導語：如何才能寫好一篇信息安全服務體系，這就需要搜集整理更多的資料和文獻，歡迎閱讀由公務員之家整理的十篇范文，供你借鑒。

篇1

研究院的安全服務主要包含四大獨立服務：安全服務、監測服務、睿眼通和信息安全應急響應指揮平臺。服務內容主要包括以下幾個方面：

首先是安全咨詢。以“業務需求管理”為核心出發點，依托ISO27001、ISO17799等國際信息安全標準和法規及行業規范，融合自上而下的指導方針、管理策略、業務流程運行規則、系統操作指南，建立信息安全管理體系。

其次是安全培訓。安全培訓旨在提高客戶的信息安全意識和技能，為最大程度上提高客戶的整體安全防衛意識和安全防衛技能，真正把信息安全管理體系落到實處，提供強力有效的技術支撐保障。

再次是安全評估。對信息資產所面臨的威脅、存在的弱點、造成的影響，以及三者綜合作用所帶來風險的可能性評估，為客戶信息安全管理體系策劃提供基礎。

最后是安全加固。結合等級保護國家政策及行業規范，通過現場調研，合理使用安全加固工具等為客戶提供安全加固服務，主要提供主機加固、系統加固、數據庫加固、應用服務器加固、應用加固等服務，安全補丁、安全策略調優、配置優化等服務。

七大監測服務主要包括下幾個方面：

第一，“睿眼”外網安全監測預警服務平臺是一套軟硬件一體化監測平臺，以大數據技術為依托，集成了Web漏洞掃描檢測技術、采用遠程監測對外網網站提供7×24小時實時安全監測服務。通過對網站的不間斷監測服務及時發現威脅，從而提升網站的安全防護能力和網站服務質量，并通過安全監測平臺的事件跟蹤功能建立起一種長效的安全保障機制。

第二，“睿眼”移動安全監測預警服務平臺，為政府和企事業單位搭建一個應用App統一存放、統一管理、統一安全監測的AppStroe平臺，通過此平臺進一步提升用戶辦事體驗，同時方便國家、省部級對下級單位進行移動App管理和統計。

第三，“睿眼”內網安全監測預警服務平臺，基于對內網網絡系統安全運行的考慮，平臺提供對內網的實時安全監測、分析和預警功能。

睿眼通

睿眼通是七大監測預警服務平臺提供給客戶的一款智能移動終端，基于客戶對信息安全情況的即時需求，以七大監測預警服務平臺監測結果為主線，可以成為客戶處理信息安全問題、了解安全狀態趨勢、掌握最新安全資訊的貼心助手，隨時隨地了解網站及信息系統等的整體運行情況。

信息安全應急響應指揮平臺

應急響應指揮平臺通過各大監測預警服務平臺實時監測結果，對告警的安全故障或安全威脅，以最短的時間進行故障排查定位和應急處理。

安全產品

公司安全產品包括堡壘主機系統、系統安全加固、審計系統和信息共享管理系統。

（1）堡壘主機系統。堡壘主機是一種被加固的可以防御進攻的計算機，具備堅強的安全防護能力。堡壘主機系統軟件扮演著看門者的職責，所有對網絡設備和服務器的請求都要從這扇大門經過。

（2）系統安全加固。系統安全加固V1.0產品是軟硬件相結合的產品，通過硬件USB-KEY，提高了服務器系統的安全性，克服單純使用軟件防護的局限性；軟件部分包括服務器操作系統安全增強軟件、服務器安全，以及統一安全管理平臺軟件。

（3）審計系統

①日志審計系統。日志審計系統一方面可以集中收集、長時間存放所有的記錄日志，避免日志遭到惡意篡改或刪除而在安全事件發生時無據可查的狀況發生，另一方面日志審計系統強大的日志審計功能可以為組織審計人員提供日志實時監控、高效檢索、審計報表等日志審計手段，從而使原本不可能完成的海量日志審計工作可以在短時間內輕松完成，大大減少信息部門的工作量。

②網絡安全審計系統。網絡安全審計系統主要通過旁路監視并記錄對數據庫服務器的各類操作行為，通過對各類網絡行為的分析，實時地、智能地監控審計，并將審計數據存儲，以便日后進行查詢、分析，實現對整個網絡環境內的操作訪問行為的監控和審計。

篇2

【論文關鍵詞】檔案信息服務；隱私權；網絡化 

 

檔案信息是一種重要的原始信息，也是記錄隱私的重要載體，同時，作為歷史的記錄，檔案中的許多內容涉及個人隱私，因此，檔案工作和隱私權保護有著必然的聯系。蓬勃發展起來的網絡環境在改變檔案信息收集、整理、貯存、傳遞、利用的傳統模式的同時，也使隱私權保護呈現出新的特點。網絡本身的安全性并不十分可靠，這是檔案信息網絡化服務進程中一個極為重要的問題，由于技術的不完善，第三方（如“黑客”等）對當事人隱私權的侵犯既可以發生在檔案館與用戶通過網絡傳送個人資料或不同的檔案網站之間共享個人資料的某個環節，也可以發生在檔案網站貯存個人資料的過程。這也從客觀上推動了我們對檔案信息（網絡化）服務中的隱私權保護問題的探討。 

一、檔案信息服務中涉及的隱私權問題分析 

在檔案信息服務中保護隱私權的意義不僅僅在于維護當事人的合法權益，而且在于為檔案事業的發展營造良好的社會氛圍，推動檔案信息化進程，促進檔案社會價值的發揮。 

（一）個人資料收集中的隱私權問題 

檔案是一種重要的原始信息，且具有保密性。其中包括公民的一些重要的個人信息，大多數鮮為人知。雖然檔案法對保密檔案的管理和利用、密級的變更和解密都作了嚴格的規定，同時制定了檔案的開放期限，但其法律相對方主要是機關、團體、企事業單位，對于個人重要檔案信息沒有給予明確的說明。事實上，在檔案所有人向檔案館移交、捐贈、寄存或檔案館自行收集關于公民的檔案之初，就應妥善處理好隱私權問題。 

隱私權保護問題在傳統的個人資料收集過程中并不太引人注目，但在網絡化的今天，檔案館通過網絡收集個人資料變得快捷化、自動化、詳細化，隱私權問題相對也就更加突出。比如，檔案網站在接受訪問時往往要求用戶提供若干個人資料，包括年齡、性別、身份證號、職業、收入、工作單位、研究方向、聯系電話、傳真、電子信箱等；檔案網站可以利用一些追蹤軟件來持續掌握用戶的網上行為，判斷他們的檔案信息消費特點。 

檔案網站采用先進的技術手段收集個人資料并非出于惡意，目的是通過對個人資料的分析與挖掘，找出可能連用戶自己都沒有意識到的檔案信息消費習慣或消費需求，改進服務工作，這是網絡環境中檔案信息服務和信息產品開發“量身定制”的個性化、多樣化的要求。但是，檔案網站在用戶毫不知情或無可奈何的情況下（例如有的網站拒絕為不提供個人資料的用戶服務）收集個人資料，就會侵犯用戶對其個人資料的占有權和支配權。 

（二）個人資料傳輸和貯存中的隱私權問題 

檔案信息傳輸和貯存過程中所涉及的隱私權問題，主要出現在檔案信息網絡化過程中。 

網絡本身的安全性并不十分可靠，這是檔案信息網絡化服務中可能產生隱私權問題的又一個原因。由于技術的不完善，第三方（如“黑客”等）對當事人隱私權的侵犯既可以發生在檔案館與用戶通過網絡傳送個人資料或不同的檔案網站之間共享個人資料的某個環節，也可以發生在檔案網站貯存個人資料的過程中。比如，第三方可以直接侵入檔案網站的用戶數據庫，觀看、篡改、傳播個人資料，如果這種行為是出于惡意，那么當事人的隱私權無疑將受到極大的威脅。 

