电子政务的安全风险范文第1篇

一、电子政务的网络安全问题及防范措施

随着信息技术和网络的普及与应用，网络信息安全也越来越受到人们的重视。电子政务系统作为政务的网络平台也正为人们的日常生活工作服务。电子政务系统因其独特的作用，因而具有开放性和保密性双重矛盾性质。如何确保电子政府系统既能正常运行，又能保证其安全性不被破坏是关键。威胁电子政务的信息网络安全的主要行为包括非法使用网络资源、恶意破坏网络内部系统或者数据文件、盗窃金融数据机密文件以及起她敏感的数据信息等等。由于电子政务的特殊需求，所以在电子政务安全问题上实际上就是要合理地解决网络开放性与安全性之间的矛盾，在保证电子政务系统信息畅通的基础上，还要阻止黑客攻击和居心不良者的蓄意破坏。下面便对引起电子政务系统网络安全的主要问题及防范措施进行讨论。

1政务系统网络安全存在隐患及应对措施

网络是极为脆弱的信息平台，存在着各种安全隐患。掌握一定信息技术的人就能够轻易获取电子系统服务器上的用户账号和口令文件，而且能够进入系统进行修改和删除重要数据文件。一旦系统被非法侵入和破坏，不但信息安全得不到保障，而且还会导致系统不能正常工作，甚至造成系统瘫痪。解决这一问题可以采用检测性防火墙，监测性防火墙可医对各层数据进行实时的主动性的检测们能够有效的判断出各层的违法侵入，这种防火墙由于具有不识别特定的应用信息，所以不需要对不同的应用信息制定不同的规则，具有针对识别性、伸缩性好的有点。

2软件系统的安全问题及应对措施

软件系统是保证电子政务系统正常运行的关键，因此保证软件系统的安全运行、避免因软件问题导致的系统安全问题是至关重要的。首先是对计算机病毒的防范措施，对于计算机病毒的防范可采用以下两种措施：（1）定期对系统数据进行备份，一旦系统遭到病毒攻击破坏可以及时恢复重要数据；（2）使用杀毒软。应用杀毒软件能够消灭系统中现有的病毒，同防治时未来可能会产生的所有病毒，所以必须使用和部署防病毒软件。

3网络层的安全问题及对策

重要数据的泄露和篡改是使网络层遭受安全问题的直接威胁，由于当前的网络技术还不是十分完善先进，系统数据库以及个人终端都会遭到网络攻击，有些不法分子会通过技术手段伪造、篡改及删除电子政务系统网络中的传输数据，这会造成十分严重的后果。在应对这一网络安全问题依旧是采用先进的防火墙技术，应用入侵检测技术，同时对系统及时进行更新。

二、结语

电子政务系统是政务在新时期增强执政能力不可或缺的信息化手段，如果电子政务信息安全得不到保障，那么电子政务的便利与效率便无从保证，更会对国家利益带来严重问题随着电子政务应用的快速发展，电子政务系统的网络安全问题也日益变得突出。电子政府网络安全的核心问题就是信息安全问题，电子政务系统的信息网络中有相当多的政务公文在流转，内部网络上有着大量高度机密的数据和信息，直接涉及各级政务机构的机关机密文件，它关系到党政部门乃至整个国家的利益，有的甚至涉及国家安全，所以电子政府政务在网络安全上要求具有高度的安全可靠性。只有确保电子政务系统的网络信息安全性，才能够保证电子政务系统的正常运行，这样才能够体现电子政务系统为政府和人们日常工作中带来的便捷。

作者：宋居能 单位：黔南州人民检察院

第二篇：电子政务信息安全技术研究

一、信息安全技术概念及构成分析

（一）访问控制技术方面。

访问控制作为信息安全保障的基础，是确保数据信息保密及完整的有效途径，在具体应用中，其通过限制访问主体，例如：用户等，确保信息在特定范围内使用，避免信息出现被篡改、窃取等风险。

（二）VPN技术方面。

VPN主要是指为了通过公用网络而临时搭建的安全的通道，其并非真正的专用网络，但是，却具备专用网络所具备的功能，一般建立在ISP及NSP基础之上，在实际应用中，VPN并没有构建节点之间的物理链路，而是利用某公众网的资源动态组建的图。

（三）防火墙技术方面。

防火墙技术主要避免黑客入侵及未授权用户进入到系统中的方式，在网络安全策略中得到了广泛应用和普及，并取得了显著成效。防火墙技术主要包括三种：首先，包过滤，在防火墙中包含检查模块，并设置在网关或者路由器上，在信息与用户之间构建一道屏障，对系统进出数据进行有效检查，及时发现潜在风险，且能够恢复丢失数据；其次，状态检查，该项技术主要设置在网络层，通过检查模块，在确保系统稳定运行前提下，对数据信息实现实时监督和控制，不仅如此，其还能够适用于多种协议下，对应用及服务功能进一步拓展；最后，地址转换，利用地址转换技术需要具备主观及客观两方面条件，前者是指管理员希望对内部网络IP地址进行隐藏处理；后者则是内部网络IP地址无效，在此背景下，内部网络仍然能够实现互助访问。

二、基于电子政务系统，信息安全技术的应用

（一）合理划分安全区域。

结合安全策略，安全域是由多个子域构成，合理划分安全区域，能够实现针对性保护。至此，结合电子政务业务情况，可以从三个方面入手：首先，网络域，针对网络基础层及其上层区域的保护，要归入到用户系统当中；其次，针对处理区域而言，由于涉及主体较多；最后，服务域，服务域主要是指信息安全基础设施构成，例如：测评中心、应急响应中心等。

（二）加强对重要信息的控制。

电子政务系统运行过程中，数据控制仅能够减少攻击者供给，但是，并不能够从根源上杜绝。通常情况下，内部网络任何行为都是经过授权允许的，但是，如果疏于对从主机出去信息的检查，极有可能造成信息安全问题，由此，可以将防火墙及信息监测技术引入其中，在主机与外界环境之间构建过滤层，对主机外联数据信息进行实时监督和控制，例如：仅允许在特定时间范围内发送一定数量的数据等，及时发现风险，采取阻止措施，避免重要信息的泄露，并将系统连接进行日志记录，提高电子政务系统自身抵抗力。

（三）科学设计系统VPN。

建设VPN，能够实现政府部门之间的良好沟通和交流，现阶段，VPN建设主要有三种形式：首先，由Internet服务商发起的ISP建设，而对企业透明；其次，政府自建，对ISP透明；最后，ISP与政府共同组建。三种形式都具有一定优势及不足，相比较而言，第二种形式更具有优势，由于电子政务系统拥有独立的网路、IP地址及设备等，能够实现自主管理和控制，不仅如此，这种形式能够最大程度上减少人力、物力及财力的投入，且能够实现信息安全目标。

（四）其他技术的应用。

除了上述应用之外，要想实现电子政务系统信息安全、可靠目标，还可以通过以下几个途径实现：首先，控制网络设备，并在骨干路由器上设置针对性地址段，简而言之，必须要经过网管中心主机才能够实现对各个骨干路由器的设备的维护；其次，针对不安全端口，要进行拦截，避免路由泄露；最后，对重要事件进行日志记录。

三、结论

根据上文所述，信息安全建设作为一项系统性工程，在保证电子政务系统稳定运行方面发挥着重要作用。因此，政府在开展电子政务过程中，要认识到信息安全技术的重要性，并加强对信息安全技术的研究，了解和掌握核心技术，明确电子政务系统中存在的安全隐患，加强对系统各个方面的关注，调整和优化系统，提高系统整体性能，进而促使电子政务发挥最大效用，为智慧城市建设奠定坚实的基础。

