0 引言
随着我国经济的快速发展，信息系统也跟随进入到了快速发展时期。网络信息系统在国家安全、经济建设以及高新科学技术都发挥着重要作用。由于信息系统的快速发展，应用领域逐渐的进行变化，从传统的小型业务系统逐渐向大型的关键业务系统扩展，应用层次不断的进行深入，网络的信息安全日益成为影响整个信息系统的重要问题。由于目前的网络系统基于TCP/IP协议，具有充分的开放性与自由性，为广大用户提供了很广阔的使用领域，但同时也给网络安全带来到了极大的安全隐患。网络的信息安全体系的建设成为了一个急需解决的问题。作为我国国家安全重要的组成部分公安机关，其网络系统的安全体系建设是首先要考虑的问题。本文分析了公安网络的信息安全当前面临的问题以及安全需求，给出了公安网络的信息安全体系设计中，通信平台、网络平台、应用平台以及安全管理平台的问题分析。
1 公安网络面临的安全问题分析
公安网络的信息安全一般来说是指公安网络系统要保障信息不受破坏、保护数据安全、保护服务安全以及保护通信安全等多个方面。尽管公安网络与公共网络进行隔离，但是公安网络所覆盖的范围非常广，使用公安网络的公安干警、司法部门的人员众多。不仅如此公安网络还连接着全国公安一级网络。使用人员的误操作或者非法操作都有可能导致信息的泄露与破坏。因此，目前我国的公安网络的信息安全面临着许多的安全问题。
1.1 网络构成庞大，访问控制不严
由于目前的公安网络拓扑结构庞大，对伪装IP的判断以及网络用塞现象严重。另外，目前用户的登录方式的安全级别尚未做到将本文真实的身份信息与登录口令做到单一映射。甚至有些地方的公安网络中，仍然使用同一的用户名+口令的模式，这些无疑会对公安网络的信息安全造成巨大的安全隐患，造成非法入侵者对数据的破坏、盗取以及泄露安全机密。
1.2 公安网络系统中软件设计问题
由于公安网络系统的安全防护软件的开发周期与早期的系统分析不适合当前安全防护形势的原因。其公安网络操作系统与应用软件中存在很多的安全楼同，这些漏洞的存在将对网络的正常运行构成很大的隐患。
1.3 病毒的防护漏洞
公安网络目前对网络病毒的防护手段十分有限，没有建立专用的计算及病毒防护中心、监控中心，这同样对公安网络的安全造成巨大隐患，“尼姆达”与“2003 蠕虫王”等网络病毒曾对公安网络造成想打的危害，造成网络拥堵、降低性能，严重扰乱了公安系统的正常工作秩序。
1.4 信息安全的管理体制不完善
公安网络系统是与公共网络物理隔离的系统，但是还未在整体上建立完善的安全结构体系，在管理上缺乏安全标准以及使用条例，甚至有些地方公安网络中的计算机出现公安网络与公共网络同时使用的现象，这都对公安网络的信息安全带来不可忽视的安全威胁，使非法入侵者有着可乘之机。
2 公安网络的信息安全体系结构设计
公安网络的信息安全体系结构设计，是一项非常复杂的系统工程，该体系对安全的需求是多层次，多方面的。因此本文设计了比较完整的安全体系结构模型，以保障整个系统的完备性以及安全性，为公安网络的信息安全提供切实有效的安全服务保障。本文在借鉴了多种成熟的信息网络安全体系结构，并且根据国家公安部提出的具体保障体系的指导思想，设计了适应我国公安网络的信息安全体系。该体系从安全服务、协议层次以及系统单元三个维度，综合立体的对公安信息网络的安全体系进行了设计。这个三个层次均包含了安全管理模块。
2.1 协议层次维度
本文从网络的七层协议模型来设计公安网络的安全体系结构中的协议层次。每一个协议层次都有专属的安全机制。对于某一项安全服务，安全实现机制随着协议层次的不同而不同。例如，审计跟踪的安全服务项目在网络层，主要对审计记录与登录主机之间的流量进行分析，对非法入侵进行实时监测。病毒防护层一般在应用层实现，一般用来对访问事件进行监控，监控内容为用户身份，访问IP，访问的应用等等进行日志统计。
2.2 安全服务维度
公安网络的信息安全体系中包括的安全服务有，身份识别认证、访问控制权限、数据完整性和保密性以及抗抵赖组成了安全服务模型。在安全服务模型中，每一个安全服务对应着不同类别的应用。这几种安全服务模型不是独立的是互相联系着的。进入公安网络安全体系的主体登录系统时，要进行身份识别认证，并且查找授权数据库，以获得主体访问的权限，如果通过验证与授权，则对访问信息进行加密返回至主体，主体通过解析进行信息获取。并且，主体访问的过程被审计跟踪监测模块记录，生成访问日志，以便日后进行查验。
2.3 系统单元维度
公安网络的信息安全体系的实施阶段，上述安全服务与协议等要集成在物理单元上，从系统单元的维度看，可分为以下几个层次。首先，物理环境安全，该层次保护计算机信息系统的基本设施安全，能够有能力应对自然灾害以及人为物理误操作对安全体系的基础设施的干扰以及破坏。其次，网络平台的安全，主要保证网络的安全可靠运行，保障通过交换机等网络设备的信息的安全。最后是应用系统的安全，该层次提供了访问用户的身份认证、数据的保密性以及完整性，权限访问等。
3 总结
本文分析了公安网络的信息安全当前面临的问题以及安全需求，对公安网络的信息安全体系设计中，协议层次、安全服务以及系统单元三个维度的结构设计问题进行了深入的分析。
作者：李元鹏 来源：科技视界 2015年1期
强化工作统筹和综合协调，成立国家层面的领导和协调机构成为各国网络安全战略部署的重要内容，并以此为网络安全战略的实施推进奠定基础、提供组织保障。美国网络安全职能部门众多，相互间职责交叉、信息不通、无法形成工作合力的问题曾非常突出，“9•11”事件也曾经暴露过这些问题。为加强网络安全工作的统筹和综合协调，美国在总统办公厅设立网络安全办公室，全权负责国家网络安全事务，包括监督联邦部门、机构信息安全政策实施情况，协调信息安全政策和程序与相关的信息资源管理政策和程序的关系，加强公私部门与有关机构和行业合作的信息共享和政策协调，在遭受针对信息技术的大规模攻击情况下协调由各机构管理的信息基础设施的防御，审核批准各机构信息技术保护预算等。该办公室设在总统办公厅，直接受命于总统，将网络安全事务的协调层级提升至国家最高级，极大地提高了网络安全工作力度和效率。网络安全办公室主任为国家网络安全协调官，由总统任命，作为总统国家安全委员会成员，出席国家经济咨询会议。国家网络安全办公室向美国国家安全委员会和国家经济委员会汇报工作，并通过这两个委员会直接影响美国国家安全和经济发展决策。英、日等国与美国相似，将网络安全协调机构设在首脑办事机构。英国组建网络安全办公室，设在内阁办公厅，全权负责网络安全战略的实施推进，为各政府部门的网络安全问题提供战略指导和协调，并通过跨政府的方案推动网络安全战略的执行。日本在内阁官房成立国家信息安全中心，承担日本网络安全工作的领导与协调职能，主要负责应对部级的网络安全事件并组织应急响应，制定网络安全标准，培养网络安全人才，并向内阁大臣报告工作，同时负责与外国相关机构就网络安全事宜开展合作。日本还成立了信息安全政策委员会，作为IT战略指挥部的分支机构，承担日本信息安全战略规划的统筹谋划和制定实施职责。德国采取委员会制，成立了国家网络安全委员会，负责从政治和战略高度统筹网络安全工作，协调联邦层面的网络安全管理，为公共和私营部门制定网络安全政策并进行工作协调。委员会成员包括联邦总理以及外交部、内政部、国防部、经济与技术部、司法部、财政部、教研部及部分联邦州代表，特定情况下，联邦其他部门、产业界和学术界相关人员也会被邀请参加。此外，荷兰成立网络安全委员会和国家网络安全中心，以统筹网络安全各项工作，强化公私合作。欧盟成立了欧洲网络安全局，作为欧洲网络安全问题的协调、管理和咨询中心，负责搜集分析网络威胁信息、向欧盟委员会和各成员国提供分析结果、提高网络和信息系统的安全性、增强欧盟成员国和欧盟机构的能力、在欧洲建立网络安全文化以及推动区域数字化经济发展等。