（三）個人資料利用中的隱私權問題 

不恰當地利用個人資料是檔案信息服務中可能產生隱私權問題的第三個原因。 

檔案利用與隱私權保護之間存在著矛盾，檔案利用必然涉及到公民的隱私權保護問題。如果涉及隱私的檔案被自由利用，就可能導致政治與經濟活動的混亂，使社會公民產生生活危機感，給社會的安寧團結帶來不利因素。因此，如何認識和正確處理好檔案利用與保護公民隱私權問題，是檔案利用工作在改革開放過程中的一個重要課題。由于這種侵權往往涉及到檔案館的管理職能及檔案館對個人資料的常規使用，所以控制和防止此種侵權的困難較大。比如，檔案館將用戶為了特定的目的提供的個人資料出于業務需要用于未經授權的另一目的上，包括但不限于向別的檔案館提供該資料，且未限制該檔案館對個人資料的合理使用——雖然這種利用個人資料的方法對用戶的合法權益并無損害。 

由于各種原因，目前在檔案開放利用工作中公民的隱私權得不到應得的保護甚至被人們所忽視，這無疑給檔案信息服務工作帶來了一定隱患。在目前我國隱私權的觀念尚未深入人心，在人們普遍缺乏隱私權保護意識的情況下，檔案部門在開放利用中忽視隱私權保護的行為還能被社會所容忍。但伴隨著我國法制化建設的進程，公民隱私權意識的加強，檔案部門在實際工作中如不能很好地貫徹法律的規定，忽視了對公民隱私權的保護，那么將會在很大程度上影響檔案信息服務工作的開展。 

二、檔案信息服務中保護隱私權的對策 

要使得公民的隱私權在檔案信息服務過程中得到保護，必須走依法治檔的道路，進行相關方面的檔案法律建設。目前我國《檔案法》中沒有明確規定檔案信息所涉及的隱私權問題，僅在部分條款中作有類似說明。 

在檔案信息服務過程中，檔案利用是涉及隱私權的一個關鍵環節，在利用時應區別對待，通過控制使用這些涉及私人權益的檔案，限制其利用范圍，使隱私權受到必要的保護，做到合法利用。 

做好檔案信息服務中的隱私權保護，檔案界和檔案館還應采取以下對策： 

（一）制定檔案行業的隱私權保護政策 

1997年9月27日，國家檔案局、國家保密局聯合頒發了《各級國家檔案館館藏檔案解密和劃分控制使用范圍的暫行規定》。該文件對于有效預防在檔案開放利用工作中發生對個人隱私的侵權，起到非常重要的作用。各級各類檔案部門以此項規定作為政策指導和保障，結合各自實際館藏狀況，制定了相關的規章制度，收效顯著。不僅如此，檔案學會和檔案館也應制定本行業的網絡隱私權保護政策，并在網站主頁的顯著位置予以明示，內容包括：告知網站收集個人資料的目的、方式、范圍；對個人資料提供保密和安全措施的承諾；告知用戶的請求閱覽權、補充修正權、刪除權、訴訟權等以及相關免責條款。 

檔案法律在以后的完善健全過程中，要著重注意解決一個問題，即檔案信息開放服務過程中公民隱私權與知情權的關系。在檔案利用實踐中，我們有時不得不在保護公民隱私權和維護公民知情權之間做出選擇。檔案部門所作出的選擇要符合法律利益最大化原則。如當檔案中的隱私涉及共同利益、公共需求、政治利益時，檔案部門就要偏向于后者，因為它符合大多數人的需要，從長遠來看，根本上也符合隱私權主體的利益。 

（二）加強對個人檔案隱私權的管理與技術保護 

1.在檔案管理中采取措施 

這是合法利用檔案信息的前提條件，要求對涉及公民隱私權的檔案進行鑒定與區分，使之與一般檔案區別對待，分開保管，做到有關檔案的完整、安全和保密。目前，檔案法規對涉及公民隱私權檔案的劃分并不十分明確，在實際工作中不易操作，這種狀況亟待改善。 

利用者在利用涉及隱私的檔案時，只限于達到既定目的，當按規定獲得了對檔案的利用權后，可對這些檔案進行閱覽、復制和摘錄，但不得將其以現行檔案法規中明令禁止的形式對外公布，不得擅自傳閱、散布、發表這些涉及他人隱私的檔案內容。檔案工作者有必要在提供檔案信息服務過程中向利用者說明有關注意事項。 

2.網絡化過程中的保護手段 

相對于傳統的紙質檔案而言，在檔案信息網絡化過程中，可以采取的技術保護手段可謂多種多樣。現在已經有了cookies軟件管理工具、個人隱私偏好平臺（p3p）、加密軟件、自動刪除個人資料軟件等由用戶自己保護個人資料的技術。檔案網站保護個人資料的技術也有很多種，比如：檔案館為了禁止未獲授權的人截取或查閱個人資料，可以通過設置本網站運行的服務器，自動使電子郵件傳輸到一個預先指定的服務器目錄機密郵箱，只供獲得授權的人查閱。 

（三）提高檔案館保護隱私權的自律性 

“自律”是檔案館保護隱私權的一條重要原則，即通過檔案館采取自律措施來規范自己在個人資料收集、存貯、傳輸利用中的行為，達到保護隱私權的目的。 

1.檔案館應開展檔案開放利用的鑒定工作 

組織鑒定小組及時鑒定需要開放利用的檔案，著重分析檔案涉及隱私的內容和本館檔案的類型，從而確定哪些檔案涉及個人隱私，屬于控制范圍。對個人資料的重要程度劃分等級，以決定采取不同的保護措施。檔案館還要建立一些規章制度，避免使所有的檔案館人員都能接觸到敏感的個人資料（如出身、種族、政治傾向、宗教信仰、犯罪記錄等），確保只有經過批準的檔案館人員才能收集、查閱、傳播這些個人資料。對于已到開放期的檔案，要嚴格按照《各級國家檔案館開放檔案辦法》、《各級國家檔案館館藏檔案解密和劃分控制使用范圍的暫行規定》中的相關規定，對擬開放檔案組織認真鑒定，以決定包含個人資料的檔案的開放時間、開放方式和范圍。 

2.檔案工作者要注意保護他人隱私 

篇3

 

國家審計是在國家開展宏觀經濟綜合監督體系的重要環節，實現其運行系統和整體信息安全的有效性是極為必要的。通過審計信息化系統建設項目有效結合了審計基本業務特征環節的信息安全防護以及實現系統健康運行的監控運維服務體系，在實現系統化的體系建設且開展綜合性的防護保障措施之后，以有效保障國家審計在進行信息系統建設整體系統的健康安全運行[1]。

 

一、結合審計業務特征所開展的信息安全防護工作

 

信息安全防護在國家電子政務活動中進行應用時，需要嚴格遵守國家在相關方面的政策制定和規劃性要求，更需要明確政務職能環節業務信息的風險和特征，然后從根本實際出發開展有針對性的信息安全防護規劃工作，保障所采取的措施能夠有效解決實際問題，確保安全防護工作的順利有效。

 

1.1對審計信息和業務的流轉型特征展開研究

 

一般而言，國際審計中包絡初期的數據采集及有效形成核查環節的審計信息記錄和證據整合，并通過互聯網的應用將相關信息報送審計機關的非涉密專網中，這就涉及到業務活動中的信息安全性，如果在流轉環節出現審計信息的泄露，因為國家審計所具有的設密性和權威性，將構成重大的安全風險[2]。

 

1.2針對審計業務的整體特征開展有效的安全防護規劃

 

在國家審計要求范圍之下，對國家電子政務信息安全和信息化的協調發展給出了總體性的規劃要求，實現審計信息化系統項目建設的三網安全規范，通過審計門戶網、審計專網、審計內網三個環節實現對電子政務信息的安全防護，有效保障涉密信息的安全性。此外，還需要根據四級互聯審計專網對于信息安全防護的要求，在有效倚仗外網的信息信任體系來實現覆蓋全國的信息系統建設，構建有效的病毒中心防御系統，為信息的安全防護提供基礎環節的保障。

 

1.3根據國家審計的信息特征出發進行安全防護策略的研究

 

國家審計業務具有一定的流轉性，這就需要對該環節的信息安全進行有效的風險評估，以避免出現泄漏狀況，在國家信息保密和安全主管部門的支持和指導管理下，在進行信息化系統建設項目時采取了信息交換和安全交互以及三網隔離的主體策略，以有效保障審計信息在流轉環節的安全性。

