在電子政務系統中，政府機關的公文往來、資料存儲、服務提供都以電子化的形式實現，但在提高辦公效率、擴大政府服務內容的同時.也為某些居心不良者提供了通過技術手段擾亂正常的工作秩序、竊取重要信息的可能。因此.安全的意義不言而喻。失去了安全的基石，再方便、先進的政務方式也只能是“空中樓閣”!文章將從安全技術的角度，探討有關電子政務系統中的信息安全問題。

一、引言

在2004年國家信息化領導小組正確領導下和各級政府的積極努力下，我國電子政務在基礎環境建設、業務系統應用和信息資源開發等方面取得了重要進展，為帶動國民經濟和社會信息化、促進政府職能轉變起到了積極作用。

隨著信息化的推進，社會對信息與網絡系統高度依賴，人們在日益享受信息帶來的方便與迅捷的同時，也面臨著越來越大的挑戰，這種挑戰主要來自信息安全。一些政府官員和信息安全專家近日大聲疾呼，信息安全問題涉及經濟、政治、國防、科技等各個領域，把握信息技術發展趨勢，確保網絡空間的順暢與安全，維護國家和人民的根本利益，是信息時代的重大戰略問題，應當引起各界的高度重視。

本文將從信息安全技術的角度，分析和詮釋針對電子政務系統中的信息安全問題。

二、電子政務系統的安全需求

電子政務是政府機構運用現代信息與通訊技術，將管理與服務通過信息化集成，在網絡上實現政府組織結構和工作流程的優化重組，超越時間、空問與部門分割的限制，全方位地向社會提供高效、優質、規范、透明的管理與服務。電子政務作為當代信息化最重要的領域之一，已經成為全球關注的焦點，是我國現代化進程中不可或缺的一環，也是全面提升政府機構管理與服務水平的重要技術手段。

電子政務系統屬于計算機信息處理系統的范疇，國際標準化組織在其《信息處理系統開放系統互連基本參考模型第2部分：安全體系結構》中規定了五項安全服務內容：鑒別(Authentication)、訪問控i]isJ(AccessContro1)、數據機密性(Conifdentiality)數據完整性(Integritv)、抗抵賴(Non―Reputation)。

我們結合國家標準中對安全服務內容的描述，提出了電子政務系統的安全需求：

●鑒別(Authentication)：這種安全服務提供對通信中的對等實體和數據來源的鑒別。簡單的說，就是鑒別用戶的身份，鑒別身份對于實現抗抵賴也是十分重要的。電子政務直接關系企業和個人的利益，如何確定網上管理的行政對象正是所期望的管理對象，這一問題是保證電子政務順利進行的關鍵。因此，要在交易信息的傳輸過程中為參與政務的個人、企業或國家提供可靠的標識。

●訪問控制(AccessContro1)：這種服務提供保護以對付OSI可訪問資源的非授權使用。通過訪問控制機制，可以有效防止對非授權資源的訪問，預防非法信息的存取。

●數據機密性(Confidentiality)：這種服務對數據提供保護使之不被非授權地泄露。電子政務的信息直接代表著國家和企業的機密。因此，要預防非法的信息存取和信息在傳輸過程中被非法竊取。數據機密性和訪問控制技術一同保護了機密信息不被非法獲取。

●數據完整性(Integrity)：這種服務對付主動威脅，數據完整性確保數據只能為有權的用戶進行存取和修改。用于確保數據完整性的措施包括控制聯網終端和服務器的物理環境、限制對數據的訪問和保持使用嚴格的驗證機制。要預防對信息的隨意生成、修改和刪除，同時要防止數據傳送過程中信息的丟失和重復并保證信息傳送次序的統一。

●抗抵賴(Non―Reputation)：分為有數據原發證明的抗抵賴和有交付證明的抗抵賴，分別使發送者或接收者事后謊稱未發送過或接收過這些數據或否認它的內容的企圖不能得逞。應對數據審查的結果進行記錄以備審計，使用戶事后不能抵賴其行為。

電子政務本身的特點f開放性、虛擬性、網絡化、對電子政務系統的安全性提出了嚴格的要求。目前我國有的政府部門沒有制訂統一的建設標準和規范，也沒有形成一個可以互聯互通的統一平臺和網絡。我們也可以參考以上的安全需求，建立系統的安全評估標準，但具體的技術細節還需要因地制宜，依照系統的具體環境因素制定。