二、加强国家关键基础设施防护
各国普遍将保护国家关键信息基础设施作为网络安全各项措施中的首要选项，给予最高优先级，积极采取措施加强防护。美国不仅专门出台维护国家关键基础设施安全的总统令，而且早在2003年的《国家网络空间安全战略》中就提出一系列保护措施，包括由联邦政府向负责关键基础设施管理和运营的私营企业共享网络安全信息，由美国国家标准与技术研究院(NIST)制定自愿性的关键基础设施网络安全框架，鼓励引导私营企业参加关键基础设施网络安全项目，确定最易受网络攻击的关键基础设施清单，制定关键基础设施安全研发计划等。俄罗斯高度重视保障国家关键基础设施安全，部署了若干具体措施，包括研发能够防范网络攻击的标准软件和设备，实施国产化替代;建设风险防范的技术评估系统和方法手段;对关键基础设施和重要信息系统中使用的软硬件进行统一登记备案;建立关键基础设施使用的标准软件库等。英国提出通过政府部门与国家关键基础设施所有者和运营部门合作，确保关键数据和信息系统的持久安全和可恢复，降低关键基础设施的脆弱性。德国认为关键信息基础设施是所有关键基础设施的核心，要求公共和私营部门应建立更紧密的战略和组织基础，以进一步加强信息共享，同时扩展关键基础设施保护执行计划确立的合作范围，并通过立法强化关键基础设施保护执行计划的约束力。法国在国家关键基础设施领域采取公私合营，以加强网络威胁分析，确保对国家正常运转至关重要的关键基础设施达到必要的防御强度。日本组建并促进关键基础设施保护委员会发挥作用，制定国家关键基础设施防护策略，促进关键基础设施安全标准的制定、应用和改进，通过加强各领域网络安全威胁分析和组织实施跨部门应急演练，增强关键基础设施的信息安全措施，制定业务持续性计划，加强关键基础设施保护国际合作等。印度提出制定关键信息基础设施保护计划，组建国家关键信息基础设施保护中心以统筹协调关键信息基础设施保护。欧盟委员会要求促进成员国政府和关键基础设施所有者、运营商的合作，及时发现关键基础设施的系统漏洞，鼓励开发具有恢复力的系统。为解决各成员国关键基础设施互联互通带来的安全隐患，欧盟了《关键信息基础设施保护战略》，针对存在的突出问题，提出了准备和预防、监测和响应、减灾和恢复以及内外合作等方面的行动措施;《欧洲关键基础设施保护计划新措施———让欧洲关键基础设施更安全》，提出采取预防、准备和响应等方面的具体措施，选取若干欧洲关键基础设施进行试点，以测试和提升关键基础设施的恢复力。
三、保障政府网络信息系统安全
由于政府网络信息系统中往往存储传输大量的国家秘密信息或内部工作信息，直接涉及国家安全和政府日常运作，因而成为各国政府重点保护的对象。美国将联邦部门网络安全需求与预算和资金规划挂钩，政府机构在联邦资金规划中要考虑网络安全问题并报告每项网络信息技术投资的安全成本，要求持续地对联邦网络系统中的威胁和脆弱性进行评估，对联邦网络系统用户权限进行认证和维护，保护联邦政府无线局域网，改进联邦政府外包和采购的安全性，鼓励州和地方政府建立信息技术安全程序，进行信息安全实践等。英国由网络安全和信息保障办公室负责领导提高政府部门网络安全认识工作，明确网络环境下应转变哪些观念和行为并进行宣传，以促进网络安全保障和业务工作的融合，使政府政策制定的各个方面充分考虑网络安全的因素。同时，调查政府部门在网络安全技能和专业知识方面的需求，以有针对性地开展提升计划。德国认为政府部门应在数据安全方面作出表率，提出为联邦机构建设一个公共、统一、安全的网络基础设施(联邦网络)，作为语音和数据通讯的基础;要求所有联邦机构积极参与和高效推进网络信息系统安全保障，合理部署和调配资源;确保联邦政府网络安全方面的投资;联邦规划委员会将进一步加强联邦部门间的合作，特别是与计算机应急响应小组的合作。法国要求将高度可信的安全产品应用于政府机构，以保护国家机密信息。俄罗斯为确保政府网络信息系统安全，要求联邦政府各部门在2015年前从使用私有软件转为使用免费或开源软件(如Linux)，停止使用微软产品，并建设国家开源软件库。日本部署加强政府部门信息安全基础设施，强化各政府机构首席信息安全官职能，增强政府安全行动协调小组搜集和分析网络安全信息的能力，持续改善政府机构信息系统的信息安全措施，在政府电子政务系统中推广使用密码技术，根据新的安全环境变化审查《中央政府计算机信息系统信息安全措施标准》，促进地方政府等落实信息安全措施。澳大利亚强化政府部门网络信息系统防护，将政府部门互联网接入口数量缩减至最低，以最大限度保障效率、可靠和安全;制定集约化的信息技术产品、服务采购和管理措施，建立政府基本网络安全标准;对政府《防卫安全手册》进行审查，对其中的安全政策和标准进行更新;还部署实施“OnSecure”计划，由国防通信处和政府信息管理办公室合作开展，向政府各部门通报网络安全威胁及解决办法。加拿大要求增强政府机构发现、阻止和抵御网络攻击的能力，部署了缩减联邦政府互联网接入口数量，强化确保供应链安全的相关程序以及提高联邦政府雇员的网络安全意识等具体措施。新西兰在通信安全局设立国家网络安全中心，改进政府机构内部网络安全行为模式，以保障政府网络信息系统和信息安全。
四、增强应急响应和恢复能力
网络安全事件的突发性、破坏性强，影响范围广，往往在极短的时间内造成难以挽回的损失。因此，各国都普遍将增强网络安全的应急响应和恢复能力作为一项重要战略举措，以在重大网络安全事件发生后，第一时间作出反应加强应对，并通过迅速恢复将造成的损失降至最低。英国提出建设安全、可靠、可恢复的系统以加强应对各种网络攻击的准备和防护，提高快速反应能力，同时持续增强政府通信总部和国防部监测和防御网络威胁的自主能力，组建网络事件应急响应小组，负责协调部级别的网络安全事件处理。德国组建了国家网络响应中心，由来自联邦刑警局、联邦警察局、联邦情报局、国防军、海关以及关键基础设施运营部门等人员组成，向国家网络安全委员会提交例行和特殊报告，在即将或已经发生网络安全危机的情况下，中心将直接向内政部部长指挥的危机管理部门报告并采取措施。法国提出增强对网络攻击的监测能力并应用于政府网络，及时发出预警信息，并在法国国家网络和信息安全局(ANSSI)内设置专门机构，进行网络威胁的实时监测和危机管理，提升必须的应急响应能力。俄罗斯提出建设国家防范网络攻击和网络威胁预警系统，成立网络安全事故响应中心，制定实施危机应对计划，消除国家范围内将要或已经出现的网络威胁，增强网络安全应急响应能力。日本通过组织政府部门进行重大网络突发事件应急演练，确保能够应对大规模网络攻击并采取有效的初期反制措施，同时，加强网络安全事件的信息搜集、分析和信息共享系统建设，特别是加强内阁官房与相关政府机构间的信息共享系统建设等。荷兰国家信息通信技术应急计划，组织开展网络安全演习，以提高应对网络攻击的响应能力。澳大利亚提出制定应对网络突发事件国家计划，采取措施增强连续、实时的网络风险监控能力，包括在国防部组建国家网络安全作战中心，保持全天候网络监测能力，协同应对部级网络安全事件;成立国家计算机应急响应小组，加强政府和私营部门的信息共享和协同应对网络威胁的能力。印度提出组建国家计算机应急响应小组，以协调网络安全应急响应和危机管理事务。欧盟设定统一的网络安全最低要求，要求各成员国组建国家网络安全主管部门和计算机安全应急响应小组;建立网络安全预防、检测、缓解和响应机制，以实现各国网络安全主管部门间的信息共享和相互援助;组织各成员国参加及有美国等国际合作伙伴参加的网络安全演习，提高应对网络事件的能力;根据网络安全事件的性质、级别和影响的不同，进行不同的应急响应。