 

二、保障國家審計信息安全的運維服務體系建設

 

通過實現運維服務體系的建設有效保障了國家審計信息的整體安全性。在審計信息化系統建設項目中，運維體系的建設主要在整體隊伍、方式、系統和制度以及資金等方面，在這個過程中要有效保障整體建設同運維服務的關系。

 

2.1運維服務系統

 

在審計信息化系統建設項目中，運行監管系統和信息服務系統構成了運維服務的整體系統。其中信息服務系統中的現場審計和審計管理系統已經面向全國的審計系統，以更好地實現兩項系統應用的有效性，另外，審計署還建立了面向全國審計系統的熱線電話和服務網站的整體服務體系，而且國家審計系統還發行了同信息安全建設運維系統相關的指導性信息和文件，以保障信息系統應用的有效性。運行監管系統側重于對整體系統建設中的各項子系統的運行狀態實現有效的監管控制，以有效納入整體的安全系統實現統一的管理，整體性的滿足了多層級的系統運維監管任務，極大地提升了監管力度，使得國家審計信息系統以及所屬子系統的運行都能夠具有穩定、安全的整體環境。

 

2.2運維服務隊伍

 

審計信息化系統建設項目實現了國家審計總數的服務部門和省級的工程服務辦的兩級服務系統構建，并建設完成了中央省市縣的四級審計機關的信息系統的整體運行服務隊伍。在進行子系統集中管理的基礎前提下，審計署建立了面向下屬各個機關和部門及全國性地方審計的“呼叫中心”運維服務隊伍，有效保障了熱線電話和服務網站的整體有效性運行，將疑難問題和咨詢答復等交由運行后臺專家，并得到專業性的確定答案之后予以恢復，有效實現了整體運維服務體系的建設。

 

2.3運維服務制度

 

就審計信息化系統建設項目的相關制度而言，均是由審計署所制定的相關指導辦法和體系，以有效明確運維過程中的職責分工和機構設置，有效實現對運維內容和機制的執行。另外，在進行運維資金的使用和管理方面也制定了一定的制度規范和要求，以確定在運行中經費使用的有效性以及利用的最大化。通過各項管理制度確定，使得整體的運維體系科學、合理，并能夠在制度的支持下實現對相關專業人員的專業素質和技能培訓以及使用經費和規范化服務等相關內容的引導，進一步強化了整體的運維服務體系建設[3]。

 

2.4運維服務外包方式

 

在實際的發展過程中，審計署將審計信息化系統建設項目中的“呼叫中心”服務隊伍建設實行了外包政策，并在逐漸的發展中，在運維服務系統的整體性要求性下，將該環節在內的網絡系統和應用系統通過集成商的方式通過外包服務實現有效的運維服務體系建設。另外在運維服務體系的信息系統建設中，也實現了政府對技術人員隊伍建設的外包服務組建方式。

 

2.5完善整體系統與運維服務的體系構建

 

在國家審計信息系統建設環節中，運維保障和信息系統建設是支撐前進的兩大驅動力量，這就需要正視兩者之間的關系，在啟動運維保應用的基礎上開設有效的指導性欄目或者咨詢通道。此外，還可以構建全國性的運維體系效能保障，實現普及性的管理建設，并在運維體系的支撐下強化整體系統的集中統一管理。最后，需要實現有效的監控運維提下，實現對整體運維服務的監控和管理，確保整體運行的安全性和有效性。

 

三、結束語

 

審計信息系統建設項目需要有效的網絡效能支持，這就需要保障在管理應用中的安全有效性，尤其是國家審計環節中的涉密文件，因其本身所具有的嚴肅性和影響性，在這樣的基本認知下，就需要從根本實際現狀出發開展有效的安全防護工作以及相應的運維服務體系的完善和建設，以保障國家審計信息的整體安全性。

篇4

2006年至2009年四年間,聯想網御的年銷售收入復合增長率大于50%,遠高于業內平均水平。2009年,聯想網御更是龍門一躍,不僅拿下了標的近億元的中國信息安全產業十年第一大單,讓銷售額再創歷史新高,而且在技術研發、人才儲備、服務體系建設等方面完成了從量變到質變的突破,為后續發展夯實了基礎。

創造客戶價值

管理大師德魯克曾經說過,企業的唯一使命是創造客戶。劉科全認為,隨著信息化建設的不斷深入,信息技術與物理世界正在不斷融為一體,信息安全的需求日益務實、復雜,只提供標準化產品的傳統做法已經不能滿足要求了。基于此,聯想網御提出了新的經營理念,即關注客戶需求,把為客戶創造價值作為自己一切經營行為的指南。聯想網御堅信這種改變符合信息化發展的要求,是服務經濟在信息安全領域的體現。聯想網御稱這一體現為信息安全新價值。

“我們要做信息安全新價值時代的引領者。或者說,我們正在引領國內信息安全產業進入新價值時代。”劉科全對記者說:我們始終強調科技應當以人為本,強調以為客戶創造價值為目標。“誰的技術最強,應該看它是否為客戶創造出了最多的價值。”

基于上述經營理念,自2006年起,聯想網御就制定了具有前瞻性的發展戰略:信息安全藍海戰略。該戰略強調把技術創新轉化為價值創新,將企業自身的發展與用戶的價值創新統一起來,以為用戶創造更高安全價值來推動聯想網御的發展。

為了保證這一戰略的實施,自2007年起,聯想網御開始在應用技術研發、人才儲備、服務體系建設等方面進行全面布局,并推出了一系列旨在轉變經營機制的策略。這些策略讓聯想網御在“信息安全新價值時代”駛入發展快車道的今天獲得了先機。

劉科全認為,只有貼近用戶,提供全方位服務才能最終為用戶創造價值。幾年來,聯想網御在全國各省不斷擴大辦事處規模,建立起了覆蓋全國的完善的售后服務體系,可以為用戶提供7×24小時的全天候服務。服務體系的完善不僅縮短了聯想網御的客戶響應時間,解除了客戶的后顧之憂,而且還提高了聯想網御的項目實施速度,降低了客戶的交易成本,從而為客戶創造了更多的價值。

戰略中的技術路徑

在核心技術創新方面,2007年,聯想網御推出蘊含著全新技術理念的下一代安全架構,面向IT基礎架構安全,面向應用與數據安全,面向管理與流程安全,布局核心技術與解決方案,計劃形成從邊界安全到全網安全、從平臺安全到應用安全、從安全止損到安全增值的整體解決方案,從而繪制出了信息安全新價值時代的技術發展路線圖。

劉科全說:“我們在核心技術創新方面取得了以VSP通用安全平臺、USE統一威脅引擎、TSA可信安全接入、ASE應用安全監控為代表的重大技術創新成果,推出了一系列針對客戶需求、能為客戶創造價值的產品和解決方案。”

篇5

[關鍵詞]電子政務 安全體系 技術體系 管理體系 服務體系

[中圖分類號]TP393.08[文獻標識碼]A[文章編號]1009-5349(2010)06-0118-02

電子政務是指政府運用現代計算機和網絡技術,實現其公共管理和服務職能的數字化和網絡化,重組優化政府組織結構和工作流程,向社會提供高效優質、規范透明和全方位的管理與服務。它使得政府事務變得公開、高效、透明、廉潔和信息共享。但是由于網絡的開放性和公開化,電子政務系統安全問題日益突出和嚴重,影響了電子政務信息系統功能的發揮,甚至對政府部門和社會公眾產生危害,嚴重的還將對國家信息安全乃至國家安全產生威脅。

一、電子政務系統面臨多層次的安全威脅

(一)物理層安全威脅

這個層次面臨的安全威脅主要包括有:設備的被盜、惡意破壞、線路截獲監聽、電磁干擾、電源掉線以及設備的損壞等。這些都對整個網絡的基礎設備及上層的各種應用有著嚴重的安全威脅。

(二)網絡層安全威脅

網絡層是網絡入侵者進攻信息系統的渠道和通路,許多安全問題都集中體現在網絡的安全方面。大型網絡系統內運行的TCP\IP協議并非專為安全通訊而設計,所以網絡系統存在大量安全隱患和威脅。

