寿光财政信息系统安全建设的思考
来源:用户上传
作者:
[摘 要]随着财政业务信息系统的建设和运行，财政信息化进程逐步深入开展，信息安全成为财政信息系统建设面临的重要问题。文章通过对寿光财政信息系统建设的分析，指出其中安全建设存在的问题，并提出相关建议和解决措施。
[关键词]财政;信息系统安全;寿光
[DOI]10.13939/j.cnki.zgsc.2019.07.052
近年来，随着“金财工程”的不断推進，财政信息化进程逐步深入，越来越多的财政业务信息系统投入运行，如何加强财政业务信息系统的建设和管理，提高信息系统的高效和可靠运行，确保网络与信息系统安全，成为财政信息系统安全建设的一项重要任务。
1 寿光财政信息系统应用现状
（1）网络情况。寿光财政信息网络分别部署互联网（俗称外网）、财政内部专网（俗称内网），并对内网和外网实行物理隔离，其中内网纵向连接部、省、市级财政及乡镇财政，横向连接各预算单位、商业银行等相关职能部门。现连接到寿光财政内网的单位达175个，计算机终端278台，均实行实名注册认证管理。
（2）业务系统部署情况。寿光财政目前运行了财政一体化平台（市本级）、财政一体化平台（镇街级）、四方志诚账务系统（市本级）、四方志诚账务系统（镇街级）、非税收入系统、国有资产管理系统、财政CA身份认证系统、基础设施建设资金管理系统、政府投资建设项目管理信息系统、部门预算系统、部门预算基础信息系统、寿光市财政局内部网站、FTP网络存储系统、OA办公自动化系统、通软安全桌面系统、电子监察等16套业务系统。
（3）硬件设备配备情况。寿光市财政局现有科室15个，计算机使用人员119名，实际配备计算机160台、打印机100台，开通网络接口160个（外网接口100个、内网接口60个）。
2 存在的问题和面临的风险
（1）信息安全设备投入不足。在财政业务系统建设过程中，只重视基础设备的标准和配置，忽视网络安全建设在信息系统中的重要性，安全设备的投入不足。在系统建设中，只看到了信息化建设带来的便利和快捷，忽视了信息化建设的信息安全问题，未对信息安全采取适当的防范措施，致使信息化发展存在安全隐患。
（2）专业人员配备不足和安全管理制度更新不够。信息系统安全管理人员配置相对较为紧缺，尤其是关键岗位未配备多人共同管理;在安全管理制度方面，不能根据系统实际运行状况和变化及时进行制度更新。
（3）软件使用规范性不强。在操作系统、办公软件和防病毒软件应用中缺乏网络安全意识，安装使用不规范的现象比较普遍。同时，使用人员不能及时为杀毒软件升级和为操作系统下载补丁，从而存在一定的网络安全隐患。
（4）信息安全防范意识不强，安全保密意识差。干部职工对当前信息安全形势的严峻性缺乏足够认识，全员防范、主动防范意识较为薄弱，执行安全制度还存在不到位的现象。许多财政干部职工对网络安全知识非常欠缺，例如有些人认为内网比较安全，不存在病毒攻击，为了提高电脑运行速度，将杀毒软件卸载，这样将最基本的网络安全措施都取消了。部分人员没有做到专网专机专用，存在违规使用U盘和内外网违规切换使用的问题;有的系统操作人员不及时更改密码，极易造成数据丢失等安全隐患。
（5）存在违规接入和非法外联风险。一些单位与个人没有经过财政授权直接将计算机接入财政内网，虽然非法接入不是暴力入侵，但会给财政内网带来极大的威胁，尤其是有可能带有病毒的计算机与移动设备的非法接入，很可能会造成在内网传播病毒、移植木马等严重后果。同时，财政内网本身是与外网物理隔离的网络，不允许连接互联网，但个别单位用户为了上网办公方便，使用一些手段（如人工切换）建立互联网非法连接，从而绕开内网的连接限制，给财政内网系统安全带来巨大的隐患，会导致病毒入侵、泄密甚至网络瘫痪的后果。
3 安全风险控制对策与措施
系统安全问题一直是一个先发现问题，再补救问题的过程。建成一个绝对安全的网络是不可能的，但我们要保证及时发现问题，第一时间解决问题。根据财政部对财政信息系统安全建设和财政业务专网网络安全接入提出的“可控性、可管理型、可用性、安全性、规范性”相关原则要求，针对我市财政信息系统的现状和存在的信息安全方面的问题，我们提出如下对策和措施，严格执行财政业务网络与其他网络的隔离限制，严格移动终端接入管理，加强客户端防护、入网身份鉴别、数据传输等安全问题管理，以全面提升我市财政信息系统的整体安全保障水平。
