前言：想要寫出一篇令人眼前一亮的文章嗎？我們特意為您整理了5篇稅務(wù)信息安全范文，相信會(huì)為您的寫作帶來(lái)幫助，發(fā)現(xiàn)更多的寫作思路和靈感。

稅務(wù)信息安全范文第1篇

關(guān)鍵詞:稅務(wù)系統(tǒng);信息安全;安全策略

中圖分類號(hào):TP393文獻(xiàn)標(biāo)識(shí)碼:A文章編號(hào):1009-3044(2009)36-10406-02

On the Information Security Policy and Management of Tax Information Management System

HUANG Jian-qun

(Xi'an Shiyou University, Xi'an 710065, China)

Abstract: In this paper, first, points out that information on the importance of the tax system through the presentation of tax information management systems, Concludes with the tax information security and management solutions, The program in improving safety and reliability of tax information has some referential significance.

Key words: tax systems; information security; security policy

稅收是國(guó)家財(cái)政收入的重要途徑,相關(guān)的稅務(wù)系業(yè)務(wù)要求其具有準(zhǔn)確性、公證性和完整性的特點(diǎn),因此保證稅務(wù)信息系統(tǒng)的安全性意義重大。稅務(wù)系統(tǒng)作為電子政務(wù)系統(tǒng)的一部分,屬國(guó)家基礎(chǔ)信息建設(shè),其基本特點(diǎn)是:網(wǎng)絡(luò)地域廣、信息系統(tǒng)服務(wù)對(duì)象復(fù)雜;稅務(wù)信息具有數(shù)據(jù)集中、安全性要求高;應(yīng)用系統(tǒng)的種類較多,網(wǎng)絡(luò)系統(tǒng)安全設(shè)備數(shù)量大,種類多,管理難度大。

稅務(wù)系統(tǒng)是一個(gè)及其龐大復(fù)雜的系統(tǒng),從業(yè)務(wù)上有國(guó)稅、地稅之分,從地域來(lái)說(shuō)又有國(guó)家級(jí)、省級(jí)、地市級(jí)、區(qū)縣四級(jí)。網(wǎng)絡(luò)結(jié)點(diǎn)眾多、網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)出口不計(jì)其數(shù)、操作系統(tǒng)種類繁多、應(yīng)用系統(tǒng)五花八門、網(wǎng)絡(luò)機(jī)構(gòu)極其復(fù)雜。面對(duì)如此復(fù)雜的系統(tǒng),其內(nèi)部安全隱患隨處可見(jiàn),經(jīng)過(guò)不斷的研究和探索,目前已經(jīng)積累了大量解決稅務(wù)系統(tǒng)信息基礎(chǔ)設(shè)施安全的方法和經(jīng)驗(yàn),形成一整套稅務(wù)系統(tǒng)的安全保障方法,相關(guān)安全保障的體系也在不斷完善和發(fā)展中。

1 網(wǎng)絡(luò)信息安全在稅務(wù)系統(tǒng)中的重要性

計(jì)算機(jī)軟硬件技術(shù)的發(fā)展和互聯(lián)網(wǎng)技術(shù)的普及,為電子稅務(wù)的發(fā)展奠定了基礎(chǔ)。尤其是國(guó)家金稅工程的建設(shè)和應(yīng)用,使稅務(wù)部門在遏止騙稅和稅款流失上取得了顯著成效。電子稅務(wù)可以最大限度地確保國(guó)家的稅收收入,但卻面臨著系統(tǒng)安全性的難題。

雖然我國(guó)稅務(wù)信息化建設(shè)自開(kāi)始金稅工程以來(lái),取得了長(zhǎng)足進(jìn)步,極大提高了稅務(wù)工作效率和質(zhì)量。但稅務(wù)系統(tǒng)本身也暴露出了一系列要改進(jìn)的問(wèn)題,各種應(yīng)用軟件自成體系、重復(fù)開(kāi)發(fā)、信息集中程度低。隨著信息化水平的不斷提高,基于信息網(wǎng)絡(luò)及計(jì)算機(jī)的犯罪事件也日益增加。稅務(wù)系統(tǒng)所面臨的信息網(wǎng)絡(luò)安全威脅不容忽視。建立稅務(wù)管理信息化網(wǎng)絡(luò)安全體系,要求人們必須提高對(duì)網(wǎng)絡(luò)安全重要性的認(rèn)識(shí),增強(qiáng)防范意識(shí),加強(qiáng)網(wǎng)絡(luò)安全管理,采取先進(jìn)有效的技術(shù)防范措施。

2 稅務(wù)系統(tǒng)安全建設(shè)

如何保證信息在傳遞過(guò)程中的安全性對(duì)稅務(wù)系統(tǒng)來(lái)說(shuō)至關(guān)重要,任何網(wǎng)絡(luò)設(shè)備或者解決方案的漏洞都會(huì)對(duì)稅務(wù)系統(tǒng)造成很大影響。如何成功處理信息安全問(wèn)題,使國(guó)家稅務(wù)系統(tǒng)在充分利用信息技術(shù)的同時(shí),保障系統(tǒng)的安全,對(duì)稅務(wù)系統(tǒng)建設(shè)具有極大意義。信息安全的建設(shè)涉及到信息賴以存在和傳遞的一切設(shè)施和環(huán)境。構(gòu)筑這個(gè)體系的目的是保證信息的安全,不僅需要信息技術(shù)的努力與突破,還需要相關(guān)政策、法律、管理等方面提供的有力保障,同時(shí)也需要提高操作信息系統(tǒng)的工作人員的安全意識(shí)。

2.1 稅務(wù)系統(tǒng)安全防護(hù)體系

稅務(wù)系統(tǒng)安全防護(hù)體系保證了系統(tǒng)在生命期內(nèi)處于動(dòng)態(tài)的安全狀態(tài),確保系統(tǒng)功能正確,不受系統(tǒng)規(guī)模變化的影響,性能滿意,具有良好的互操作性和強(qiáng)有力的生存能力等。

稅務(wù)信息系統(tǒng)安全模型提供了必要的安全服務(wù)和措施,增加了動(dòng)態(tài)特性,強(qiáng)調(diào)了各因素之間關(guān)系的重要性。該模型是一種實(shí)時(shí)的、動(dòng)態(tài)的安全理論模型,是實(shí)施信息安全保障的基礎(chǔ)。在模型基礎(chǔ)上建立安全體系架構(gòu)隨著環(huán)境和時(shí)間改變,框架和技術(shù)將會(huì)主動(dòng)實(shí)時(shí)動(dòng)態(tài)的調(diào)整,從而確保稅務(wù)系統(tǒng)的信息安全。

2.2 稅務(wù)系統(tǒng)風(fēng)險(xiǎn)評(píng)估

稅務(wù)系統(tǒng)信息安全保障的目的是確保系統(tǒng)的信息免受威脅,但絕對(duì)的安全并不可能實(shí)現(xiàn),只能通過(guò)一定的控制措施將系統(tǒng)受到威脅的可能性降到一個(gè)可接受的范圍內(nèi)。風(fēng)險(xiǎn)評(píng)估是對(duì)信息及信息處理設(shè)施的威脅、影響、脆弱性及三者發(fā)生的可能性的評(píng)估。風(fēng)險(xiǎn)評(píng)估用來(lái)確認(rèn)稅務(wù)系統(tǒng)的安全風(fēng)險(xiǎn)及大小,即利用適當(dāng)?shù)娘L(fēng)險(xiǎn)評(píng)估技術(shù),確定稅務(wù)系統(tǒng)資產(chǎn)的風(fēng)險(xiǎn)等級(jí)和優(yōu)先風(fēng)險(xiǎn)控制順序。

風(fēng)險(xiǎn)評(píng)估是信息安全管理體系的基礎(chǔ),為降低網(wǎng)絡(luò)的風(fēng)險(xiǎn)、實(shí)施風(fēng)險(xiǎn)管理及風(fēng)險(xiǎn)控制提供了直接依據(jù)。系統(tǒng)風(fēng)險(xiǎn)評(píng)估貫穿于系統(tǒng)整個(gè)生命期的始終,是系統(tǒng)安全保障討論最為重要的一個(gè)環(huán)節(jié)。

