìn)行監(jiān)視，盡可能發(fā)現(xiàn)各種攻擊企圖、攻擊行為或者攻擊結(jié)果，以保證網(wǎng)絡(luò)系統(tǒng)資源的機(jī)密性、完整性和可用性。第8章電子政務(wù)安全管理3.OS系統(tǒng)和應(yīng)用安全防病毒系統(tǒng)漏洞掃描系統(tǒng)安全認(rèn)證入侵23防病毒系統(tǒng)漏洞掃描系統(tǒng)

安全認(rèn)證

入侵檢測(cè)系統(tǒng)計(jì)算機(jī)病毒是指編制或在計(jì)算機(jī)程序中插入的破壞計(jì)算機(jī)功能或者毀壞數(shù)據(jù)，影響計(jì)算機(jī)使用，并能自我復(fù)制的一組計(jì)算機(jī)指令或者程序代碼。計(jì)算機(jī)病毒有主動(dòng)傳染性、隱藏性、欺騙性、破壞性、衍生性等特點(diǎn)。第8章電子政務(wù)安全管理防病毒系統(tǒng)漏洞掃描系統(tǒng)安全認(rèn)證入侵檢測(cè)系統(tǒng)計(jì)算機(jī)病毒是指24防病毒系統(tǒng)漏洞掃描系統(tǒng)

安全認(rèn)證

入侵檢測(cè)系統(tǒng)防病毒技術(shù)分為主機(jī)防病毒和網(wǎng)絡(luò)防病毒。主機(jī)防病毒主要是安裝防病毒軟件，對(duì)電腦文件訪問實(shí)時(shí)監(jiān)測(cè)，發(fā)現(xiàn)病毒就立即清除或修復(fù)。網(wǎng)絡(luò)防病毒通常由安全提供商提供一整套的解決方案，進(jìn)行全面的防護(hù)。第8章電子政務(wù)安全管理防病毒系統(tǒng)漏洞掃描系統(tǒng)安全認(rèn)證入侵檢測(cè)系統(tǒng)防病毒技術(shù)分為25防病毒系統(tǒng)漏洞掃描系統(tǒng)

安全認(rèn)證

入侵檢測(cè)系統(tǒng)漏洞掃描系統(tǒng)的功能：動(dòng)態(tài)分析系統(tǒng)的安全漏洞，檢查用戶網(wǎng)絡(luò)中的安全隱患，發(fā)布檢測(cè)報(bào)告、提供有關(guān)漏洞的詳細(xì)信息和最佳解決對(duì)策。案例12：微軟的漏洞

第8章電子政務(wù)安全管理防病毒系統(tǒng)漏洞掃描系統(tǒng)安全認(rèn)證入侵檢測(cè)系統(tǒng)漏洞掃描系統(tǒng)的26防病毒系統(tǒng)漏洞掃描系統(tǒng)

