浅论公安信息安全保障体系建设一、 现状和问题(一) 公安信息安全现状及存在的一些问题公安信息安全是公安信息化进程中不可或缺的重要内容。党中央、国务院高度重视公安工作信息化建设，把信息化作为推动我国公安工作发展的重大战略举措，随着我国电子政务和社会信息化的发展，网络与信息系统的基础性、全局性作用日益增强，公安信息安全已成为国家安全、社会安全、经济安全的重要组成部分。信息化的不断深入，应用水平的不断提高，对信息安全的要求也越来越高，需要确保关键和重要信息系统长期稳定运行，防止信息系统泄密，避免信息安全事故对政治、经济和社会生活的严重影响。目前我国公安信息安全工作面临着严峻的威胁和挑战，如何进一步提高公安信息安全保障能力和水平，维护国家安全和公众利益，是摆在我们面前的迫切任务。建立公安信息安全保障体系对于我国公安整体工作建设和发展具有战略意义，是推进我国公安工作信息化的重要任务。健全了电子政务外网平台的信息安全防范体系，部署了反垃圾邮件系统、网络防病毒软件、主页防篡改软件、漏洞扫描系统、入侵检测系统，升级配置了高性能防火墙，已初步建立起信息安全的应急处理机制。在电子政务内网平台上建立了全网安全防御体系，按照涉密网要求建立交换平台并实施了局域网接入，加强了平台的防病毒和入侵检测能力，在各接入单位使用了防火墙、入侵检测设备和认证交换机等安全措施，建立了局域网的安全处理联动机制。初步建立了卫星、无线、有线安全监控系统和人防技防相结合的防范体系。与信息化水平和发展速度相比，目前我国在公安信息安全方面的建设工作还较为滞后，信息安全建设工作中主要存在以下问题:第一，信息安全意识仍然不足。不少公安机关信息安全的重要性有所认识，但侥幸心理比较普遍，信息安全工作还处于被动的状态，没有普遍形成“主动采取措施、积极应对”的意识。第二，安全防护能力不足。部分公安机关的信息安全设施部署不足，管理制度和运行体制不够完善，信息安全应急处置准备不足，缺乏相应的对策和体系，信息系统整体防护能力低。第三，信息安全基础设施建设与应用不足，作用有限。第四，信息安全相关标准、法规和规范不够完善。各单位的信息安全建设基本还处于“各自为政”的状态，缺乏统一的标准和规范指导，信息安全建设的质量无法得到有效保证，容易出现过度保护和保护不足的情况。标准的不一致还会导致局部的防护弱点，成为潜在安全事件的“隐患”，并影响到重大信息安全事件的及时协调处理。第五，信息安全人才培养还远远不能满足需要。目前我国公安机关的信息安全人才相对信息安全需求而言，无论在数量上还是在质量上都显不足。第六，信息安全产业发展不足。我国的信息安全产业相对弱小，发展不均衡，水平较低，无法为公安信息安全保障体系的建设提供足够的产业支持和保障。(二) 面临的挑战1.公安工作的信息化发展要求更高的信息安全保障能力随着信息化的发展，公安工作对信息化的依赖程度不断加深，公安工作所面临的各种信息安全威胁也在不断增加。由于公安工作信息化基础网络覆盖范围大，网络上运行的各种信息化应用系统众多，因而面临着比国内其它一些单位机关更为严峻的信息安全威胁，一旦发生大规模、突发性的信息安全事件，其影响将是全局性和破坏性的。在这种情况下，必须全面提高信息安全保障能力，才能与信息化的总体目标相适应。满足对信息安全越来越高的要求已成为信息安全体系建设首先面临的挑战。2.信息安全防御难度日益加大务攻击等安全威胁，例如无线接入使得窃听和非授权访问变得更为容易，这些新问题都需要我们使用新的安全手段来解决。随着信息化应用日益广泛，信息系统中存储的大量有价值的信息和数据已经成为各种网络犯罪组织和恶意势力的攻击目标。网络攻击行为日趋复杂，更为频繁;各种攻击方法相互融合，攻击手段更为隐蔽，破坏性更强;黑客攻击行为组织性更强;攻击目标从单纯的追求“荣耀感”向获取多方面实际利益转变。随着各种网络应用的普及和复杂化，网络和应用系统中存在的安全漏洞数量也大量增加，漏洞公布到利用相应漏洞的攻击工具出现的时间缩短，使得开发相关补丁、安装补丁以及采取防范措施的时间压力大大增加。