3 稅務(wù)信息系統(tǒng)整體安全構(gòu)架

一般稅務(wù)信息系統(tǒng)所采用的安全架構(gòu)模型如圖1所示。

從安全結(jié)構(gòu)模型可以看出,該安全架構(gòu)主要分為三部分:網(wǎng)絡(luò)系統(tǒng)基礎(chǔ)防御體系、應(yīng)用安全體系和安全管理體系。網(wǎng)絡(luò)系統(tǒng)基礎(chǔ)防御體系是一個(gè)最基本的安全體系,主要從物理級(jí)、網(wǎng)絡(luò)級(jí)、系統(tǒng)級(jí)幾個(gè)層次采取一系列統(tǒng)一的安全措施,為信息系統(tǒng)的所有應(yīng)用提供一個(gè)基礎(chǔ)的、安全的網(wǎng)絡(luò)系統(tǒng)運(yùn)行環(huán)境。

該體系的主要安全建設(shè)范圍如下:

1) 物理級(jí)安全:主要提供對(duì)系統(tǒng)內(nèi)部關(guān)鍵設(shè)備、線路、存儲(chǔ)介質(zhì)的物理運(yùn)行環(huán)境安全,確保系統(tǒng)能正常工作。

2) 網(wǎng)絡(luò)級(jí)安全:在網(wǎng)絡(luò)層上,提供對(duì)系統(tǒng)內(nèi)部網(wǎng)絡(luò)系統(tǒng)、廣域網(wǎng)連接和遠(yuǎn)程訪問(wèn)網(wǎng)絡(luò)的運(yùn)行安全保障,確保各類應(yīng)用系統(tǒng)能在統(tǒng)一的網(wǎng)絡(luò)安全平臺(tái)上可靠地運(yùn)作。

3) 系統(tǒng)級(jí)安全:主要是從操作系統(tǒng)的角度考慮系統(tǒng)安全措施,防止不法分子利用操作系統(tǒng)的一些BUG、后門取得對(duì)系統(tǒng)的非法操作權(quán)限。

4 信息安全管理策略

4.1 安全管理平臺(tái)

信息安全管理的總體原則是“沒(méi)有明確表述為允許的都被認(rèn)為是被禁止的”。信息安全管理實(shí)行安全等級(jí)保護(hù)制度,制定安全等級(jí)劃分標(biāo)準(zhǔn)和安全等級(jí)的保護(hù)辦法。從管理的角度,將系統(tǒng)中的各類安全管理工具統(tǒng)一到一個(gè)平臺(tái),并對(duì)各種安全事件、報(bào)警、監(jiān)控做統(tǒng)一處理,發(fā)現(xiàn)各類安全問(wèn)題的相關(guān)性,按照預(yù)定義的安全策略,進(jìn)行自動(dòng)的流程化處理,從而大為縮短發(fā)現(xiàn)問(wèn)題、解決問(wèn)題的時(shí)間,減少了人工操作的工作量,提高安全管理工作的效率。

通過(guò)技術(shù)手段,構(gòu)建一個(gè)專門的安全管理平臺(tái),將各類安全管理工具集成在這個(gè)統(tǒng)一的平臺(tái)上,對(duì)信息系統(tǒng)整體安全架構(gòu)的實(shí)施進(jìn)行實(shí)時(shí)監(jiān)視并對(duì)發(fā)現(xiàn)的問(wèn)題或安全漏洞從技術(shù)角度進(jìn)行分析,為安全管理策略的調(diào)整提供建議和反饋信息。統(tǒng)一的安全管理平臺(tái)將有助于各種安全管理技術(shù)手段的相互補(bǔ)充和有效發(fā)揮,也便于從系統(tǒng)整體的角度來(lái)進(jìn)行安全的監(jiān)視和管理,從而提高安全管理工作的效率。

4.2 物理安全策略

物理安全是對(duì)計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)中的設(shè)備、設(shè)施及相關(guān)的數(shù)據(jù)存儲(chǔ)介質(zhì)提供的安全保護(hù),使其免受各類自然災(zāi)害及人為導(dǎo)致的破壞。物理安全防范是系統(tǒng)安全架構(gòu)的基礎(chǔ),對(duì)系統(tǒng)的正常運(yùn)行具有重要的作用。

當(dāng)然,信息系統(tǒng)安全不是一成不變的,它是一個(gè)動(dòng)態(tài)的過(guò)程。隨著安全攻擊和防范技術(shù)的發(fā)展,安全策略也必須分階段進(jìn)行調(diào)整。日常的安全工作要靠合理的制度和對(duì)制度的遵守來(lái)實(shí)現(xiàn)。只有建立良好的信息安全管理機(jī)制,做到技術(shù)與管理良好配合,才能長(zhǎng)期、有效地防范信息系統(tǒng)的風(fēng)險(xiǎn)。

5 網(wǎng)絡(luò)信息安全所采取的主要措施

目前網(wǎng)絡(luò)信息安全所采取的主要措施是使用一系列的安全技術(shù)來(lái)防止對(duì)信息系統(tǒng)的非授權(quán)使用。討論稅務(wù)系統(tǒng)安全策略問(wèn)題時(shí),相關(guān)人員往往傾向于防火墻、入侵檢測(cè)系統(tǒng)等實(shí)際的安全設(shè)備。其實(shí),造成系統(tǒng)安全問(wèn)題的本質(zhì)是稅務(wù)信息系統(tǒng)本身存在脆弱性。任何信息系統(tǒng)都不可避免的存在或多或少的脆弱性,而且這些脆弱性都是潛在的,無(wú)法預(yù)知。系統(tǒng)出現(xiàn)脆弱性的根本原因是由于系統(tǒng)的復(fù)雜性使得系統(tǒng)存在脆弱性的風(fēng)險(xiǎn)成正比,系統(tǒng)越復(fù)雜,系統(tǒng)存在的脆弱性的風(fēng)險(xiǎn)就越大,反之亦然。

安全防御的總策略為:1)建立網(wǎng)絡(luò)邊界和安全域防護(hù)系統(tǒng),防止來(lái)自系統(tǒng)外部的攻擊和對(duì)內(nèi)部安全訪問(wèn)域進(jìn)行控制;2)建立基于整個(gè)網(wǎng)絡(luò)和全部應(yīng)用的安全基礎(chǔ)設(shè)施,實(shí)現(xiàn)系統(tǒng)的內(nèi)部的身份認(rèn)證、權(quán)限劃分、訪問(wèn)控制和安全審計(jì);3)建立全系統(tǒng)網(wǎng)絡(luò)范圍內(nèi)的安全管理與響應(yīng)中心,強(qiáng)化網(wǎng)絡(luò)可管理、安全可維護(hù)、事件可響應(yīng);4)進(jìn)行分級(jí)縱深安全保護(hù),構(gòu)成系統(tǒng)網(wǎng)絡(luò)統(tǒng)一的防范與保護(hù)、監(jiān)控與檢查、響應(yīng)與處置機(jī)制。

6 結(jié)束語(yǔ)

解決信息系統(tǒng)的安全不是一個(gè)獨(dú)立的項(xiàng)目問(wèn)題,安全策略包括各種安全方案、法律法規(guī)、規(guī)章制度、技術(shù)標(biāo)準(zhǔn)、管理規(guī)范等,是整個(gè)信息系統(tǒng)安全建設(shè)的依據(jù)?，F(xiàn)有的安全保障體系一般基于深度防御技術(shù)框架,若能進(jìn)一步利用現(xiàn)代信息處理技術(shù)中的人工智能技術(shù)、嵌入式技術(shù)、主動(dòng)技術(shù)、實(shí)時(shí)技術(shù)等,將形成更加完善的信息安全管理體系。

稅務(wù)信息安全直接關(guān)系到稅收信息化建設(shè)的成敗,必須引起稅務(wù)機(jī)關(guān)和每一位稅務(wù)人的重視。科學(xué)技術(shù)的發(fā)展不一定能對(duì)任何事物的本質(zhì)和現(xiàn)象都產(chǎn)生影響,技術(shù)只有與先進(jìn)的管理思想、管理體制相結(jié)合,才能產(chǎn)生巨大的效益。

參考文獻(xiàn):

[1] 蔡皖東.信息安全工程與管理[M].西安:西安電子科技大學(xué)出版社,2004.

[2] 譚思亮.網(wǎng)絡(luò)與信息安全[M].北京:人民郵電出版社,2002.

[3] 譚榮華.稅務(wù)信息化簡(jiǎn)明教程[M].北京:中國(guó)人民大學(xué)出版社,2001.

[4] 李濤.網(wǎng)絡(luò)安全概論[M].北京:電子工業(yè)出版社,2004.

