財政信息系統(tǒng)安全建設的思考

1、財政信息系統(tǒng)安全建設的思考摘要 隨著財政業(yè)務信息系統(tǒng)的建設和運行， 財政信息化進程逐步深入發(fā)展， 信息平安成為財政信息系統(tǒng)建設面臨的重要問題。 文章通過對壽光財政信息系統(tǒng)建設的分析， 指出 其中平安建設存在的問題，并提出相關倡議和解決措施。; 信息系統(tǒng)平安 ;壽光1 壽光財政信息系統(tǒng)應用現(xiàn)狀(1) 網(wǎng)絡情況。 壽光財政信息網(wǎng)絡分別部署互聯(lián)網(wǎng)(俗稱外網(wǎng)) 、 財政內(nèi)部專網(wǎng)(俗稱內(nèi)網(wǎng)) ，并對內(nèi)網(wǎng)和外網(wǎng)實行物理隔離， 其中內(nèi)網(wǎng)縱向連接部、省、市級財政及鄉(xiāng)鎮(zhèn)財政， 橫向連接各預算單位、 商業(yè)銀行等相關職能部門。 現(xiàn)連接到壽光財政內(nèi)網(wǎng)的單位達175 個， 計算機終端 278 臺，均實行實名注冊認證管理

2、。 (2)業(yè)務系統(tǒng)部署情況。壽光財政目前運行了財政一體化平臺(市本級)、財政一體化平臺(鎮(zhèn)街級)、四方志誠賬務系統(tǒng)(市本級) 、四方志誠賬務系統(tǒng)(鎮(zhèn)街級) 、非稅收入系統(tǒng)、國有資產(chǎn)管理系統(tǒng)、財政CA 身份認證系統(tǒng)、根底設施建設資金管理系統(tǒng)、政府投資建設工程管理信息系統(tǒng)、部門預算系統(tǒng)、部門預算根底信息系統(tǒng)、壽光市財政局內(nèi)部網(wǎng)站、 FTP 網(wǎng)絡存儲系統(tǒng)、 OA 辦公自動化系統(tǒng)、通軟平安桌面系統(tǒng)、電子監(jiān)察等 16 套業(yè)務系統(tǒng)。 (3)硬件設備配備情況。壽光市財政局現(xiàn)有科室 15 個，計算機使用人員 119 名，實際配備計算機160 臺、打印機100 臺，開通網(wǎng)絡接口 160 個(外網(wǎng)接口100個、內(nèi)

3、網(wǎng)接口 60 個)。2 存在的問題和面臨的風險(1)信息平安設備投入缺乏。在財政業(yè)務系統(tǒng)建設過程中，只重視根底設備的規(guī)范和配置，無視網(wǎng)絡平安建設在信息系統(tǒng)中的重要性，平安設備的投入缺乏。 在系統(tǒng)建設中， 只看到了信息化建設帶來的便利和快捷， 無視了信息化建設的信息平安問題， 未對信息平安采取適當?shù)姆纻浯胧?，致使信息化開展存在平安隱患。 (2)專業(yè)人員配備缺乏和平安管理制度更新不夠。信息系統(tǒng)平安管理人員配置相對較為緊缺，尤其是關鍵崗位未配備多人共同管理在平安管理制度方面，不能根據(jù)系統(tǒng)實際運行狀況和變化及時進行制度更新。(3)軟件使用標準性不強。 在操作系統(tǒng)、 辦公軟件和防病毒軟件應用中不足網(wǎng)絡平

4、安意識， 安裝使用不標準的現(xiàn)象比擬普遍。 同時， 使用人員不能及時為殺毒軟件升級和為操作系統(tǒng)下載補丁， 從而存在一定的網(wǎng)絡平安隱患。 (4)信息平安防備意識不強，平安保密意識差。干部職工對當前信息平安形勢的嚴峻性不足足夠認識， 全員防備、 主動防備意識較為單薄， 執(zhí)行平安制度還 存在不到位的現(xiàn)象。 許多財政干部職工對網(wǎng)絡平安知識非常欠缺， 示例有些人認為內(nèi)網(wǎng)比擬平安， 不存在病毒攻擊， 為了提高電腦運行速度， 將殺毒軟件卸載，這樣將最根本的網(wǎng)絡平安措施都取消了。局部人員沒有做到專網(wǎng)專機專用，存在違規(guī)使用 U 盤和內(nèi)外網(wǎng)違規(guī)切換使用的問題 ;有的系統(tǒng)操作人員不及時更改密碼，極易造成數(shù)據(jù)喪失等平安