作者：于雪莲 单位：吉林省经济信息中心

第三篇：电子政务信息安全风险研究

1相关研究

目前，理论界与实务界开始认识到单纯依赖物理隔离技术、数据加密技术等已不足以满足要求，不可能带来真正意义的电子政务信息安全，开始从不同角度对电子政务信息安全风险进行研究。目前，不少学者对电子政务信息安全风险进行了研究，如，陈涛等依据资产、脆弱性、威胁等风险评估基本要素，提出了一种基于Markov方法、以威胁为核心的电子政务信息安全风险评估模型，运用Markov过程计算动态的电子政务信息安全发生风险的概率，为制定有针对性的电子政务信息安全风险管理控制策略提供科学的依据。孟祥宏从信息安全风险管理的视角对电子政务信息安全的相关文献进行了研究与分析，对风险管理的模型、方法，以及电子政务信息安全风险管理实践等方面做了阐述。雷战波等在对目前主要的电子政务信息安全风险评估方法进行分析的基础上，提出了基于主成分BP人工神经网络评估模型，将BP神经网络的动态学习性应用于复杂的电子政务信息安全评估。通过对现有研究成果的梳理，发现大多研究成果是从电子政务信息安全风险因素、电子政务信息安全评估方法的角度进行研究，这些研究成果虽然丰富了电子政务信息资源管理理论，但是在电子政务信息安全风险的有效识别并制定相应的风险应对策略方面的深入研究还不是很多，特别是能够将免疫系统论与电子政务信息安全有机结合进行深入研究的更是很少。生物免疫系统是一个由免疫器官、免疫细胞以及免疫分子等组成的分布式、自组织和具有动态平衡能力的自适应复杂系统，通过多层防御使生物体免遭各种内、外部病源体的侵袭，形成有效的免疫防护体系。目前，国内外许多学者对生物免疫系统理论进行了系统研究，并将生物免疫系统理论与其他领域学科相结合，先后形成了人工免疫系统、组织免疫系统、审计免疫系统等。鉴于此，本文将生物免疫系统的原理应用于电子政务信息安全风险识别问题上，研究如何应用生物免疫系统的免疫原理提高电子政务信息安全风险识别及风险应对能力，对生物免疫过程应用于电子政务信息安全风险的可行性进行论证，构建一种基于生物免疫过程的电子政务信息安全风险免疫模型框架，在此基础上，针对电子政务信息安全风险的识别，借鉴生物免疫系统的免疫应答机制，电子政务信息安全风险免疫应答流程，以期提高政府部门识别电子政务信息安全风险的能力。

2生物免疫系统与电子政务信息安全风险模型

2.1生物免疫过程应用于电子政务信息安全风险的可行性

生物免疫系统是一个复杂的系统，它能够辨别并区别出哪些是“自体物质”、哪些是“非自体物质”（抗原），从而将“非自体物质”消灭或排除，其运行机制由免疫应答、免疫记忆、免疫调节、免疫监视四个方面组成。免疫应答是免疫系统发挥功能的主要机制，指当抗原（即非自体物质）通过某一途径进入机体，免疫细胞对抗原分子的识别、活化、增殖、分化，产生免疫效应以消灭抗原的过程，该过程由三个阶段组成，分别是：抗原识别阶段、免疫细胞的活化和分化阶段（又称反应阶段）、免疫效应阶段。免疫应答分为初次免疫应答和再次免疫应答，当抗原（即非自体物质）首次入侵机体时，机体产生的免疫应答为初次免疫应答，并通过学习抗原产生大量的记忆细胞，当同一类型抗原再次入侵时，记忆细胞会快速大量的增殖产生比初次应答更强的抗体来消灭抗原，即再次免疫应答。电子政务系统作为一个复杂系统存储着大量攸关国家利益的信息资源，这些信息资源遭受着各种安全风险因素的入侵，如黑客的攻击、病毒、各种授权的滥用等，这些风险贯穿于电子政务系统的整个生命周期之中。如果把电子政务系统看作一个生物机体，那么贯穿于电子政务系统中整个生命周期中的各种信息安全风险就相当于电子政务系统的“非自体物质”。电子政务系统管理人员通过一定的技术和方法发现和识别电子政务系统中存在的各种信息安全风险，并对其进行评估，揭示电子政务系统管理过程中存在的薄弱环节，并适时采用有效的信息安全风险应对策略进行信息安全风险防范和控制，从而保证电子政务系统的健康进行。通过分析可以发现，生物免疫系统与电子政务信息安全风险的管理过程有着一致的目标，他们都是通过一定的方式识别来自外界的“非自体”物质，并消除这些“非自体”物质，从而保证机体的健康运行，因此，可以把电子政务信息安全风险的管理过程看作是保障电子政务系统健康运行的免疫系统，用模仿免疫系统的免疫应答过程来构建电子政务信息安全风险免疫应答是可行的。

2.2生物免疫系统与电子政务信息安全风险问题之间相对应的要素

生物免疫系统通过识别“非自体物质”（抗原），产生免疫应答反应将“非自体物质”消灭，从而保持生物体的健康。电子政务信息安全风险的管理过程作为电子政务系统健康运行的免疫系统就是要识别威胁电子政务信息安全的各种风险因素，即电子政务系统的“非自体物质”抗原，并对电子政务信息安全风险因素进行分析、评估，得到电子政务信息安全风险应对策略，即抗体。根据生物免疫系统的初次免疫应答和再次免疫应答过程，当电子政务系统首次遭遇到来自外界的信息安全风险时，电子政务系统管理人员通过一定的技术与方法，完成对电子政务信息安全的识别、应答，在这过程中所产生的重要信息，如影响电子政务信息安全的相关风险因素、安全风险的特征、安全风险产生的根本原因、安全风险的危害程度以及安全风险的应对策略等信息会以风险特征和专家经验等形式保存起来，并为电子政务系统相关部门所共享，这些存储的系统的记忆细胞。当今后电子政务系统再次遭遇到同样类型的信息安全风险时，相关政府部门会快速地识别该风险，并快速地制定该风险的应对策略。通过上述分析，生物免疫系统与电子政务信息安全风险问题相对的要素。这种对应关系，为模仿生物免疫系统进行电子政务信息安全风险的识别、评估、应对等提供了基本的前提保证。

3基于免疫过程的电子政务信息安全风险模型

电子政务信息安全风险的识别与应对是一个动态的过程，为有效解决电子政务信息安全风险识别和风险应对问题，生物免疫系统的免疫机制与原理，为电子政务信息安全风险的识别与应对提供了一种解决方式。借鉴生物免疫系统的工作原理构建了基于免疫过程的电子政务信息安全风险模型。该模型的主要功能是通过生物免疫系统的免疫应答过程有效的识别电子政务信息安全风险，并通过合适的电子政务信息安全风险应对策略消除电子政务信息安全风险或将电子政务信息安全风险对政府造成的影响降低到最低程度，最大可能地提高电子政务信息的安全性。

3.1电子政务信息安全风险数据预处理

在基于免疫过程的电子政务信息安全风险模型中，引发免疫应答的主要信息安全风险因素包括来自外界黑客的攻击、故意破坏以及来自政府部门内部人员的操作失误、授权的滥用等。通过对引发电子政务信息安全风险的数据进行预处理得到系统的抗原模型，具体过程是：采用一定的技术和方法对采集到的引起电子政务信息安全风险的数据进行清理、属性归纳等操作，并按照一定的规则进行特征提取、向量化，最终得到风险抗原模型。在电子政务系统运作的过程中，由于引起电子政务信息安全风险的因素众多，包括技术风险（如不安全的接口和API、各种软硬件设计缺陷等）、有意破坏风险（如黑客的攻击等）、管理风险（如政府部门内部人员的授权滥用）等，这些不同种类的风险因素又划分为若干子因素，因此，如何对收集到的不同种类的电子政务信息安全风险数据信息进行预处理就显得更加重要且相对复杂，在上述一般预处理基础上，需要进一步特征匹配过滤，然后将提取的特征依据经验知识进行必要的取舍，最后得到抗原。