五、加快技术研发和应用
网络安全保障对网络信息技术实力的高度依赖使得各国对技术研发和应用都给予高度重视，采取战略性举措提升技术的自主能力。英国要求各职能部门长期跟踪网络安全产业基础的健康发展，确保相关研究和开发工作能够突出重点，协调和利用取得最好效果;通过嘉奖网络安全研究领域一流大学以及组织“网络空间安全挑战”活动等支持科研创新。德国提出深化信息技术安全和关键基础设施保护方面的研究，加强德国在战略信息技术领域核心竞争力方面的技术自主和盈利能力，并在可能范围内与合作伙伴及盟友共享相关资源。在技术应用方面，坚持多样性，在核心安全区域使用经国际标准认证的组件以保障网络安全。法国认为网络安全取决于技术和能力，提出发展科学、技术、工业等方面的能力，以保持法国在网络安全方面的自，并要求通过政府与工业合作伙伴联合组建网络防御科研中心，进行密码和信息安全技术等方面的研究。日本要求提升本国网络安全产业国际竞争力，解决严重依赖国外技术、产品和服务问题，研发更具创新性的网络安全技术，提高网络攻击监测和分析能力，日本防卫省2010年度预算中包含总额约70亿日元(约合7525万美元)的“应对网络攻击”项目，投入巨资建设“防卫信息通信平台”和“计算机系统通用平台”。欧盟启动“地平线2020”项目计划，支持技术创新，解决从研发到应用的转化问题;建立欧盟与成员国研究机构的协作机制，鼓励成员国在相关领域扩大投资;要求各会员国制定更有力的政府采购方案，促进应用更加安全可靠的网络安全产品和服务;跟踪网络犯罪和网络安全发展的新趋势、新需求，开发相应的数字取证工具和技术;鼓励政府、企业与保险业合作，降低企业投资网络安全领域的风险等。俄罗斯把确保技术独立性列入长期发展计划和重要科研课题，自主研制了高安全等级操作系统，并在关键部门积极推广自主研制的技术设备;明确网络安全领域前沿科学技术研究重点并在开展应用和理论研究以及试验设计工作中提供国家支持;向国内网络安全设备生产商提供减免税费、推广等国家支持;推进国家规划的网络安全技术设备研发;制定系统措施推广使用国产软硬件等。澳大利亚将网络安全科技研发纳入国家安全科学创新战略，通过开展部级网络安全项目研究，对网络安全研发活动提供专项资金支持，同时制定年度研发重点，对各方面的科研工作进行引导。印度提出对应短期、中期、长期目标分别设立研发项目，开展网络安全前沿技术研究，促进科研成果转化应用，加强产学研的结合等措施。
六、开展公私合作和国际合作
网络安全问题的复杂性、广泛性决定了开展合作的必要性和重要性，加强政府部门与私营机构之间以及国与国之间的网络安全合作，共享信息，协调联动应对网络威胁，已经成为各国网络安全战略中必不可少的重要举措，一些国家甚至将合作作为整个网络安全战略的核心。英国政府通过建立与企业间的网络安全信息共享合作机制，由政府通信总部等职能部门和金融、国防、能源、电信、医药等行业百余家企业开展合作，机制内的成员单位将能够及时接收网络攻击预警、攻击方式手段和应对措施等信息;由网络安全和信息保障办公室负责英国与国际伙伴和国际组织之间的合作，推动建立网络空间行为国际准则，设立网络能力建设基金，用于支持开展国际间网络安全合作，为其他国家提供网络安全方面的建议和指南，对网络空间国际规则制定施加影响。德国提出建立高效合作以确保欧洲和世界范围的网络安全，支持欧盟内部保护关键信息基础设施的相关措施，加强德国网络安全政策与联合国、欧洲安全与合作组织、欧盟委员会、经济合作与发展组织以及北约等相关国际组织政策的协调互动，将德国保护关键基础设施的标准作为统一标准提出，供北约其他成员国参考。法国认为保障网络安全与各国职能部门间的信息交流密切相关，提出建立更广泛的伙伴关系以共享信息资源，在打击网络犯罪方面加强合作，同时在盟国内组建一个小范围互信合作联盟以进行深度合作。日本提出建立各国网络安全主管部门信息共享和应急协调机制，推进网络空间国际合作全球框架建设;推动网络空间国际规则制定，积极参加各类多边框架下的网络空间政策制定和能力建设磋商，传播日本的网络安全基本原则和政策等具体主张;加强日美、亚太区域、日欧等合作，深化日美伙伴关系，强化两国政府部门间网络安全对话、联合演习和信息共享等方面的合作，深化日本与东盟在网络空间人才建设、技术研发、信息共享和关键基础设施保护等方面的合作等。澳大利亚提出加强政府部门与产业界合作以提高关键基础设施、网络、产品和服务的安全性和可恢复性，包括实行敏感信息共享，协同进行网络安全行动，联合开发网络安全技术和标准以及组织网络安全培训等;积极参与国际网络安全事务，与主要盟国及具有相同出发点国家协定双边和多边协议，加强网络安全合作等。
七、提高国民网络安全意识和技能
各国将提高国民网络安全意识和技能作为提升国家网络安全保障能力和水平的重要基础，部署实施部级的行动计划，广泛开展各类宣传和培训。美国2003年起部署开展了全国性的网络安全意识提升活动，由国土安全部负责领导提高家庭用户和小型企业、大型机构等的网络安全意识，制定提高中小学生网络安全意识计划。英国积极采取措施帮助公众应对网络安全威胁，包括通过社交媒体病毒和网络威胁警告;鼓励、支持并且发展各种层面的网络安全教育、提高公民最为必要的技能;和互联网服务供应商达成协议，使其能够为网络用户发现网络威胁及保护自身不受网络威胁影响提供支持。法国提出加强面向公众的宣传，使公民加深对网络攻击危害后果的认识，更深入地理解网络安全问题并采取防御措施，国家网络和信息安全局将倡导和广泛开展面向公民和企业的网络安全交流活动。日本通过推进各类宣传活动促进公民网络安全意识提升，自2010年2月起，将每年2月定为“信息安全月”，制定综合国民网络安全意识启发方案，并组建信息安全保密支援服务局，向国民提供信息安全相关咨询服务，促进个人信息保护。俄罗斯提出组织综合信息运动，以提高公民、组织等对网络威胁的认识和应对方法的掌握，普及通俗易懂的网络安全技术、措施和方法;开展服务公众的国家互联网门户网站推广运动，提供网络威胁、网络安全问题及应对措施等相关信息。澳大利亚开展教育培训以提高国民网络安全意识和技能，包括在中小学开展网络安全教育，每年与网络运营企业、社区等合作举办网络安全周活动，通过建设权威的网络安全信息网站为公众提供网络威胁信息及解决方法等。新西兰提出由政府与网络安全公司及非政府组织开展合作，帮助网络用户获得网络安全信息和建议，提升网络安全意识。捷克加强政府部门与新闻媒体的合作以传播网络安全知识，提升公民网络安全意识。印度提出开展网络安全教育培训项目，建设国家网络安全培训基础设施，启动全国性网络安全意识增强项目。
八、加强人才培养
网络空间的竞争和较量日益成为人才的竞争和较量，各国网络安全战略中普遍就培养网络安全人才作出战略部署。美国提出增强联邦网络安全教育培训计划的有效性，鼓励开展更多的网络安全教育和培训项目，《国家网络空间安全教育计划》，实施网络安全职业培训计划，制定国家网络安全专业人员资格认证标准和指南并开展认证。英国要求将网络安全纳入各级立法和教育工作主流活动中，启动了一系列人才培养和认证计划，在大学培养网络安全人才，对指定培养的博士进行资助，对网络安全和信息保障方面的专家开展认证，以提高其技能;军方还发起“网络空间预备役”计划，旨在招募和培养网络安全方面的高端人才。德国认为从事网络安全相关工作人员的素质和能力是政府应优先考虑和解决的问题，将加强联邦当局内部人才交流和网络安全技能培训。日本提出通过加强网络安全专业高等教育、产学合作以及职业资格认证，培养高素质网络安全人才。俄罗斯提出制定网络安全专业人员培养和进修教育标准，在各级教育机构开设信息安全课程，修订信息技术和信息安全领域国家公务人员职业技能标准，定期开展考核等措施，以加强网络安全人才培养。荷兰提出由政府与职业团体和教育部门在网络安全和信息通信技术领域开展合作，研究建立网络安全专业人才资格认证制度等。新西兰通过政府与教育科研机构、培训机构开展合作，开展网络安全资格认证、培训等培养网络安全人才。捷克将网络安全纳入公务员教育计划，并通过评估分析各领域的需求，将网络安全融入国家各层次教育培训中。