安全認(rèn)證

入侵檢測(cè)系統(tǒng)用戶訪問系統(tǒng)之前必須經(jīng)過身份認(rèn)證，系統(tǒng)根據(jù)用戶身份和授權(quán)決定用戶能否訪問某個(gè)資源。第8章電子政務(wù)安全管理防病毒系統(tǒng)漏洞掃描系統(tǒng)安全認(rèn)證入侵檢測(cè)系統(tǒng)用戶訪問系統(tǒng)之272.2電子政務(wù)安全運(yùn)營(yíng)管理體系1安全運(yùn)營(yíng)組織結(jié)構(gòu)2安全運(yùn)營(yíng)規(guī)章制度3安全運(yùn)營(yíng)的內(nèi)容第8章電子政務(wù)安全管理2.2電子政務(wù)安全運(yùn)營(yíng)管理體系1安全運(yùn)營(yíng)組織結(jié)構(gòu)第8章電子政28安全領(lǐng)導(dǎo)小組安全專家小組日常信息安全管理辦公室日常安全維護(hù)工作小組決策組織制定工作方案，下達(dá)具體工作，監(jiān)督管理下級(jí)工作日常安全維護(hù)工作單位，完成具體的安全維護(hù)工作應(yīng)急響應(yīng)工作小組處理突發(fā)事件，實(shí)施應(yīng)急響應(yīng)方案，恢復(fù)系統(tǒng)正常運(yùn)行信息應(yīng)急響應(yīng)管理辦公室1.安全組織機(jī)構(gòu)第8章電子政務(wù)安全管理安全領(lǐng)導(dǎo)小組安全專家小組日常信息安全日常安全維護(hù)決策組織制定29安全機(jī)構(gòu)的職責(zé)：（1）對(duì)整個(gè)電子政務(wù)系統(tǒng)進(jìn)行整體的安全規(guī)劃，制定整體的安全解決方案。（2）制定安全管理制度、安全策略、應(yīng)急方策略等；（3）監(jiān)控網(wǎng)絡(luò)的安全性，監(jiān)督安全方案的實(shí)施情況；（4）評(píng)估風(fēng)險(xiǎn)，及時(shí)提出修改、彌補(bǔ)方案。第8章電子政務(wù)安全管理安全機(jī)構(gòu)的職責(zé)：（1）對(duì)整個(gè)電子政務(wù)系統(tǒng)進(jìn)行整體的安全規(guī)劃，302.安全管理制度安全人員管理制度；系統(tǒng)安全運(yùn)行維護(hù)管理制度；密鑰管理制度；保密制度；訪問控制管理制度等。第8章電子政務(wù)安全管理2.安全管理制度安全人員管理制度；第8章電子政務(wù)安全管理31（1）實(shí)體的安全管理（2）密鑰的安全管理（3）風(fēng)險(xiǎn)管理（4）應(yīng)急管理3.安全運(yùn)營(yíng)管理的內(nèi)容第8章電子政務(wù)安全管理（1）實(shí)體的安全管理3.安全運(yùn)營(yíng)管理的內(nèi)容第8章電子政務(wù)安全322.3電子政務(wù)安全的基礎(chǔ)保障體系1法律法規(guī)2安全標(biāo)準(zhǔn)3PKI認(rèn)證平臺(tái)4.PMI第8章電子政務(wù)安全管理2.3電子政務(wù)安全的基礎(chǔ)保障體系1法律法規(guī)第8章電子政務(wù)安全332.電子政務(wù)安全標(biāo)準(zhǔn)建設(shè)電子政務(wù)安全標(biāo)準(zhǔn)規(guī)范：電子文檔密級(jí)及標(biāo)記格式密碼算法標(biāo)準(zhǔn)、密鑰管理標(biāo)準(zhǔn)PKI/CA標(biāo)準(zhǔn)、PMI標(biāo)準(zhǔn)、信息系統(tǒng)安全評(píng)估標(biāo)準(zhǔn)和網(wǎng)絡(luò)安全產(chǎn)品測(cè)評(píng)標(biāo)準(zhǔn)第8章電子政務(wù)安全管理2.電子政務(wù)安全標(biāo)準(zhǔn)建設(shè)電子政務(wù)安全標(biāo)準(zhǔn)規(guī)范：第8章電子政343.公鑰基礎(chǔ)認(rèn)證平臺(tái)PKI（PublicKeyInfrastructure）公鑰基礎(chǔ)平臺(tái)采用數(shù)字證書，通過第三方的可信任機(jī)構(gòu)——認(rèn)證中心CA（CertificationAuthority），將用戶公鑰和用戶標(biāo)識(shí)捆綁，提供身份驗(yàn)證的機(jī)制。第8章電子政務(wù)安全管理3.公鑰基礎(chǔ)認(rèn)證平臺(tái)PKI（PublicKeyInfra35PKI的基本組成數(shù)字證書庫密鑰備份及恢復(fù)系統(tǒng)證書管理系統(tǒng)應(yīng)用接口（API）公鑰基礎(chǔ)認(rèn)證平臺(tái)第8章電子政務(wù)安全管理PKI的基本組成數(shù)字證書庫密鑰備份及恢復(fù)系統(tǒng)證書管理系統(tǒng)應(yīng)用364.特權(quán)管理認(rèn)證平臺(tái)PMI:PriviliegeManagementInfrastructure特權(quán)管理基礎(chǔ)平臺(tái)，建立在PKI基礎(chǔ)上，接受用戶的委托對(duì)終端用戶實(shí)施權(quán)限控制，實(shí)現(xiàn)用戶身份到應(yīng)用授權(quán)的映射功能。第8章電子政務(wù)安全管理4.特權(quán)管理認(rèn)證平臺(tái)PMI:PriviliegeManag37PKI與PMI之間的比較第8章電子政務(wù)安全管理PKI與PMI之間的比較第8章電子政務(wù)安全管理38PKI（構(gòu)建信息安全平臺(tái)，提供智能化的信任服務(wù)）PMI（構(gòu)建授權(quán)管理平臺(tái)，在PKI信息安全平臺(tái)的基礎(chǔ)上提供智能化的授權(quán)服務(wù)）DMS（目錄管理體系：提供政務(wù)信息資源發(fā)現(xiàn)、定位功能、及相關(guān)應(yīng)用的系統(tǒng)。）國(guó)家信息安全基礎(chǔ)設(shè)施（NISI）