3.2电子政务信息安全风险的免疫过程

电子政务信息安全风险的免疫过程是系统的核心环节，该模块借鉴生物免疫系统的免疫应答原理，实现对电子政务信息安全风险的尽早识别，并及时发出预警，在这些风险处于萌芽阶段，还没有发展到不可逆转或没有造成严重危害的时候，采取一系列的措施将问题解决。电子政务信息安全风险的免疫应答机制分为以下几个主要阶段。

（1）识别阶段，即电子政务信息安全风险免疫应答机制的抗原（即电子政务信息安全风险）识别。电子政务系统在运作过程中难免遭受着来自技术、物理环境、管理等不同方面的风险，在这一阶段，就是要建立电子政务信息安全风险的识别机制，通过一定的技术和方法，及时、准确地识别出已存在或潜在影响电子政务信息安全的各种风险因素，对风险的特征进行分析，类似于生物免疫系统的抗原特征提呈阶段。然后快速进入电子政务信息安全风险免疫应答机制的生物免疫原理电子政务信息安全风险问题抗原影响电子政务信息安全的风险因素抗体电子政务信息安全风险应对策略抗原识别电子政务信息安全风险的识别免疫细胞的活化、增殖和分化分析电子政务信息安全风险产生的根源免疫记忆细胞电子政务信息安全特征、专家经验等相关信息免疫应答效应过程电子政务信息安全风险的抵制或清除免疫反馈电子政务信息安全风险的监控下一阶段———活化和增殖阶段。

（2）活化和增殖阶段，即电子政务信息安全风险免疫应答机制的反应阶段。电子政务信息安全风险识别后，进入反应阶段，通过对识别阶段发现的影响电子政务信息安全的风险因素高度关注，电子政务系统管理人员进入一种高度紧张的状态，即被“激活”的状态，如果识别的电子政务信息安全风险特征免疫记忆存储的风险特征库匹配成功，说明该电子政务信息安全风险是已知的风险，则进入再次免疫应答过程，进行快速免疫响应，从以往的专家经验案例中选择该电子政务信息安全风险的应对策略（抗体）。如果没有与风险特征库中的风险匹配成功，则说明该电子政务信息安全风险是以前没有出现过的，电子政务系统相关管理人员进行讨论、协商、会诊，搜集相关信息，运用一定的技术和方法对该电子政务信息安全风险的特征、危害进行深入分析，找出该电子政务信息安全风险产生的根本原因，制定该电子政务信息安全风险的应对策略（类似生物免疫系统中的抗体），并将该电子政务信息安全风险的特征、风险应对策略等相关信息存储起来，形成免疫记忆存储（类似于生物免疫系统中的免疫记忆细胞）。

（3）效应阶段，即电子政务信息安全风险的消除阶段。这一阶段，电子政务系统管理人员将电子政务信息安全风险免疫应答反应阶段建立的电子政务信息安全风险应对策略付诸实施，将电子政务系统运作过程中出现的电子政务信息安全风险消除，促进电子政务系统的健康运行。

3.3电子政务信息安全风险的免疫记忆机制

电子政务的安全风险范文第2篇

对电子政务的安全威胁，包括网上黑客入侵和犯罪、网上病毒泛滥和蔓延、信息间谍的潜入和窃密、网络恐怖集团的攻击和破坏、内部人员的违规和违法操作、网络系统的脆弱和瘫痪、信息产品的失控等，应引起足够警惕，采取安全措施，应对这种挑战。

电子政务的安全目标和安全策略

电子政务的安全目标是，保护政务信息资源价值不受侵犯，保证信息资产的拥有者面临最小的风险和获取最大的安全利益，使政务的信息基础设施、信息应用服务和信息内容为抵御上述威胁而具有保密性、完整性、真实性、可用性和可控性的能力。

为实现上述目标应采取积极的安全策略：

国家主导、社会参与。电子政务安全关系到政府的办公决策、行政监管和公共服务的高质量和可信实施的大事，必须由国家统筹规划、社会积极参与，才能有效保障电子政务安全。

全局治理、积极防御。电子政务安全必须采用法律威慑、管理制约、技术保障和安全基础设施支撑的全局治理措施，并且实施防护、检测、恢复和反制的积极防御手段，才能更为有效。

等级保护、保障发展。要根据信息的价值等级及所面临的威胁等级，选择适度的安全机制强度等级和安全技术保障强壮性等级，寻求一个投入和风险可承受能力间的平衡点，保障电子政务系统健康和积极的发展。

电子政务安全保障体系框架

电子政务安全采取“国家推动、社会参与、全局治理、积极防御、等级保护、保障发展”的策略，鉴于电子政务的信息安全面临的是一场高技术的对抗，是一场综合性斗争，涉及法律、管理、标准、技术、产品、服务和基础设施诸多领域，所以电子政务安全，还要从全局来构建其安全保障的体系框架，以保障电子政务的健康发展。

电子政务安全保障体系由六要素组成，即安全法规、安全管理、安全标准、安全服务、安全技术产品和安全基础设施等安全要素。

要素一安全法律与政策

电子政务的工作内容和工作流程涉及到国家秘密与核心政务，它的安全关系到国家的主权、国家的安全和公众利益，所以电子政务的安全实施和保障，必须以国家法规形式将其固化，形成全国共同遵守的规约，成为电子政务实施和运行的行为准则，成为电子政务国际交往的重要依据，保护守法者和依法者的合法权益，为司法和执法者提供法律依据，对违法、犯法者形成强大的威慑。

《中华人民共和国保护国家秘密法》已实施十多年，已不完全适应我国当前保密工作的现状，特别是电子政务的发展，亟待修订。

政务信息公开是电子政务的重要原则，为了拉近政府和公众的距离，使公众具有知情权、参与权、监督权和享用政府服务的权利，为公众提供良好的信息服务，充分挖掘政务信息的最大效益，开放政务信息资源（非国家涉密和适宜公开部分）服务于民是电子政务的重要特征。尽快制订政务信息公开法，适度的解密和规范开放的规则，保护政府部门间信息的正常交流，保护社会公众对信息的合法享用，打破对政务信息资源的垄断和封锁，提高政府行政透明度和民主进程是非常有利的和必需的。

电子政务亟待电子签章和电子文档的立法保护，国际已有近20多个国家对数字签名和电子文档进行了立法，使数字签名和电子文档在电子政务和电子商务运行中具有法律效力。这将大大促进电子政务和电子商务的健康发展，使电子政务原来的双轨制走向单轨制，这有利于简化程序、降低成本，充分显示电子政务效益是非常有利的。

个人数据保护（隐私法）的需求伴随电子政务的发展日显突出。电子政务在实施行政监管和公众服务中有大量的个人信息（自然人和法人），如户籍、纳税、社保、信用等信息大量进入了政府网络信息数据库，它对完成电子政务职能发挥巨大作用。但是这些个人信息如果保护不力或无意被泄漏，而被非法滥用，就可能成为报复、盗窃、推销、讨债、盯梢的工具。在国外已经出现将盗用的个人隐私信息作为非法商品出售，以牟取暴利的情况，这样直接损害个人的利益，甚至危及个人的生命安危。因此加快个人数据保护法的制订，是必要的。

还有很多法规的制订都直接关系到电子政务的健康发展，加快制订这些法规，势在必行。

要素二安全组织与管理

我国信息安全管理职能的格局已经形成，如国家安全部、国家保密局、国家密码管理委员会、信息产业部、总参……分别执行各自的安全职能，维护国家信息安全。电子政务安全管理涉及到上述众多的国家安全职能部门，其安全管理职能的协调需要由国家信息化领导机构，如国家信息化领导小组及其办公室、国家电子政务协调小组、国家信息安全协调小组等来进行。各地区和部委建立相应的信息安全管理机构，以完成和强化信息安全的管理，形成自顶向下的信息安全管理组织体系，是电子政务安全实施的必要条件。