(三)系統層安全威脅

系統層的安全威脅主要是操作系統平臺的安全威脅。由于現代操作系統的代碼龐大,從而在不同程度上都存在一些安全漏洞。操作系統自身的脆弱性將直接影響到其上所有的應用系統的安全性。

(四)應用層安全威脅

應用層安全是指用戶在網絡上的應用系統的安全,包括郵件系統、WEB、DNS以及各種業務系統等。雖然應用系統復雜多樣,但都存在一些廣為人知的漏洞,容易被人作為攻擊的切入點。

(五)管理層安全威脅

其威脅包括:沒有完善的網絡與安全人員管理制度;沒有定期對現有的操作管理人員進行安全培訓;網絡或安全設備的登陸密碼安全策略強度不符合要求;沒有及時獲知安全狀態及最新安全漏洞的途徑;對于可能出現的安全問題,沒有一套完整的處理流程。

二、電子政務系統安全體系框架

電子政務系統的安全體系框架是針對電子政務系統面臨的五個層面安全威脅分析進行設計的,是對電子政務系統提供保護的整體策略集合,包括:運行管理安全、物理環境保障、數據安全、資源可信和網絡及系統安全五個層面的內容,其體系框架如圖2.1所示。安全體系框架在物理環境安全的保障下,提供數據安全、資源可信和網絡及系統安全三大類安全支撐,確保用戶環境、應用與數據環境和網絡基礎環境的安全,同時運行管理安全貫穿其中,共同為電子政務系統提供多級別、多層面的保護。

三、電子政務系統安全域的劃分

安全域的規劃是通過對業務資源的分析,確定其保護的范圍和等級,并采取相應的保護措施,主要包括安全定級、安全域劃分和安全策略配置三部分內容。

(一)安全定級

電子政務系統的安全定級是指定制電子政務系統的安全等級,根據電子政務系統在國家安全、社會穩定和保護公共利益等方面的重要程度,結合系統面臨的風險等因素,將其劃分成不同的安全等級,采取相應的安全措施,保障安全。

(二)安全域的劃分

安全域劃分是指從安全的角度出發,對電子政務系統進行結構化的分解,劃分成為不同類別的保護對象,形成不同的安全區域,保證網絡中用戶的可信、設備的可信和服務的可信,并以可管為目的實現多個安全域之間的互聯互通和業務協同。

(三)安全策略配置

根據安全體系框架和安全定級、安全域劃分,來為電子政務系統各安全域配置安全策略,如全國信息系統的安全策略配置如下:網絡接入區:采用數據可信傳輸、邊界防御、實時監控等措施,防止非法用戶和非法數據進入網絡;業務數據區:采用信息保密、注冊鑒權、強身份認證、訪問控制和病毒防護等措施,保護數據和應用的安全;安全服務區:采用符合國家規定的機房物理保護措施。

四、電子政務系統安全技術體系設計

電子政務系統安全技術體系由安全支撐平臺和安全應用支撐平臺兩部分構成。安全支撐平臺以密碼技術為基礎,為安全應用支撐平臺和電子政務系統提供信息保護、身份認證、訪問控制等安全服務。安全應用支撐平臺以呼叫控制、業務控制、媒體控制和業務管理為主要內容,為電子政務系統提供可信的呼叫控制、應用整合、媒體控制和資源管理等應用支撐服務,并以用戶為中心提供基本網絡業務服務。

五、電子政務系統安全管理體系設計

在電子政務系統中,僅僅靠技術手段難以防范所有的安全隱患,還需要建立相應的安全管理體系。安全管理體系主要包括有安全策略、安全組織和安全制度。

(一)安全策略

安全策略是管理體系的靈魂,要做到全面、靈活使用,必須在對信息系統進行全面細致的調查、評估之后,結合電子政務的業務流程,制定出符合實際情況的安全策略體系。安全策略體系包括安全方針、主策略和子策略和電子政務系統日常管理所需要的制度。

(二)安全組織

為保障電子政務系統信息的安全,需要在條件合適的時候建立合適的安全管理組織框架,以保證在組織內部開展和控制信息安全的實施。建立具有管理權的適當的信息安全管理委員會來批準信息安全方針、分配安全職責并協調組織內部信息安全的實施。如有必要,應在組織內建立提供信息安全建議的專家小組并使其有效。

(三)安全制度

電子政務系統是一個安全性要求非常高的系統,所以安全制度要求也很嚴格。必須由管理層制定切實可行的日常安全保密制度、審計制度、機房管理、操作規程管理、系統維護管理等,明確定義日常安全審計的例行制度、實施日程安排與計劃、報告的形式及內容、達到的目標等。

六、電子政務系統安全服務體系設計

電子政務安全服務體系設計強調以“安全人”為核心,包括以下安全服務內容:

(一)安全評估審計服務。定期檢查電子政務信息系統的安全現狀,以便動態地調整安全防護策略。

(二)安全增強加固服務。主要是針對安全狀況的動態變化,及時彌補最新出現的各類安全漏洞、安全隱患。

(三)安全信息通告服務。通過郵件、WEB網站或電話等方式,為電子政務信息系統提供及時的、有針對性的各類安全信息,幫助信息系統維護人員及時了解最新安全動態。

(四)安全應急響應服務。針對電子政務信息系統隨機出現的重大、疑難安全故障進行及時的專家安全響應和恢復,提高信息系統應對重大安全事故的能力,保障系統各業務網絡的業務連續性。

(五)專業安全培訓服務。電子政務信息系統的長期安全保障必須依賴各類人員的安全技能和安全意識水平的提高,進行專業安全培訓是提高安全技能和安全意識水平的最佳方式之一。

七、總結

電子政務系統的安全目標是保護政務信息資源價值不受侵犯,保證信息資產的擁有者面臨最小的風險和獲取最大的安全利益,使政務的信息基礎設施、信息應用服務和信息內容為抵御上述威脅而具有保密性、完整性和不可否認性的能力。因此本文從全局來構建電子政務安全保障的體系框架,以保證電子政務的健康發展。

【參考文獻】

[1]王東霞,趙剛.安全體系結構與安全標準體系[J].計算機工程與應用,2005(8).

[2]電子政務安全問題.省略/news/getnews-content.action.

篇6

關鍵詞：電子政務；信息安全；體系管理

中圖分類號：TP309 文獻標識碼：A文章編號：1007-9599 (2011) 20-0000-01

E-government Information Security Management System Construction

Chen Jisheng,Xu Yunpeng

(Shandong Jining Information Center,Jining272017,China)

Abstract:E-government electronic and information technology and management as a combination,just like modern information technology has become the most important areas.It is precisely because of its importance,its information security is to be ignored.This will be its information security management needs analysis,security threats in a bid to build their management and security system to give a systematic exposition.

Keywords:E-government;Information security;System management

所謂電子政務信息安全管理體系就是依據電子政務安全需求，安全威脅來源而建立起來的有效防治安全威脅、保證電子政務安全有序運行的保障體系。因此要構建一個完備的電子政務安全管理體系就必須對安全威脅有清楚的認識并加之行之有效的管理。

一、電子政務系統安全需求分析

電子政務涉及國家秘密信息和高敏感度核心政務，因此有嚴格的安全要求。如嚴格的保密要求，信息準確交換的要求，嚴格的權限管理要求，嚴格的程序和流程要求。電子政務內部信息網站有著大量高度機密的數據和信息，直接涉及政府的核心政務，它關系到政府部門、各大系統乃至整個國家的利益，有的甚至涉及國家安全。因此，電子政務信息安全是制約電子政務建設與發展的首要問題和核心問題，是電子政務的職能與優勢得以實現的根本前提。如果電子政務信息安全得不到保障，不僅電子政務的便利與效率無從保證，更會給國家利益帶來嚴重威脅。

