论文部分内容阅读
引言：伴随着我国电子信息技术的飞速发展，税务系统也在不断大规模普及信息化建设，因此针对税务的信息安全就非常重要。本文针对威胁电子税务系统信息安全的各种因素，提出了一系列适当的措施和解决的办法。
我国的税务信息化从建设到普及已经逐渐地得到了人们的认可和应用。税务信息化在带给人们方便快捷的同时，它的安全问题也令人关注。随着计算机和网络的发展普及，重要信息变得非常容易被获取，网络攻击也变得越来越便利。电子税务系统作为一个典型的广域网系统，开放共享的特点使其面临着各种各样的威胁和攻击。因此建立一个电子税务信息安全管理体系，采取综合防范的措施，确保系统安全、可靠、畅通地运行是非常有必要的。
一、信息安全的概念
信息安全是指确保以电磁信号为主要形式的、在计算机网络化（开放互连）系统中进行自动通信、处理和利用的信息内容，在各个物理位置、逻辑区域、存储和传输介质中，处于动态和静态过程中的机密性、完整性、可用性、可审查性和抗抵赖性，与人、网络、环境有关的技术安全、结构安全和管理安全的总和。人指的是信息系统的主题，包括各类用户、支持人员，以及技术管理和行政管理人员。网络则指以计算机、网络互连设备、传输介质、信息内容及其操作系统、通信协议和应用程序所构成的物理的与逻辑的完整体系。环境则是系统稳定和可靠运行所需要的保障体系，包括建筑物、机房、动力保障与备份，以及应急与恢复体系。
二、电子税务系统面临的信息安全威胁
（一）物理安全隐患
各种突发灾害、运行环境或硬件本身及相关元器件的缺陷会对电子税务系统信息安全构成威胁。随着技术的进步，各种免费工具及代码的出现，网络设备的漏洞很容易被发现和利用，现在针对防火墙、交换机和路由器等网络连接设备的攻击越来越多。通信线路也会受到窃听、拨号进入，还有冒名顶替等的威胁，电磁辐射泄露也会导致信息失密。
（二）网络平台面临的安全威胁
电子税务系统通过网络平台连接外网后，一方面面临来自外网节点的越权访问、恶意攻击和病毒入侵，另一方面面临来自税务系统同级、上级和下级节点的越权访问、恶意攻击和病毒入侵。
（三）应用系统数据面临的威胁
数据库弱口令及默认用户名易被破解：操作系统的安全级别低，缺乏对关键业务主机操作系统用户权限的严格控制；数据库管理方式和管理流程编制不得当，不能实时监控数据库系统的运行情况；黑客利用已知漏洞攻击系统等。
（四）人为因素及管理的缺陷
来自电子税务系统内部用户的安全威胁同样是不容忽视的一部分。税务部门内部员工对本单位网络结构以及系统软件的应用比较熟悉，自己攻击或泄露重要信息，都会对系统的安全造成很大的威胁。此外，缺少信息安全管理的技术规范，缺少定期的安全测试与检查，更缺少安全监控，也是对系统安全的很大威胁。
三、电子税务系统信息安全的防护措施
（一）物理安全措施
作为电子税务系统的硬件基础，物理安全是信息安全的第一道防线。物理安全包括环境、设备及线路的安全，主要是指防盗、防火、防静电、防雷击以及防电磁泄漏。要根据接入网络设备的数量、功耗和负载等及时地对设备进行扩容扩充，并做好冗余备份工作。加强设备管理和维护工作，建立报警系统，以确保所有设备处于最佳运行状态。
（二）网络安全措施
网络层面安全防御的重点主要是阻断外部用户的恶意攻击和非法访问。可以探讨有关下述方面的安全策略来抵御不断发展的安全威胁。
1.合理布局网络结构。网络结构布局的合理与否，也会影响网络的安全性。对税务系统业务网、办公网、与外单位互联的接口网络之间必须按各自的应用范围、技术指标、安全保密程度等进行合理分布，统一整合外联网络，可以在内外网的边界建立隔离区（DMZ），以免局部安全性较低的网络系统造成的威胁，传播到整个网络系统。
2.访问控制。网络需要防范非法用户的非法访问和合法用户的非授权访问。非法用户的非法访问也就是黑客或间谍的攻击行为。访问控制是网络安全防范和保护的主要策略和重要手段。访问控制策略主要包括入网访问控制、网络的权限控制、目录级安全控制、属性安全控制、网络服务器安全控制、网络监测和锁定控制、网络端口和节点的安全控制以及防火墙控制。