制订颁发电子政务安全相关的各项管理条例，及时指导电子政务建设的各种行为，从立项、承包、采购、设计、实施、运行、操作、监理、服务等各阶段入手，保障电子政务系统建设全程的安全和安全管理工作的程序化和制度化。

电子政务信息安全域的划分与管理是至关重要的。电子政务有办公决策、行政监管和公共服务等三种类型业务，其业务信息内容涉及国家机密、部门工作秘密、内部敏感信息和开放服务信息。既要保护国家秘密又要便于公开服务，因此对信息安全域的科学划分和管理，将有益于电子政务网络平台的安全设计，有益于电子政务的健康和有效的实现。

制订电子政务工程集成商的资质认证管理办法、工程建设监理机构的管理办法、工程外包商的管理机制和办法，以确保电子政务工程建设的质量和安全，特别是对于电子政务系统的外包制更要有严格的制约和管理手段。对于电子政务中涉密系统工程的承建，还必须有国家保密局颁发的涉密系统集成资质证书，其他部分应具有国家或省市相应的系统集成商的资质证书。对于电子政务涉密部分，不允许托管和外包运行，电子政务其他部分将按相关管理条例执行。

电子政务工程中使用的信息安全产品，国家将制订相应的采购管理政策，涉及密码的信息安全产品需有国家密码主管部门的批准证书，信息安全产品应有通过国家测评主管机构的安全测评的证书，维护信息安全产品的可信性。

电子政务系统信息内容根据管理需求，可以实施对信息内容的安全监控管理，以保护政务信息安全，防止由于内部违规或外部入侵可能造成的网络泄密，同时也阻止有害信息内容在政务网上传播。

制订电子政务系统的人员管理、机构管理、文档管理、操作管理、资产与配置管理、介质管理、服务管理、应急事件管理、保密管理、故障管理、开发与维护管理、作业连续性保障管理、标准与规范遵从性管理、物理环境管理等各种条例，确保电子政务系统的安全运行。

要素三安全标准与规范

信息安全标准有利于安全产品的规范化，有利于保证产品安全可信性、实现产品的互联和互操作性，以支持电子政务系统的互联、更新和可扩展性，支持系统安全的测评与评估，保障电子政务系统的安全可靠。

国家已正式成立“信息安全标准化委员会”，近期成立了信息安全标准体系与协调工作组（WG1）、内容安全分级及标识工作组（WG2）、密码算法与密码模块/KMI/VPN工作组（WG3）、PKI/PMI工作组（WG4）、信息安全评估工作组（WG5）、操作系统与数据库安全工作组（WG6）、身份标识与鉴别协议工作组（WG9）、操作系统与数据库安全工作组（WG10），以开展电子政务安全相关标准的研制工作，支撑电子政务安全对标准制订的需求。

还将制订下列标准：涉密电子文档密级划分和标记格式、内容健康性等级划分与标记、内容敏感性等级划分与标记、密码算法标准、密码模块标准、密钥管理标准、PKI/CA标准、PMI标准、信息系统安全评估和信息安全产品测评标准、应急响应等级、保护目标等级、应急响应指标、电子证据恢复与提取、电子证据有效性界定、电子证据保护、身份标识与鉴别、数据库安全等级、操作系统安全等级、中间件安全等级、信息安全产品接口规范、数字签名……。

要素四安全保障与服务

1.电子政务系统建设，要构建其技术安全保障架构，对大型电子政务系统要建立纵深防御体系。

·设置政务内网的安全与控制策略；

·设置政务外网的安全与控制策略；

·设置进入互联网的安全服务与控制策略；

·设置租用公网干线的安全服务与控制策略，包括有线通信、无线通信和卫星通信的安全服务与控制策略；

·设置政务计算环境的安全服务与机制。

采用纵深防御和多级设防，是电子政务安全保障的重要原则，通过全局性的安全防护、安全检测、快速响应、集成的安全管理与安全设施的联动控制，以达到系统具有防护、检测、反应与恢复能力。

2.推广电子政务信息系统安全工程（ISSE）的控制方法，全面实现安全服务要求。

电子政务安全系统的设计，首先要做好系统资产价值的分析，如物理资产的价值（系统环境、硬件、系统软件）、信息资产的价值、其数据与国家利益和部门利益的关联度；其业务系统（模型、流程、应用软件）正常运行后果所产生的效益，从而确定系统安全应保护的目标，在上述分析的基础上提出整个安全系统的安全需求，进一步定义达到这些安全需求所应具有的安全功能，然后探索系统可能面临的威胁类型，并找出系统自身的脆弱性，这些威胁和脆弱性有：

·网上黑客与计算机犯罪；

·网络病毒的蔓延与破坏；

·机要信息流失与信息间谍潜入；

·网上恐怖活动与信息战；

·内部人员违规与违法；

·网上安全产品的失控；

·网络与系统自身的漏洞与脆弱性。

在这些威胁面前，要分析哪些威胁是本系统主要面临的威胁，哪些是次要的，对系统和任务造成的影响程度如何。进行定性和定量的分析，提出系统安全对策，确定承受风险的能力，寻找投入和风险承受能力间的平衡点，然后确定系统所需要的安全服务及对应的安全机制（见表一），从而配置系统的安全要素。在工程的生命周期中要进行风险管理、风险决策流程（见图2），这种风险管理是要对电子政务全程进行的。

系统投入运行要对其安全性进行有效评估，即评估者给出的评估证据和建设者采用的技术保障设施，的确能使系统拥有者确信已选用技术对策，确实减少了系统的安全风险，满足必要的风险策略（风险策略可以是“零”风险策略、最小风险策略、最大可承受风险策略或不计风险策略），使其达到保护系统资产价值所必需的能力（见图3）。上述有效评估过程可用安全技术保障强壮性级别（IATRn）来描述：

IATRn=f(Vn,Tn,SMLn,EALn)

Tn：威胁等级

Vn：资产价值等级

SMLn：安全机制强度等级

EALn：评估保障等级

要素五安全技术与产品

1．加强安全技术和产品的自主研制和创新。

由于电子政务的国家涉密性，电子政务系统工程的安全保障需要各种有自主知识产权的信息安全技术和产品，全面推动自主研发和创新这些技术和产品是电子政务安全的需要。这些产品和技术可以分为六大类：

·基础类：风险控制、体系结构、协议工程、有效评估、工程方法；

·关键类：密码、安全基、内容安全、抗病毒、IDS、VPN、RBAC、强审计、边界安全隔

离；

·系统类：PKI、PMI、DRI、网络预警、集成管理、KMI；

·应用类：EC、EG、NB、NS、NM、WF、XML、CSCW；

·物理与环境类：TEMPEX、物理识别；

·前瞻性：免疫技术、量子密码、漂移技术、语义理解识别。

2．电子政务安全产品的选择。

整个电子政务的安全，涉及信息安全产品的全局配套和科学布置，产品选择应充分考虑产品的自主权和自控权。

产品可涉及安全操作系统、安全硬件平台、安全数据库、PKI/CA、PMI、VPN、安全网关、防火墙、数据加密机、入侵检测（IDS）、漏洞扫描、计算机病毒防治工具、强审计工具、安全Web、安全邮件、安全设施集成管理平台、内容识别和过滤产品、安全备份、电磁泄漏防护、安全隔离客户机、安全网闸。

要素六安全基础设施

信息安全基础设施是一种为信息系统应用主体和信息安全执法主体提供信息安全公共服务和支撑的社会基础设施，方便信息应用主体安全防护机制的快速配置，有利于促进信息应用业务的健康发展，有利于信息安全技术和产品的标准化和促进其可信度的提高，有利于信息安全职能部门的监督和执法，有利于增强全社会信息安全移师和防护技能，有利于国家信息安全保障体系的建设。因此，推动电子政务的发展，应重视相关信息安全基础设施的建设。