三、電子政務系統中的安全技術

依照上述的安全需求，暫且拋開網絡和操作系統環境等因素的影響，在考慮系統本身的信息安全時，通常的安全技術涉及到加密技術、鑒別和認證技術、訪問控制技術等幾個方面的內容。下面我們就分別看看這幾個方面的安全技術：

1.加密技術

加密技術是解決網絡信息安全問題的技術核心，通過數據加密技術，可以在很大程度上提高數據傳輸的安全性，保證傳輸數據的完整性。

數據加密技術主要分為數據傳輸加密和數據存儲加密。

常用的數據加密算法有很多種，密碼算法標準化是信息化社會發展得必然趨勢，是世界各國保密通信領域的一個重要課題。按照發展進程來分，經歷了古典密碼、對稱密鑰密碼和非對稱密鑰密碼階段。古典密碼算法有替代加密、置換加密;對稱加密算法包括DES和AES;非對稱加密算法包括RSA、背包密碼等。目前在數據通信中使用最普遍的算法有DES算法、RSA算法和PGP算法等。

如今普遍使用的加密算法，在可靠性和效率方面各有千秋。在具體的應用中，還須根據具體需求對這些加密技術進行取舍。總之，目前加密技術的發展，已經能在極大程度上保證敏感信息的機密性和完整性。

2.鑒另q和認證技術

為保證信息傳遞的安全性、真實性、可靠性、完整性和不可抵賴性，不僅需要對用戶的身份真實性進行鑒別，同時也需要有～個具有權威性、公正性、可信任的機構，負責向電子政務的各個主體頒發并管理數字證書，這樣一個機構就是CA認證中心。

CA認證主要解決了信息交互參與各方的主體身份、資信認定等問題。通過持有CA認證中心頒發的可信任數字證書，信息交互參與各方身份的真實性得以保證。而借助CA認證中心頒發的可信任數字證書，還可以對敏感信息進行加密或簽名，進一步維護信息的保密性、完整性。

使用建立在公開密鑰加密技術基礎上的數字簽名技術，能夠驗證發送方的標識并保護數據的完整性。事實上數字簽名不是一種具體的技術實現，它是基于上述各種加密技術組合的解決方案。數字簽名是目前電子商務、電子政務中應用最普遍、技術最成熟的、可操作性最強的一種電子簽名方法。數字簽名技術采用了規范化的程序和科學化的方法，用于鑒定簽名人的身份以及對一項電子數據內容的認可。它還能驗證出文件的原文在傳輸過程中有無變動，確保傳輸電子文件的完整性、真實性和不可抵賴性。

3.訪問控制技術

現代訪問控制技術發展開始于二十世紀六十年代。訪問控制就是通過某種途徑準許或限制訪問權利及范圍的一種方法，通過訪問控制服務可以限制對關鍵資源的訪問，防止非法用戶的入侵或因合法用戶的不慎操作所造成的破壞。訪問控制也是信息安全理論基礎的重要組成部分。目前的主流訪問控制技術有：自主訪問控制(Dis―cl’etionary Aceess Contro1)、強制訪問控制(MandatoryAccessContro1)、基于角色的訪問控帶4(Role―basedAccessContro1)。

結合電子政務系統的自身特點，基于角色的訪問控制的優勢會越來越突出，將具有非常廣闊的前景。其基本思想就是通過將權限授予角色而非直接授予主體，主體通過角色分派來得到客體操作權限，從而實現授權。由于角色在系統中具有相對于主體的穩定性，并更為直觀，從而大大減少系統安全管理員工作的復雜性。

四、總結

除了以上提到的應用級別的安全技術外，電子政務系統還面臨著許多其他方面的安全問題，涉及到網絡安全、操作系統級別的安全、數據存儲安全等等。總結起來，整個電子政務安全環境包括以下部分：基礎安全服務設施、網絡信任域基礎設施、網絡安全支撐平臺產品和容災備份系統四部分組成。整個電子政務的安全，涉及信息安全產品的全局配套和科學布置，產品選擇應充分考慮產品的自主權和自控權。產品可涉及安全操作系統、安全硬件平臺、安全數據庫、PKI/CA、PMI、VPN、安全網關、防火墻、數據加密、入侵檢測(IDS)、漏洞掃描、計算機病毒防治工具、強審計工具、安全郵件、內容識別和過濾產品、安全備份等等諸多方面。

電子政務的安全目標是，保護政務信息資源價值不受侵犯，保證信息資產的擁有者面臨最小的風險和獲取最大的安全利益，使政務的信息基礎設施、信息應用服務和信息內容為抵御上述威脅而具有保密性、完整性、真實性、可用性和可控性的能力。