二、電子政務信息安全威脅

電子政務信息安全威脅主要來自兩個方面，一是信息安全技術層面，主要是物理安全威脅，網絡基礎平臺安全威脅，信息資源層安全威脅，業務應用層安全威脅等。物理安全威脅主要是物理通路的損壞、物理通路的竊聽、對物理通路的攻擊。網絡基礎平臺的安全威脅是非法用戶與非授權客戶的突發使用，造成網絡路由錯誤，信息被攔截或監聽。而信息資源層安全威脅是主要安全問題，要求保證客戶資料、操作系統訪問控制的安全，同時能夠對在該操作系統上的應用進行審計。業務應用層安全也很容易受到攻擊，應用系統直接面向最終用戶，其安全問題最多，包括規范化操作、合法性使用、系統本身安全漏洞、信息泄露等。二是安全管理方面，也是整個系統的關鍵。通常存在的管理問題包括管理組織、管理規范、技術管理、日常管理等。管理組織不完善、管理規范未建立、技術管理不到位、日常管理幾乎空白等。

由于電子政務對過度開放的網絡的高度依賴，以及當今電子政務安全技術的缺陷導致電子政務存在來自各方面的安全威脅。因為電子政務是建立在基于互聯網的網絡平臺上，而互聯網是一個缺少安全管理的開放性平臺，安全隱患特別多，給予網絡黑客或不法分子可乘之機。對電子政務的安全威脅還包括網上犯罪、病毒泛濫和蔓延，信息間諜的潛入和竊密，網絡恐怖集團的攻擊和破壞，網絡系統的脆弱和癱瘓，信息安全產品的失控以及信息安全技術層面的滯后等。

三、構建電子政務信息安全管理體系

根據上述的需求以及各方面威脅的來源就可以有針對性的建立起電子政務信息安全管理體系，從而使政務的信息基礎設施、信息應用服務能夠具有保密性、完整性、真實性和可用性。電子政務信息安全管理體系包括技術保障體系、管理運營體系、服務保障體系和基礎設施平臺。

（一）構建技術保障體系。由于電子政務的國家性，電子政務系統工程的安全保障需要各種有自主知識產權的信息安全技術和產品，全面推動自主研發和創新這些技術和產品是電子政務安全的需要。核心技術的研發可以保證在安全保衛戰上的主動性。這些核心技術主要包括數據加密技術、信息隱藏技術和信息認證技術。鑒于現今我國技術水平落后，各地政府部門所用的信息平臺大多屬于國外技術產品，這更加加大的信息安全的風險。因此加快技術研發、技術產品化及產業化迫在眉睫。

（二）構建管理運營體系。有了行之有效的技術保障體系后最主要的問題就是管理的跟進啦，構建安全管理系統是電子政務安全進行的重要基礎。從管理體制上落實安全責任制，建立完備的信息安全管理和認證機制。安全管理系統主要包括安全組織，安全策略和制度，安全評估和安全審計等。

1.安全組織。建立安全決策組織、安全指導小組、安全專家小組、安全領導小組，建立網絡日常管理機構，建立維護單元等。只有建設一個國家到省市縱向和橫向各部委、廳局架構的安全管理組織，才能真正實現全面的安全等級保護。

2.安全策略和制度。安全的政策和制度也是整個系統的關鍵部分，電子政務的安全運行必須以法律法規形式加以保障。通過加大執法力度，嚴格執法限制安全威脅。

3.安全評估。安全評估主要是分析潛在威脅，威脅嚴重程度，可能造成的后果，系統應對的安全措施等。

4.安全審計。在上述各項的基礎上同時還要定期對各項安全舉措執行情況進行達標審查。檢查體系運行情況，并做出下一步工作方向。

（三）建立穩定的服務保障體系。電子政務發展進入了以服務對象為中心的新階段，服務是電子政務的出發點和落腳點，建立安全穩定的服務保障體系則是提供可持續服務的基礎。其服務對象是就是最廣大的人民大眾，基數龐大，且利益重、影響大，更加大了服務保障的挑戰性。而現階段我國電子政務建設中存在的問題都與缺乏服務密切相關。包括重建設輕應用；重內部網絡，輕門戶窗口；重投入輕維護；重部門建設，輕跨部門合作；對公眾服務創新較弱等等。歸根結底是沒有樹立起以公眾為中心的的服務意識、態度和能力。對于服務體系要進行嚴格的劃分。按服務對象可分為面向公眾的服務、面向企業的服務、面向組織和部門的服務。按服務內容的層次又可以劃分為基礎、創新和個性化服務等，依據各種類劃分嚴格建立體系相應機構。

參考文獻：

[1]翟亞紅.淺析信息安全風險評估與等級保護的關系[J].信息安全與通信保密,2011,4

[2]趙章界,李晨D,劉海峰.信息安全策略開發的關鍵問題研究[J].信息網絡安全,2011,3

篇7

【關鍵詞】區域信息化；運轉機制；融資渠道；信息化人才

黨的十明確提出要“堅持走中國特色新型工業化、信息化、城鎮化、農業現代化道路”，并特別提出要大力推進信息化和工業化深度融合、工業化和城鎮化良性互動、城鎮化和農業現代化相互協調，促進工業化、信息化、城鎮化、農業現代化同步發展。面對日益嚴峻的資源、能源和環境壓力，加快區域信息化建設已經迫在眉睫。

一、建立信息化管理體系，完善信息化運轉機制

根據信息化的發展需要，成立區域信息化領導小組，進一步加強對信息化建設與應用工作的指導和協調。同時，要成立相應的區域信息中心，并在政策、人員、經費等方面給予保證。組織制定統一的信息化發展規劃，制定切實可行的實施方案；制訂信息化法規，建立信息市場準入制度和交易準則；制定統一的信息化技術標準，防止各自為政，盲目建設等行為，反對信息壟斷等。

堅持信息化工作統一規劃、統一領導、統一管理的原則。政府信息中心與各相關部門協調一致，充分行使對信息化建設的指導、組織、管理和協調職能，做到有機構、有人員、有經費。成立區域信息化專家咨詢小組，充分發揮專家在制定發展規劃以及在重大項目措施中的咨詢作用。每年召開區域信息化工作會議，總結部署工作。把信息化工作作為考核各部門主要領導工作實績的重要內容，納入目標考核。

二、優化信息化政策環境，拓展信息化融資渠道

研究、制定和完善與信息化發展需要相適應的產業政策、投資融資政策、消費政策、吸引和激勵人才政策、分配政策以及其他有關政策。優化信息產業發展環境、信息技術應用環境、信息文化傳播環境和信息人才培養環境，促進各行各業的信息化應用和信息產業快速、持續、健康發展。支持相關企業的發展，將從事信息技術、信息設備制造、信息資源開發、集成、運營和信息服務的企業納入高新技術企業，享受工業園區的優惠政策。

根據省、市、縣有關信息化建設項目管理要求，將信息化基礎建設措施和網絡建設列入區域基本建設投資計劃，同時鼓勵、支持企業和社會公共服務部門投資自身的信息化建設，形成以政府為先導的多元化投資體系，利用政府投資帶動社會投資，實現向投資主體多元化、投資方式多樣化的轉變。

三、構建信息化籌資體系，提高信息化投資效益

根據經濟學有關公共物品的基本原理，建立多元化投資體系勢在必行。一般信息化系統有三類產品或服務：一是純公共產品，如電子政務系統（如市、縣區、鄉鎮三級信息網站，公共場所設立的生活用品市場行情電子顯示屏，基礎數據庫，公共信息基礎設施等），這些都是為了滿足公共需要而設立，具有公益性特征，應當由政府投資興建或提供；二是私人產品（如居民購置的電腦、網絡終端，部分電子商務功能的使用等），這些屬于私人專用物品，具有排它性特征，應該由私人投資或由市場提供；三是準公共產品（例如大中專教育信息化系統、醫療衛生信息化系統等），這部分產品與服務介于純公共產品與私人產品之間，可由政府與市場共同投資興建或提供。因此，必須根據信息化產品的性質或屬性，建立政府或財政投資、民間集資、引進外資及其相結合的投資體系，以確保信息化持續、快速發展。