信息安全基础设施有两大类。

1．社会公共服务类

·基于PKI/PMI数字证书的信任和授权体系；

·基于CC/TCSEC的信息安全产品和系统的测评与评估体系；

·计算机病毒防治与服务体系；

·网络应急响应与支援体系；

·灾难恢复基础设施；

·基于KMI的密钥管理基础设施。

2．行政监管执法类

·网络信息内容安全监控体系；

·网络犯罪监察与防范体系；

·电子信息保密监管体系；

电子政务的安全风险范文第3篇

对电子政务的安全威胁，包括网上黑客入侵和犯罪、网上病毒泛滥和蔓延、信息间谍的潜入和窃密、网络恐怖集团的攻击和破坏、内部人员的违规和违法操作、网络系统的脆弱和瘫痪、信息产品的失控等，应引起足够警惕，采取安全措施，应对这种挑战。

电子政务的安全目标和安全策略

电子政务的安全目标是，保护政务信息资源价值不受侵犯，保证信息资产的拥有者面临最小的风险和获取最大的安全利益，使政务的信息基础设施、信息应用服务和信息内容为抵御上述威胁而具有保密性、完整性、真实性、可用性和可控性的能力。

为实现上述目标应采取积极的安全策略：

国家主导、社会参与。电子政务安全关系到政府的办公决策、行政监管和公共服务的高质量和可信实施的大事，必须由国家统筹规划、社会积极参与，才能有效保障电子政务安全。

全局治理、积极防御。电子政务安全必须采用法律威慑、管理制约、技术保障和安全基础设施支撑的全局治理措施，并且实施防护、检测、恢复和反制的积极防御手段，才能更为有效。

等级保护、保障发展。要根据信息的价值等级及所面临的威胁等级，选择适度的安全机制强度等级和安全技术保障强壮性等级，寻求一个投入和风险可承受能力间的平衡点，保障电子政务系统健康和积极的发展。

电子政务安全保障体系框架

电子政务安全采取“国家推动、社会参与、全局治理、积极防御、等级保护、保障发展”的策略，鉴于电子政务的信息安全面临的是一场高技术的对抗，是一场综合性斗争，涉及法律、管理、标准、技术、产品、服务和基础设施诸多领域，所以电子政务安全，还要从全局来构建其安全保障的体系框架，以保障电子政务的健康发展。

电子政务安全保障体系由六要素组成，即安全法规、安全管理、安全标准、安全服务、安全技术产品和安全基础设施等安全要素。

要素一安全法律与政策

电子政务的工作内容和工作流程涉及到国家秘密与核心政务，它的安全关系到国家的主权、国家的安全和公众利益，所以电子政务的安全实施和保障，必须以国家法规形式将其固化，形成全国共同遵守的规约，成为电子政务实施和运行的行为准则，成为电子政务国际交往的重要依据，保护守法者和依法者的合法权益，为司法和执法者提供法律依据，对违法、犯法者形成强大的威慑。

《中华人民共和国保护国家秘密法》已实施十多年，已不完全适应我国当前保密工作的现状，特别是电子政务的发展，亟待修订。

政务信息公开是电子政务的重要原则，为了拉近政府和公众的距离，使公众具有知情权、参与权、监督权和享用政府服务的权利，为公众提供良好的信息服务，充分挖掘政务信息的最大效益，开放政务信息资源（非国家涉密和适宜公开部分）服务于民是电子政务的重要特征。尽快制订政务信息公开法，适度的解密和规范开放的规则，保护政府部门间信息的正常交流，保护社会公众对信息的合法享用，打破对政务信息资源的垄断和封锁，提高政府行政透明度和民主进程是非常有利的和必需的。

电子政务亟待电子签章和电子文档的立法保护，国际已有近20多个国家对数字签名和电子文档进行了立法，使数字签名和电子文档在电子政务和电子商务运行中具有法律效力。这将大大促进电子政务和电子商务的健康发展，使电子政务原来的双轨制走向单轨制，这有利于简化程序、降低成本，充分显示电子政务效益是非常有利的。

个人数据保护（隐私法）的需求伴随电子政务的发展日显突出。电子政务在实施行政监管和公众服务中有大量的个人信息（自然人和法人），如户籍、纳税、社保、信用等信息大量进入了政府网络信息数据库，它对完成电子政务职能发挥巨大作用。但是这些个人信息如果保护不力或无意被泄漏，而被非法滥用，就可能成为报复、盗窃、推销、讨债、盯梢的工具。在国外已经出现将盗用的个人隐私信息作为非法商品出售，以牟取暴利的情况，这样直接损害个人的利益，甚至危及个人的生命安危。因此加快个人数据保护法的制订，是必要的。

还有很多法规的制订都直接关系到电子政务的健康发展，加快制订这些法规，势在必行。

要素二安全组织与管理

我国信息安全管理职能的格局已经形成，如国家安全部、国家保密局、国家密码管理委员会、信息产业部、总参……分别执行各自的安全职能，维护国家信息安全。电子政务安全管理涉及到上述众多的国家安全职能部门，其安全管理职能的协调需要由国家信息化领导机构，如国家信息化领导小组及其办公室、国家电子政务协调小组、国家信息安全协调小组等来进行。各地区和部委建立相应的信息安全管理机构，以完成和强化信息安全的管理，形成自顶向下的信息安全管理组织体系，是电子政务安全实施的必要条件。

制订颁发电子政务安全相关的各项管理条例，及时指导电子政务建设的各种行为，从立项、承包、采购、设计、实施、运行、操作、监理、服务等各阶段入手，保障电子政务系统建设全程的安全和安全管理工作的程序化和制度化。

电子政务信息安全域的划分与管理是至关重要的。电子政务有办公决策、行政监管和公共服务等三种类型业务，其业务信息内容涉及国家机密、部门工作秘密、内部敏感信息和开放服务信息。既要保护国家秘密又要便于公开服务，因此对信息安全域的科学划分和管理，将有益于电子政务网络平台的安全设计，有益于电子政务的健康和有效的实现。

制订电子政务工程集成商的资质认证管理办法、工程建设监理机构的管理办法、工程外包商的管理机制和办法，以确保电子政务工程建设的质量和安全，特别是对于电子政务系统的外包制更要有严格的制约和管理手段。对于电子政务中涉密系统工程的承建，还必须有国家保密局颁发的涉密系统集成资质证书，其他部分应具有国家或省市相应的系统集成商的资质证书。对于电子政务涉密部分，不允许托管和外包运行，电子政务其他部分将按相关管理条例执行。

电子政务工程中使用的信息安全产品，国家将制订相应的采购管理政策，涉及密码的信息安全产品需有国家密码主管部门的批准证书，信息安全产品应有通过国家测评主管机构的安全测评的证书，维护信息安全产品的可信性。

电子政务系统信息内容根据管理需求，可以实施对信息内容的安全监控管理，以保护政务信息安全，防止由于内部违规或外部入侵可能造成的网络泄密，同时也阻止有害信息内容在政务网上传播。

制订电子政务系统的人员管理、机构管理、文档管理、操作管理、资产与配置管理、介质管理、服务管理、应急事件管理、保密管理、故障管理、开发与维护管理、作业连续性保障管理、标准与规范遵从性管理、物理环境管理等各种条例，确保电子政务系统的安全运行。

要素三安全标准与规范

信息安全标准有利于安全产品的规范化，有利于保证产品安全可信性、实现产品的互联和互操作性，以支持电子政务系统的互联、更新和可扩展性，支持系统安全的测评与评估，保障电子政务系统的安全可靠。

