研祥“金財(cái)工程”安全管理體系概述

“金財(cái)工程”是我國(guó)電子政務(wù)的重要組成部分，也是我國(guó)“十五”期間12個(gè)重點(diǎn)建設(shè)的業(yè)務(wù)系統(tǒng)之一，它的推進(jìn)和實(shí)施，將極大地促進(jìn)電子政務(wù)工程整體功能的發(fā)揮，推進(jìn)國(guó)家信息化戰(zhàn)略目標(biāo)的實(shí)現(xiàn)。
　　“金財(cái)工程”覆蓋各級(jí)政府財(cái)政管理部門(mén)和財(cái)政資金使用部門(mén)，全面支撐部門(mén)預(yù)算管理、國(guó)庫(kù)單一賬戶集中收付、政府采購(gòu)、宏觀經(jīng)濟(jì)預(yù)測(cè)和辦公自動(dòng)化等方面的應(yīng)用需求。“金財(cái)工程”的建立將有利于預(yù)算管理的規(guī)范化，提高國(guó)庫(kù)資金的使用效率，提高政府財(cái)政管理決策的科學(xué)性，增大財(cái)政管理的透明度，有利于加強(qiáng)廉政建設(shè)。“金財(cái)工程”的建立將從根本上改變財(cái)政系統(tǒng)多年來(lái)“粗放”的管理模式，有利于逐步走向依法理財(cái)。
　　“金財(cái)工程”的建立將覆蓋GDP 20%的資金流動(dòng)，對(duì)國(guó)家經(jīng)濟(jì)的運(yùn)轉(zhuǎn)也將產(chǎn)生重大影響。因此“金財(cái)工程”建設(shè)對(duì)安全性有較高的要求，系統(tǒng)安全建設(shè)應(yīng)該與信息系統(tǒng)建設(shè)同步規(guī)劃，同步設(shè)計(jì)，同步建設(shè)，不能滯后。在系統(tǒng)安全的各項(xiàng)建設(shè)內(nèi)容中，安全管理體系的建設(shè)是關(guān)鍵和基礎(chǔ)。沒(méi)有健全的安全管理，系統(tǒng)的安全性是很難保證的，任何網(wǎng)絡(luò)系統(tǒng)僅在技術(shù)上是無(wú)法實(shí)現(xiàn)完整的安全要求的。為此，建立一套科學(xué)的、可靠的、全面而有層次的安全管理體系是“金財(cái)工程”安全建設(shè)的必要條件和基本保證。
　　一、 安全管理體系的建設(shè)目標(biāo)
　　通過(guò)有效的安全管理體系的建設(shè)，zui終要實(shí)現(xiàn)的目標(biāo)是：采取集中控制、分級(jí)管理的模式，建立起完整的安全管理體系并加以實(shí)施與保持，實(shí)現(xiàn)動(dòng)態(tài)的、系統(tǒng)的、全員參與的、制度化的、以預(yù)防為主的安全管理模式，從而在管理上確保、多層次、快速有效的網(wǎng)絡(luò)安全防護(hù)。
　　二、 安全管理體系的建設(shè)內(nèi)容
　　安全管理體系主要包括安全管理機(jī)構(gòu)、安全管理制度、安全管理技術(shù)和安全教育培訓(xùn)等方面。
　　通過(guò)組建完整的信息網(wǎng)絡(luò)安全管理機(jī)構(gòu)，設(shè)置安全管理人員，規(guī)劃安全策略、確定安全管理機(jī)制、明確安全管理原則和*安全管理措施，制定嚴(yán)格的安全管理制度，合理地協(xié)調(diào)法律、技術(shù)和管理三種因素，實(shí)現(xiàn)對(duì)系統(tǒng)安全管理的科學(xué)化、系統(tǒng)化、法制化和規(guī)范化，達(dá)到保障“金財(cái)工程”安全的目的。
　　

　　

