网站安全建设方案.doc

政府门户网站是“政务公开”和“服务型政府”两大主导思想, 在落实过程中所必须凭借的重要平台,在未来的电子政务规划中,政府门户网站必将占有非常重要的地位。国家正在逐步推进信息安全等级保护工作, 这一国家层面的信息安全标准, 已成为未来在电子政务安全建设中的重要保障。绿盟科技特别推出的“政府门户网站等级保护解决方案”以业界最为出色的技术底蕴和对等级保护的深刻理解, 为政府客户最需要保障之处,提供了最可靠的信心保证。政府门户网站的信息安全需求政府门户网站的地位非常重要, 但其安全形势却不容乐观。据统计, 仅在 2007 年, 就有 3000 余个政府门户网站发生过网页被篡改的事件,严重影响了政府的对外形象。随着电子政务建设的逐步推进, 政府门户网站所承载业务的数量在逐步增加, 网站被入侵或篡改所带来的危害将不仅仅限于“政府形象”的损害, 甚至能会造成巨大的经济损失,或者严重的社会问题。对于政府网站所面临的主要风险,总结如下: ?页面被篡改政府门户网站作为“政府形象”的标志之一, 常常是一些不法分子的重点攻击对象。政府门户网站一旦被篡改( 加入一些敏感的显性内容) ,常常会引发较大的影响,严重时甚至会造成政治事件。另外一种篡改方式是网页挂马:网页内容表面上没有任何异常, 却可能被偷偷的挂上了木马程序。网页挂马虽然未必会给网站带来直接损害, 但却会给浏览网站的用户带来损失。更重要的是, 政府网站一旦被挂马, 其权威性和公信力将会受到打击, 最终给电子政务的普及带来重大影响。?在线业务被攻击对企业、公众提供在线服务, 已经成为政府门户网站的重要功能。这些服务一旦受到拒绝服务攻击而瘫痪、终止, 对业务的正常运转必然造成极大的影响, 可能会造成经济损失, 严重时甚至会影响社会稳定。在线业务系统中,总是需要保存一些企业、公众的相关资料,这些资料往往涉及到企业秘密和个人隐私, 一旦泄露, 会造成企业或个人的利益受损,可能会给网站带来严重的法律纠纷。政府门户网站虽然和政府的办公网络之间有逻辑隔离设备, 但仍有可能被手段高明的黑客入侵, 从而盗取一些敏感材料, 或对电子政务应用系统造成破坏。以上的总结仅仅是对政府门户网站主要安全需求的简单总结,事实上, 政府门户网站要达到真正的安全, 需要建立一个完善细致的安全防护体系, 不仅要在技术上建立事前、事中和事后的纵深防御系统, 还需要建立良好的信息安全管理制度。下文将结合信息安全等级保护政策,提出整体建议方案。绿盟科技政府门户网站等级保护解决方案出于对信息安全的重视, 国家出台了信息安全等级保护的一系列文件和标准,用以促进和指导信息安全的建设。年6月 22 日,公安部与国家保密局、密码管理局、国务院信息办联合会签并印发了《信息安全等级保护管理办法》( 公通字[2007]4 3 号) ,确定了信息安全等级保护制度的基本内容及各项工作要求。年7月 16 日,四部委联合会签并下发了《关于开展全国重要信息系统安全等级保护定级工作的通知》( 公信安[2007]861 号), 就定级范围、定级工作主要内容、定级工作要求等事项进行了通知。号文和 861 号文这两个主要文件的出台, 标志着信息安全等级保护工作在全国范围内进入推广实施阶段。针对政府门户网站的安全需求, 以及信息安全等级保护相关文件和标准, 绿盟科技以安全服务为主线, 提出了符合等级保护要求的政府门户网站整体安全解决方案。根据《信息系统安全等级保护实施指南》中所给出的等级保护的建设过程( 如图 1 所示), 可以看到等级保护并不是一个“一劳永逸”的孤立项目,而是一个连续不断,周而复始的“过程”。要实现这样一个过程, 就必须要以安全服务为主线, 从门户网站的安全评估、差距评估等咨询性服务开始, 到整体安全规划、解决方案设计等设计性服务, 最终以运维支持、应急响应等持续的技术性服务为政府门户网站提供一个符合等级保护精神的安全保障体系。上图所示的各阶段都分别对应多个安全服务, 限于篇幅, 不能一一尽述,下面就各阶段中的主要部分做简要介绍。安全定级阶段安全服务政府门户网站安全定级和备案阶段的安全服务包括等级保护导入、信息系统辅助定级、协助用户完成备案等几部分。这些安全服务的目标是通过培训, 使客户方有关人员了解等级保护的内容和过程, 并按照定级指南要求对门户网站进行定级, 最终帮助用户完成备案工作。绿盟科技具备丰富的系统定级和备案经验, 能够为政府门户网站进行准确定级,并顺利完成备案工作。安全规划设计阶段安全服务安全规划设计阶段的安全服务包括安全需求导出、信息系统风险评估、等级保护差距评估、安全建设整体规划和安全基线指标设计等。安全需求导出服务的目标主要是为门户网站导出真正的安全需求。不同网站的规模、访问量、部署模式、政务公开信息的频度、在线业务的重要程度都各不相同