国家已正式成立“信息安全标准化委员会”，近期成立了信息安全标准体系与协调工作组（WG1）、内容安全分级及标识工作组（WG2）、密码算法与密码模块/KMI/VPN工作组（WG3）、PKI/PMI工作组（WG4）、信息安全评估工作组（WG5）、操作系统与数据库安全工作组（WG6）、身份标识与鉴别协议工作组（WG9）、操作系统与数据库安全工作组（WG10），以开展电子政务安全相关标准的研制工作，支撑电子政务安全对标准制订的需求。

还将制订下列标准：涉密电子文档密级划分和标记格式、内容健康性等级划分与标记、内容敏感性等级划分与标记、密码算法标准、密码模块标准、密钥管理标准、PKI/CA标准、PMI标准、信息系统安全评估和信息安全产品测评标准、应急响应等级、保护目标等级、应急响应指标、电子证据恢复与提取、电子证据有效性界定、电子证据保护、身份标识与鉴别、数据库安全等级、操作系统安全等级、中间件安全等级、信息安全产品接口规范、数字签名……。

要素四安全保障与服务

1.电子政务系统建设，要构建其技术安全保障架构，对大型电子政务系统要建立纵深防御体系。

·设置政务内网的安全与控制策略；

·设置政务外网的安全与控制策略；

·设置进入互联网的安全服务与控制策略；

·设置租用公网干线的安全服务与控制策略，包括有线通信、无线通信和卫星通信的安全服务与控制策略；

·设置政务计算环境的安全服务与机制。

采用纵深防御和多级设防，是电子政务安全保障的重要原则，通过全局性的安全防护、安全检测、快速响应、集成的安全管理与安全设施的联动控制，以达到系统具有防护、检测、反应与恢复能力。

2.推广电子政务信息系统安全工程（ISSE）的控制方法，全面实现安全服务要求。

电子政务安全系统的设计，首先要做好系统资产价值的分析，如物理资产的价值（系统环境、硬件、系统软件）、信息资产的价值、其数据与国家利益和部门利益的关联度；其业务系统（模型、流程、应用软件）正常运行后果所产生的效益，从而确定系统安全应保护的目标，在上述分析的基础上提出整个安全系统的安全需求，进一步定义达到这些安全需求所应具有的安全功能，然后探索系统可能面临的威胁类型，并找出系统自身的脆弱性，这些威胁和脆弱性有：

·网上黑客与计算机犯罪；

·网络病毒的蔓延与破坏；

·机要信息流失与信息间谍潜入；

·网上恐怖活动与信息战；

·内部人员违规与违法；

·网上安全产品的失控；

·网络与系统自身的漏洞与脆弱性。

在这些威胁面前，要分析哪些威胁是本系统主要面临的威胁，哪些是次要的，对系统和任务造成的影响程度如何。进行定性和定量的分析，提出系统安全对策，确定承受风险的能力，寻找投入和风险承受能力间的平衡点，然后确定系统所需要的安全服务及对应的安全机制（见表一），从而配置系统的安全要素。在工程的生命周期中要进行风险管理、风险决策流程（见图2），这种风险管理是要对电子政务全程进行的。

系统投入运行要对其安全性进行有效评估，即评估者给出的评估证据和建设者采用的技术保障设施，的确能使系统拥有者确信已选用技术对策，确实减少了系统的安全风险，满足必要的风险策略（风险策略可以是“零”风险策略、最小风险策略、最大可承受风险策略或不计风险策略），使其达到保护系统资产价值所必需的能力（见图3）。上述有效评估过程可用安全技术保障强壮性级别（IATRn）来描述：

IATRn=f(Vn,Tn,SMLn,EALn)

Tn：威胁等级

Vn：资产价值等级

SMLn：安全机制强度等级

EALn：评估保障等级

要素五安全技术与产品

1．加强安全技术和产品的自主研制和创新。

由于电子政务的国家涉密性，电子政务系统工程的安全保障需要各种有自主知识产权的信息安全技术和产品，全面推动自主研发和创新这些技术和产品是电子政务安全的需要。这些产品和技术可以分为六大类：

·基础类：风险控制、体系结构、协议工程、有效评估、工程方法；

·关键类：密码、安全基、内容安全、抗病毒、IDS、VPN、RBAC、强审计、边界安全隔

离；

·系统类：PKI、PMI、DRI、网络预警、集成管理、KMI；

·应用类：EC、EG、NB、NS、NM、WF、XML、CSCW；

·物理与环境类：TEMPEX、物理识别；

·前瞻性：免疫技术、量子密码、漂移技术、语义理解识别。

2．电子政务安全产品的选择。

整个电子政务的安全，涉及信息安全产品的全局配套和科学布置，产品选择应充分考虑产品的自主权和自控权。

产品可涉及安全操作系统、安全硬件平台、安全数据库、PKI/CA、PMI、VPN、安全网关、防火墙、数据加密机、入侵检测（IDS）、漏洞扫描、计算机病毒防治工具、强审计工具、安全Web、安全邮件、安全设施集成管理平台、内容识别和过滤产品、安全备份、电磁泄漏防护、安全隔离客户机、安全网闸。

要素六安全基础设施

信息安全基础设施是一种为信息系统应用主体和信息安全执法主体提供信息安全公共服务和支撑的社会基础设施，方便信息应用主体安全防护机制的快速配置，有利于促进信息应用业务的健康发展，有利于信息安全技术和产品的标准化和促进其可信度的提高，有利于信息安全职能部门的监督和执法，有利于增强全社会信息安全移师和防护技能，有利于国家信息安全保障体系的建设。因此，推动电子政务的发展，应重视相关信息安全基础设施的建设。

信息安全基础设施有两大类。

1．社会公共服务类

·基于PKI/PMI数字证书的信任和授权体系；

·基于CC/TCSEC的信息安全产品和系统的测评与评估体系；

·计算机病毒防治与服务体系；

·网络应急响应与支援体系；

·灾难恢复基础设施；

·基于KMI的密钥管理基础设施。

2．行政监管执法类

·网络信息内容安全监控体系；

·网络犯罪监察与防范体系；

·电子信息保密监管体系；

电子政务的安全风险范文第4篇

电子政务是传统政务模式的延伸与转化，事关国家政务信息安全，政务系统运行中容易受到来自外界的各类风险因素的安全威胁，造成或有意或无意的破坏，因此必须加强安全体系建设，保障信息安全与应用安全。电子政务的安全风险主要包括通信风险、物理风险、应用风险、管理风险、区域边界风险及其他风险等。通信风险来自于各类重要数据的泄露与丢失，来自通信传输线路上的监听与阻拦，数据本身完整性、安全性受到攻击威胁。物理风险是电子政务系统遭受来自自然灾害如风雨雷电地震等破坏，硬件设备受损造成数据都是活着损坏，静电、强磁场与电磁镭射等损坏存储介质，数据被偷窃或监听。应用风险是不断动态变化的，其所遭受的风险如程序后门、病毒威胁与恶意代码攻击等都是动态变化着的。电子政务系统作为一个复杂的集成系统，除去需要安全技术手段予以保驾护航之外，有效得当的管理才能事半功倍，管理不当包括口令、密钥管理不当，管理制度不完善造成信息无序运行，安全岗位设置及管理不到位，管理环节缺失或遗漏，政务审计系统与制度不到位等，以上这些管理不当都会造成安全风险。区域边界风险是电子政务系统中不同安全等级区域之间的最易发生危险的区域边界处，区域边界不明确会导致高等级数据信息泄露，流向低等级造成泄露，或者边界防护漏洞导致用户非法访问或窃取高等级区域信息，损坏数据完整性、真实性与可用性。其他安全风险诸如安全意识淡漠、系统运行风险、信息安全战略认识不足等，都会导致电子政务系统运行威胁。