四、加強信息化服務體系，保障信息化安全建設

信息化服務體系縱向上與多個行政層次緊密相連，在橫向上涉及科技、農業、林業、水利、氣象、環保等多個行業，其服務對象涵蓋所有管轄的居民。通信運營商、廣電部門、應用終端設備提供商、以及應用系統開發商要結合農村分布范圍比較廣的特點，合理建設運營維護服務網點，明確運營維護方式和運營維護反應時間，提供方便、快捷的保障服務，確保固話、網絡、數字寬帶網絡、無線通信網絡、廣播電視網絡的暢通和穩定，確保網絡通信、應用終端設備和應用系統出現問題時能及時反應服務，確保群眾提出業務服務變化時能及時受理；同時，采取有效安全防護措施，提高對垃圾郵件、網絡欺詐、手機和短信陷阱等不良信息的防范能力。

認真貫徹國家有關信息安全保密的規定，遵守“誰、誰負責”的原則，建立健全信息安全保密體系。抓好信息安全教育和崗位培訓，提高全社會的信息安全意識。加強網上資源的安全保護，積極應用信息與網絡的加密、識別、過濾、控制和抗干擾等安全技術和產品，加強對信息網絡工程及網絡安全的檢查，增強信息網絡的安全性。進一步加強安全制度體系建設，形成有力的安全保障機制，保障網絡運行安全可靠。

五、加強信息化宣傳培訓，建設信息化人才隊伍

充分利用大專院校、科研院所技術和人才集中的優勢，分期分批選派信息人員到有關單位進行委托培訓，尤其要注重培養高層次、復合型的信息化人才。加強信息管理人員的業務培訓，重點搞好信息化基礎知識和網絡與數據庫認證培訓，提高信息化管理隊伍整體素質。發掘多渠道培訓的潛力，為信息化建設培育各種層面的人才隊伍。創造條件，吸引信息化方面的專業技術人員，特別是高級技術人才參與信息化建設，為提高區域信息化水平提供人才保證。

廣泛開展信息化知識宣傳教育。充分利用新聞出版、廣播、電視、報刊、政務網點媒體，宣傳信息化知識，報道區域信息化工作動態，營造加強信息化發展的輿論氛圍，提高全民信息化意識。

【參考文獻】

[1]張林.系統視角下的區域規劃范式研究[J].人文地理，2011（03）.

篇8

2014年，全區行政村光纖實現全覆蓋，電信共10908戶，其中光纖入戶達到2980戶。我局積極推進信息基礎設施建設升級，截止目前電信3G基站45個，4G基站5個，2014年新建基站11個。電信部門根據不同用戶提供不同的帶寬，以提高客戶體驗為中心，建立內部運營服務體系以及相應的服務體系標準化，滿足客戶的整體服務需求，不存在市場準入門檻設立情況。

4G基站建設和三網融合是現階段重點工作，旨在全力打造“智慧城市”、“幸福新農村”。將電話、電視、寬帶網互聯互通、資源共享，能為用戶提供語音、數據和廣播電視等多種服務。目前三網融合正大力推廣，市人力資源和社會保障局下屬農村勞動保障服務站進村為群眾服務，現場錄入各類信息，上傳下達各類信息政策。

經與財政、稅務部門溝通，我區暫未設立國家集成電路產業投資基金，完善高新技術企業認定管理辦法，落實企業研發費用稅前加計扣除政策等，具體情況請與財政、稅務部門聯系。

二、寬帶發展規劃、網絡設施，培育信息消費需求，構建安全可信的信息消費環境基礎，提升信息安全保障能力情況

篇9

關鍵詞：云平臺；信息安全；保障；風險評估

引言

某云服務平臺是以云分布式計算系統為基礎，面向全省打造的云服務平臺，實現大數據資源開放、互通、共享。該平臺的建設和應用將為實現數據應用、衍生產業提供強有力的支撐。該平臺將搭建電子政務云、工業云、電子商務云、智能交通云、智慧旅游云、食品安全云、環保云等，稱為“N朵云工程”。從該云平臺的總體規劃化上看，包括了公有云、私有云、混合云以及社區云，應用場景和應用結構較為復雜。另一方面，隨著信息化建設的進一步深入，將有更多業務納入該云平臺中，故而信息安全保障工作是一項至關重要的工作。如果一旦形成數據竊取、非法入侵、數據丟失等問題，將必將產生重大后果，并釀成重大事故。

1云安全保障工作重點

首先，我們基于云分布式計算系統的體系結構分析該云平臺的邏輯結構。我們可以將云分布式計算系統及其管理的云基礎計算資源及云基礎存儲資源看成該云平臺的基礎層，“N朵云工程”的云應用及云服務、云平臺門戶是構建在基礎層之上的應用層。同時還有云資源權限控制體系及云管理保障服務體系作為十分重要的保障體系。根據以上分析，可以看出，從信息安全的角度上講，信息安全保障工作應從云基礎安全、云平臺的云應用及云服務安全、云應用及云服務建設的標準化和規范化、云資源權限控制體系的安全保障、管理保障服務體系可靠有效等方面進行分析。（1）針對云基礎安全方面，依據相關云分布式計算系統的安全白皮書的相關內容，安全保障重點在于基礎資源的可用性檢查及故障修復、云操作系統的補丁安裝及版本升級、云平臺的邊界安全、接入安全、云基礎平臺建設過程監理、云分布式計算系統運維服務支持等方面。（2）針對該云平臺云應用及云服務安全方面，需對基于云基礎平臺開發的應用的權限管理、應用漏洞掃描、公有云、私有云、混合云以及社區云的合理使用等內容進行評估分析。（3）針對云資源權限控制體系的安全保障方面，基于相關云分布式計算系統的安全白皮書的相關內容進行分析，可看出系統安全性主要通過其復雜的云資源權限控制模塊完成，因此針對云資源權限控制模塊的用戶及其權限管理是至關重要的，重中之重是對其配置的云資源權限規則的審計和檢查。（4）針對云應用及云服務建設的標準化和規范化方面，需在應用設計開發過程中，嚴格審計開發單位的設計思路、開發過程、開發規范性檢查，并在應用及服務上線前，引入第三方測試，確保開發過程中嚴格按照云分布式計算系統的開發作業標準進行，無嚴重性漏洞，特別是權限控制和數據管理。（5）針對系統可用性方面，應嚴格監控出口帶寬及流量消耗問題、系統故障影響范圍分析、系統故障排除周期分析等內容。（6）針對信息安全保障制度建設方面，應以云分布式計算系統的基本保障要求及云平臺自身的信息安全保障要求，構建包括人員管理制度、開發團隊管理制度、運維管理制度、基礎配套管理制度、機房管理制度、云服務及應用開發規范、數據應用及交換申請評估制度、云服務及應用完備性測試管理制度、安全事件應急指揮制度等在內的多項規章制度建設制度。并針對每項制度的執行情況做定期監督檢查。綜上所述，云基礎平臺安全檢查及審計、云平臺應用及服務、云應用及云服務上線前審查及測試、云資源權限控制體系的管理、信息安全保障制度建設及監督檢查是該云平臺信息安全保障工作的重點。

2云安全風險評估方法

依據以上分析，可得出云平臺的信息安全評估方法。依據IT基礎資源管理軟件、云操作系統的實時監控工具等手段對云基礎設施進行實時監控，并建立應急指揮體系，發現問題及時排除。由于該云平臺的“N朵云工程”的云應用及云服務均是基于云分布式計算系統完成的，首先定期對云基礎操作系統進行全面檢查及防護，這也是評估工作的重點內容。按照地方政府對該云平臺的基本要求，對各類數據資源及計算資源的分配權限及配置規則進行評估檢查，確保最小化授權機制，嚴防因權限控制規則設置不當而產生的數據泄露、亂用、非正常改變等問題。針對基于云分布式計算系統開發的相關云應用及云服務的程序漏洞、管理口令、運維窗口、系統升級流程、數據修改及銷毀過程等進行全面的審計和安全評估。對新開發上線的云應用及云服務進行系統測評評估，確保通過評估的系統可上線，未過評估的應用及服務杜絕其部署到正式環境中，特別是權限控制不嚴格的、有故有可被黑客利用的漏洞的程序。簡單可視的自動化配置方法，降低虛擬化網絡安全管理的技術復雜度，屏蔽虛擬化網絡內部技術細節；軟件定義的安全檢測邊界，提供靈活、高效的網絡安全管理方法；無間斷的安全服務，無需人工干預的自主安全策略跟隨遷移，適應虛擬化動態擴展、自主遷移等拓撲多變的特性。

