在电子政务系统中，机关的公文往来、资料存储、服务提供都以电子化的形式实现，但在提高办公效率、扩大服务内容的同时．也为某些居心不良者提供了通过技术手段扰乱正常的工作秩序、窃取重要信息的可能。因此．安全的意义不言而喻。失去了安全的基石，再方便、先进的政务方式也只能是“空中楼阁”!文章将从安全技术的角度，探讨有关电子政务系统中的信息安全问题。

　　一、引言

在2004年国家信息化领导小组正确领导下和各级的积极努力下，我国电子政务在基础环境建设、业务系统应用和信息资源开发等方面取得了重要进展，为带动国民经济和社会信息化、促进职能转变起到了积极作用。

　　随着信息化的推进，社会对信息与网络系统高度依赖，人们在日益享受信息带来的方便与迅捷的同时，也面临着越来越大的挑战，这种挑战主要来自信息安全。一些官员和信息安全专家近日大声疾呼，信息安全问题涉及经济、政治、国防、科技等各个领域，把握信息技术发展趋势，确保网络空间的顺畅与安全，维护国家和人民的根本利益，是信息时代的重大战略问题，应当引起各界的高度重视。

　　本文将从信息安全技术的角度，分析和诠释针对电子政务系统中的信息安全问题。

　　二、电子政务系统的安全需求

　　电子政务是机构运用现代信息与通讯技术，将管理与服务通过信息化集成，在网络上实现组织结构和工作流程的优化重组，超越时间、空问与部门分割的限制，全方位地向社会提供高效、优质、规范、透明的管理与服务。电子政务作为当代信息化最重要的领域之一，已经成为全球关注的焦点，是我国现代化进程中不可或缺的一环，也是全面提升机构管理与服务水平的重要技术手段。

　　电子政务系统属于计算机信息处理系统的范畴，国际标准化组织在其《信息处理系统开放系统互连基本参考模型第2部分：安全体系结构》中规定了五项安全服务内容：鉴别(Authentication)、访问控i]isJ(AccessContro1)、数据机密性(Conifdentiality)数据完整性(Integritv)、抗抵赖(Non—Reputation)。

　　我们结合国家标准中对安全服务内容的描述，提出了电子政务系统的安全需求：

　　●鉴别(Authentication)：这种安全服务提供对通信中的对等实体和数据来源的鉴别。简单的说，就是鉴别用户的身份，鉴别身份对于实现抗抵赖也是十分重要的。电子政务直接关系企业和个人的利益，如何确定网上管理的行政对象正是所期望的管理对象，这一问题是保证电子政务顺利进行的关键。因此，要在交易信息的传输过程中为参与政务的个人、企业或国家提供可靠的标识。
●访问控制(AccessContro1)：这种服务提供保护以对付OSI可访问资源的非授权使用。通过访问控制机制，可以有效防止对非授权资源的访问，预防非法信息的存取。

　　●数据机密性(Confidentiality)：这种服务对数据提供保护使之不被非授权地泄露。电子政务的信息直接代表着国家和企业的机密。因此，要预防非法的信息存取和信息在传输过程中被非法窃取。数据机密性和访问控制技术一同保护了机密信息不被非法获取。

　　●数据完整性(Integrity)：这种服务对付主动威胁，数据完整性确保数据只能为有权的用户进行存取和修改。用于确保数据完整性的措施包括控制联网终端和服务器的物理环境、限制对数据的访问和保持使用严格的验证机制。要预防对信息的随意生成、修改和删除，同时要防止数据传送过程中信息的丢失和重复并保证信息传送次序的统一。

　　●抗抵赖(Non—Reputation)：分为有数据原发证明的抗抵赖和有交付证明的抗抵赖，分别使发送者或接收者事后谎称未发送过或接收过这些数据或否认它的内容的企图不能得逞。应对数据审查的结果进行记录以备审计，使用户事后不能抵赖其行为。

　　电子政务本身的特点f开放性、虚拟性、网络化、对电子政务系统的安全性提出了严格的要求。目前我国有的部门没有制订统一的建设标准和规范，也没有形成一个可以互联互通的统一平台和网络。我们也可以参考以上的安全需求，建立系统的安全评估标准，但具体的技术细节还需要因地制宜，依照系统的具体环境因素制定。