2基于分域防护思想的电子政务系统安全体系结构设计

电子政务系统作为服务于政府公务的重要支持系统，安全防护体系建设必须兼顾到系统本身的应用性、开放性等需求，遵循适度安全原则，解除其面临安全威胁，将政务系统划分为不同安全域，并针对各个安全域特点实施针对性安全举措。分域防护的应用有利于明确安全责任，消除政务互联网开放顾虑与障碍，便于科学组织与安全建设。基于分域防护思想，电子政务系统可根据系统本身特点、安全需求、环境重要性进行划分，系统方面可分为政务内网、外网与互联网，安全需求可分为通信传输安全、边界安全与环境安全，环境重要性可划分为核心域、重要域与一般域。不同安全区域内，根据防护要求利用身份认证、访问控制、病毒防护、安全审计等诸多措施保障信息安全，配合软硬件基础设施与管理平台共同打造高效运行的安全体系。分域防护思想指导下根据政务系统职能特点可划分为政务内网、外网与互联网络三类。

政务内网是政府用于办公的内部局域网，主要处理一些保密等级较高的数据业务和网上办公事项，与外网链接，主要由信息处理、存储、传输设备构成，是政务核心处理区域和主要运行平台，与外网间实施物理隔离。外网主要服务政府各类政务部门，如法院、检察院、政府、政协、党委等，是业务专网，运行主要面对社会公众，处理一些无需内网处理的低保密等级公物，与互联网之间实施逻辑隔离。互联网作为公共性质的开放网站，向公众提供各类服务，比如政务信息、收集群众意见反馈及接受公众监督等。分域防护安全结构中，根据环境重要性分为核心域、重要域与一般域。核心域是安全等级最高的政务系统核心区域，需要提供最严密的安全防护措施以保护机密等级最高的涉密数据，做好其存储与安全管理。重要域是次安全等级区域，是国家政府部门各类政务信息交杂处理区域，需实施严密防护。一般域是安全等级较低的防护区域，公开性服务性显著，提供各类公开政务信息与数据服务，防护关键在于保障数据的公开性、真实性、完整性与可用性。分域防护安全结构中，安全方面主要以边界安全、通信传输安全和环境安全为主。通信传输安全关系到政府内网、外网与互联网之间的信息传输与沟通，安全防护既要保障数据的传输通常，又要避免来自外界的恶意攻击，保证传输数据的完整性、真实性与可用性。网络环境安全则是系统自身计算环境安全域数据安全，即处理各个层次数据时有不被泄露、攻击和篡改的风险。边界防护安全则是不同等级安全域之间数据信息交换时不会出现由高向低或者由低向高的安全阀鞥县漏洞，不会出现数据的泄露、流失与非法访问。信息安全管理平台是安全体系结构中技术得以发挥作用的基础，关系到整个信息平台能否顺利运转，是防护关键，管理平台上要配备合适人员，加快标准化制度建设，提供规范制约、法律支持等，配合各类信息安全基础设施在政务系统保护中发挥作用。

3总结

电子政务的安全风险范文第5篇

关键词：云计算；电子政务；信息系统审计；安全审计

一、引言

“十二五”规划明确要求以云计算为基础，积极构建并完善政府公共服务平台，促进政府各机关组织全方位协同、信息资源共享以及为信息安全提供保障。“互联网+政务服务”的概念在2016年政府报告中被提及，自此政务云、政务信息系统的建设步履不停。翟云（2017）认为“互联网+政务服务”能够推动政府实现治理现代化。从实践成果方面看，全国各地积极将电子政务系统投入公共服务工作中，并建成各省市区网上政务信息平台。成都市致力于统筹公共信息平台与信息系统，综合调度、加强政务信息系统的交互访问；2019年甘肃开辟多条信息化税务通道“前后呼应”为民众减负；北京大兴区政府致力于建设智慧城市、打通政务服务“最后一公里”，与百度合作共同打造“指尖上的政务”；2020年浙江开设“云上商务厅”，提供线上“厅长问诊”服务。据2020年联合国出具的对世界各国电子政务调查报告显示，我国2020年电子政务发展指数居全球第45位，排名较之前有了显著提升。我国电子政务系统建设虽初有成效，但仍有进步空间。在信息系统设计与实施方面，电子政务信息系统的协同与完善、政务数据互联共享机制有待完善；在数据存储安全方面，信息存储与访问安全、公民隐私保护措施仍有待加强。

二、相关概念与理论基础

1．电子政务。电子政务是依赖信息技术与通信技术开展的政府政务活动。电子政务建立在一系列信息基础设施之上，使用相关软件实现政府功能，电子政务信息系统是一种利用网络实现公共服务，集信息处理、交互、反馈为一体的系统，电子政务信息系统适用于政府各机关组织、企业和公众。电子政务信息系统服务的对象包括该组织的内部机构，以及其他机构、团体、企业和公众，处理内容包括政府机构的内部信息，可以在一定范围内交换的信息，并接受各种类型的投诉、建议和要求。简而言之，电子政务信息系统是一种政府综合行政电子管理系统，通过技术手段将政府传统行政方式转变为电子管理模式。

2．信息系统安全审计。2012年审计署的《信息系统审计指南》指出，信息系统审计是国家审计机关依法对被审计单位信息系统的合法性、真实性、效益性和安全性进行审计监督。而信息系统安全审计是围绕系统的“安全性”属性展开一系列审计活动。例如，从风险管理角度测试黑客攻击、网络诈骗、病毒侵入等安全风险对组织造成的不利影响；或是从内部控制角度审查来自组织内部的舞弊、异常删除、未经授权的访问等，造成信息资产损坏、个人隐私泄露等后果。综上所述，信息系统安全审计的目标是评价信息系统是否足够安全，能否识别并抵御内部、外部的安全威胁，以及评价信息系统内数据的安全性、完整性。

三、文献研究综述

1．数据与存储安全审计。数据安全指的就是承托信息的数据安全，包括结构化与非结构化数据的安全。在实务中的理解就是，做到用户数据信息资产的保密性、完整性、可用性、授权与访问等方面的安全防护。随着政府信息化建设的不断推进，信息资产安全需求增加，政府对数据的机密性、完整性要求极高，但受制于有限的本地存储资源，往往会依托第三方可靠的云存储服务。由此，电子政务信息系统的安全审计需基于“云”的背景展开。国际信息系统审计与控制协会（InformationSystemsAu-ditandControlAssociation，ISACA）认为云审计的主要关注点是云治理、网络配置管理、身份和访问管理、资源配置管理和资源安全、日志与监控、安全事件响应、业务连续性和灾难恢复、数据保护和数据加密。Wang（2013）从资源配置角度提出一个云存储系统，基于公钥的同态线性身份认证器显著减少审计方的通信和计算开销。Mei（2014）从云治理层面提出一个能够对典型云存储系统进行审计的云安全审计体系，将可信的计算技术与第三方审计相结合，既支持云服务提供商的问责，又能保护云用户的利益。在身份和访问管理层面，Anbuchelian等（2019）创新了密码策略，密钥提供者使用改进的RSA密码系统算法（称为MRSAC算法）生成密钥，采用多级哈希树算法对数据信息的完整性进行审计验证。Shen（2017）则是从身份验证机制方面提出改良建议，引入第三方媒介为用户生成身份验证器，并代表用户验证数据完整性。区别于加密算法复杂的操作过程，用户访问云数据时无需执行耗时的解密操作，只需确保使用的第三方媒介在有效期内且获得授权即可。为确保外包数据的完整性，Li等（2020）提出一种支持数据动态的安全可审计云存储方案，使用轻量级的信息加密操作便能使审计在检查数据完整性方面快了两倍。Madi等（2016）则从系统结构的视角，构建一个自动化审计框架用以验证与虚拟化相关的安全属性、多个控制层的一致性，并通过覆盖层和第二层的云视图来审计openstack管理的云中虚拟网络之间的一致性隔离。