九、国外经验对我国网络安全建设的启示
关键词： 公安；边防部队；网络信息；安全管理；问题；对策
网络信息技术在经济的激烈发展中变得日益先进化，设计到国家发展的各个领域，是国家经济发展的重要力量，但是网络信息技术作为一种无形的技术很容易受到威胁，在长期的使用中会出现一些不良的网络信息、干扰网络系统的病毒以及机密被窃取的现象。公安边防部队作为守卫国家安全的重要组织，在网络信息的安全管理上更是要引起重视，要查找在安全管理中所存在的威胁因素，例如：信息传递以及网络结构管理所面临的问题；网络设备的利用性不高；网络体系中出现恶意的程序；网络信息操作的安全性低。进而根据这些问题找出相应方案去除这些威胁，进而维护好国家的发展与居民的安定。
1 公安边防部队网络信息安全管理面临的问题
在公安边防部队的网络信息使用中，由于一些威胁性因素的存在严重威慑着部队对网络信息的安全管理，下面笔者就和大家共同分析一下，在公安边防部队网络信息安全管理中所面临的为威胁性因素：
1.1 光纤通信网络的安全隐患
在光纤通信网络信息传递的过程中由于缺乏安全的管理，致主要是物理链路方面。使很多病毒以及恶意的软件在中途植入，导致信息大量的丢失，一些不法的想窃取公安边防部队的机密的人员，使用一些高端的技术扫描公安边防部队网络体系所存在的漏洞。进而找出突破口，窃取机密。由于在网络结构的创建过程中，会用到很多的网络设备，在这些网络设备的使用中也会出现泄漏信息的状况，究其原因，主要是由于公安边防部队在信息传递以及网络结构的创建中缺乏安全的管理。
1.2 网络设备的利用性不高
在网络信息的使用中，由于设备的管理与监督力度不够，最终致使设备被窃取；很多网络设备被修理的次数非常的多，导致设备断电等在使用中会出现很多故障以及意外，最终致使公安边防部队的信息以及机密被外泄；还有的情况是因为操作人员技术性能不强进而使用不当致使网络设备破损；由于地区的局限性，所用的设备过于落后，不能够跟得上信息技术的发展与变化，致使信息不灵通，网络设备的利用性不高。
1.3 机房信息接入点的安全隐患，网络体系中出现恶意的程序
网络技术的日益发展使得网络体系也逐渐的日益先进，但是与此同时，相应的窃取机密以及信息的不法科技也在快速的发展。很多肆意窃取公安边防部队信息机密的不法分子，通过高端的科学网络技术，将恶意的程序例如：病毒、木马等植入到网络信息的各种软件之中，公安边防部队的工作人员在使用的过程中，在毫不知情的情况下，系统就会出现安全威胁，进而信息就会被他人窃取。
1.4 网络信息操作安全性能低，违规使用的安全隐患
在网络信息的管理中由于相关管理人员缺乏有效的管理，致使网络信息操作的安全性降低，信息被大量的盗取的现象频频上演，除此之外，由于网络机器设备在使用中，由于各种原因，故障以及意外的高发性也致使网络信息操作的安全性能降低；由于在公安边防部队目前所用的网络信息体系中一些防范技术很少被使用，导致病毒以及木马的入侵，所以最终致使网络信息操作的安全性能降低，信息被盗取。
2 解决公安边防部队网络信息安全管理问题的对策
2.1 强化网络信息人才培养，完善网络安全防护技术
要想提升公安边防部队网络信息的安全管理首要措施一定是从相关的管理人员做起，提升相关的管理人员的综合性修养，进而提升管理的有效性。在提升相关的管理人员的综合性修养的过程中，公安边防部队要创建一套合理的、全面的管理制度。在目前的网络信息管理中缺乏有效的制度，既使有也不符合当下网络信息管理的要求。这样使得网络信息泄密的状况有法规以及法律的约束。在管理的过程中，要多汲取先进的管理经验，结合自身的问题，制度相应的管理制度，为了保证管理的高效性，可以制度相应的奖惩条例。进而在网络信息的管理中，相关的工作要做好分工，责任要有明确的划分，创建一定的责任体系，将公安边防部队的网络信息管理责任规划到专人身上，遏制信息泄露状况的发生。对于一些不是公安边防部队的工作人员，要加强管理以及防范工作，可以录指纹；签订协议等，以防不法人员浑水摸鱼，偷盗机密。相关的管理人员还要对工作中所用到的手机、电脑以及相机等移动的存储物体加强管理，要做好相应的使用登记。还要加强对相关管理人员的技能强化，保证其在工作中能够有足够的能力去应对相关的问题。
2.2 要进一步完善网络安全保密工作
要想确保公安边防部队的网络信息管理的安全性，一定要注重对网络信息安全的防范工作，进而创建防范病毒以及各种威胁因素的检测体系，保证网络信息体系可以在全天中得到检测，进而能够有效的发现系统中所出现的漏洞，并做出相应的弥补和防范，找出问题的根源，将不法的窃取机密的科技以及人员一网打尽，为创建安全的网路信息体系提供可行的条件。要研制出相应的防火墙技能，进而提升对网络信息体系的管理与监督。防火墙虽然对增强网络信息安全方面的作用很重要，但是随着盗窃机密的技术的快速发展，防火墙的保护功能在日渐衰退，所以要想建立保护网络信息体系的防火墙一定要采用高端的科学技术，研发出高端技能的防火墙，进而能够对网络信息体系中的病毒、木马以及恶意的软件做出有效的控制，相关的管理人员要对文件以及机密的加密技术进行研究，使得加密技术能够更加的合理化、先进化、安全化。所以要想促进公安边防部队网络信息管理的安全化，要注重网络信息安全的防范工作，进而促进边防工作人员的信息技术的合理化、安全化。
2.3 要建立网络安全防护机制，制定合理的网络控制措施
公安边防部队可以号召国家的一些重点部门以及单位合理规划自身所用的网络信息体系，站在国家的角度，将所用的网络信息体系融入国家的网络信息建设的规划中，进而扩大网络控制的范围，包括网络安全风险评估、网络安全应急演练等，增强网络控制的力度。公安边防部队可以在网络控制中发挥自身的主导作用，积极的协调、规划好网络信息系统管理的安全工作，并将其落实到位，号召各单位以及部门积极的配合好公安边防部队的网络信息管理的安全工作，进而将有效的管理落到实处。随着工作的信息化，很多部门在工作中都实现了网络化的发展，公安边防部队在网络化工作的过程中，要将报警技术植入到各网络体系的使用中，进而通过报警提示来考核网络信息体系的安全性，若出现问题报警体系就会有提示，然后工作人员可以及时的查找问题的所在位置，并做出相应的防范措施，进而消除病毒、木马、恶意软件等安全威胁。
3 总结
网络信息技术在各个领域的广泛应用带动了我国的经济发展，但是在长期的使用中也出现了各种威胁网络信息安全的因素，尤其公安边防部门这种威胁的威慑性非常的严重，它影响着国家的经济发展以及居民生活的安定，所以一定要找出公安边防部队网络信息安全管理面临的问题，信息传递以及网络结构缺乏安全管理的问题，网络设备的利用性不高，网络体系中出现恶意的程序，网络信息操作安全性能低。针对这些问题，公安边防部队要提升相关管理人员的综合化的修养，并注重网络信息安全的防范工作，制定合理的网络信息控制措施，为公安边防部队的工作人员提供一个稳定的守卫环境以及可靠的信息利用系统。
参考文献：
[1]任志安、钱士侠，论公安机关在群体性治安事件中的法律定位[J].长白学刊，2011（03）.
