加强政府网站安全管理促进政府网站健康发展

加强政府网站安全管理促进政府网站健康发展 省政府经济研究信息中心（省电子政务中心）总工程师李建国 2012.05.11

政府网站安全现状 CNNIC发布：Anonymous目标摧毁“中国大防火墙” 时　　间：2012年4月12日主要内容：国际黑客组织“匿名”继上星期攻击了数百个中国政府、企业以及组织的网站之后，其成员9日表示，该组织计划对中国政府网站发动进一步攻击，试图“揭露腐败和促进人权”。据美国之音电台网站报道，“匿名”组织3月声称，在第一波的攻击中，有超过480个中国网站被黑，许多网站至今仍未恢复运作。英国广播公司网站报道称，黑客们在推特网上公布了他们的攻击行动，并说他们还计划进行更多攻击，目标是摧毁“中国的大防火墙”。这些黑客没有透露下次何时发动攻击，但是说他们可能攻击更大的目标。

政府网站安全现状 HNCERT监测情况： 2012年3月，我省2个省政府直属厅局网站IP地址感染恶意代码；5个党政机关网站遭黑客不同程度篡改，政府网站遭篡改数占省内网站篡改总数比率为20%，高于全国平均水平12.6%；26个政府网站遭后门攻击，遭后门攻击的政府类网站占全省遭后门攻击网站总数的28.3%。我省政府信息系统网络安全情况堪忧。

黑客攻击 • 显性：篡改主页、图片与链接 • 隐形：挂马、暗链、携带病毒 • 管理不严 • 网站链接、BBS论坛等互动栏目把关不严政府网站安全现状

政府网站安全现状 • 国办函〔2011〕40号：《关于进一步加强政府网站管理工作的通知》 • 湘政办函〔2011〕68号：《关于进一步加强政府网站管理工作的通知》今后一段时期全省政府网站管理的纲领性文件

十分严峻 刻不容缓保障政府网站安全：政府网站安全形势：

我省政府网站安全管理存在的问题 为加强对全省政府网站的管理和日常监控，2011年下半年，省政府门户网站搭建了政府网站安全监控平台，通过公网扫描设备，对包括62家省直部门、14个市州和125个县市区在内的201家政府网站进行了监测，发现了一些问题。

网站物理上很分散 我省政府网站安全管理存在的问题

我省政府网站安全管理存在的问题 • 部分网站未备案

我省政府网站安全管理存在的问题 • 网站后台五花八门

端口开放情况堪忧 我省政府网站安全管理存在的问题

我省政府网站安全管理存在的问题 接近50%的网站只开放了2个以内的端口，接近80%的网站开放了4个以内的端口，但仍有近20%的网站开放了5个以上的端口

我省政府网站安全管理存在的问题

存在严重漏洞 我省政府网站安全管理存在的问题

政府网站运行中出现的上述问题，说明我们对政府网站的管理不到位，安全意识薄弱，亟需提高认识，高度重视，从管理上堵塞各种漏洞，从技术上加强防范，确保政府网站健康发展。

对全省政府网站安全管理的几点要求 一些政府网站存在的种种问题，主要原因是建而不管或管不到位，网站管理中存在的问题长期得不到纠正。因此我们要进一步提高认识，把办好网站放在政府工作的重要位置。要按照谁主管谁负责、谁运行谁负责的原则，强化管理和责任，确保网站管理工作落实到人，做到不办则已，办则有人管、能管好。对于委托其他单位运行维护的政府网站，主管单位要加强检查指导，做好内容保障工作，确保网站管理不缺位。提高认识，加强对政府网站安全管理工作的领导

对全省政府网站安全管理的几点要求 • 加强整合，形成政府网站的安全合力一级政府一个门户网站，一个部门一个子站主机托管：部门将网站服务器托管到门户网站机房独立后台：使用自己的内容管理系统虚拟网站统一后台：使用门户网站统一的内容管理系统

对全省政府网站安全管理的几点要求 • 建立机制，保障政府网站信息安全政府网站代表的是“网上政府”的形象。网站的安全保障是政府网站的生命。落实信息安全管理责任制，是做好网站信息安全工作的关键；强化安全保密意识，建立完善的制度规范，是确保网站信息安全的重要基础；而采用必要的技术手段构建防护体系，是做好网站信息安全工作的保障。因此，建立严密可靠的安全保障机制十分重要。

对全省政府网站安全管理的几点要求 • 建立机制，保障政府网站信息安全 • 建立政府信息资源管理制度制定有关信息获取、存储、传播处理的相关制度 • 建立信息发布安全管理责任制信息发布审核制、部门负责制、读网制度、…… • 从技术上规范政府网站安全管理用户管理办法、应急处理办法、……

对全省政府网站安全管理的几点要求 • 加强监控，构建网站安全防范体系搭建安全监控平台，加强对政府网站的实时监控和管理 • 病毒防范、漏洞扫描、入侵检测、…… • 网站可访问性、错链、死链、错别字、敏感词句……

对全省政府网站安全管理的几点要求 • 加强检查，切实解决网站安全管理中存在的问题网站页面能否正常访问，各栏目及其子栏目内容是否及时更新；信息发布审核和保密审查机制是否健全；网站提供的各项服务和互动功能是否正常；网站链接是否经过管理单位审核把关，是否存在错链和断链；网站安全防范工作是否到位，是否采取了防攻击、防篡改、防病毒等安全防护措施，并制订了应急处置预案；网站管理单位和运行维护单位职责是否明确。对检查清理中发现的问题要及时整改，确保上网信息准确、真实，不发生失泄密问题，确保公众能够及时获取政府信息、获得便利的在线服务，确保链接正确有效、网站安全平稳运行。对确实无力管好的网站或栏目，要果断予以关闭。（摘自国办函〔2011〕40号）

对全省政府网站安全管理的几点要求 • 加强培训，提高政府网站管理能力各地区、各部门要通过举办培训班和开展交流研讨等多种方式，对政府网站工作人员进行经常化的管理和业务培训，不断提高办网、管网能力。（摘自国办函〔2011〕40号）

加强对全省政府网站的安全绩效考核 • 网站管理体制 • 网站管理机构，负责人；信息审核、技术维护、安全保障等人员的配置情况；各项管理制度的落实情况。 • 网站是否备案 • 通信管理部门备案（湘ICP备05000618）。 • 网站能否正常访问 • 网站响应时间。 • 网站内容 • 更新频率、内容的正确性。 • 安全措施 • 用户管理、账号管理、安全认证。

加强对全省政府网站的安全绩效考核 • 网站端口开放情况 • 是否开放多余端口。 • 网站存在漏洞情况 • SQL注入漏洞、跨站脚本漏洞、开放服务的漏洞、网站第三方应用漏洞等。 • 网站被黑情况 • 是否存在页面被修改、图片被修改、挂马、暗链、后门等现象。 • 人员培训情况 • 是否开展了有关网站维护与安全保障的培训。

全省上下同心协力 共同构筑我省政府网站安全的大防火墙国之责、民之益、人之和

加强政府网站安全管理 促进政府网站健康发展