[5] 朱建軍,熊兵.網(wǎng)絡(luò)安全防范手冊(cè)[M].北京:人民郵電出版社,2007.

[6] 戴英俠,連一峰,王航.系統(tǒng)安全與入侵檢測(cè)[M].北京:清華大學(xué)出版社,2002.

稅務(wù)信息安全范文第2篇

縣經(jīng)科局：

根據(jù)你局《通知》（鎮(zhèn)經(jīng)科通〔2011〕9號(hào)）和《昭通市工業(yè)和信息委員會(huì)關(guān)于報(bào)送2011年度下半年政府信息系統(tǒng)安全檢查自查報(bào)告和開(kāi)展抽查工作的通知》（昭工信信推〔2011〕279號(hào)）文件精神。我局對(duì)信息系統(tǒng)安全情況進(jìn)行了自查，現(xiàn)將自查情況匯報(bào)如下：

一、信息安全總體情況

2011年我局信息系統(tǒng)安全工作與2010年相比，有了一些改進(jìn)。在安全管理、落實(shí)解決方案方面加大了力度，確保在系統(tǒng)升級(jí)項(xiàng)目完成之前，現(xiàn)有的系統(tǒng)能夠保持良好的運(yùn)行狀態(tài)。

二、2011年信息安全主要工作情況

（一）信息安全組織管理

1、成立了安全小組。明確了信息安全的主管領(lǐng)導(dǎo)和具體負(fù)責(zé)的管護(hù)人員,安全小組為管理機(jī)構(gòu)。（1）制定了2011年信息安全工作方案。隨著系統(tǒng)升級(jí)項(xiàng)目的進(jìn)行，接處警系統(tǒng)信息的安全是重點(diǎn)考慮的問(wèn)題之一。（2）進(jìn)一步制定和完善了信息安全方面的制度。（3）不定期進(jìn)行安全檢查工作。

2、有指定的信息安全員，負(fù)責(zé)維護(hù)本單位網(wǎng)絡(luò)安全，指導(dǎo)協(xié)調(diào)相關(guān)工作。

（二）日常信息安全管理

1、人員管理情況。（1）重要崗位指定保密員并簽訂了保密協(xié)議；各信息專員對(duì)重要文件和信息資源要做到及時(shí)備份。（2）人員離崗離職需要通過(guò)各部門審核，持有單位信息、帳戶密碼的，需交接清楚，單位配備的專用存儲(chǔ)設(shè)備必須回收，人員離職后，信息安全員必須修改相關(guān)計(jì)算機(jī)設(shè)備的帳戶、密碼。（3）外部人員訪問(wèn)機(jī)房必須登記，由相關(guān)部門人員監(jiān)督，帶出設(shè)備需要相關(guān)部門簽章。（4）違反制度規(guī)定造成信息安全事件的，視情節(jié)輕重予以相應(yīng)處罰。

2、資產(chǎn)管理情況。（1）每個(gè)部門指定一個(gè)資產(chǎn)管理人員，單位設(shè)定固定資產(chǎn)管理員。（2）計(jì)算機(jī)及相關(guān)設(shè)備送修需報(bào)固定資產(chǎn)管理員，報(bào)廢銷毀需要做好登記。

3、各辦公用計(jì)算機(jī)均已安裝殺毒軟件，嚴(yán)禁使用不可靠、不知名的辦公軟件。涉密計(jì)算機(jī)專人專用，用戶名和密碼專人持有。

4、今年年初相關(guān)股室已將信息安全經(jīng)費(fèi)納入年度預(yù)算。

（三）信息安全防護(hù)管理

1、每個(gè)部門設(shè)置不同的網(wǎng)段。相關(guān)科室定期檢查服務(wù)器運(yùn)行情況，防病毒是否正常，及時(shí)排查防火墻等防護(hù)設(shè)備的故障。

2、門戶網(wǎng)站的信息嚴(yán)格按照審核程序執(zhí)行，防止敏感信息泄露，上傳工作由局辦公室專門負(fù)責(zé)。電子郵箱由專人管理，定期更新用戶口令。

3、涉密和非涉密計(jì)算機(jī)物理隔離，分類明確。專用移動(dòng)存儲(chǔ)設(shè)備需登記，使用前必須先進(jìn)行殺毒檢查，存儲(chǔ)設(shè)備報(bào)廢需使用有效的工具進(jìn)行銷毀。

（四）信息安全應(yīng)急管理

1、制定了應(yīng)急響應(yīng)預(yù)案。當(dāng)網(wǎng)絡(luò)、設(shè)備在運(yùn)行中發(fā)生重大故障時(shí)，須報(bào)告相關(guān)領(lǐng)導(dǎo)。發(fā)現(xiàn)可疑攻擊，及時(shí)追查其網(wǎng)絡(luò)地址，并阻斷。一旦發(fā)現(xiàn)有計(jì)算機(jī)中病毒，及時(shí)將其斷網(wǎng)，并殺毒。

2、根據(jù)需要設(shè)置了備份服務(wù)器，以應(yīng)對(duì)突發(fā)事件。

（五）信息安全檢查工作

1、上一年度存在的問(wèn)題主要是接處警數(shù)據(jù)拷貝安全性，今年配置了兩臺(tái)計(jì)算機(jī)終端專門用于處警日常查詢數(shù)據(jù)和拷貝文件，避免接處警計(jì)算機(jī)使用外部存儲(chǔ)設(shè)備。

2、部分在用設(shè)備為我局建設(shè)初期購(gòu)置，存在設(shè)備陳舊、故障率高的問(wèn)題，應(yīng)加大對(duì)設(shè)備進(jìn)行維護(hù)、保養(yǎng)的力度，提高防范意識(shí)。

三、檢查發(fā)現(xiàn)中發(fā)現(xiàn)的主要問(wèn)題及整改情況

根據(jù)《通知》中的具體要求，在自查過(guò)程中我們也發(fā)現(xiàn)了一些不足，同時(shí)結(jié)合我局實(shí)際，今后要在以下幾個(gè)方面進(jìn)行整改。

1、安全意識(shí)不夠。要繼續(xù)加強(qiáng)對(duì)機(jī)關(guān)干部的安全意識(shí)教育，提高做好安全工作的主動(dòng)性和自覺(jué)性。

2、設(shè)備維護(hù)、更新及時(shí)。要加大對(duì)線路、系統(tǒng)等的及時(shí)維護(hù)和保養(yǎng)，同時(shí)，針對(duì)信息技術(shù)的飛快發(fā)展的特點(diǎn)，要加大更新力度。

3、安全工作的水平還有待提高。對(duì)信息安全的管護(hù)還處于初級(jí)水平，提高安全工作的現(xiàn)代化水平，有利于我們進(jìn)一步加強(qiáng)對(duì)計(jì)算機(jī)信息系統(tǒng)安全的防范和保密工作。

4、工作機(jī)制有待完善。創(chuàng)新安全工作機(jī)制，是信息工作新形勢(shì)的必然要求，這有利于提高機(jī)關(guān)網(wǎng)絡(luò)信息工作的運(yùn)行效率，有利于辦公秩序的進(jìn)一步規(guī)范。

四、對(duì)信息安全工作的意見(jiàn)和建議

信息系統(tǒng)安全教育培訓(xùn)有待重視。由于我局不具備很專業(yè)的信息系統(tǒng)安全工作人員，對(duì)信息系統(tǒng)安全工作一知半解，希望相關(guān)部門能加強(qiáng)這方面的業(yè)務(wù)培訓(xùn)工作。

 

 

 

稅務(wù)信息安全范文第3篇

關(guān)鍵詞：信息；安全；問(wèn)題；對(duì)策

隨著應(yīng)用系統(tǒng)數(shù)據(jù)集中、資源整合工作進(jìn)一步深入，基層國(guó)稅機(jī)關(guān)日常要輸入、傳輸大量的重要數(shù)據(jù)，在網(wǎng)絡(luò)安全事件頻發(fā)的今天，稅務(wù)網(wǎng)絡(luò)的安全也同樣面臨著嚴(yán)峻的挑戰(zhàn)。