[2]郭会茹、孙静静，公安网络信息安全及其防范措施的研究[J].赤峰学院学报（自然科学版），2011（09）.
[3]钟婧，群体性治安事件处置原则新探究[J].法制与社会，2010（21） .
[4]苏伟，论社会转型期公安工作中的媒体应对[J].吉林公安高等专科学校学报，2010（01）.
[5]许发见，从“维基解密”事件看公安网络安全管理重要性[J].信息网络安全，2011（02）.
[6]翁杨华，浅谈公安信息网络安全问题及解决对策[J].福建电脑，2010（04）.
关键词：数字电视；双向网络；安全建设
中图分类号：TP393.08 文献标识码：A 文章编号：1006-8937（2013）06-0055-02
1 基本概念
①网络电视。网络电视又称IPTV（InteractivePersona-
lityTV），是一项将电视和网络完美结合的技术。把电脑、电视和手机作为显示器，通过连接网络，是用户可以改变过去被动端看电视节目的模式，自主的选择电视节目进行观看，满足自己的需求、
②双向网络。指由一条下传信道和一条上传信道构成的，具有双向交互式传输功能的有线网络，现常用于通信网络，有线电视网络等。由服务器端，中间网络，客户机端构成。中间网络具有两条信道，能够实现服务器端与客户机端双向交互式通行。一般可分为：上行频段、过度频段、FM频段、下行频段等。目前双向网在5～1 000 MHz的范围内可划分为：上行频段：5～65 MHz；过度频段：65～87 MHz；FM频段：87～108 MHz；下行频段：108～1 000 MHz。
③数字电视。数字电视一种将节目的全部过程利用数字处理信号的方式来运行或利用二进制数字串所形成的数字流传播的电视。基于DVB技术标准的广播式和“交互式”的数字电视。是采用了先进客户管理技术，可以为客户才来更多好节目，提高了画面的清晰度和质量。它还可以订购各种业务，如互动电视、高清晰度电视、标准清晰度电视、BSV液晶拼接等业务。与传统电视相比，数字电视音质更好、节目数量更多、画面更清晰亮丽。
2 现阶段数字电视双向网络存在的安全问题
在双向网络出现之前，数字电视一直使用的是单向网络。由于单向网络与网络连接少，收费低，可获取的利益少，所以单向网络安全问题多数集中在授权的安全，不要出现盗版，不要出现黑户问题上。而数字电视双向网络业务更多、用户的增值项目也多，使得他人可利用数字电视双向网络赚取大笔利润，由此将引起大量的黑客对数字电视双向网络的关注。
数字电视双向网络不像数字电视单向网络保守，其安全问题不仅仅像数字电视单向网络那样只出现在终端而是前段终端都可能出现。还要考虑终端对前端的影响和恶意攻击，这使得数字电视单向网络的安全建设单独大大加大。
3 数字电视双向网络的安全建设的建议
3.1 建立一个开放性、标准性，能够取得第三方认证的
系统结构
推荐使用两种技术，一个是公约基础设施（Public Key Infrastructure，PKI）技术。另一个是安全套接层（Seeure Socket Layer，SSL）技术。
①公约基础设施（Public Key Infrastructure，PKI）技术。所谓公约基础设施（Public Key Infrastructure，PKI）技术其实就是一个用公钥概念、技术实施和提供安全服务的具有普适性的安全基础设施。公约基础设施（Public Key Infrastructure，PKI）技术是一种新的安全技术，它由公开密钥密码技术、数字证书、证书发放机构（CA）和关于公开密钥的安全策略等基本成分共同组成的。公约基础设施（Public Key Infrastructure，PKI）技术是利用公钥技术实现电子商务安全的一种体系，是一种基础设施，网络通讯、网上交易是利用它来保证安全的。公约基础设施（Public Key Infrastructure，PKI）技术是提供公钥加密和数字签名服务的系统或平台，目的是为了管理密钥和证书。一个机构通过采用公约基础设施（Public Key Infrastructure，PKI）技术框架管理密钥和证书可以建立一个安全的网络环境。公约基础设施（Public Key Infrastructure，PKI）技术包括四个主要部分：X.509 格式的证书（X.509 V3）和证书废止列表CRL（X.509 V2）；CA 操作协议；CA 管理协议；CA 政策制定。
②安全套接层（Seeure Socket Layer，SSL）技术。SSL（Secure Socket Layer）安全套接层是Netscape公司率先采用的网络安全协议。它是在传输通信协议（TCP/IP）上实现的一种安全协议，采用公开密钥技术。SSL（Secure Socket Layer）安全套接层应用广泛，各种网络都可以使用它，不仅如此，还提供了三中安全服务。SSL（Secure Socket Layer）安全套接层是一种利用TCP的可靠的端到端的安全服务，而且他还是一个二层协议，底层是SSL记录层，此层是用来封装各种上层协议。还有一层是SSL的握手协议，它的作用是在服务器和客户机之间传送数据之前协商加密算法和加密密钥，服务器将通过客户及提出的加密算法来选择最适合的算法。还有三个更高层的协议，分别为SSL的一部分：握手协议、修改密文规约协议和告警协议。
有这两项技术作为基础的数字电视双向网络安全系统，既能获取第三方的认证，还能增加安全性。
3.2 网络内容安全
网络是把双刃剑。现在网络充斥着各种不良信息，还有一些不法分子制造网络病毒损害电脑，盗取别人的个人信息和重要数据以此来谋取利益。当然随着网购的兴起，更有不法分子通过网络盗取和骗取钱财。由此，数字电视双向网络应该有一个安全的环境，保护用户的个人信息和钱财，还要防止病毒的侵入。我建议利用消息鉴别码（Message AuthenticationCode，MAC），消息鉴别码（Message AuthenticationCode，MAC）可以鉴别信息的来源是否合法还可以保证信息的完整性。
消息鉴别码（Message AuthenticationCode，MAC）有一个认证标识是用公开函数和密钥然后产生一个长度一定的值， 消息鉴别码用这个标识来判断信息的完整性。利用一个密钥生成一个大小一定的数据块（MAC），将其与信息一起传送，接收方利用发送方共享的密钥进行鉴别认证等. 消息鉴别码（Message AuthenticationCode，MAC）仅仅认证消息MAC的完整性（不会被篡改）和可靠性（不会是虚假的消息或伪造的消息），但不负责数据MAC是否被安全传输。之所以要放弃信息的保密性（使用公钥加密私钥签名的对称密码协议可以很好的保证信息MAC的保密性、完整性和可靠性），是因为在某些场合（政府部门公告、网络管理通知等）并不需要对信息进行加密；或者是有些场合（例如广播信息等）需要长时间传输大量信息。由于MAC函数是单向函数，因此对明文M进行摘要计算的时间远比使用对称算法或公开密钥算法对明文加密的时间要小。
3.3 保证用户信息的安全
在进行业务费用支付的时候，会要求用户输入个人资料和密码等。保护用户的资料和密码就成为结构系统需要注意的事项。虚拟键盘技术大可解决此问题。有了虚拟键盘技术，机顶盒会出现一个键盘，键盘上的数字都是随机排列的，这样就算不法分子偷到了遥控器的红外数据，得到的也仅仅是上下左右，而不是用户密码，从而保证了信息输入的安全。
4 结 语
通过对数字电视双向网络的安全建设，才能使用户放心的使用数字电视双向网络，满足用户的要求，使得数字电视双向网络更快更好地发展。
参考文献：
[1] 黄彩云，费耀平，李敏.基于奇异值分解的小波域水印算法[J].信息安全与通信保密，2006，（3）.
[2] 石朝阳.浅析电子商务中的安全问题[J].大众科技，2006，（7）.
[3] 张吉术.网络电视基础问答[J].家电维修，2010，（10）.
[4] 朱凯彬.浅谈数字电视双向网络安全[J].黑龙江科技信息，2011，（13）.
[5] 江伟湘.基于公共终端的安全移动计算[D].西安：西安电子科技大学，2007.