3.病毒防护。配备从服务器到单机的整套防病毒软件，和一些防恶意程序软件并做到及时升级，防止病毒入侵主机并扩散到全网，实现全网的病毒安全防护，以确保整个电子税务系统的业务数据不受到病毒的破坏，日常工作不受病毒的侵扰。
4.主动防御。防火墙可以对所有的访问进行严格控制（允许、禁止、报警），但防火墙不可能完全防止有些新的攻击或那些不经过防火墙的其他攻击。所以，为确保网络更加安全，必须配备入侵检测系统，对透过防火墙的攻击进行检测，并做相应的反应（记录、报警、阻断）。
（三）数据安全
数据安全包括数据传输安全、数据存储安全以及数据的备份和恢复三个方面。数据传输安全是指在传输过程中保护数据信息的机密性和完整性，以防被他人截获、修改，具体可通过数据加密技术、数字签名及VPN等技术来实现。数据存储安全是指要保证存储在服务器或终端上的数据的安全，对于要求保密的重要数据，如纳税人的交易密码，需加密后再存储。数据备份和恢复可以确保存系统遭到攻击或因自然因素导致数据不可用时，利用备份的数据进行恢复。对重要数据信息可以采取上级税务机关代为备份和本级税务机关异地备份的双重备份方式，最大限度的保证数据信息的可恢复性。通过制订可靠的数据备份与恢复策略，保证税务业务系统提供服务的及时性、连续性。
（四）电子税务系统的信息安全管理
对于电子税务系统建立一套集中管理的机制和设备，即安全管理中心。它用来给各网络安全设备分发密钥，监控网络安全设备的运行状态，负责收集网络安全设备的审计信息等。
建立健全信息安全管理和防范制度，不断完善系统的操作规程，严格规范工作人员的操作行为和水平。
四、结束语
电子税务系统的信息安全是一项长期、系统的工程，不仅仅是通过技术手段来建立信息安全的多层防护策略，还要通过建立健全信息安全管理机制、提高工作人员的安全意识，才能确保电子税务系统的安全、稳定、高效运行。
参考文献
[1]方美琪.电子商务概论[M].北京：清华大学出版社，2000.
[2]谭荣华，徐夫田，谢波峰.我国税务信息化建设的七大重点[J].涉外税务，2002，10：26-30.
[3]杨茂云.信息与网络安全使用教程[M].电子工业出版社，2007.
（作者单位：河南省沈丘县洪山镇计生办）
我国的税务信息化从建设到普及已经逐渐地得到了人们的认可和应用。税务信息化在带给人们方便快捷的同时，它的安全问题也令人关注。随着计算机和网络的发展普及，重要信息变得非常容易被获取，网络攻击也变得越来越便利。电子税务系统作为一个典型的广域网系统，开放共享的特点使其面临着各种各样的威胁和攻击。因此建立一个电子税务信息安全管理体系，采取综合防范的措施，确保系统安全、可靠、畅通地运行是非常有必要的。
一、信息安全的概念
信息安全是指确保以电磁信号为主要形式的、在计算机网络化（开放互连）系统中进行自动通信、处理和利用的信息内容，在各个物理位置、逻辑区域、存储和传输介质中，处于动态和静态过程中的机密性、完整性、可用性、可审查性和抗抵赖性，与人、网络、环境有关的技术安全、结构安全和管理安全的总和。人指的是信息系统的主题，包括各类用户、支持人员，以及技术管理和行政管理人员。网络则指以计算机、网络互连设备、传输介质、信息内容及其操作系统、通信协议和应用程序所构成的物理的与逻辑的完整体系。环境则是系统稳定和可靠运行所需要的保障体系，包括建筑物、机房、动力保障与备份，以及应急与恢复体系。
二、电子税务系统面临的信息安全威胁
（一）物理安全隐患
各种突发灾害、运行环境或硬件本身及相关元器件的缺陷会对电子税务系统信息安全构成威胁。随着技术的进步，各种免费工具及代码的出现，网络设备的漏洞很容易被发现和利用，现在针对防火墙、交换机和路由器等网络连接设备的攻击越来越多。通信线路也会受到窃听、拨号进入，还有冒名顶替等的威胁，电磁辐射泄露也会导致信息失密。
（二）网络平台面临的安全威胁
电子税务系统通过网络平台连接外网后，一方面面临来自外网节点的越权访问、恶意攻击和病毒入侵，另一方面面临来自税务系统同级、上级和下级节点的越权访问、恶意攻击和病毒入侵。
（三）应用系统数据面临的威胁