一、信息安全面臨的問(wèn)題

（一）信息安全教育和安全管理松懈，信息安全觀念淡薄，保密意識(shí)不強(qiáng)。不少操作人員普遍認(rèn)為只要有了殺毒軟件，有了網(wǎng)絡(luò)防火墻，內(nèi)網(wǎng)電腦不上因特網(wǎng)，不使用移動(dòng)存儲(chǔ)介質(zhì)，就不用擔(dān)心自己的電腦會(huì)出現(xiàn)什么安全問(wèn)題，覺(jué)得黑客、病毒離自己很遙遠(yuǎn)。由于操作者普遍沒(méi)有危機(jī)感，造成各類安全管理制度執(zhí)行不到位，對(duì)信息保密技術(shù)的運(yùn)用持“無(wú)所謂態(tài)度”，這實(shí)際已經(jīng)構(gòu)成信息安全的最大隱患。

（二）安全保密制度落實(shí)不到位。筆者曾對(duì)所在單位公文處理系統(tǒng)空密碼進(jìn)行掃描，在109位用戶中發(fā)現(xiàn)34位用戶密碼為空，占31%，如果加上弱口令，這個(gè)比率應(yīng)該會(huì)更高。由于大部分應(yīng)用系統(tǒng)的數(shù)據(jù)集中在省、市局，縣局無(wú)法通過(guò)技術(shù)手段批量篩選出弱口令、空口令賬戶。筆者以為，全省弱口令、空口令用戶應(yīng)該不在少數(shù)。此外，諸如涉密文檔不加密存儲(chǔ)、不按規(guī)定銷毀涉密文檔等現(xiàn)象也普遍存在。

（三）移動(dòng)存儲(chǔ)介質(zhì)管理存在較大安全隱患。不少稅收管理員為方便工作，也會(huì)要求企業(yè)報(bào)送的部分報(bào)表均通過(guò)U盤或電子信箱傳遞。如此一來(lái)，U盤內(nèi)外網(wǎng)混用就不可避免?，F(xiàn)在提倡使用擺渡機(jī)，就是一臺(tái)既不聯(lián)外網(wǎng)也不聯(lián)內(nèi)網(wǎng)的電腦，從外網(wǎng)下載了資料后先拷到擺渡機(jī)上并查毒，然后將擺渡機(jī)上的資料保存到U盤或移動(dòng)硬盤再拷到內(nèi)網(wǎng)，但這種方法一方面十分繁瑣，遇到時(shí)間緊張的情況就難以做到。另一方面也不能保證萬(wàn)無(wú)一失，因?yàn)椴荒鼙ＷC擺渡機(jī)的徹底干凈。

（四）違規(guī)登陸因特網(wǎng)無(wú)法及時(shí)發(fā)現(xiàn)。雖然實(shí)行內(nèi)、外網(wǎng)物理隔離，但是違規(guī)通過(guò)無(wú)線網(wǎng)卡、寬帶拔號(hào)私自上因特網(wǎng)的現(xiàn)象依然存在。部分操作人員錯(cuò)誤的以為拔下內(nèi)網(wǎng)網(wǎng)線，然后上因特網(wǎng)就實(shí)現(xiàn)了物理隔離。殊不知，在上外網(wǎng)的過(guò)程中，如果瀏覽了帶木馬的網(wǎng)頁(yè)或運(yùn)行了帶病毒的軟件，木馬、病毒就會(huì)植入個(gè)人電腦，當(dāng)插上內(nèi)網(wǎng)網(wǎng)線，木馬程序或病毒就會(huì)在整個(gè)網(wǎng)絡(luò)中傳播。

（五）瑞星病毒庫(kù)、上游補(bǔ)丁服務(wù)器更新補(bǔ)丁滯后，殺毒軟件實(shí)時(shí)監(jiān)控功能效果有限。由于病毒庫(kù)更新、補(bǔ)丁下發(fā)的滯后性，稅務(wù)內(nèi)網(wǎng)的病毒、木馬有時(shí)不能得到及時(shí)發(fā)現(xiàn)并清除。筆者所在單位就曾發(fā)現(xiàn)Worm.Win32.MS08-067.d病毒，通過(guò)瑞星殺毒軟件反復(fù)查殺均不能徹底清除，最后只能手工清除。據(jù)省局信息中心2008年統(tǒng)計(jì)，全省共查殺病毒2740536個(gè)，入侵事件236900件，形勢(shì)不容樂(lè)觀。

（六）缺少計(jì)算機(jī)安全策略設(shè)置。大部分計(jì)算機(jī)沒(méi)有設(shè)置過(guò)本地安全策略，為圖方便，大部分用戶使用空口令登陸Windows。使用口令的用戶，在密碼復(fù)雜性、長(zhǎng)度、更換周期方面也遠(yuǎn)遠(yuǎn)達(dá)不到安全的需要?；鶎訂挝浑娔X使用的操作系統(tǒng)一般采用默認(rèn)安裝，開(kāi)放了所有端口，為病毒、木馬入侵留下了窗口。

二、加強(qiáng)信息安全的對(duì)策

（一）加強(qiáng)信息安全宣傳，樹(shù)立信息安全理念。采取舉辦信息安全專題培訓(xùn)班、開(kāi)辟信息安全宣傳園地等多種形式進(jìn)行信息安全宣傳，使廣大稅務(wù)干部職工樹(shù)立正確的安全意識(shí)、法律意識(shí)并初步掌握必備的安全技能。幫助干部牢固樹(shù)立“防勝于治”的安全理念，克服麻痹思想和僥幸心理。要高度重視系統(tǒng)口令的重要性，省市局可以通過(guò)后臺(tái)定期對(duì)空口令弱口令掃描，并將結(jié)果下發(fā)給各縣局，由縣局督促相關(guān)人員做好口令安全工作。

（二）加強(qiáng)制度落實(shí)的執(zhí)行力，降低信息安全風(fēng)險(xiǎn)。大多數(shù)安全事件的發(fā)生和安全隱患的存在與其說(shuō)是技術(shù)上的原因，不如說(shuō)是管理上的原因。國(guó)內(nèi)已經(jīng)發(fā)生的許多計(jì)算機(jī)安全事件，包括計(jì)算機(jī)犯罪，技術(shù)手段并不怎么高明，主要是由于鉆了管理上的漏洞。管理的關(guān)鍵在于人員管理，因?yàn)楦鞣N安全措施要靠人來(lái)實(shí)施，另一方面，有相當(dāng)多的安全隱患出自系統(tǒng)內(nèi)部人員。因此必須提高安全管理人員的素質(zhì)，加強(qiáng)對(duì)系統(tǒng)內(nèi)部人員的教育和管理。

（三）嚴(yán)格按規(guī)定使用移動(dòng)存儲(chǔ)介質(zhì)。通過(guò)北信源桌面防護(hù)系統(tǒng)控制U盤使用節(jié)點(diǎn)，確實(shí)因工作需要使用USB接口的電腦，必須先進(jìn)行病毒查殺，在確保安全的情況下方可使用。

（四）強(qiáng)化信息安全管理可控能力。鑒于信息系統(tǒng)的復(fù)雜性和使用行為的多樣性，光靠技術(shù)手段是不能完全奏效的，必須要?jiǎng)佑霉芾砜煽厥侄危p管齊下，所以信息安全的對(duì)策是技術(shù)與管理手段并用。加強(qiáng)日常網(wǎng)絡(luò)檢查，嚴(yán)格執(zhí)行內(nèi)外網(wǎng)物理隔離相關(guān)制度。建立必要的懲處機(jī)制，對(duì)違規(guī)外聯(lián)其他網(wǎng)絡(luò)的個(gè)人除經(jīng)濟(jì)處罰外，應(yīng)追究其行政責(zé)任，以切實(shí)提高信息安全制度的剛性。

稅務(wù)信息安全范文第4篇

關(guān)鍵詞：稅收信息化；信息狀態(tài)安全；信息轉(zhuǎn)移安全；信息安全技術(shù)

中圖分類號(hào)：F810.42文獻(xiàn)標(biāo)志碼：A文章編號(hào)：1673-291X（2008）13-0022-02

從三個(gè)方面來(lái)考慮：首先是信息狀態(tài)安全，即稅務(wù)系統(tǒng)安全，要防止稅務(wù)系統(tǒng)中心的數(shù)據(jù)被攻擊者破壞。稅務(wù)系統(tǒng)要通過(guò)Internet對(duì)納稅人提供納稅便利，必須以一定的方式將它的數(shù)據(jù)中心開(kāi)放，這對(duì)稅務(wù)系統(tǒng)本身帶來(lái)了很大的風(fēng)險(xiǎn)。其次是信息轉(zhuǎn)移安全，即服務(wù)安全，如納稅人識(shí)別號(hào)、口令、納稅金額等在傳輸中不被冒用、泄露和篡改。再次是安全管理制度，即使用安全，保證稅務(wù)人員正確、安全的使用。本文主要針對(duì)以上前兩個(gè)方面也就是信息安全技術(shù)進(jìn)行研究。