3云應用上線測試

云應用上線前需要基于云分布式計算系統進行性能與安全測試。服務商提供多種平臺和多種瀏覽器的平臺，一般的用戶在本地用Selenium把自動化測試腳本編寫好，然后上傳到云平臺，然后就可以在他們的平臺上運行測試腳本。云測試提供一整套測試環境，測試人員利用虛擬桌面等手段登錄到該測試環境，就可以立即展開測試。以現在的虛擬化技術，在測試人員指定硬件配置、軟件棧（操作系統、中間件、工具軟件）、網絡拓撲后，創建一套新的測試環境只需幾個小時。如果測試人員可以接受已創建好的標準測試環境，那么他可以立即登錄。提供專業知識的服務。這些知識可以通過測試用例、測試數據、自動測試服務等形式提供。例如，許多應用需要讀取文件，云測試可以提供針對文件讀取的模糊測試。測試人員將被測試的應用程序提交給云，云將其部署到多臺測試機上。在每一臺測試上，應用程序要讀取海量的文件，每一個文件都是特意構造的攻擊文件。一旦棧溢出、堆溢出等問題被發現，將立即保存應用程序的內存映像。一段時間后，測試人員將獲得云測試返回的測試結果，暨一份詳細的分析報告和一大堆內存映像文件。測試類型包括了：兼容測試、性能測試、功能測試、安全測試。

4結束語

本文通過以上各方面，以某云平臺為例闡述了云平臺信息安全保障及評估方法的基本研究思路和工作內容。要提升云平臺的安全保障能力，需從組織安全管理、合規安全管理、數據安全管理、訪問控制管理、人員安全管理、物理安全管理、基礎安全管理、系統開發及維護管理、災難恢復及業務連續性管理等方面綜合考慮，以云平臺及其應用安全為我們研究的最終目標。

參考文獻：

[1]桑子華，喻愛惠.基于XenApp技術的區域性教育資源云平臺安全布署.湖南師范大學自然科學學報，2016.

[2]黃宗正.關于云平臺安全審計技術的研究.工程技術:文摘版，2016.

篇10

國家、省、地市、縣四級全國學籍信息系統運行維護和技術支持服務體系依托各級教育信息中心（或教育信息化相關部門）建立。該體系明確各級系統技術支持單位，落實專門負責人員來做好系統運行維護、技術支持服務和信息安全工作，保障系統長期、穩定、高效、安全運行，充分發揮系統的管理、服務和決策支撐作用。

（一）教育部職責

統籌協調全國學籍系統建設運行管理工作，規范各省系統運行管理，提供系統應用培訓和技術支持服務。

（1）負責全國學籍系統功能完善與升級；

（2）負責組織建設全國學籍系統運行維護和技術支持服務體系，制定相關規范和制度；

（3）負責國家級學籍系統運行維護與信息安全；

（4）負責省級、地市級用戶培訓；

（5）負責省級及以下用戶技術支持服務，重點解決省級及以下技術支持服務人員無法解決的問題。

（二）省級教育行政部門職責

統籌本省全國學籍系統建設運行管理工作。

（1）負責本省全國學籍系統運行維護和技術支持服務體系建設；

（2）負責本省全國學籍系統的運行維護和信息安全保護工作；

（3）負責地市級用戶培訓，有條件的可以直接培訓到縣；

（4）負責地方和學校用戶技術支持服務；

（5）及時溝通教育部，反饋需要協助解決的系統運行、系統應用中存在的問題，配合完成系統應用升級。

（三）地市級教育行政部門職責

統籌本轄區內全國學籍系統運行管理工作。

（1）負責轄區內全國學籍系統技術支持服務體系建設；

（2）負責縣級用戶培訓，有條件的可以直接培訓到學校；

（3）負責本級及縣和學校用戶技術支持服務；

（4）及時溝通上級教育行政部門，反饋系統應用中存在問題。

（四）區縣級教育行政部門職責

統籌本轄區內全國學籍系統運行管理工作。

（1）負責學校用戶培訓；

（2）負責本級和學校用戶技術支持服務；

（3）及時溝通上級教育行政部門，反饋系統應用中存在問題。

二、系統運行維護

（一）維護范圍

省級學籍系統維護范圍主要包括網絡、硬件設備、操作系統、數據庫、中間件、工具軟件等基礎支撐平臺，以及全國學籍系統軟件、電子學籍數據等。

（二）維護主要內容

（1）硬件設備維護

包括服務器、存儲等設備的運行狀態監控、故障診斷與排除、升級、擴容等，根據需求合理規劃和分配硬件資源，并適時進行調整和優化。

（2）網絡維護

對路由器、交換機、防火墻、負載均衡、VPN、堡壘主機等設備進行檢查、配置、變更等，維護域名和負載均衡配置，重點處理網絡中斷、設備故障、異常流量、非法攻擊等問題。在學籍系統應用高峰期動態調整網絡帶寬，確保網絡暢通。

（3）數據庫維護

合理規劃數據庫系統，監控Oracle數據庫運行狀態，優化數據庫性能，定期清理日志，及時處理數據庫故障，實現數據每日備份（須異機備份，有條件的要做到異地備份）。

（4）系統應用服務器維護

做好應用服務器運行監控（磁盤空間使用率、共享存儲狀態、 CPU、內存利用率、磁盤IO、系統日志等）和Weblogic管理（增減應用服務器節點、服務啟動與停止、節點狀態監控、日志監控、Weblogic參數優化）。

（5）數據交換維護

包括數據交換前置機、數據打包前置機的每日運行監控與異常處理，確保數據交換暢通無阻。

（6）基礎平臺維護

對其他基礎支撐平臺軟件的日常運行維護、運行監控、故障診斷與排除。

（7）學籍系統應用升級維護

按照學籍系統升級維護操作流程與步驟，完成系統升級與維護操作。

（8）系統安全監控

對網絡與安全設備、操作系統、數據庫、中間件、學籍系統等進行日常巡查和定期全面檢查，分析相關日志是否存在異常，及時安裝補丁程序，按照應急預案處置安全事件。

（三）相關要求

（1）人員保障

省級技術支持單位須配備足夠數量和技術能力的硬件工程師、網絡工程師、操作系統工程師、數據庫工程師、應用系統維護工程師等系統運行維護人員，明確人員崗位職責，可一人多崗。

（2）制度建設

根據國家要求，結合本省實際制定省級學籍系統運行維護管理制度，確保系統運行穩定和應用順暢。

（3）建立快捷反饋機制

省級系統設備發生故障時，在進行故障排除的同時，將故障初步情況上報教育部信息中心；因機房停電、設備檢修或其他原因，系統需暫停服務的，要提前告知教育部信息中心；其他與學籍系統運行相關的問題也要及時反饋。

三、系統技術支持服務

（一）技術服務主要內容

國家、省、地市、縣級系統技術支持單位須配備專門人員，利用全國教育技術服務平臺、電話（呼叫中心）、郵件等多種工具和方式，逐級對轄區內全國學籍系統的應用提供技術支持服務，及時解答下級單位咨詢的系統問題，指導系統建設、記錄問題處理情況，保障系統應用順暢。

（1）問題解答

及時解答下級用戶使用全國學籍系統過程中出現的政策、業務、系統操作等問題。

（2）技術培訓

對轄區內全國學籍系統用戶開展系統技術培訓。

（3）問題整理

及時記錄問題及問題處理情況，定期進行匯總整理，形成常見問題列表與知識庫，同時收集整理系統完善的相關建議。

（4）意見反饋

及時向上級部門反饋無法解決的系統問題和系統建設的有關建議。

（二）技術服務相關要求

（1）人員保障

省、地市、縣級系統技術支持單位須明確系統技術支持服務責任人員。省級要配備2名呼叫中心坐席人員，負責解答本省各業務系統（包括全國學籍系統）來電及平臺提問。

（2）建立實名制技術服務網絡

全國學籍系統的各級應用人員和技術支持服務人員均須實名注冊并登錄全國教育技術服務平臺，通過平臺開展系統技術支持服務。

（3）建立技術培訓機制

定期對轄區內的系統應用人員和技術支持服務人員開展技術培訓，進一步提高隊伍學籍管理政策業務、系統操作使用、系統擴展應用、系統技術支持服務能力。

（4）制定技術支持服務規范

根據國家要求，結合本地實際，制定學籍系統技術支持服務的相關制度和規范。

（三）技術服務相關工具

（1）教育技術服務平臺

教育部統一建設覆蓋中央、省、地市、縣和學校的教育技術服務平臺，構建快速的全國信息溝通渠道和機制。教育技術服務平臺重點為各級教育行政部門和各級各類學校的教育管理信息系統應用提供技術支持服務，同時也可用于管理者信息，教師學生間溝通交流。平臺支持PC及手機等移動終端設備。