根据国家发展改革委、财政部《关于加快推进国家电子政务外网建设工作的通知》（发改高技〔〕988号）、省政府办公厅《关于加快推进电子政务外网建设工作的通知》（政办〔〕233号）、省信息中心《关于做好电子政务外网建设工作的函》（信字〔〕9号）文件精神，结合《州年电子政务工作要点》，现就加快推进我州电子政务网络建设通知如下：
一、充分认识加快电子政务网络建设的重要性和紧迫性
电子政务网络是电子政务稳步推进和可持续发展的基石，是电子公文传输、电视电话会议、党政协同OA等电子政务重点业务系统普及应用的支撑平台，也是各级政府履行职能，打造效能政府、阳光政府、透明政府的有效手段。我州电子政务网络按照统一规划、分级负责的原则进行建设，经过几年的持续快速发展，电子政务内、外网络建设取得了显著成效。电子政务内网基本实现了“纵向到底、横向到边”的建设目标，电子政务外网已完成州电子政务技术中心至州级各主要职能部门的横向城域网建设。根据国家电子政务发展规划，电子政务内、外网络将成为自上而下、纵横融合的两大基础网络平台，为避免重复投资、重复建设，充分利用好已建电子政务公共设施，国家发改委今后原则上不再批准建设新的部门专用业务网络。各地区要充分认识加快电子政务网络建设的重要性和紧迫性，认清形势、把握机遇，紧紧抓住全州电子政务网络建设整体推进、给予设备和技术支持的有利契机，加强组织领导，着力推进本地电子政务基础网络建设。
二、全州电子政务网络建设的基本原则及标准要求
全州电子政务网络建设要在州政府电子政务技术中心的规划指导下，按照统一标准和规范有序推进。各地区在规划建设本地区电子政务网络时，要按照全州电子政务网络建设标准（每栋入网行政办公楼的每间办公室要设置2个以上完全物理隔离的内、外网信息节点），对本地区电子政务内、外网络进行同步规划、同步建设。
1、纵向骨干电路建设。根据全州电子政务外网建设总体规划，州至各地区纵向骨干电路由电信、移动两家运营商共同承建，形成高效、安全的双回路网。在4月25日前完成电路建设、调通测试电路。
2、地区横向网络建设。各地区横向城域网络建设及本地区互联网出口电路租赁等工作，由各地区政府与当地电信、移动、联通等运营商自主洽谈确定，可根据实际洽谈情况，综合当地运营商合作意向、承建能力、线路品质、技术力量、租赁费用及本地区电子政务长远发展等因素合理选择一家或多家运营商的互联网资源作为本地区电子政务外网的互联网出口电路（出口电路带宽可根据本地区入网单位数量、上网速率要求等实际需要科学确定），按照“以租代建”（通过本地互联网出口电路租费来带动横向网络建设）的原则，由选定的运营商按照全州电子政务网络建设标准于年底前完成本地区横向城域网络建设。
3、现场指导建设。州政府电子政务技术中心近期将会同省信息中心、电信公司、移动公司等相关单位，成立电子政务外网建设工作组赴各地区对纵向骨干测试电路、地区首批13家横向电路进行现场指导建设，请各地区安排得力技术人员进行全程配合、学习。今后，地区横向电子政务网络由各地区政府按统一标准和规范自行规划建设，州政府电子政务技术中给予必要的远程协助和电话指导，原则上不再专门组织安排人员进行现场指导。
三、加强电子政务网络安全体系建设的统一规划和管理
各地区要根据全州电子政务网络安全等级保护的有关规定，配合州政府电子政务技术中心同步规划、建设本地区电子政务网络安全防御体系，合理划分安全域，采取相应的信息安全等级保护措施，实现州、县级网络中心与各级入网单位的分级、分域保护，实现不同网络安全域之间的可信接入，保障各自业务系统的信息安全。按照统一规划、统一管理的原则合理分配本地区IP地址资源，对接入电子政务网络的所有计算机进行MAC地址、IP地址、交换机端口的有效绑定，以减少局域网内IP地址冲突，防止ARP攻击，提高网络的安全性。加强网络安全保障制度建设，落实信息安全保障责任，明确政务网络安全主管领导和工作部门责任人，对入网计算机进行登记备案，定期检测网络运行状况，及时排解安全隐患，确保全州电子政务网络安全稳定运行。
四、落实项目配套资金确保电子政务网络建设顺利进行
电子政务建设所需财政性资金采取分级负担的方式予以解决，各地区要统筹财力，加大对电子政务网络建设和运行维护的资金投入力度，根据项目建设要求，抓紧落实地区配套资金，确保必要的项目建设经费，推动地区电子政务健康持续发展。
1、州级专项经费。州至各地区电子政务外网纵向骨干电路租赁费用由州级财政统一安排解决；各地区电子政务外网建设所需核心路由器、核心交换、网管交换、网管计算机、网络机柜、首批13家部门接入路由器等设备由州政府统一配送；各地区首批13家接入单位横向网络电路、办公局域网综合布线由州政府按照“以租代建”原则（通过州至各地区纵向电路专用租费带动项目建设），协调电信或移动公司按照统一标准和要求建设；州政府电子政务技术中心对各地区网络规划设计、建设实施给予必要的技术支持和业务指导，对重视程度高、配套资金落实好、规划建设进度快的地区在后期横向网络建设时给予一定数量的部门接入路由器、交换机等设备支持。
2、地区配套资金。各地区电子政务外网横向网络（不含首批13家接入单位）建设、本地互联网出口电路租赁等费用由各地区政府统筹安排解决；地区电子政务横向内网节点租费由各地区政府与当地电信公司洽谈确定，通过降低每个节点租费或参照州本级财政供养单位整体打包租赁等方式有效降低电子政务内网年租费。整体打包方式即将本地区所属财政供养单位（含事业单位、二级局）作为一个整体，进行商谈确定电子政务内网年租费，合同期内租费不因机构改革、办公楼搬迁等新增节点而增加。
关键词：商业银行 网络安全 网络风险
1 城市商业银行网络安全建设现状
银行的信息与网络安全建设与银行的整个电子化、信息化和网络化密切相关，把金融风险监管现代化和金融电子化、信息化和网络化风险的监管密切结合起来，是搞好银行与阿络安全建设的根本思路。目前城市商业银行信息化安全的观念对于网络与系统的虚拟世界的“行为与内容的监管”和“大范围的网络环境的安全问题”，考虑较少。
1.1银行网络行为和内容的安全情况
银行网络的安全问题实际是银行风险监管的问题，银行风险监管既要检查银行和客户人员在现实世界中的人与银行业务相关的行为结果，又要检查网络虚拟世界中用户、系统和的行为，实际上要对银行监管实行监管现代化的建设和银行信息化实行监管。
1.2银行业务运营信息化安全情况
主要涉及银行价值管理信息系统、资源管理信息系统、银行产品服务管理信息系统等。对于这些业务信息系统，由于银行系统有高度的安全意识银行系统的安全工作开展的较早，制定了相关的标准和规范，进行了安全规划与实施等。
1.3银行网络系统安全情况
当前银行网络系统安全问题重要表现在数据大集中后的安全，其特点是数据服务大集中，前置通信中心强大的和众多本地与远端终端的中心体系结构。
应该看到，电子化在给银行带来利益的同时，也给银行带来了新的安全问题。原因主要有三个：伴随金融体制改革的深入、对外开放的扩大，金融风险迅速增大；当前计算机应用日益广泛、日趋网络化，系统的安全性漏洞也随之增加；计算机知识日益普及，金融网络向国际化发展，计算机犯罪技术在不断提高。
2 银行网络安全重点关注的方面
目前银行用户关注的信息化安全问题主要是客户隐私、用户权益、信息内容安全和客户可信接入银行网等问题：
全面整合银行信息化安全建设，在此基础上建立银行信息安全保障、应急和监管系统。
以安全观点再度审核银行应用数据大集中的安全建设问题、专网与公网的隔离安全建设、银行外包服务安全建设、安全检测、监控、审计、追踪和定位系统建设、制定安全应急标准与安全应急培训。
3 安全风险分析
我们可以参考国际标准化组织ISO开放系统互联(OSI)模型，将整个银行系统的安全风险统一划分成五个层次，即物理层安全、网络层安全、操作系统层安全、应用层安全以及管理层安全。