　　三、电子政务系统中的安全技术

　　依照上述的安全需求，暂且抛开网络和操作系统环境等因素的影响，在考虑系统本身的信息安全时，通常的安全技术涉及到加密技术、鉴别和认证技术、访问控制技术等几个方面的内容。下面我们就分别看看这几个方面的安全技术：

　　1．加密技术

　　加密技术是解决网络信息安全问题的技术核心，通过数据加密技术，可以在很大程度上提高数据传输的安全性，保证传输数据的完整性。

　　数据加密技术主要分为数据传输加密和数据存储加密。

　　常用的数据加密算法有很多种，密码算法标准化是信息化社会发展得必然趋势，是世界各国保密通信领域的一个重要课题。按照发展进程来分，经历了古典密码、对称密钥密码和非对称密钥密码阶段。古典密码算法有替代加密、置换加密；对称加密算法包括DES和AES；非对称加密算法包括RSA、背包密码等。目前在数据通信中使用最普遍的算法有DES算法、RSA算法和PGP算法等。

　　如今普遍使用的加密算法，在可靠性和效率方面各有千秋。在具体的应用中，还须根据具体需求对这些加密技术进行取舍。总之，目前加密技术的发展，已经能在极大程度上保证敏感信息的机密性和完整性。
 

2．鉴另q和认证技术

　　为保证信息传递的安全性、真实性、可靠性、完整性和不可抵赖性，不仅需要对用户的身份真实性进行鉴别，同时也需要有～个具有权威性、公正性、可信任的机构，负责向电子政务的各个主体颁发并管理数字证书，这样一个机构就是CA认证中心。

　　CA认证主要解决了信息交互参与各方的主体身份、资信认定等问题。通过持有CA认证中心颁发的可信任数字证书，信息交互参与各方身份的真实性得以保证。而借助CA认证中心颁发的可信任数字证书，还可以对敏感信息进行加密或签名，进一步维护信息的保密性、完整性。

　　使用建立在公开密钥加密技术基础上的数字签名技术，能够验证发送方的标识并保护数据的完整性。事实上数字签名不是一种具体的技术实现，它是基于上述各种加密技术组合的解决方案。数字签名是目前电子商务、电子政务中应用最普遍、技术最成熟的、可操作性最强的一种电子签名方法。数字签名技术采用了规范化的程序和科学化的方法，用于鉴定签名人的身份以及对一项电子数据内容的认可。它还能验证出文件的原文在传输过程中有无变动，确保传输电子文件的完整性、真实性和不可抵赖性。

　　3．访问控制技术

　　现代访问控制技术发展开始于二十世纪六十年代。访问控制就是通过某种途径准许或限制访问权利及范围的一种方法，通过访问控制服务可以限制对关键资源的访问，防止非法用户的入侵或因合法用户的不慎操作所造成的破坏。访问控制也是信息安全理论基础的重要组成部分。目前的主流访问控制技术有：自主访问控制(Dis—cl'etionary Aceess Contro1)、强制访问控制(MandatoryAccessContro1)、基于角色的访问控带4(Role—basedAccessContro1)。

　　结合电子政务系统的自身特点，基于角色的访问控制的优势会越来越突出，将具有非常广阔的前景。其基本思想就是通过将权限授予角色而非直接授予主体，主体通过角色分派来得到客体操作权限，从而实现授权。由于角色在系统中具有相对于主体的稳定性，并更为直观，从而大大减少系统安全管理员工作的复杂性。

　　四、总结

　　除了以上提到的应用级别的安全技术外，电子政务系统还面临着许多其他方面的安全问题，涉及到网络安全、操作系统级别的安全、数据存储安全等等。总结起来，整个电子政务安全环境包括以下部分：基础安全服务设施、网络信任域基础设施、网络安全支撑平台产品和容灾备份系统四部分组成。整个电子政务的安全，涉及信息安全产品的全局配套和科学布置，产品选择应充分考虑产品的自主权和自控权。产品可涉及安全操作系统、安全硬件平台、安全数据库、PKI／CA、PMI、VPN、安全网关、防火墙、数据加密、入侵检测(IDS)、漏洞扫描、计算机病毒防治工具、强审计工具、安全邮件、内容识别和过滤产品、安全备份等等诸多方面。

　　电子政务的安全目标是，保护政务信息资源价值不受侵犯，保证信息资产的拥有者面临最小的风险和获取最大的安全利益，使政务的信息基础设施、信息应用服务和信息内容为抵御上述威胁而具有保密性、完整性、真实性、可用性和可控性的能力。