（1）加强信息安全投入，提高安全防御能力。第一，加大信息安全资金投入。增加综合日志审计、防病毒网关、入侵防御、运维审计等信息安全设备投入，防止网络的恶意攻击，尽量使用安全级别高的技术或设备用于网络接入，增加硬件UKEY验证机制。在设备中做好安全验证及网络传输加密设置，至少保证将用户与计算机硬件互相绑定，从而缩小操作人员的操作环境，提高安全系数。第二，强化技术支持。严格控制接入用户的网络接入方式，禁止内网用户连接其他网络，禁止使用无线网络产品。并在系统设置中记录用户的登录时间及基本操作内容，做到出现安全问题时有据可依。第三，加强网络与信息安全人员的培养和激励。加强财政信息系统的日常技术和安全知识培训，提高对计算机病毒及恶意程序的防范意识，提高网络安全保密意识。加强财政信息系统管理人员和使用人员的业务培训，使财政工作人员掌握常见的网络信息安全知识和防范技能，提高信息安全问题的处置能力，提升信息专业技术能力。
（2）建立健全信息系统安全管理制度。第一，切实做好信息设备和信息系统安全制度管理更新工作，维护财政信息设备和系统环境安全、稳定、健康，根据信息安全法律、法规的有关规定，结合寿光财政工作实际，及时建立健全寿光财政信息设备和信息系统安全管理制度，通过对原有安全管理制度及时进行修订和新增，使安全意识贯穿于日常财政系统业务操作中，提升财政信息系统的防范能力，保障财政业务系统的安全、稳定运行。第二，建立健全财政信息系统内部控制制度。根据内控有关管理规定，从信息系统建设管理、信息系统流程控制管理、数据管理与应用、信息系统安全管理等四个方面建立健全内部控制管理制度，提升信息安全意识，确保安全防护技术或管理措施到位，提升财政信息系统自身抵御外部攻击能力，确保财政资金安全有效运行。 （3）完善和健全计算机软件管理制度。第一，在新购、更新计算机等硬件设备时，全面预装正版操作系统软件、办公软件和杀毒软件。第二，要切实增强知识产权意识，按照谁使用、谁负责的原则对使用的软件资产进行登记管理，不随意下載、安装、更换软件，保证已使用的正版软件得到有效维护。第三，健全资产管理制度。制订软件资产管理制度，健全计算机软件配套购买和使用登记制度，将软件作为资产纳入财政资产管理体系，强化软件的购买、安装、更换、使用、报废等管理工作。
（4）实施财政客户端安全监控管理系统应用工作。对与财政专网相连的预算单位、人民银行及代理银行终端全部启用财政客户端安全监控管理系统进行管理，实施“3+1”管理策略。“3”是指准入管理、补丁修复、非法外联策略，“1”是指终端PC实名制。实现所有预算单位，银行等使用财政专网计算机专网专机使用，保证了财政专网的安全性。
（5）加强安全宣传和培训，强化财政信息和网络监管力度，建立财政信息安全管理责任制。第一，突出安全宣传和培训，强化专网监管力度。信息系统安全防护全部靠技术手段是做不到的，更重要的是加强日常的安全宣传和培训，增强使用人员信息安全的防范意识和责任意识。第二，加强日常维护，建立定期巡查制度，及时了解和掌握信息系统运行状况，及时排除出现的不安全因素和故障，变“事后处理”为“事前预防”。加强日常检测检查、管理维护，及时了解信息系统正常运行情况，建立网络安全巡查检查记录，定期进行设备维护，及时了解和掌握设备运行中存在的问题，做到巡查有记录、检查有目标、查后有改进，从源头上构建一张严密的“信息安全网”。第三，建立健全网络与信息安全防范工作责任制，财政内网电脑全部实行IP地址与网卡MAC地址绑定，确定每个使用人员是相关直接责任人，明确信息安全责任，保证网络信息安全管理工作的正常开展。
长期以来，我国对重要网络和信息系统安全保护重视不够，没有在法律中做出明确规定，导致单位在信息安全方面的责任存在缺位，许多针对性工作由于缺乏依据无法顺利开展。随着《中华人民共和国网络安全法》的正式实施，明确将重要网络和信息系统等关键信息基础设施纳入国家重点保护范围，对其运行安全进行详细规定。这是我国首次在法律高度提出关键信息基础设施概念，并对关键信息基础设施保护提出具体要求，是我国在关键信息基础设施保护方面取得的重大措施，将国家关键信息基础设施网络安全提升到一个新的局面，也对寿光财政信息系统安全提出了新的要求。
4 结 语
总之，在这个信息化的时代，信息化建设是财政信息系统发展和生存的重要途径。但就目前而言，我们只看到了信息化建设的优势，没有意识到信息系统安全问题的重要性，信息系统还处在一个长期不设防的状态当中，这一情况直接影响了财政信息系统的安全性。因此，提高财政信息系统的安全性，重视信息系统的安全问题，树立正确的信息安全意识，并采取有效的防范措施、不断完善财政信息系统管理体系，在财政信息化建设过程中，对可能会影响信息系统安全的因素进行全面考虑，以确保财政信息系统建设和运行的安全成为当务之急。
参考文献：
[1]沈进棋. 关于基层财税部门网络与信息安全的调查和研究[J].科技资讯，2014（4）.
[2]刘昆. 深化认识 创新思路 努力开创全国财政信息化工作新局面[J]. 中国财政，2016（15）.
转载注明来源:https://www.xzbu.com/2/view-14757400.htm