应对新技术条件下的信息安全问题，也是公安工作面临的信息安全挑战之一。3.全局性和群体性信息安全事件发生的可能性在不断增加信息和网络技术的进步使得所有的信息系统已经不再是孤立的系统，一个信息系统的安全事件完全可能影响其他系统，而以冲击波、红色代码等攻击方式为代表的攻击手段层出不穷，使得全局性和群体性信息安全事件发生的可能性越来越大，要完全防止这类事件的难度也越来越大。全局性和群体性安全事件的后果是其影响范围会非常大，甚至会直接威胁一个区域、一个国家甚至全球信息系统的运行。因此，如何应对这些全局性和群体性信息安全事件将是我市信息安全面临的主要挑战之一。综上所述，信息安全现状对今后信息安全体系建设提出了更高要求，局部的安全防护已经很难解决我市的整体性信息安全问题，迫切需要从全市的角度，对我市信息安全保障体系进行总体规划，整合和协调各方资源，齐建共管，建成覆盖全国的信息安全保障体系。二、发展与建设(一) 发展原则1.统筹规划，联动协调。从公安信息安全保障的总体高度出发，系统规划和建设公安信息安全保障体系， 同时明确各公安机关的安全责任，加强沟通和协调，建立联动协调的安全防范和响应机制，实现联防共治。2.分级保护，突出重点。落实信息安全等级保护国策，大力推进信息安全等级保护建设;根据信息系统应用业务重要程度及实际安全需求，实行分级、分类、分阶段保护;加强对重要信息系统的监管，保障信息安全和系统安全正常运行，维护国家利益、公共利益和社会稳定。3.广泛参与，齐管共建。信息安全是一项社会工程，要通过各种手段宣传和普及信息安全意识和常识，广泛组织和动员群众，全社会共同参与信息安全保障体系建设工作。(二) 发展目标和主要任务本规划的总体目标是:形成与广州“十一五”信息化发展规划相配套、与“国际信息港”发展目标相适应的信息安全保障体系，保障我国公安通信网络的信息安全，确保各类信息安全保障机制与措施健全和完善，公安民警的信息安全意识和基本防范能力进一步提高，信息安全产业取得长足进步，为公安工作信息化发展提供有效信息安全保障。 为实现公安信息安全保障体系建设的总体目标，公安信息安全建设的主要任务有:建立信息安全基础防御体系;保障通信网络的安全;实施信息安全等级保护。1、建立广州市信息安全基础防御体系信息安全基础设施投资规模大，技术要求高，为达到资源共享、有效投资、服务社会的目的，我国规划建立和完善包括网络信任体系、网络监控和应急响应体系、信息安全测评体系、信息安全灾难恢复体系在内的信息安全基础防御体系，并通过建设一批信息安全基础设施，为公安工作提供各类信息安全基础服务。2、保障公安通信网络的安全电信基础网络、移动通信网络、广电网络、公共互联网等公共通信网络是信息化的基础，确保其安全对于信息系统的正常运行具有重要意义。按照中办 27 号文“谁主管、谁负责”的原则，由相应的运营商负责公共通信网络的安全保障，公安、通信、广播电视管理等相关部门加以管理和提供指导，各方协调一致，共同保障公共通信网络的安全。加强信息安全设施建设，通过基础网络的安全防范措施，保障终端用户和接入单位的信息安全。通信和安全主管部门要加强对各运营商运营基础网络安全状况的监督和检查，发现问题要及时整改，并对整改情况进行检查。要重视新技术引入对原有公共通信网络的影响，特别是要加强无线网络的安全防护。在引入各类新技术或新产品之前，必须要对该种技术或产品对现有公共通信网络安全性造成的影响加以评估，采取相应措施保证公共通信网络的整体安全性。要切实加强对互联网信息内容的监管，对垃圾邮件、欺诈、个人隐私、淫秽网站等有害信息和不良信息及时清理整治，尤其要加强意识形态方面的内容审查，保障互联网信息内容的安全。要加大对网上违法犯罪行为的打击力度，在完善网络犯罪相关法规的同时，加强执法队伍建设，提高执法队伍的技术素质，对网络违法犯罪行为的审计、追踪和举证进行研究，依法对互联网上的各种违法犯罪信息的进行收集和分析，打击利用网络和信息技术的违法犯罪活动。