【摘要】电子政务系统实现了政府组织结构和工作流程的优化，提高政府在行政、经济和服务方面的效率，但同时也面临着来自自然环境、物理环境和社会环境等方面的安全风险。电子政务系统一旦出现问题，就会对政府部门和社会公众产生危害，严重的还将对国家安全产生威胁，因此保障电子政务系统安全具有重大意义。
【关键词】论文发表最好的网站,电子政务,信息安全,风险评估
一、课题的背景与意义
随着计算机技术、通信技术以及互联网技术的飞速发展，社会信息化进程逐步加快。为满足新的全球范围内的数字化生存与竞争环境下，行政管理现代化的发展要求，各国都将电子政务列入了政治工作日程。从上世纪90年代开始，电子政务建设作为今后一个时期我国信息化工作的重点，政府先行，带动国民经济和社会发展信息化。电子政务系统作为政府信息化工作的主要平台，其安全性、一致性、稳定性等方面，比一般信息系统有着更高的要求。而电子政务系统上所承载的信息的特殊性，在网络开放的条件下，势必要解决好信息共享与保密性、完整性的关系，开放性与保护隐私的关系，互联性与局部隔离的关系，才能实现电子政务的安全性。
2002年，“法轮功”破坏广播电视网、首都国际机场离港电脑系统故障等重大安全事故连连发生后，社会各界对信息安全的认识发生了深刻地变化，政府更是启动了国家信息安全战略，加强了对互联网内容安全、网络监控、网吧、广播电视网的专项治理，信息安全的技术和产品研究得到迅速发展，在政府投入的拉动下，信息安全产业增长速度大幅度提高，各级政府部门都将信息安全工作作为推行电子政务的重中之重，普遍把信息安全保障系统纳入其电子政务建设的总体规划中。近几年，我国从政策、安全管理、标准化建设、法律法规上对信息安全工作加大了支持力度。
在安全技术方面，我国经历了从借鉴国外技术到发展自主知识产权技术的发展过程，技术水平不断提高，各大安全厂商在提供种类安全产品种类的同时，也为其客户全面的信息安全技术解决方案。近几年，我国的政务信息化的程度越来越高，经历了由过去的以文字处理工具为典型的个人办公阶段，到实现了部门缴的数据处理、公文处理等自动化，以 C/S体系结构应用为特征的阶段，再到如今普遍使用基于Intemet/Extranet/Intranet技术标准，以B/S体系结构平台应用阶段。其功能从单一的提高个人工作效率到部门内部的协作，发展到部门之间、系统内部，乃至跨系统、跨行业服务于社会的方方面面。作为国家的关键基础设施，电子政务系统已成为关系国计民生的重要信息系统。其安全已经严重关系国家安全和社会稳定，关系广大人民群众切身利益。
由于电子政务系统所承载的信息资源，除了公开发布的政务信息还涉及大量国家机密，随着我国电子政务系统网络化和开放程度的进一步加深，一方面面临着严重的外部威胁，随着我国经济的持续发展和国际地位的不断提高，我国的基础信息网络和重要信息系统正成为敌对势力、敌对分子进行攻击、破坏和恐怖活动的重点目标。因此，建立起对电子政务系统的风险评估方法有着重大意义。
二、电子政务系统风险评估的关系模型及分析方法
电子政务系统风险评估是依据国家有关的政策法规及信息技术标准，对系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学、公正的综合评估的活动过程。风险评估要求对信息系统的脆弱性、信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响进行评估，并根据安全事件发生的可能性和负面影响的程度来识别信息系统的安全风险。
(一)电子政务系统风险评估的关系模型
风险评估的出发点是对与风险有关的各因素的确认和分析，各因素之间的关系可以用图1所示的模型来表示。图1中的箭头及标示信息对信息安全风险相关的各类因素之间的关系做出了说明，这些因素之间的主要关系对风险评估的实施方法是很重要的，概述如下：
从图中可以看出，威胁和薄弱点仍是导致系统安全风险增加的关键位置。资产拥有的价值越大，则它的安全风险也相对越大。风险控制的目的主要是减少安全风险。威胁因素产生和增加安全风险的过程是：利用系统中的薄弱点实施攻击(或其他破坏)，从而对资产的价值造成不利影响，导致产生和增加安全风险;薄弱点对风险的增加只能通过威胁对其利用的过程来完成。
由此可以看出，威胁和薄弱点增加风险的方式是不同的。对于信息系统内的资产来说，威胁是外部因素，而脆弱性则为系统自身所有，它们相当于矛盾的外因和内因。风险评估的过程就是将这些因素间的关系体现出来，考虑当风险在可以接受的情况下，即使系统面临威胁，也不需要采取安全措施;如果系统存在某些脆弱点，但还没有被威胁所利用，这时需要安全措施能够监控威胁环境，以防止利用该脆弱点的威胁的发生;被采取的安全措施保护资产、减少威胁发生所造成的影响，将残余风险降低到可接受的程度。研究表明，组织机构的信息系统的安全程度应该要满足组织机构现在的应用需求;如果显示组织机构的信息系统存在不可接受的风险，那么就应该对该信息系统的安全措施进行改进，以达到第三种情况的要求。
(二)电子政务系统的常用风险分析方法及其比较
目前，由于我国信息系统风险的安全评估才刚刚起步，因此我国现在所做的评估工作主要以定性评估为主，而定量分析尚处于研究阶段。在风险评估过程中，可以采用多种操作方法，包括基于知识的分析方法、基于模型的分析方法、定性分析和定量分析等等。无论采用何种方法，其共同的目标都是找出组织机构的信息系统面临的风险及其影响，以及目前该信息系统安全水平与组织机构安全需求之间的差距。
1.定量分析方法。定量分析方法的思想是，对构成风险的各个要素和潜在损失的水平赋以数值或货币的金额，当度量风险的所有要素(资产价值、威胁可能性、弱点利用程度、安全措施的效率和成本等)都被赋值，风险评估的整个过程和结果就可以量化。
从定量分析的过程中可以发现，最为关键的是对威胁事件发生的可能性和威胁事件可能引起的损失的量化。从理论上看，通过定量分析可以对安全风险进行准确的分级，能够获得很好的风险评估结果。但是，对安全风险进行准确分级的前提是保证可供参考的数据指标正确，而对于信息系统日益复杂多变的今天，这个前提是很难得到保证的。由于数据统计缺乏长期性，计算过程又极易出错，定量分析的细化非常困难，所以目前风险评估分析很少完全只用定量的分析方法进行分析。
2.定性分析方法。定性分析方法是目前采用最为广泛的一种方法，它需要凭借评估分析者的经验、知识和直觉，结合标准和惯例，为风险评估要素的大小或高低程度定性分级，带有很强的主观性。定性分析的操作方法可以多种多样，包括小组讨论(如Del Dhi方法)、检查列表、问卷、人员访谈、调查等。定性分析操作起来相对容易，但可能会因为评估分析者在经验和直觉上的偏差而使分析结果失准。
三、结语
电子政务是一个要求高可靠性、高安全性运作的复杂的服务性系统工程。要从系统建设周期全过程角度考虑物理层、网络层、系统层、应用层、管理层五个层次的弱点、威胁、风险、对策等安全问题。要合理使用多种信息安全策略，力争在有限的投入下最大限度地降低安全风险。加强技术安全与安全教育，只有信息安全技术与安全教育有机结合，政府信息资源才能被充分而合理地共享，并发挥其应有的作用。