数据库弱口令及默认用户名易被破解：操作系统的安全级别低，缺乏对关键业务主机操作系统用户权限的严格控制；数据库管理方式和管理流程编制不得当，不能实时监控数据库系统的运行情况；黑客利用已知漏洞攻击系统等。
（四）人为因素及管理的缺陷
来自电子税务系统内部用户的安全威胁同样是不容忽视的一部分。税务部门内部员工对本单位网络结构以及系统软件的应用比较熟悉，自己攻击或泄露重要信息，都会对系统的安全造成很大的威胁。此外，缺少信息安全管理的技术规范，缺少定期的安全测试与检查，更缺少安全监控，也是对系统安全的很大威胁。
三、电子税务系统信息安全的防护措施
（一）物理安全措施
作为电子税务系统的硬件基础，物理安全是信息安全的第一道防线。物理安全包括环境、设备及线路的安全，主要是指防盗、防火、防静电、防雷击以及防电磁泄漏。要根据接入网络设备的数量、功耗和负载等及时地对设备进行扩容扩充，并做好冗余备份工作。加强设备管理和维护工作，建立报警系统，以确保所有设备处于最佳运行状态。
（二）网络安全措施
网络层面安全防御的重点主要是阻断外部用户的恶意攻击和非法访问。可以探讨有关下述方面的安全策略来抵御不断发展的安全威胁。
1.合理布局网络结构。网络结构布局的合理与否，也会影响网络的安全性。对税务系统业务网、办公网、与外单位互联的接口网络之间必须按各自的应用范围、技术指标、安全保密程度等进行合理分布，统一整合外联网络，可以在内外网的边界建立隔离区（DMZ），以免局部安全性较低的网络系统造成的威胁，传播到整个网络系统。
2.访问控制。网络需要防范非法用户的非法访问和合法用户的非授权访问。非法用户的非法访问也就是黑客或间谍的攻击行为。访问控制是网络安全防范和保护的主要策略和重要手段。访问控制策略主要包括入网访问控制、网络的权限控制、目录级安全控制、属性安全控制、网络服务器安全控制、网络监测和锁定控制、网络端口和节点的安全控制以及防火墙控制。
3.病毒防护。配备从服务器到单机的整套防病毒软件，和一些防恶意程序软件并做到及时升级，防止病毒入侵主机并扩散到全网，实现全网的病毒安全防护，以确保整个电子税务系统的业务数据不受到病毒的破坏，日常工作不受病毒的侵扰。
4.主动防御。防火墙可以对所有的访问进行严格控制（允许、禁止、报警），但防火墙不可能完全防止有些新的攻击或那些不经过防火墙的其他攻击。所以，为确保网络更加安全，必须配备入侵检测系统，对透过防火墙的攻击进行检测，并做相应的反应（记录、报警、阻断）。
（三）数据安全
数据安全包括数据传输安全、数据存储安全以及数据的备份和恢复三个方面。数据传输安全是指在传输过程中保护数据信息的机密性和完整性，以防被他人截获、修改，具体可通过数据加密技术、数字签名及VPN等技术来实现。数据存储安全是指要保证存储在服务器或终端上的数据的安全，对于要求保密的重要数据，如纳税人的交易密码，需加密后再存储。数据备份和恢复可以确保存系统遭到攻击或因自然因素导致数据不可用时，利用备份的数据进行恢复。对重要数据信息可以采取上级税务机关代为备份和本级税务机关异地备份的双重备份方式，最大限度的保证数据信息的可恢复性。通过制订可靠的数据备份与恢复策略，保证税务业务系统提供服务的及时性、连续性。
（四）电子税务系统的信息安全管理
对于电子税务系统建立一套集中管理的机制和设备，即安全管理中心。它用来给各网络安全设备分发密钥，监控网络安全设备的运行状态，负责收集网络安全设备的审计信息等。
建立健全信息安全管理和防范制度，不断完善系统的操作规程，严格规范工作人员的操作行为和水平。
四、结束语
电子税务系统的信息安全是一项长期、系统的工程，不仅仅是通过技术手段来建立信息安全的多层防护策略，还要通过建立健全信息安全管理机制、提高工作人员的安全意识，才能确保电子税务系统的安全、稳定、高效运行。
参考文献
[1]方美琪.电子商务概论[M].北京：清华大学出版社，2000.
[2]谭荣华，徐夫田，谢波峰.我国税务信息化建设的七大重点[J].涉外税务，2002，10：26-30.
[3]杨茂云.信息与网络安全使用教程[M].电子工业出版社，2007.
（作者单位：河南省沈丘县洪山镇计生办）