5、隱患。 (5)存在違規(guī)接入和非法外聯(lián)風險。 一些單位與個人沒有經(jīng)過財政授權直接將計算機接入財政內(nèi)網(wǎng)， 雖然非法接入不是暴力入侵， 但會給財政內(nèi)網(wǎng)帶來極大的威脅， 尤其是有可能帶有病毒的計算機與移動設備的非法接入，很可能會造成在內(nèi)網(wǎng)傳播病毒、移植木馬等嚴重后果。 同時，財政內(nèi)網(wǎng)本身是與外網(wǎng)物理隔離的網(wǎng)絡， 不允許連接互聯(lián)網(wǎng)， 但個別單位用戶為了上網(wǎng)辦公方便，使用一些伎倆(如人工切換)建立互聯(lián)網(wǎng)非法連接，從而繞開內(nèi)網(wǎng)的連接限制，給財政內(nèi)網(wǎng)系統(tǒng)平安帶來巨大的隱患，會導致病毒入侵、泄密甚至網(wǎng)絡癱瘓的后果。3 平安風險控制對策與措施系統(tǒng)平安問題一直是一個先發(fā)現(xiàn)問題， 再補救問題的過程。 建成一個絕對平安

6、的網(wǎng)絡是不可能的， 但我們要保證及時發(fā)現(xiàn)問題， 第一時間解決問題。 根據(jù)財政部對財政信息系統(tǒng)平安建設和財政業(yè)務專網(wǎng)網(wǎng)絡平安接入提出的 “可控性、 可管理型、 可用性、 平安性、 標準性相關原那么要求， 針對我市財政信息系統(tǒng)的現(xiàn)狀和存在的信息平安方面的問題， 我們提出如下對策和措施， 嚴格執(zhí)行財政業(yè)務網(wǎng)絡與其他網(wǎng)絡的隔離限制， 嚴格移動終端接入管理， 加強客戶端防護、 入網(wǎng)身份鑒別、 數(shù)據(jù)傳輸?shù)绕桨矄栴}管理， 以全面提升我市財政信息系統(tǒng)的整體平安保障水平。(1)加強信息平安投入，提高平安防御能力。第一，加大信息平安資金投入。增加綜合日志審計、防病毒網(wǎng)關、入侵防御、運維審計等信息平安設備投入，避免

7、網(wǎng)絡的歹意攻擊，盡量使用平安級別高的技術或設備用于網(wǎng)絡接入，增加硬件UKEY驗證機制。在設備中做好平安驗證及網(wǎng)絡傳輸加密設置， 至少保證將用戶與計算機硬件互相綁定， 從而縮小操作人員的操作環(huán)境，提高平安系數(shù)。第二，強化技術支持。嚴格控制接入用戶的網(wǎng)絡接入方式， 禁止內(nèi)網(wǎng)用戶連接其他網(wǎng)絡， 禁止使用無線網(wǎng)絡產(chǎn)品。 并在系統(tǒng)設置中記錄用戶的登錄時間及根本操作內(nèi)容， 做到出現(xiàn)平安問題時有據(jù)可依。 第三， 加強網(wǎng)絡與信息平安人員的培養(yǎng)和鼓勵。 加強財政信息系統(tǒng)的日常技術和平安知識培訓， 提高對計算機病毒及歹意程序的防備意識， 提高網(wǎng)絡平安保密意識。 加強財政信息系統(tǒng)管理人員和使用人員的業(yè)務培訓， 使財

8、政工作人員掌握常見的網(wǎng)絡信息平安知識和防備技能， 提高信息平安問題的處置能力，提升信息專業(yè)技術能力。 (2)建立健全信息系統(tǒng)平安管理制度。第一，切實做好信息設備和信息系統(tǒng)平安制度管理更新工作，維護財政信息設備和系統(tǒng)環(huán)境平安、 穩(wěn)定、 健康，根據(jù)信息平安法律、 法規(guī)的有關規(guī)定， 結(jié)合壽光財政工作實際， 及時建立健全壽光財政信息設備和信息系統(tǒng)平安管理制度， 通過對原有平安管理制度及時進行修訂和新增， 使平安意識貫通于日常財政系統(tǒng)業(yè)務操作中，提升財政信息系統(tǒng)的防備能力，保障財政業(yè)務系統(tǒng)的平安、穩(wěn)定運行。 第二，建立健全財政信息系統(tǒng)內(nèi)部控制制度。 根據(jù)內(nèi)控有關管理規(guī)定， 從信息系統(tǒng)建設管理、 信息系統(tǒng)