4、实施信息安全等级保护信息安全等级保护制度是我国开展信息安全保障工作的一项基本制度，国家已把信息安全等级保护作为未来五年信息安全保障的工作重点，正在抓紧制定相关的标准、规范和指南，以进一步推进和落实信息安全保护制度。根据国家颁布的关于信息安全等级保护工作的实施意见，规定了信息和信息系统的安全保护等级共分五级:即自主保护级、指导保护级、监督保护级、强制保护级、专控保护级。公安机关将按照国家信息安全等级保护方面的相关要求，切实做好安全等级保护工作。按照“谁主管谁负责，谁运营谁负责，谁使用谁负责，谁提供安全服务谁负责”的原则，建立和完善信息安全保护体系。要根据各类信息系统的不同安全需求，兼顾网络与信息系统的重要性以及涉密要求，严格按照国家、省、市有关的法律法规、技术标准及相关文件，合理确定其网络与信息系统的安全保护等级。在计算环境层面上，要配置相应安全级别的操作系统和数据库管理系统，其中三级以上(包括三级)的局域计算环境应设立安全管理分中心，并采用指纹等生物认证或是数字证书作为系统的登陆认证方式。在边界保护层面上，要按信息系统安全级别，配置防火墙和防病毒网关等边界防护设备;其中三级以上(包括三级)的信息系统应部署入侵检测设备，采用强制的访问控制措施。在网络基础设施层面上，应当选择具有相应安全保护功能的公用网络基础设施设备组建基础网络，其中三级以下(包括三级)可以使用互联网在内的公共服务网络作为信息系统的基础网络，四级和五级必须使用专用网络;三级以上(包括三级)的基础网络要设置集中的安全管理中心，安全管理中心应与各个安全管理分中心协同工作，完成计算机信息系统的安全管理。在安全管理上，要按照计算机信息系统安全子系统的开发阶段和运行阶段的不同情况，从工程实施管理、系统运行管理、密码管理、应急处理管理、风险分析管理五个方面实施等级保护安全管理，保障对信息系统的管理可控性。按照等级保护的管理规范和技术标准，定期对已经完成安全等级保护建设的信息系统进行检查评估，发现问题及时整改，同时要加强和完善自身信息安全等级保护制度的建设，加强自我保护三、保障措施为保证“十一五”期间公安信息安全保障体系的顺利实施，提出以下四个方面的保障措施。(一) 组织和制度保障加强信息安全方面的组织和管理，完善信息安全的组织机构，确保信息安全工作正常开展。公安工作信息化工作领导小组是信息安全工作的最高决策机构。以公安信息化办公室作为信息安全工作的主要协调人，向上对信息化工作领导小组负责，向下总管和协调各职能部门和单位的信息安全工作，条块结合，以块为主，健全信息安全领导负责制和信息安全通报制度。完善信息安全管理责任制，按照“谁主管谁负责、谁运营谁负责”的原则落实具体责任，将信息安全职责分工落实到人。根据信息安全等级保护要求，制定信息安全方面的各项规章制度。贯彻信息系统管理员持证上岗制度，保证信息安全队伍的技术专业化水平。完善信息安全事故报告制度，不得隐瞒，及时上报。形成信息安全的验收和考核机制，并与部门信息化工作业绩考核挂钩，对重大信息安全事件要内部通报处理结果，从制度上推动信息安全工作的落实。(二) 资金与人才保障拓宽投融资渠道，吸引社会资金参与信息安全建设，加大对公安信息安全工作的资金投入力度，在财政预算中安排信息安全建设和安全运维资金，并确保资金到位及专款专用。针对具体项目，必须要按照信息安全等级保护的要求，对预算进行审核，保证一定比例的安全投资。努力加强信息安全专业人才培养，积极进行信息安全人才储备。联合各专业院校和科研机构，加强信息安全专门人才的培养，鼓励信息安全学术机构与外省、国内乃至国际的其他信息安全学术机构进行学术交流和联合培养，制定信息安全人才吸引策略，建立信息安全专家信息库，提高我市信息安全专业人才培养的数量和质量。(三) 宣传与培训信息安全建设是一项社会工程，需要全社会的支持和参与。个人安全意识和基本知识的薄弱，不仅会使自身遭受损失，而且很