政府门户网站安全体系建设要点

政府门户网站安全体系建设要点

作为“政务公开”和为民服务的窗口，政府门户网站（工商系统各级红盾信息网）占有非常重要的地位，但其安全形势却不容乐观。随着政府门户网站所承载业务的数量逐步增加，网站被入侵或篡改所带来的危害将不仅仅限于“政府形象”的损害，甚至能会造成较大的经济损失，或者严重的社会问题。

当前门户网站所面临的安全风险分析

政府门户网站所面临的主要风险有：

页面被篡改。政府门户网站作为“政府形象”的标志之一，常常是一些不法分子的重点攻击对象。门户网站一旦被篡改（加入一些敏感的显性内容），常常会引发较大的影响，严重时甚至会造成政治事件。另外一种篡改方式是网页挂马：网页内容表面上没有任何异常，却可能被偷偷的挂上了木马程序，网页挂马虽然未必会给网站带来直接损害，但却会给浏览网站的用户带来损失。更重要的是，网站一旦被挂马，其权威性和公信力将会受到打击，最终给电子政务的普及带来重大影响。

在线业务被攻击。对企业、公众等用户提供在线服务，已经成为政府门户网站的重要功能。这些服务一旦受到拒绝服务攻击而瘫痪、终止，对业务的正常运转必然造成极大的影响。

数据被窃取。在线业务系统中，总是需要保存一些企业、

公众等用户的相关资料，这些资料往往涉及到企业秘密和个人隐私，一旦泄露，会造成企业或个人的利益受损，可能会给网站带来严重的法律纠纷。

内网被入侵。政府门户网站虽然和内部的办公网络之间有逻辑隔离设备，但仍有可能被手段高明的黑客入侵，从而盗取一些敏感材料，或对电子业务应用系统造成破坏。

要做到门户网站真正意义上的安全，需要建立一个完善细致的安全防护体系，不仅要在技术上建立事前、事中和事后的纵深防御系统，还需要建立良好的信息安全管理制度。

安全技术体系

安全技术体系建设主要包括物理层、网络层、应用层、主机层和数据层五个方面：

（一）保障门户网站的物理安全

物理安全也就是硬件安全，它是整个门户网站系统安全的前提。保障门户网站的物理安全也就是避免计算机及网络设备因天灾、人为操作失误和各种计算机犯罪而导致的硬件故障。这就要求相关部门在网站运营之初建立严格的安全操作规范，针对可能发生的安全问题制定应急对策。

（二）保障门户网站的网络安全

在网络层面，网站安全主要关注安全域划分、入侵防范和抗拒绝服务攻击。政府网络系统一般分内部局域网、政务专网（也称广域网）和互联网三大区域，各区域之间根据国家对政府行政级别要求的不同，采用不同的安全防护设备，包括实现逻辑安全隔离的防火墙、物理安全隔离的网闸。

（三）系统及Web应用程序安全

在应用层面，政府采用页面防篡改系统，通过对网站的全面监控，对WEB应用漏洞进行预先扫描，实时捕获篡改事件，并在第一时间对发生自发的网页进行自动恢复和报警，同时具备对SQL注入、跨站脚本、防DDoS攻击等通过应用层的入侵动作实时阻断，真正达到事前、事中、事后的全方位“网页防篡改”的效果。

（四）保障门户网站的数据安全

在数据层面，通过网络安全域划分，数据库被隐藏在安全域，同时通过安全加固服务对数据库进行安全配臵，并对数据库的访问权限做最为严格的设定，最大限定保证数据库安全。网站的数据在存储和传输过程中容易被黑客窃取，首先我们要保证数据库的安全，对重要数据进行加密。数据在INTERNET传输中也会被盗取，所以对于重要数据，需要增加数据加密与解密等保证数据的安全；定期对数据库备份。

（五）加强门户网站安全管理制度的建立

网站安全管理不是一成不变的，它是一个动态的过程，但又是一个必须“长抓不懈”的系统过程。随着安全攻击和防范技术的发展，网站安全策略也要因时因势调整。建立良好的安全管理机制，做到技术和管理的良好配合，仍是风险防范长期有效的途径。那么，如何建立健全政府门户网站安全管理体系，一是明确技术管理规范，面对网络安全的脆弱性，除在网络设计上增加安全服务功能，完善系统的安全保密措施外，还必须花大力气加强网络的安全管理。具体包括：

非涉密、涉密网机器不允许混用；非涉密网机器不允许运行涉密信息，涉密网机器不允许上非涉密网；严格按照安全等级、安全域划分，制定相应的安全保密制度；不同安全域、安全等级之间的信息必须通过安全交换系统方可交流。只有所有接入网络的设备都安全，整个网络的安全才能得到保证。二是明确相关人员的职责。强调以人为本，把网站安全纳入一个人人有责、层层负责、由第一责任人负总责的安全管理体制之中。三是建立应急响应机制。从健全规范网络安全管理机构、培养网络安全管理人员和制动网络安全管理制度等方面建立应急响应机制，以保障政府门户网站正常安全运行。四是建立信息安全检查监督机制。依据已确立的技术标准与制度，定期开展信息安全检查工作，确保信息安全保障工作落到实处；建立责任通报制度，对检查中发现的违规行为，按规定处罚相关责任人，限期整改；

总之，政府门户网站时时刻刻受到各种安全威胁，有些威胁在文中可能并未提到。但是，只要我们有安全意识，严格按照门户网站安全制度执行，就可以避免大多数安全威胁，让网站平稳地运行。