一、信息狀態(tài)安全技術(shù)

信息狀態(tài)安全主要包括系統(tǒng)主機(jī)服務(wù)器安全、操作系統(tǒng)安全和數(shù)據(jù)庫(kù)安全三個(gè)方面。

（一）系統(tǒng)主機(jī)服務(wù)器安全（Server Security）

服務(wù)器是存儲(chǔ)數(shù)據(jù)、處理請(qǐng)求的核心，因此服務(wù)器的安全性尤為重要。服務(wù)器的安全性主要涉及到服務(wù)器硬件設(shè)備自身的安全性防護(hù)，對(duì)非法接觸服務(wù)器配件具有一定的保護(hù)措施，比如加鎖或密碼開(kāi)關(guān)設(shè)置等；同時(shí)，服務(wù)器需要支持大數(shù)據(jù)量及多線程存儲(chǔ)矩陣以滿足大數(shù)據(jù)量訪問(wèn)的實(shí)時(shí)性和穩(wěn)定性，不會(huì)因?yàn)榇罅康脑L問(wèn)導(dǎo)致服務(wù)器崩潰；服務(wù)器要能夠支持基于硬件的磁盤陣列功能，支持磁盤及磁帶的系統(tǒng)、數(shù)據(jù)備份功能，使得安裝在服務(wù)器上的操作系統(tǒng)和數(shù)據(jù)庫(kù)能夠在災(zāi)難后得到備份恢復(fù)，保證服務(wù)器的不間斷運(yùn)行；服務(wù)器設(shè)備配件的高質(zhì)量及運(yùn)行可靠性也是服務(wù)器安全的非常重要的一個(gè)方面，這直接關(guān)系到服務(wù)器不間斷運(yùn)行的時(shí)間和網(wǎng)絡(luò)數(shù)據(jù)訪問(wèn)的效率。

（二）操作系統(tǒng)安全（Operating System Security）

設(shè)置操作系統(tǒng)就像為構(gòu)筑安全防范體系打好“地基”。

1.自主訪問(wèn)控制（Discretionary Access Control，DAC）。自主訪問(wèn)控制是基于對(duì)主體（Subject）或主體所屬的主體組的識(shí)別來(lái)限制對(duì)客體（Object）的訪問(wèn)。為實(shí)現(xiàn)完備的自主訪問(wèn)控制，由訪問(wèn)控制矩陣提供的信息必須以某種形式保存在稅務(wù)操作系統(tǒng)中。訪問(wèn)控制矩陣中的每行表示一個(gè)主體，每列表示一個(gè)受保護(hù)的客體，矩陣中的元素表示主體可對(duì)客體的訪問(wèn)模式。以基于行的自主訪問(wèn)控制方法為例。它是在每個(gè)主體上都附加一個(gè)該主體可訪問(wèn)的客體的明細(xì)表，根據(jù)表中信息的不同可分為三種形式：（1）權(quán)力表（Capabilities List），它決定是否可對(duì)客體進(jìn)行訪問(wèn)以及可進(jìn)行何種模式的訪問(wèn)。（2）前綴表（Prefix List），它包括受保護(hù)客體名以及主體對(duì)客體的訪問(wèn)權(quán)。（3）口令（Password），主體對(duì)客體進(jìn)行訪問(wèn)前，必須向稅務(wù)操作系統(tǒng)提供該客體的口令。對(duì)于口令的使用，建議實(shí)行相互制約式的雙人共管系統(tǒng)口令。

2.強(qiáng)制訪問(wèn)控制（Mandatory Access Control，MAC）。鑒于自主訪問(wèn)控制不能有效的抵抗計(jì)算機(jī)病毒的攻擊，這就需要利用強(qiáng)制訪問(wèn)控制來(lái)采取更強(qiáng)有力的訪問(wèn)控制手段。在強(qiáng)制訪問(wèn)控制中，稅務(wù)系統(tǒng)對(duì)主體和客體都分配一個(gè)特殊的一般不能更改的安全屬性，系統(tǒng)通過(guò)比較主體與客體的安全屬性來(lái)決定一個(gè)主體是否能夠訪問(wèn)某個(gè)客體。稅務(wù)系統(tǒng)一般可采取兩種強(qiáng)制措施：（1）限制訪問(wèn)控制的靈活性。用戶修改訪問(wèn)控制信息的唯一途徑是請(qǐng)求一個(gè)特權(quán)系統(tǒng)的功能調(diào)用，該功能依據(jù)用戶終端輸入的信息而不是靠另一個(gè)程序提供的信息來(lái)修改訪問(wèn)控制信息。在確信用戶自己不會(huì)泄露文件的前提下，用這種方法可以消除偷改訪問(wèn)控制信息的計(jì)算機(jī)病毒的威脅。（2）限制編程。鑒于稅務(wù)系統(tǒng)僅需要進(jìn)行事務(wù)處理，不需要任何編程的能力，可將用于應(yīng)用開(kāi)發(fā)的計(jì)算機(jī)系統(tǒng)分離出去，完全消除用戶的編程能力。

3.安全核技術(shù)（Security Kernel Technology）。安全核是構(gòu)造高度安全的操作系統(tǒng)最常用的技術(shù)。該技術(shù)的理論基礎(chǔ)是：將與安全有關(guān)的軟件隔離在操作系統(tǒng)的一個(gè)可信核內(nèi)，而操作系統(tǒng)的大部分軟件無(wú)須負(fù)責(zé)系統(tǒng)安全。稅務(wù)系統(tǒng)安全核技術(shù)要滿足三個(gè)原則：（1）完備性（Completeness），要求使主體必須通過(guò)引進(jìn)監(jiān)控器才能對(duì)客體進(jìn)行訪問(wèn)操作，并使硬件支持基于安全核的系統(tǒng)。（2）隔離性（Isolation），要求將安全核與外部系統(tǒng)很好的隔離起來(lái)，以防止進(jìn)程對(duì)安全核的非法修改。（3）可驗(yàn)證性（Verifiability），要求無(wú)論采用什么方法構(gòu)造安全核，都必須保證對(duì)它的正確性可以進(jìn)行某種驗(yàn)證。

其他常見(jiàn)措施還有：信息加密、數(shù)字簽名、審計(jì)等，這些技術(shù)方法在數(shù)據(jù)庫(kù)安全等方面也可廣泛應(yīng)用，我們將在下面介紹。

（三）數(shù)據(jù)庫(kù)安全（Database Security）

數(shù)據(jù)庫(kù)是信息化及很多應(yīng)用系統(tǒng)的核心，其安全在整個(gè)信息系統(tǒng)中是最為關(guān)鍵的一環(huán)，所有的安全措施都是為了最終的數(shù)據(jù)庫(kù)上的數(shù)據(jù)的安全性。另外，根據(jù)稅務(wù)網(wǎng)絡(luò)信息系統(tǒng)中各種不同應(yīng)用系統(tǒng)對(duì)各種機(jī)密、非機(jī)密信息訪問(wèn)權(quán)限的要求，數(shù)據(jù)庫(kù)需要提供安全性控制的層次結(jié)構(gòu)和有效的安全性控制策略。