2．政务信息系统审计理论框架。陈柏兴（2010）基于可拓模糊理论的负载均衡模型，构建了一个适用于电子政务信息系统的安全审计框架。刘国城、王会金（2012）借鉴COBIT理论，以日志为导向提出了信息系统安全审计模型构想。张文秀（2012）综合比较典型的国际信息系统审计标准、框架和指南，以国家文化差异为影响因子建模，探究信息系统审计规范制度是否可移植。同样是研究国外理论的可移植性，唐志豪（2014）就国际信息系统审计准则进行本土化分析。冯朝胜（2015）从加密存储、安全审计和密文访问控制3个方面对云计算在数据安全方面进行评述。刘国城（2016）基于审计的“过程”视角探讨信息系统安全审计如何展开，并提出适用于电子政务的云安全审计模式，结合既定风险估值与风险等级层次分析，从宏观角度论证信息系统安全审计免疫体系。杨文（2018）从国家宏观层面出发，认为我国政务信息资源共享安全方面面临着数据风险、平台风险和管理风险，提议建立政务信息系统共享平台，多角度、全方位地进行信息系统审计。白利芳（2020）对我国数据安全审计现有的四大机制进行综述，并在此基础上构建了数据安全审计机制的框架。还有的学者探讨如何量化政务云安全风险。刘国城（2017）以商业银行信息系统为审计客体，以“审计免疫”为理论基础，借助“信息熵”技术进行安全审计，实现风险的分级与量化。王会金、刘国城（2018）创新性地引入“重大漏误风险”，对实施、管理、控制与技术这四个领域实施系统化的风险评估，构建审计框架。

四、我国电子政务信息系统审计实施现状

我国审计机关开展信息系统安全审计工作起步较晚，信息系统安全审计上也有一定的研究。首先从政府部门角度来看，我国相继出台了一些有关信息系统安全审计的法律法规。2010年4月，审计署了《关于检查信息系统相关审计事项的指导意见》，该指导意见第一条就明确要求审计机关检查被审计单位的信息系统的安全性，也具体说明了信息系统安全审计的对象、内容及方法。此后，审计署了《信息系统审计指南》，在指南中明确信息系统安全审计的内容，并提供了一些信息系统安全审计的方式方法、审计程序，指导审计机关开展信息系统安全审计工作。从审计内容方面看，信息系统安全审计主要包括安全性审计、内部控制审计和平台建设健全性审计。安全性审计是指各国在进行信息系统安全审计时都以信息系统的安全威胁作为关键审计事项。电子政务系统的信息安全不仅包括信息数据本身的完整性、保密性、安全性，还包括云存储方式下存储技术的安全与信息载体的安全，因此防范和化解信息系统安全威胁是保证我国政务信息安全的关键。除此之外，信息系统审计还需关注内部控制和平台建设健全性审计。一方面，电子政务信息资产涉及国家或相关企业的内部信息，保护信息资产安全是核心要务。虽然政务内网与政务外网存在物理隔离，但内部人员的恶意泄露防不胜防，因此要审查内部控制的规范性，力求避免机密信息的泄露或丢失。另一方面，政务系统本身可能存在设计缺陷或平台建设安全问题，因此既要从系统设计层面审查系统结构的健全性，又要完善信息资产的分级、分类存储程序。

五、我国电子政务信息系统安全审计的启示

1．建立健全信息系统审计安全体系。中国计算机用户协会的《信息系统审计师职业技能评价》（T/CCUA002—2020）标准，提出了基于信息系统的4类结构性控制的知识体系，以及4个方面的信息系统审计知识。从近年国内出台的规范来看，由于没有专门机构负责审计系统审计方面的规则、标准、指南，各个机构出台标准、规范、指南等并不统一。由于缺少适应我国国情的标准和规范，大部分还是出于信息系统审计人员个人理解对理论研究和框架模式的探索，不具有广泛性。国内信息系统安全审计方面系统体系混乱的问题亟待解决。因此，从云治理层面出发需要关注云治理结构、方针政策和规范制度、风险管理与权责分离。一是完善法律法规，为IT审计人员提供强有力的法律依据；二是加强审计指南的层次性，细致具体的审计层次结构能够帮助审计人员快速识别分析的控制弱点、确定审计计划、实施具体审计程序，提高审计效率，也节省审计资源；三是优化信息系统控制标准，便于IT审计人员评估系统的控制状态。具体而言，建议指定机构专门负责编制相关标准、指南，为构建符合实际需求的安全审计体系，建议出台总体标准、基础设施标准、数据标准、业务标准、服务标准、管理标准以及安全标准，将信息系统安全审计的体系规范化、详细化。

2．优化审计工具软件配置。目前我国政府机关配置的计算机信息系统与审计软件的接口匹配度不高，导致审计工具软件的利用率较低；此外随着信息系统审计实务越加复杂化，审计软件需要定期更新升级，否则审计软件存在功能滞后性，严重影响信息系统审计的实施。信息系统审计工具软件优化配置可从以下几方面进行：一是建议将审计软件的采购纳入招标竞争机制，优先采购通用型审计软件，解决软件与硬件不匹配的问题；二是提高审计软件的采购标准，尤其是对审计软件的实务类的功能（如数据分析处理功能）严格把关；三是与审计软件供应商签订长期服务协议，保证审计软件的配置与维护升级。

3．信息系统审计人才培养与储备。信息系统审计不仅需要灵活使用专业知识，更需要实务经验，因此人才是信息系统审计的关键，只有重视并系统性培养人才，才能在未来信息系统发展中赢得优势。信息系统审计师需要将诸多学科的理论知识融会贯通，并灵活应用于实践。在审计实践中不仅仅会遇到信息系统审计方面的难题，还可能遭遇财务难题、组织管理难题、网络技术难题等。因此，想要提高国内信息系统审计水平，离不开人才的培养与储备，应加快建设并扩充信息系统审计的职业队伍。信息系统审计人才培养可考虑从以下几方面进行：一是加强理论研究。鼓励高校线上线下同时开展信息系统审计相关课程的培训，帮助学生学习掌握信息系统审计的理论体系；二是加大培训力度、拓宽培训范围。开展多渠道的培训讲座，展示表彰优秀审计案例，加强审计人员间经验交流；三是加大绩效考核和优化激励制度。号召相关从业人员积极参与实务，定期考核从业人员的绩效并及时发放奖励，充分调动审计人员的参与积极性。

六、小结

综上所述，我国信息系统审计发展进程略微落后，研究方向大体是信息系统审计框架探索、信息系统数据存储安全审计等。面对新形势、新挑战，一方面我国需要尽快落实信息系统审计体系划分，出台相应的政策和法规，明确统一通用型的指南与标准。另一方面，我国需重视组建并扩充信息系统审计的职业队伍，为国内信息系统审计的发展积蓄人才。总而言之，关于电子政务信息系统审计的研究仍有较大发展空间，我国未来可以在通用审计实务经验、软件功能更新和规范落实等方向上继续探索。

参考文献：

[1]翟云.“互联网+政务服务”推动政府治理现代化的内在逻辑和演化路径[J].电子政务，2017（12）：2-11.

[2]冯伟.政务云环境尚待克服新技术风险[J].信息安全与通信保密，2015（02）：48-50.

[3]叶文珺，胡震宇，曹渠江.信息系统安全审计机制之研究[J].统计与信息论坛，2002（03）：46-50.

[4]刘国城，王会金.日志视角下信息系统安全审计的模型构建及风险控制[J].山东社会科学，2012（09）：147-150.

[5]唐志豪，郝振平.我国电子政务审计的现实模式———基于本土环境和国际经验借鉴的研究[J].审计研究，2014（05）：40-46.

[6]刘国城.商业银行信息系统安全审计免疫体系的构建———基于信息系统安全风险的实证估计[J].审计与经济研究，2017，32（05）：42-51.

[7]王会金，刘国城.大数据时代政务云安全风险估计及其审计运行研究[J].审计与经济研究，2018，33（05）：1-11.

[8]杨文，张斌.总体国家安全观下的政务信息资源共享风险规避[J].情报资料工作，2018（04）：64-70.