1）平臺主要功能

①即時通訊，支持點對點和群組交流溝通；

②技術支持服務，支持分級輪巡服務；

③通知、消息，支持分級方式。

2）平臺建設安排

平臺建設分兩階段實施，第一階段部署在教育部數據中心，用戶覆蓋到中央、省、地市、區縣和學校，目前已投入使用。第二階段部署到省級數據中心，用戶覆蓋到教師、學生、家長。

3）平臺用戶類型（圖1所示）

平臺為省、市、縣、學校各級均設置3類用戶：超級管理員、業務系統管理員、普通用戶。

（2）呼叫中心

教育部將統一建設覆蓋中央和32個省級單位的全國教育管理信息系統呼叫中心，在教育部和32個省級單位安排客服代表，為全國各級系統用戶提供5×8小時（高峰時段可安排7×24小時）信息化服務。

呼叫中心將統一接入號碼，通過識別客戶主叫號碼歸屬地，將各地用戶來電自動轉接至教育部或當地省級客服代表處理，實現對所有呼叫用戶業務咨詢受理、問題記錄、通話監控及知識庫的信息化管理。

1）呼叫中心組網結構（圖2所示）

2）省級環境要求

①硬件環境

電腦：直接訪問中央的呼叫中心服務器。

坐席終端設備：各省配備2套IP專用話機和耳麥。

②網絡環境

帶寬要求：各省到教育部的帶寬需要保證在200kbps/坐席。

VPN：教育部呼叫中心與各省分中心建立VPN專網。

3）省級人員工作要求

①各省2個坐席要專人專崗，負責本省呼叫中心用戶來電問題受理和問題解答，并按照要求填寫工單系統。如問題不能解決，可轉接到中央對應坐席；

②依照服務規范要求，完成咨詢、問題受理、回訪等工作任務；

③通過工單系統完成教育技術服務平臺問題記錄及回復；

④定期收集、整理日常工作中遇到的典型問題，收錄到知識庫中并及時反饋給教育部。

4）工作安排

①上報坐席人員名單：各省于2014年9月初將2名坐席人員名單上報至教育部信息中心；

②呼叫中心部署聯調：2014年9月初完成；

③全國呼叫中心坐席人員培訓：2014年9月中旬完成；

④正式上線運行：2014年10月。

四、系統信息安全

（一）省級系統信息安全

（1）根據國家和教育部有關信息安全等級保護的政策、規范和技術標準，統一規劃建設覆蓋機房、網絡、主機、應用、數據的信息安全保障體系。

（2）建立安全組織機構，制定明確的安全崗位職責，制定可落實的安全管理、安全運行維護、數據使用與保護等安全管理制度。

（3）對本省全國學籍系統進行安全定級與備案（建議等級保護三級），并按照國家相關要求對信息系統進行定期安全等級保護測評。

（4）做好系統安全運維管理和安全事件應急響應。

1）落實系統安全措施，加強防病毒、防入侵能力。

2）逐步推廣教育電子身份認證（CA）、電子印章，以確保操作人員身份真實，系統操作和學籍信息安全。

3）對通過數據接口方式所獲取數據要建立嚴格的保密制度，嚴防學籍信息外泄和濫用。

4）加強用戶密碼保護。

（二）地市、縣和中小學校系統信息安全

（1）建立本單位全國學籍系統安全管理制度，包括系統應用、用戶名密碼保護、數據使用與保護、安全事件應急響應等安全管理制度。

（2）嚴格落實各項安全管理制度，做好系統使用安全、數據使用與保護等。個人與單位使用者應注意保護密碼（電子證書），不得隨意公開用戶名和密碼，密碼須按照要求定期修改。若因工作需要將本人密碼借給他人使用的，必須事先經本級系統管理員同意并登記備案后方可借出，使用后原密碼應及時修改，以保持責任唯一。若未經本級系統管理員同意，私自將本人密碼借給他人使用，一切責任由本人承擔。

五、系統開放與共享

（一）系統數據共享方式（圖4所示）

（1）教育部：國家核心業務系統通過“教育基礎信息數據庫管理與服務系統”共享數據。

（2）省級：國家核心業務系統之間、省級自建系統與國家核心業務系統之間通過“教育基礎信息數據庫管理與服務系統”共享數據。

（3）地市、縣和學校自建業務系統通過“國家系統開放共享平臺”共享部署在省級教育數據中心的國家核心業務系統數據和功能。

（二）教育基礎信息數據庫管理與服務系統（圖5所示）

（三）國家系統開放共享平臺（圖6所示）

六、重點關注問題

（一）系統培訓

（1）培訓范圍：通過逐級培訓的方式培訓到各級教育行政部門和所有中小學校用戶，做到“不漏一縣、不漏一校”。

（2）培訓內容：系統業務與功能使用培訓（日常、系統升級）、應用提高培訓（學籍數據應用、功能擴展開發）、系統技術支持服務能力培訓（全國教育技術服務平臺、呼叫中心、常見問題解答等）。

（3）培訓形式：現場、網絡。教育部將逐步推行學籍系統應用人員和技術支持服務人員持證上崗。

（二）系統應用高峰期應對

（1）高峰期應對準備

各省根據國家要求，結合本省初中和高中招生、小學新生注冊等工作安排，分析學籍系統高峰時段，制定工作預案，提前做好服務器、網絡擴容準備。若有必要，可采取劃分業務辦理時間、分地區分時段操作等措施。

（2）重點業務處理

按照國家要求，配合業務部門按時完成學生畢業、升級、升學等重點業務處理。

（3）系統運維和安全保障

加強網絡配置、數據庫、存儲設備等的日常巡檢，出現異常情況時及時處理，確保系統順暢運行 。同時加強安全監控、安全運維管理工作，確保系統與數據安全。

（4）技術支持服務

加強技術支持服務，落實增加技術支持服務人員，充分利用技術支持服務平臺、呼叫中心等工具，及時解答學校和下級教育部門用戶的問題，做到有問必答，暫時無法解決的問題，直接向上反饋。

（三）系統對接工作

（1）前期對接驗收

根據教育部系統對接驗收要求，進一步做好系統對接工作自查。對教育部反饋的數據質量問題，及時對照分析處理。在畢業升級、小學新生注冊、招生入學測試對接聯調通過的情況下，結合實際數據情況，進一步確認業務聯調的準確性。教育部將于2014年9月逐省進行對接驗收。

（2）畢業生跨省就學對接

仍未完成對跨省就學對接改造的省份，務必于2014年8月底前完成。已開始對接聯調的省份，要盡快完成對接聯調并上線運行，確保全國畢業生跨省就學業務順利開展。

（3）系統第二階段對接準備

全國學籍系統第二階段將增加學業成績、綜合素質評價、校車管理、營養計劃管理等業務，各對接省份需做好經費、人員、技術等對接準備工作。

（四）地方特色應用開發

（1）通過“教育基礎信息數據庫管理與服務系統”和“國家系統開放共享平臺”，利用系統數據開發新的特色應用功能，滿足地方和學校需求。

（2）整合全國學籍系統和地方特色應用系統，實現學生注冊、異動、升級、畢業、招生等業務聯動。

（3）對接省要準備盡快過渡到以全國學籍系統為基礎，開發完善特色需求的模式上來。

（五）系統數據應用

積極開展電子學籍數據分析研究，為教育管理、決策、監測、評價提供支撐。

（六）保障機制

（1）能力保障

加強系統運維和技術支持服務人員培養，提高隊伍的系統運維和技術支持服務能力。

（2）經費保障