3.1物理层安全风险分析。物理层安全包括通信线路的安全，物理设备的安全，机房的安全等。
3.2网络层安全风险分析。网络层安全包括网络层身份认证，网络资源的访问控制，数据传输的保密和完整性，远程接入的安全，路由系统的安全等。
a数据传输风险分析。表现在重要业务数据泄漏、重要数据被破坏等，如果没有专门的软件或硬件对数据进行控制，所有的广域网通信都将不受限制地进行传输，因此任何一个对通信进行监测的人都可以对通信数据进行截取
b网络边界风险分析。主要表现于银行业务系统安全和互联网出口的安全。
c网络设备的安全风险。由于银行专用网络系统中使用大量的网络设备，如交换机、路由器等，使得这些设备的自身安全性也会直接关系的银行系统和各种网络应用的正常运转。
3.3系统层的安全风险。主要表现在两方面：一是操作系统本身的安全漏洞和隐患；二是对操作系统的错误配置。
3.4应用层安全风险分析。应用层安全是用户采用的应用软件和数据库的安全性，包括数据库软件、Web服务、电子邮件系统、域名服务系统、业务应用软件，以及其他网络服务系统(如Telnet、FTP等)。
3.5管理层安全风险分析
管理层安全包括安全技术和设备的管理，安全管理制度的制定，部门和人员的组织规划等。要建立完备的安全网络最终要靠人来实现，因此管理是整个网络安全中最为重要的一环。因此我们有必要认真的分析管理所带来的安全风险，并采取相应的安全措施。
4 安全方案总体设计
4.1网络安全建设原则
网络安全建设是一个系统工程，银行网络安全体系建设应按照“统一规划、统筹安排，统一标准、相互配套”的原则进行，采用先进的“平台化”建设思想，避免重复投入、建设，充分考虑整体和局部的利益，坚持近期目标与远期目标相结合。
在实际实施中还要按照系列基本原则进行：系统性原则；简单性原则；实时、连续、安全统一原则；需求、风险、代价平衡原则；实用与先进相互结合的原则；方便与安全相互统一原则；全面防护、突出重点原则；分层、分区原则；整体规划、分布实施原则；责任明确，分级管理，联合防护原则。
4.2网络安全建设目标
我们对于银行网络系统安全建设的目标为：采用防护、检测、反应、恢复四方面行之有效的安全措施，建立一个全方位并易于管理的安全体系，确保银行网络系统安全可靠的运行
a系统级安全目标。保证操作系统、数据库管理系统的安全补丁不断升级、安全设置正确，防止计算机终端、服务器感染通过软盘、光盘、网络、电子邮件及其它网络途径传播的计算机病毒。
b网络级安全目标。保证内外网之间、内部网不同网络安全域之间的安全隔离和有效的访问控制，保证系统业务敏感信息网络传输中的机密性、完整性，保证网络攻击和网络安全漏洞及时发现、告警，网络安全状况不断改善，以及保证银行网络系统网络传输系统的高可靠性：主要指线路、设备的备份、冗余等。
c应用级别安全目标。防止本地用户和远程用户的非授权访问、越权访问和身份假冒，保证各种服务系统的正常运转。
d管理级安全目标。对安全软硬件设备(如防杀病毒软件、入侵检测软件、安全MPN设备、防火墙设备)和安全策略、安全状况能够集中统一管理、监控、审计和响应，保证安全责任分解到人、出现问题有迹可寻，加强管理制度和管理体系建设。
4.3整体安全设计概述
整体安全设计要最大限度保障业务系统、办公系统的安全，做到安全性和方便性的统一。
a数据库服务器是业务系统中最重要的数据库部分，它保存了所有业务交易相关的各种帐务数据，因此必须对它们实行有限访问控制防护——配置双机热备防火墙系统。
b由于办公机器众多、员工的安全防范意识较差，需要与互联网接入，又要直接接入OA办公、决策等系统，因此，办公机器应受到高度关注。
c由于网络中设备、主机数量众多，应此使用日志审计系统收集全网中的安全设备、服务器的日志，进行归档、分析，及时发现系统中发生的安全时间，起到事后审计的安全机制。
关键词：ISP企业；网络安全
1概况
随着互联网呈几何倍数的发展，我们的生活越来越依赖互联网，吃穿住行几乎都可以用网络来搞定。但是从网络诞生那一刻起，就出现了其中不安定的因素，我们对网络越依赖，一旦网络安全出现问题，造成的损失也就会越大，作为一家运营商公司，更迫切的需要维护好自己的网络安全。
2现状和分析
2.1目标公司发展现状
某国有ISP企业省份公司，拥有用户各类20万左右，因为规模不大，所以在过去几年，一直把发展用户扩大市场放在首要位置，而忽视了网络信息安全方面的建设。这是一方面当时的情势所迫造成的。随着用户的发展和企业壮大，如今，省内ISP网络构架属于从核心层出口节点开始，到下层的核心汇聚层交换机链接到底层BRAS设备，都是做的双冗余保护，在网络结构上，属于合理的布局。并且设立了多个核心的IDC机房和设备机房，存放各类资源服务器为网内的用户提供服务和各网络专业核心的设备。
2.2暴露出来的问题
随着用户的增加，越来越多的信息网络安全问题会开始暴露，比如会有非法的流量开始试探底层设备的端口，并且可以看到某些设备会出现异常的IP地址尝试登入，或者底层设备的链路利用率突发暴涨，虽然这些问题都被及时发现并处理了。但是并不是说这样处理掉一两起的安全问题事情就结束了，从中暴露出网络安全问题其实是很严重的。
（1）手段单一，只有依靠简单的防火墙，或者是依靠核心设备本身的访问控制列表对数据包进行筛选，缺乏更多有效的系统手段帮助人们进行监控保护网络，一直长期下去的话面对一些网络层以上的疑难问题也就只能束手无策。
（2）各部门对信息的安全性重视不够，对信息保密的重视层度不够，也没有接受过相关的社会工程学方面的培训，安全意识淡薄。
（3）缺乏专业性的技术团队和思路，完全是在闭门造车。到现在处理问题的思路在技术层次还是停留在路由和交换级别的。现在只能把每个事件单独当作一个单独事件来处理，很难避免下次不会发生重复的问题。
（4）从整个网络的构架开始搭建起来，就没有把网络安全放在重要的位置，刚开始BRAS设备是有了双向冗余就开始上线，本应该考虑更多的迂回保护措施都是后期的时候慢慢弥补上去的。物理上的冗余保护如此，网络的安全保护也一直是没有跟上网络拓扑的扩展。
3网络安全的建设
3.1从认识思想上进行转变
要建设公司的电信级网络安全架构，需要公司从上到下有一个认识，就是对安全危机的认同感，网络的安全投入的确是烧钱，并且它后期还会需要不断的成本投入。期待它能马上给你利润回报，那是不可能的。但是看看合作企业竞争对手，无一不是对安全问题异常的重视。同时要做好网络安全，我们还要开始学，向服务商学习，向设备商学习。一步步踏实做下去。
3.2改变公司组织结构
安全部门并不同于一般的网撑中心，数据中心，它需要专注地负责网络防御检测和处理各类的网络安全问题，因此如果将这样一个安全部门挂靠在网络支撑下面是不合适的，从专业来看，网络安全防御，社工防御，欺骗渗透防御都是它的职责。而且将来的网络布局，都会需要他们提供安全方面的意见，所以这必须是一个独立的部门，来区别于网络建设部和网络支撑中心。
3.3建立网络安全制度
在公司内部建立网络安全规范的制度，强制性地规定员工登入设备的权限和密码设置原则，要求登入口令的密码长度和复杂成分，区分开每个人的职责范围，个人的权限只能存在几台服务器上，避免被人利用同样的账号密码登入所有的设备。并且要求定期更换密码。设置强硬的核心机房准入制度来防止设备遭受最直接的物理攻击。对于敏感重要的数据，要定期做异地备份。
3.4建立可靠的安全网络
要建立行之有效的安全网络体系架构，建议对整个网络进行统一的部署，构建网络安全架构的安全设备类型通常有：
防火墙：firewall，可以根据IP地址或服务端口过滤数据包，可以通过制定过滤规则来限制。
流量分析系统：它主要针对网内的流量流向镜像进行监控、分析、不仅可以提供用户的使用偏好分析，更多的可以监控网内的流量过去和现在的数据是否异常。
流量采集分析清洗设备：也叫ADS，它可以针对于网内的异常流量进行筛选和清洗。特别是对于现在的DDOS攻击有很好的效果。