9、流程控制管理、 數(shù)據(jù)管理與應用、 信息系統(tǒng)平安管理等四個方面建立健全內(nèi)部控制管理制度， 提升信息平安意識， 確保平安防護技術或管理措施到位， 提升財政信息系統(tǒng)自身抵御外部攻擊能力，確保財政資金平安有效運行。 (3)完善和健全計算機軟件管理制度。第一，在新購、更新計算機等硬件設備時，全面預裝正版操作系統(tǒng)軟件、辦公軟件和殺毒軟件。 第二，要切實增強知識產(chǎn)權意識， 按照誰使用、誰負責的原那么對使用的軟件資產(chǎn)進行登記管理， 不隨意下載、 安裝、 更換軟件， 保證已使用的正版軟件得到有效維護。第三， 健全資產(chǎn)管理制度。 制訂軟件資產(chǎn)管理制度， 健全計算機軟件配套購置和使用登記制度，將軟件作為資產(chǎn)納入財政

10、資產(chǎn)管理體系，強化軟件的購置、安裝、更換、使用、報廢等管理工作。 (4) 實施財政客戶端平安監(jiān)控管理系統(tǒng)應用工作。 對與財政專網(wǎng)相連的預算單位、人民銀行及代理銀行終端全部啟用財政客戶端平安監(jiān)控管理系統(tǒng)進行管理， 實施“ 3+管理1策略。 “3 是指準入管理、補丁修復、非法外聯(lián)策略，“1 是指終端PC 實名制。實現(xiàn)所有預算單位，銀行等使用財政專網(wǎng)計算機專網(wǎng)專機使用，保證了財政專網(wǎng)的平安性。 (5)加強平安宣傳和培訓，強化財政信息和網(wǎng)絡監(jiān)管力度， 建立財政信息平安管理責任制。 第一，突出平安宣傳和培訓， 強化專網(wǎng)監(jiān)管力度。 信息系統(tǒng)平安防護全部靠技術伎倆是做不到的， 更重要的是加強日常的平安宣傳和

11、培訓， 增強使用人員信息平安的防備意識和責任意識。 第二，加強日常維護， 建立定期巡查制度， 及時了解和掌握信息系統(tǒng)運行狀況， 及時排除出現(xiàn)的不平安因素和故障，變 “事后處理為 “事前預防。加強日常檢測檢查、管理維護，及時了解信息系統(tǒng)正常運行情況， 建立網(wǎng)絡平安巡查檢查記錄， 定期進行設備維護， 及時了解和掌握設備運行中存在的問題， 做到巡查有記錄、檢查有目標、 查后有改良， 從源頭上構建一張嚴密的 “信息平安網(wǎng)。第三，建立健全網(wǎng)絡與信息平安防備工作責任制，財政內(nèi)網(wǎng)電腦全部實行IP地址與網(wǎng)卡MAC地址綁定，確定每個使用人員是相關直接責任人，明確信息平安責任， 保證網(wǎng)絡信息平安管理工作的正常發(fā)展

12、。 長期以來， 我國對重要網(wǎng)絡和信息系統(tǒng)平安愛護重視不夠， 沒有在法律中做出明確規(guī)定， 導致單位在信息平安方面的責任存在缺位， 許多針對性工作由于不足依據(jù)無法順利發(fā)展。隨著? 中華人民共和國網(wǎng)絡平安法的正式實施，明確將重要網(wǎng)絡和信息系統(tǒng)等關鍵信息根底設施納入國家重點愛護范圍， 對其運行平安進行詳細規(guī)定。 這是我國首次在法律高度提出關鍵信息根底設施概念， 并對關鍵信息根底設施愛護提出具體要求， 是我國在關鍵信息根底設施愛護方面取得的重大措施， 將國家關鍵信息根底設施網(wǎng)絡平安提升到一個新的局面，也對壽光財政信息系統(tǒng)平安提出了新的要求。4 結(jié)語總之， 在這個信息化的時代， 信息化建設是財政信息系統(tǒng)開展和生存的重要途徑。 但就 目前而言， 我們只看到了信息化建設的優(yōu)勢， 沒有意識到信息系統(tǒng)平安問題的重要性， 信息 系統(tǒng)還處在一個長期不設防的狀態(tài)當中， 這一情況直接影響了財政信息系統(tǒng)的平安性。 因此， 提高財政信息系統(tǒng)的平安性， 重視信息系統(tǒng)的平安問題