數(shù)據(jù)庫(kù)的安全性主要是依靠分層解決的，它的安全措施也是一級(jí)一級(jí)層層設(shè)置的，真正做到了層層設(shè)防。第一層應(yīng)該是注冊(cè)和用戶許可，保護(hù)對(duì)服務(wù)器的基本存取；第二層是存取控制，對(duì)不同用戶設(shè)定不同的權(quán)限，使數(shù)據(jù)庫(kù)得到最大限度的保護(hù)；第三層是增加限制數(shù)據(jù)存取的視圖和存儲(chǔ)過(guò)程，在數(shù)據(jù)庫(kù)與用戶之間建立一道屏障?；谏鲜鰯?shù)據(jù)庫(kù)層次結(jié)構(gòu)的安全體系，稅務(wù)網(wǎng)絡(luò)信息系統(tǒng)需要設(shè)置對(duì)機(jī)密和非機(jī)密數(shù)據(jù)的訪問(wèn)控制：（1）驗(yàn)證（Authentication），保證只有授權(quán)的合法用戶才能注冊(cè)和訪問(wèn)；（2）授權(quán)（Authorization），對(duì)不同的用戶訪問(wèn)數(shù)據(jù)庫(kù)授予不同的權(quán)限；（3）審計(jì)（Auditing），對(duì)涉及數(shù)據(jù)庫(kù)安全的操作做一個(gè)完整的記錄，以備有違反數(shù)據(jù)庫(kù)安全規(guī)則的事件發(fā)生后能夠有效追查，再結(jié)合以報(bào)警（Alert）功能，將達(dá)到更好的效果。還可以使用數(shù)據(jù)庫(kù)本身提供的視圖和存儲(chǔ)過(guò)程對(duì)數(shù)據(jù)庫(kù)中的其他對(duì)象進(jìn)行權(quán)限設(shè)定，這樣用戶只能取得對(duì)視圖和存儲(chǔ)過(guò)程的授權(quán)，而無(wú)法訪問(wèn)底層表。視圖可以限制底層表的可見(jiàn)列，從而限制用戶能查詢的數(shù)據(jù)列的種類。

二、信息轉(zhuǎn)移安全技術(shù)

信息轉(zhuǎn)移安全即網(wǎng)絡(luò)安全。為了達(dá)到保證網(wǎng)絡(luò)系統(tǒng)安全性的目的，安全系統(tǒng)應(yīng)具有身份認(rèn)證（Identification and Authentication）；訪問(wèn)控制（Access Control）；可記賬性（Accountability）；對(duì)象重用（Object Reuse）；精確性（Accuracy）；服務(wù)可用性（Availability of Services）等功能。

1.防火墻技術(shù)（Firewall Technology）

為保證信息安全，防止稅務(wù)系統(tǒng)數(shù)據(jù)受到破壞，常用防火墻來(lái)阻擋外界對(duì)稅務(wù)局?jǐn)?shù)據(jù)中心的非法入侵。所謂防火墻，是一類防范措施的總稱，是指在受保護(hù)的企業(yè)內(nèi)聯(lián)網(wǎng)與對(duì)公眾開(kāi)放的網(wǎng)絡(luò)（如Internet）之間設(shè)立一道屏障，對(duì)所有要進(jìn)入內(nèi)聯(lián)網(wǎng)的信息進(jìn)行分析或?qū)υL問(wèn)用戶進(jìn)行認(rèn)證，防止有害信息和來(lái)自外部的非法入侵進(jìn)入受保護(hù)網(wǎng)，并且阻止內(nèi)聯(lián)網(wǎng)本身某個(gè)節(jié)點(diǎn)上發(fā)生的非法操作以及有害數(shù)據(jù)向外部擴(kuò)散，從而保護(hù)內(nèi)部系統(tǒng)的安全。防火墻的實(shí)質(zhì)是實(shí)施過(guò)濾技術(shù)的軟件防范措施。防火墻可以分為不同類型，最常見(jiàn)的有基于路由器的IP層防火墻和基于主機(jī)的應(yīng)用層防火墻。兩種防火墻各有千秋，IP層防火墻對(duì)用戶透明性好，應(yīng)用層防火墻具有更大的靈活性和安全性。實(shí)踐中只要有資金許可，常常將兩種防火墻結(jié)合使用，以互相補(bǔ)充，確保網(wǎng)絡(luò)的安全。另外，還有專門用于過(guò)濾病毒的病毒防火墻，隨時(shí)為用戶查殺病毒，保護(hù)系統(tǒng)。

2.信息加密技術(shù)（Information Encryption Technology）

信息加密包括密碼設(shè)計(jì)、密碼分析、密鑰管理、驗(yàn)證等內(nèi)容。利用加密技術(shù)可以把某些重要信息或數(shù)據(jù)從明文形式轉(zhuǎn)換成密文形式，經(jīng)過(guò)線路傳送，到達(dá)目的端用戶再把密文還原成明文。對(duì)數(shù)據(jù)進(jìn)行加密是防止信息泄露的有效手段。適當(dāng)?shù)脑黾用荑€的長(zhǎng)度和更先進(jìn)的密鑰算法，可以使破譯的難度大大增加。具體有兩種加密方式：（1）私鑰加密體制（Secret-key Cryptography），即加密與解密時(shí)使用相同的密碼。私鑰加密體制包括分組密碼和序列密碼兩種。分組密碼把明文符號(hào)按固定大小進(jìn)行分組，然后逐組加密。而序列密碼把明文符號(hào)立即轉(zhuǎn)換為密文符號(hào)，運(yùn)算速度更快，安全性更高。（2）公鑰加密體制（Public-key Cryptography），其加密密鑰與解密密鑰分為兩個(gè)不同的密鑰，一個(gè)用于對(duì)信息的加密，另一個(gè)用于對(duì)已加密信息的解密。這兩個(gè)密鑰是一對(duì)互相依賴的密鑰。

在傳輸過(guò)程中，只有稅務(wù)系統(tǒng)和認(rèn)證中心（Authentication Center，AC）才有稅務(wù)系統(tǒng)的公開(kāi)密鑰，只有納稅人和認(rèn)證中心才有納稅人的公開(kāi)密鑰，在這種情況下，即使其他人得到了經(jīng)過(guò)加密后雙方的私有密鑰，也因?yàn)闊o(wú)法進(jìn)行解密而保證了私有密鑰的重要性，從而保證了傳輸文件的安全性。

3.信息認(rèn)證技術(shù)（Information Authentication Technology）

數(shù)字簽名技術(shù)（Digital Signature Technology）。數(shù)字簽名可以證實(shí)信息發(fā)送者的身份以及信息的真實(shí)性，它具備不可偽造性、真實(shí)性、不可更改性和不可重復(fù)性四大特征。數(shù)字簽名是通過(guò)密碼算法對(duì)數(shù)據(jù)進(jìn)行加密、解密交換實(shí)現(xiàn)的，其主要方式是：信息發(fā)送方首先通過(guò)運(yùn)行散列函數(shù)，生成一個(gè)欲發(fā)送報(bào)文的信息摘要，然后用所持有的私鑰對(duì)這個(gè)信息的摘要進(jìn)行加密以形成發(fā)送方的數(shù)字簽名，這個(gè)數(shù)字簽名將作為報(bào)文的附件和報(bào)文一起發(fā)送給報(bào)文的接收方。接收方在接收到信息后，首先運(yùn)行和發(fā)送方相同的散列函數(shù)生成接收?qǐng)?bào)文的信息摘要，然后再用發(fā)送方的公開(kāi)密鑰對(duì)報(bào)文所附的數(shù)字簽名進(jìn)行解密，產(chǎn)生原始報(bào)文的信息摘要，通過(guò)比較兩個(gè)信息摘要是否相同就可以確認(rèn)發(fā)送方和報(bào)文的正確性。

完整性認(rèn)證（Integrity Authentication）。完整性認(rèn)證能夠使既定的接收者檢驗(yàn)接收到的信息是否真實(shí)。常用的方法是：信息發(fā)送者在信息中加入一個(gè)認(rèn)證碼，經(jīng)加密后發(fā)送給接收者檢驗(yàn)，接收者利用約定的算法對(duì)解密后的信息進(jìn)行運(yùn)算，將得到的認(rèn)證碼與收到的認(rèn)證碼進(jìn)行比較，若兩者相等，則接收，否則拒絕接收。

4.防病毒技術(shù)（Anti-virus Technology）

病毒防范是計(jì)算機(jī)安全中最常見(jiàn)也是最容易被忽視的一環(huán)。我們建議采用由單機(jī)防毒和網(wǎng)絡(luò)防毒同時(shí)使用的這種防病毒措施，來(lái)最大限度地加強(qiáng)網(wǎng)絡(luò)端到端的防病毒架構(gòu)，再加上防病毒制度與措施，就構(gòu)成了一套完整的防病毒體系。

參考文獻(xiàn)：

[1] 楊懷則.稅收信息化建設(shè)存在的問(wèn)題及建議[J].草原稅務(wù),2002,(12):31-32.

[2] Andrew S. Tanenbaum,“Modern Operating Systems”,Prentice Hall,1992.

[3] 滕至陽(yáng).現(xiàn)代操作系統(tǒng)教程[M].北京:高等教育出版社,2000.

[4] 陸楠.現(xiàn)代網(wǎng)絡(luò)技術(shù)[M].西安:西安電子科技大學(xué)出版社,2003.