　　（一） 安全管理機(jī)構(gòu)建設(shè)
　　按照統(tǒng)一*和分級(jí)管理的原則，安全管理必須設(shè)立專門(mén)的管理機(jī)構(gòu)，配備相應(yīng)的安全管理人員，并實(shí)行“一把手”責(zé)任制，明確主管*，落實(shí)部門(mén)責(zé)任，各盡其職。其主要內(nèi)容包括：各級(jí)管理機(jī)構(gòu)的建立；各級(jí)管理機(jī)構(gòu)的職能、權(quán)限劃分；人員崗位、數(shù)量、職責(zé)的確定。
　　各級(jí)財(cái)政保障信息系統(tǒng)安全管理機(jī)構(gòu)，將根據(jù)國(guó)家的有關(guān)信息網(wǎng)絡(luò)安全的法規(guī)、方針、政策等，承擔(dān)所屬財(cái)政保障部門(mén)網(wǎng)絡(luò)系統(tǒng)的各項(xiàng)安全管理工作，主要職責(zé)為：
　　1. 擬定并組織實(shí)施計(jì)算機(jī)信息系統(tǒng)安全管理的各項(xiàng)規(guī)章制度；
　　2. 監(jiān)督、指導(dǎo)計(jì)算機(jī)信息系統(tǒng)管理人員和用戶做好安全保密工作，定期組織檢查計(jì)算機(jī)信息系統(tǒng)安全運(yùn)行情況，及時(shí)排除各種安全隱患；
　　3. 貫徹國(guó)家信息安全主管部門(mén)的規(guī)章制度和要求，組織落實(shí)安全技術(shù)措施，保障計(jì)算機(jī)信息系統(tǒng)的運(yùn)行安全；
　　4. 組織宣傳計(jì)算機(jī)信息系統(tǒng)安全方面的法律、法規(guī)和有關(guān)政策，開(kāi)展計(jì)算機(jī)信息系統(tǒng)的安全培訓(xùn)和教育；
　　5. 負(fù)責(zé)所屬財(cái)政保障部門(mén)計(jì)算機(jī)信息系統(tǒng)的各項(xiàng)日常安全管理工作。
　　（二） 安全管理制度建設(shè)
　　安全管理制度是保證網(wǎng)絡(luò)系統(tǒng)安全的基礎(chǔ)，需要通過(guò)一系列規(guī)章制度的實(shí)施，來(lái)確保各類人員按照規(guī)定的職責(zé)行事，做到各行其職、各負(fù)其責(zé)，避免責(zé)任事故的發(fā)生和防止惡意侵犯。
　　1.安全管理制度主要包括：人員安全管理制度、設(shè)備安全管理制度、運(yùn)行安全管理制度、安全操作管理制度、安全等級(jí)保護(hù)制度；有害數(shù)據(jù)及計(jì)算機(jī)病毒防范管理制度；敏感數(shù)據(jù)保護(hù)制度、安全技術(shù)保障制度、安全計(jì)劃管理制度。
　　2.安全技術(shù)規(guī)范主要包括：日常操作管理辦法；安全策略配置管理辦法；數(shù)據(jù)備份管理辦法；攻擊事件預(yù)警管理辦法；日志管理辦法；定期報(bào)告辦法。
　　（三） 安全管理技術(shù)
　　采用研祥公司的EIP安全平臺(tái)產(chǎn)品、利用*的安全管理技術(shù)實(shí)現(xiàn)對(duì)系統(tǒng)安全管理的科學(xué)化、系統(tǒng)化、法制化和規(guī)范化，把安全規(guī)章制度通過(guò)安全管理技術(shù)強(qiáng)制實(shí)施。“金財(cái)工程”的信息保障技術(shù)框架包括四個(gè)部分：保衛(wèi)網(wǎng)絡(luò)和基礎(chǔ)設(shè)施、保衛(wèi)邊界和外部接入、保衛(wèi)計(jì)算環(huán)境和支持基礎(chǔ)設(shè)施的建設(shè)。
　　建立“金財(cái)工程”信息安全管理技術(shù)就是要從技術(shù)上建立多層次的縱深保衛(wèi)戰(zhàn)略，以防止對(duì)“金財(cái)工程”的內(nèi)部和外部攻擊，也防止內(nèi)外勾結(jié)的攻擊。
　　在安全建設(shè)的過(guò)程中，將大量利用*的技術(shù)和設(shè)備，如研祥公司EIP BIOS安全技術(shù)等；采用包括用戶標(biāo)識(shí)與鑒別、訪問(wèn)控制、信息流控制、加/解密、完整性保護(hù)、不可否認(rèn)性保護(hù)、網(wǎng)絡(luò)及網(wǎng)絡(luò)隔離、入侵檢測(cè)、病毒防護(hù)、漏洞掃描、安全審計(jì)、備份、災(zāi)難恢復(fù)、防火墻、 VPN設(shè)備等，為安全管理提供*的技術(shù)保障。
　　（四） 安全教育和培訓(xùn)
　　根據(jù)用戶的不同層次制定相應(yīng)的教育培訓(xùn)計(jì)劃及培訓(xùn)方案。為了將安全隱患減少到zui低，不僅需要對(duì)安全管理員進(jìn)行專業(yè)性的安全技術(shù)培訓(xùn)，還需要加強(qiáng)對(duì)一般辦公人員的信息安全教育，普及信息安全基本知識(shí)，通過(guò)對(duì)用戶的不斷教育和培訓(xùn)，增強(qiáng)全體工作人員的信息安全意識(shí)、法制觀念和技術(shù)防范水平，確保網(wǎng)絡(luò)系統(tǒng)的安全運(yùn)行。