Web应用防护系统：也称WAF。WEB应用防御产品，针对应用层的攻击做出反应。是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。
入侵防御检测设备：也称IPS，这是对防火墙和杀毒软件的一个补充。可以有效发现阻止4到5层的异常流量，其中还有的入侵预防系统，通过正常数据以及数据之间关系的通常的样子，可以对照识别异常。
审计系统：针对互联网行为提供有效的行为审计、内容审计、行为报警、行为控制及相关审计功能。满足用户对互联网行为审计备案及安全保护措施的要求，提供完整的上网记录，便于信息追踪、系统安全管理和风险防范。
值得一提的是随着安全技术的演进，今后的防火墙将会兼容ADS之类的流量监视和清洗功能，是否还能将WAF和IPS设备的功能融合进来尚不得而知，但是展望安全网络的科技树发展的方向，这必然是未来安全行业的发展一段趋势。考虑到设备的使用安全性，集众家所长的安全设备固然能够减少了接入的层次，降低了生产成本。
关于安全网络的组网，还是要严格按照双机备份的原则，特别是涉及到防火墙，必须做到双机冗余的原则，保证一台设备宕机的情况下，另一台能正常工作，并且不影响到网络流量的正常转发。建议还是听从专业厂家或者服务商提供的方案进行部署。
关于DMZ区域和IDC的网络安全构架建设：DMZ即缓冲区，也是我们部署web服务器，DNS系统，3A系统，ftp服务器的区域，建议统一进行规划。减少网络的复杂性，便于管理。包括IDC服务器组，如果条件允许。也应该统一纳入网络中。
3.5建设前后的测试
有人说过一个最大的错误是假定安全设备本身是安全的。所以合理的部署和计划是十分必要的而且重要的。开始建设前，一方面应该进行足够的压力测试，从设备的本身是否安全开始到演示当设备在网的时候出现的各种情况，来判断方案是否可行，这是个漫长而枯燥的过程，但却是十分必要，没有人愿意在完成建设后重新赶工修改自己的网络部署，另外一方面必须和厂家、集成商、服务商沟通好，要求其能够提供足够的应急预案来保障安全的运行。工程完成以后就应该开始进行各种的测试，测试设备能否正常工作发挥作用，已经能否顺利的升级，及时更新补丁等等。如果有条件，还应该定期执行漏扫和进行渗透测试。
检测机构网络应用更注重于数据来源的可靠性，结论的科学性和准确性，信息的公正性和权威性。通常检测机构的信息应用需求可分为两类：1.应用系统需求检测机构为满足日益增长和全方位的应用需求，一般都需拥有实验室管理系统（LIMS）、办公自动化系统（OA）、客户管理系统（CRM）、企业资源管理计划（ERP）、园区公共管理系统等实现内部实验室、行政办公和客户资源等信息的管理；需拥有邮件系统进行信息收发与交互；需拥有门户网站提供机构技术能力与自身文化的展示平台。2.应用服务需求检测机构自身对应用相关的服务也提出了需求，如需满足庞大的网络打印管理、内网互联需求和客户联网需求等，但这些服务需求的满足必须建立在确保数据安全的基础上。
检测机构网络安全架构方法及原则
据调研，检测机构往往热衷于引进各类成熟的应用系统来满足日益增长的应用需求，网络安全系统建设也依赖于成熟的商业模型。这样将导致3种局面：一是，系统实际功能与机构的应用需求不匹配，需改进和完善；二是，机构的应用需求不断变化，导致系统功能无法匹配而不断淘汰更新；三是，采用成熟的商业模型，容易遭黑客攻击，系统生命期短，需不断升级换代，造成人财物资源的浪费。因此，我们认为比较可行的方案：一是，从机构的实际应用出发，根据对应用的需求分析和远景展望，统一规划架构；二是，根据实际应用的阶段性需求，以统一规划的架构模型为基础，结合现阶段稳定实用的技术，制订阶段性构建目标和方案，分阶段实施；三是，紧随技术发展潮流，适度调整，合理选择产品，以节约建设投资，达到良好建设效果。可概括为“统一规划，分步实施”。这样既有长远而整体的规划来保证网络安全构架的清晰有序，又可因为分阶段实施，在具体建设过程中采用新的技术手段和产品，使网络系统建设真正实现“适时而建，建则不费”。根据网络安全技术标准的要求，我们应从操作系统层面、用户层面、应用层面、网络层面、数据链路的安全层面考虑，结合局域网环境，边界、用户环境和网络等方面安全要求，规划构架。经调研发现，检测机构经多年发展，其网络建设工作基本是对原有系统的改造。在此，我们取长补短，以构建高性能、高安全、高稳定性和高数据传输质量符合相关法规标准的网络架构为目标，提出以下建网原则：誗统一规划，分段实施；誗高速的网络链接；誗信息结构多样化；誗良好的可扩充性；誗安全质量可靠；誗操作方面，易于管理；誗性价比高；誗符合全国信息安全委员会提出的技术标准。
构建符合检测机构需求的网络安全架构
基于以上可知，检测机构网络应用具有性能、稳定性、安全性3方面的要求，在兼得性能和稳定性的同时，在安全性方面应满足保密性、完整性、可用性、可控性和可审查性等要求。我们提出检测机构构建基于“四类网络、三个中心”的网络安全架构。1.检测机构应构建“四类网络”①办公局域网：根据我国公安部第82号令《互联网安全保护技术措施规定》，安全级别达到1~3级的网络，主要应用于检测机构内部办公需要，内含机构相关核心业务；②机构门户网（网站）：主要作为检测机构互联网门户，是对外形象展示窗口；③政务网：根据公安部第82号令，是安全级别达3级及以上网络，需要高安全级别，要求达到网络物理分隔，内含机密内容；④客户服务网：提供客户在机构场地范围内上网服务的网络，在为客户提供上网服务便利的同时，亦满足公安部、信息产业部等信息安全相关法律法规要求。2.检测机构应构建“三个中心”①核心计算中心（见图1）：主要承担业务核心计算工作，与核心数据中心共同承担业务计算数据存放，互为实时镜像、达到负载均衡，互为远程业务灾备。②核心数据中心：存放实时镜像数据，核心业务集群服务器等，可作为核心计算中心的无中断业务系统，实现自动切换功能，使得核心计算中心在遇到IT基础设施损坏无法正常服务时，以最快速度恢复关键业务系统的正常运行。③备份中心：存放核心业务及应用系统数据，实现定时自动存储，通过专用存储数据网络SAN实现高速数据备份恢复，作为远程灾备中心用于防范各类自然灾难及人为灾难对信息系统造成的影响，确保信息业务系统快速恢复，将数据损失和经济损失降到最低。3.基于“四类网络、三个中心”的检测机构网络架构检测机构网络安全总体架构如上图2所示，按照网络基础安全技术标准，网站平台、客户网、政务网单独搭建，与局域网物理隔离；局域网按照功能划分为不同的区域，如业务系统服务器区、数据备份区域、用户接入区域等，各区域之间按照制定的安全策略进行网络边界的控制；局域网DMZ区域作为需要为互联网用户提供服务及数据访问的区域，需要在互联网与网络边界处进行网络安全控制，以确保数据传输质量符合GB/T20270－2006《网络基础安全技术要求》的要求。实际应用时，应根据各类网络的特点对其进行分类安全管理：①局域网需要授权管理、VPN、入侵检测、防火墙、防毒墙、网络监控、上网管理、日志审核和设备加固；②网站平台需执行以上除上网管理以外的全部措施；③客户网按国家信息安全相关法律规定的标准，至少需要授权管理及日志审核、防火墙等安全技术；④政务网需遵循政务网管理部门相关安全规定，必须物理隔离。基于以上设想及网络安全架构，上海机动车检测中心已进行了规划，并实施了第一阶段的改造工作。已建立本文所述的“四类网络”，目前运行情况良好，通过第一阶段的改造有效地提高原有网络的安全性，为内部员工和外部客户提供了高效、安全的信息服务。建成的多个网站与平台（中心网站、机动车出口认证检测网、全国四轮全地形车标准化技术委员会网、出口认证平台、标准资源平台），扩大了其行业知名度和影响力，取得了良好的社会经济效益。
强化管理的措施建议