稅務(wù)信息安全范文第5篇

關(guān)鍵詞：公開(kāi)密鑰基礎(chǔ)設(shè)施PKI，公鑰技術(shù)，電子政務(wù)

0 引言

在最近幾年中，關(guān)于政府服務(wù)和活動(dòng)的重要信息已經(jīng)逐漸地可以從因特網(wǎng)上獲得。隨著電子政務(wù)的迅速發(fā)展，將使政府機(jī)構(gòu)的運(yùn)作方式有所變化。正在尋求電子政務(wù)如何去促進(jìn)公眾以及商業(yè)活動(dòng)與政府之間的交互，并通過(guò)對(duì)IT資源的應(yīng)用來(lái)提高政府的辦事效率和效力。然而，電子政務(wù)被期望能夠包括更多的服務(wù)，而不僅是信息的電子，它還應(yīng)包括政府部門所提供服務(wù)的在線應(yīng)用，如文件的歸檔和應(yīng)用、稅務(wù)的征收以及商品的采購(gòu)等。

但是要改善由電子政務(wù)提供的服務(wù)，同時(shí)也必須面臨某些威脅、風(fēng)險(xiǎn)和不利條件，許多這樣的服務(wù)涉及將敏感的個(gè)人信息通過(guò)網(wǎng)絡(luò)進(jìn)行電子交換。敏感的信息和事務(wù)處理可能會(huì)需要更大的安全保證，信息安全已成為電子政務(wù)中的焦點(diǎn)問(wèn)題之一。

由此可見(jiàn)，電子政務(wù)系統(tǒng)迫切需要建立能夠解決信息資源安全的可行性方案，為建立安全平臺(tái)。目前，唯一能夠全面解決信息資源安全問(wèn)題的可行性方案是公開(kāi)密鑰基礎(chǔ)設(shè)施PKI技術(shù)。

1 公開(kāi)密鑰基礎(chǔ)設(shè)施PKI

（1）PKI基本原理

PKI即"公開(kāi)密鑰體系"，是一種遵循既定標(biāo)準(zhǔn)的密鑰管理平臺(tái)。它能夠?yàn)樗芯W(wǎng)絡(luò)應(yīng)用提供加密和數(shù)字、簽名等密碼服務(wù)及所必需的密鑰和證書管理體系。

原有的單密鑰加密技術(shù)采用對(duì)稱型加密算法，采用此算法的加密方法如果用于網(wǎng)絡(luò)傳輸中的數(shù)據(jù)加密，不可避免地出現(xiàn)安全漏洞。而PKI采用非對(duì)稱的加密算法，即由原文加密成密文的密鑰不同于由密文解密為原文的密鑰，以避免第三方獲取密鑰后將密文解密。PKI體制克服了網(wǎng)絡(luò)信息系統(tǒng)密匙管理的困難，同時(shí)解決了數(shù)字簽名問(wèn)題，并可用于身份認(rèn)證，可以較好地解決電子政務(wù)信息的安全傳輸問(wèn)題。

（2）PKI的基本構(gòu)成

PKI由認(rèn)證機(jī)構(gòu)（CA）、數(shù)字證書庫(kù)、密鑰備份及恢復(fù)系統(tǒng)、證書作廢處理系統(tǒng)、應(yīng)用接口系統(tǒng)等五大成分組成。

認(rèn)證機(jī)構(gòu)（CA）：即數(shù)字證書的申請(qǐng)及簽發(fā)機(jī)關(guān)，CA必須具備權(quán)威性的特征。

數(shù)字證書庫(kù)：用于存儲(chǔ)已簽發(fā)的數(shù)字證書及公鑰，用戶可由此獲得所需的其他用戶的證書及公鑰。

密鑰備份及恢復(fù)系統(tǒng)：如果用戶丟失了用于脫密數(shù)據(jù)的密鑰，則密文數(shù)據(jù)將無(wú)法被脫密，造成數(shù)據(jù)丟失。為避免這種情況的出現(xiàn)，PKI提供備份與恢復(fù)脫密密鑰的機(jī)制。密鑰的備份與恢復(fù)應(yīng)該由可信的機(jī)構(gòu)來(lái)完成，CA可以充當(dāng)這一角色。

證書作廢處理系統(tǒng)：是PKI的一個(gè)重要組件。同日常生活中的各種證件一樣，證書在CA為其簽署的有效期內(nèi)也可能需要作廢，終止證書的生命期。為實(shí)現(xiàn)這一點(diǎn)，PKI提供作廢證書的一系列機(jī)制。

應(yīng)用接口系統(tǒng)：PKI的價(jià)值在于使用戶能夠方便地使用加密、數(shù)字簽名等安全服務(wù)，因此一個(gè)完整的PKI提供良好的應(yīng)用接口系統(tǒng)，使得各種各樣的應(yīng)用能夠以安全、一致、可信的方式與PKI交互，確保所建立起來(lái)的網(wǎng)絡(luò)環(huán)境的可信性，同時(shí)降低管理維護(hù)成本。

電子政務(wù)安全中涉及到的數(shù)字證書認(rèn)證中心CA、審核注冊(cè)中心RA、密鑰管理中心KM都是組成PKI的關(guān)鍵組件，PKI通過(guò)管理密鑰和證書，為用戶建立了一個(gè)安全的網(wǎng)絡(luò)運(yùn)行環(huán)境。

2 基于PKI的公鑰技術(shù)

利用公鑰技術(shù)對(duì)政務(wù)信息在存儲(chǔ)環(huán)節(jié)和網(wǎng)間傳輸環(huán)節(jié)進(jìn)行加密，使之以密文存儲(chǔ)和傳輸，可以有效抵卸對(duì)信息的惡意攻擊?；赑KI的公鑰技術(shù)主要用公鑰加密和數(shù)字簽名對(duì)信息進(jìn)行加密。

（1）公鑰加密

公鑰加密使用兩個(gè)密鑰：一個(gè)公鑰和一個(gè)私鑰，這兩個(gè)密鑰在數(shù)學(xué)上是相關(guān)的。為了與對(duì)稱密鑰加密相對(duì)照，公鑰加密有時(shí)也叫做不對(duì)稱密鑰加密。在公鑰加密中，公鑰可在通信雙方之間公開(kāi)傳遞，或在公用儲(chǔ)備庫(kù)中，但相關(guān)的私鑰是保密的。只有使用私鑰才能解密用公鑰加密的數(shù)據(jù)。使用私鑰加密的數(shù)據(jù)只能用公鑰解密。將公鑰加密與其它加密形式（如對(duì)稱密鑰加密）結(jié)合使用，可以優(yōu)化性能。PKI還提供了密鑰備份系統(tǒng)及恢復(fù)系統(tǒng)，防止用戶私鑰丟失而丟失數(shù)據(jù)，而當(dāng)用戶身份變更或懷疑私鑰泄密， PKI則及時(shí)公布證書廢除消息，構(gòu)建了完整的密鑰管理體系。

（2）數(shù)字簽名

數(shù)字簽名是公共密鑰技術(shù)的另一個(gè)用途，是指使用密碼算法對(duì)待發(fā)的數(shù)據(jù)（報(bào)文、票證等）進(jìn)行加密處理，生成一段信息，附著在原文上一起發(fā)送，這段信息類似現(xiàn)實(shí)中的簽名或印章，接收方對(duì)其進(jìn)行驗(yàn)證，判斷原文真?zhèn)?。?shù)字簽名可以分為發(fā)送方的簽名和接收方的簽名。前者用來(lái)驗(yàn)證接收者收到的信息確來(lái)自于發(fā)送者和未經(jīng)篡改，后者用來(lái)確認(rèn)接收者已收到信息不能否認(rèn)。

主要思想為：

①發(fā)送方的簽名指發(fā)送方對(duì)信息用單向散列函數(shù)作一次抽樣生成信息摘要，將信息摘要用其私鑰加密，生成簽名文，再利用接收方的公鑰對(duì)簽名文再次加密生成簽名密文傳給接收方，接收方用其私鑰解密獲得簽名文，再用發(fā)送方的公鑰解密還原為信息摘要。接收方將收到的信息用同樣的單向散列函數(shù)作一次抽樣，并與接收到的信息摘要比較，以判斷信息是否來(lái)自發(fā)送者、是否被修改，以驗(yàn)證信息的真實(shí)性。

②接收方的簽名指接收方收到信息后，用其私鑰對(duì)一個(gè)簽名文件加密并傳送給發(fā)送者，發(fā)送者用接收者的公鑰打開(kāi)簽名文件，獲取接收方對(duì)信息的簽收情況。由于私鑰具有唯一性，可證實(shí)該簽名確由接收方發(fā)出，從而證實(shí)了接收者確實(shí)收到了來(lái)自發(fā)送方的信息、不能否認(rèn)。

3 PKI體系的應(yīng)用

（1）PKI應(yīng)用技術(shù)

PKI技術(shù)是信息安全技術(shù)的核心，也是電子政務(wù)的關(guān)鍵和基礎(chǔ)技術(shù)。由于通過(guò)網(wǎng)絡(luò)進(jìn)行的電子政務(wù)、電子商務(wù)、電子事務(wù)等活動(dòng)缺少物理的接觸，因而使得用電子方式驗(yàn)證信任關(guān)系變得至關(guān)重要。而PKI技術(shù)恰好是一種適用于電子商務(wù)、電子政務(wù)、電子事務(wù)的密碼技術(shù)，它能夠有效地解決電子商務(wù)應(yīng)用中的機(jī)密性、真實(shí)性、完整性、不可否認(rèn)性和存取控制等安全問(wèn)題。

典型應(yīng)用案例分析

PKI作為一種在互聯(lián)網(wǎng)上提供安全保證的工具，在中國(guó)的電子政務(wù)建設(shè)中已經(jīng)成為保障信息安全的利器。稅務(wù)系統(tǒng)也建立了自己的信息化平臺(tái)，北京國(guó)稅和惠州地稅等率先采用PKI及智能卡技術(shù)開(kāi)展企業(yè)網(wǎng)上報(bào)稅的服務(wù)。這樣關(guān)鍵性的稅務(wù)行業(yè)內(nèi)應(yīng)用PKI項(xiàng)目是值得被大家關(guān)注的。

網(wǎng)上報(bào)稅是指稅務(wù)部門建立專門的申報(bào)網(wǎng)站，納稅戶通過(guò)Internet訪問(wèn)稅務(wù)部門網(wǎng)站上的網(wǎng)上報(bào)稅系統(tǒng)，正確填寫電子化申報(bào)表后，遞交申報(bào)數(shù)據(jù)至稅務(wù)部門服務(wù)器，稅務(wù)部門的WWW服務(wù)器對(duì)這些數(shù)據(jù)進(jìn)行處理、儲(chǔ)存，并將處理結(jié)果反饋給納稅人的一種電子申報(bào)方式。此種方式大大減少了納稅戶往返于稅務(wù)部門、銀行的煩惱，大大減輕了稅務(wù)部門的工作量。由此我們可以預(yù)見(jiàn)，網(wǎng)上報(bào)稅將成為今后主要的稅務(wù)申報(bào)方式。

目前網(wǎng)上報(bào)稅應(yīng)用中存在的主要信息安全隱患有：身份認(rèn)證、信息的機(jī)密性、信息的完整性和信息的不可抵賴性。針對(duì)這些安全隱患，基于PKI技術(shù)的、易于實(shí)施的網(wǎng)上報(bào)稅安全認(rèn)證系統(tǒng)被推出了。通過(guò)為參與網(wǎng)上報(bào)稅應(yīng)用的各方發(fā)放數(shù)字證書來(lái)對(duì)其進(jìn)行身份標(biāo)識(shí)，并且在網(wǎng)上報(bào)稅應(yīng)用執(zhí)行的過(guò)程中通過(guò)使用數(shù)字證書對(duì)各方進(jìn)行身份驗(yàn)證和簽名驗(yàn)證，最終滿足網(wǎng)上報(bào)稅的安全需求，有效地防止各種網(wǎng)上報(bào)稅安全隱患。

此外，網(wǎng)上報(bào)稅安全認(rèn)證系統(tǒng)還能夠?qū)崿F(xiàn)訪問(wèn)控制功能，保證稅務(wù)部門內(nèi)部人員和納稅戶在網(wǎng)上報(bào)稅應(yīng)用中擁有不同的權(quán)限，防止稅務(wù)部門內(nèi)部人員竊取納稅戶敏感信息；能夠?qū)崿F(xiàn)文件加密保存功能，保證存放在稅務(wù)部門和納稅戶計(jì)算機(jī)上的文件他人無(wú)法打開(kāi)。網(wǎng)上報(bào)稅安全認(rèn)證系統(tǒng)支持交叉認(rèn)證，并可以與MS Exchange、Lotus Notes等辦公自動(dòng)化軟件無(wú)縫集成。

（2）PKI應(yīng)用前景

由于PKI是重大國(guó)家利益和網(wǎng)絡(luò)經(jīng)濟(jì)的發(fā)展的制高點(diǎn)，也是推動(dòng)互聯(lián)網(wǎng)發(fā)展、保障事務(wù)處理安全、推動(dòng)電子政務(wù)、電子商務(wù)的支撐點(diǎn)。因此，建立健全的國(guó)家PKI體系，將有力地促進(jìn)我國(guó)電子政務(wù)以及整個(gè)國(guó)家信息化的發(fā)展。

PKI支持SSL、IP over VPN、S/MIME等協(xié)議，這使得它可以支持加密Web、VPN、安全郵件等應(yīng)用。而且，PKI支持不同CA間的交叉認(rèn)證，并能實(shí)現(xiàn)證書、密鑰對(duì)的自動(dòng)更換，這擴(kuò)展了它的應(yīng)用范疇。一個(gè)完整的PKI產(chǎn)品除主要功能外，還包括交叉認(rèn)證、支持LDAP協(xié)議、支持用于認(rèn)證的智能卡等。此外，PKI的特性融入各種應(yīng)用（如防火墻、瀏覽器、電子郵件、群件、網(wǎng)絡(luò)操作系統(tǒng)）也正在成為趨勢(shì)。

隨著Internet應(yīng)用的不斷普及和深入，政府部門需要PKI支持管理；商業(yè)企業(yè)內(nèi)部、企業(yè)與企業(yè)之間、區(qū)域網(wǎng)絡(luò)、電子商務(wù)網(wǎng)站都需要PKI的技術(shù)和解決方案；大企業(yè)需要建立自己的PKI平臺(tái)；小企業(yè)需要社會(huì)提供商業(yè)PKI服務(wù)。

此外，作為PKI的一種應(yīng)用，基于PKI和虛擬專用網(wǎng)市場(chǎng)也隨著B(niǎo)2B電子商務(wù)的發(fā)展而迅速膨脹。總的來(lái)說(shuō)，PKI的市場(chǎng)需求非常巨大，基于PKI和應(yīng)用包括了許多內(nèi)容，如WWW安全、電子郵件安全、電子數(shù)據(jù)交換、信用卡交易安全、VPN。從行業(yè)應(yīng)用來(lái)看，電子商務(wù)、電子政務(wù)、遠(yuǎn)程教育等方面都離不開(kāi)PKI技術(shù)。

4 結(jié)語(yǔ)

從以上分析可以看出，隨著PKI技術(shù)應(yīng)用的不斷深入和對(duì)信息安全控制的研究，PKI技術(shù)本身也在不斷發(fā)展與變化，比如近年來(lái)比較重要的變化有屬性證書、漫游證書、無(wú)線PKI（WPKI）等。隨著PKI技術(shù)的應(yīng)用與發(fā)展，無(wú)論是在有線網(wǎng)絡(luò)，還是在無(wú)線世界，PKI必將發(fā)揮巨大作用，其對(duì)信息安全的控制也將直接影響對(duì)電子政務(wù)的建設(shè)。并按照PKI體系方法和數(shù)值控控制法進(jìn)行測(cè)評(píng)，從而提高PKI體系的科學(xué)性和對(duì)信息安全技術(shù)分析的準(zhǔn)確性。

參考文獻(xiàn)：

[1]張昌明.PKI安全技術(shù)原理[M].北京：高等教育出版社，1998.

[2]劉禎.電子政務(wù)研究[J].中國(guó)科學(xué)進(jìn)展，2001，12（1）.

[3]沈振榮.安全新概念--安全技術(shù)PKI的研究與應(yīng)用[M].北京：中國(guó)電子出版社，2003.

[4]史娟.控制性安全建模機(jī)理及研究進(jìn)展[J].中國(guó)科學(xué)進(jìn)展，2001.