政府门户网站安全政策标准研究及建议

李媛

摘 要：论文分析了我国政府门户网站的分类情况和服务形态变化趋势，同时结合近年来政务互联网安全态势分析结果，總结出当前政府网站面临的主要安全风险。在对国家政府网站安全政策规定深入研究的基础上，详细解读了《政府门户网站系统安全技术指南》的定位和主要内容，并结合政府网站安全工作现状和标准应用情况，从确立“三同步”的指导思想、完善监管评价机制、研究检查评估方法和加强人才队伍建设等方面，提出增强政府网站安全管理工作实效的建议思考。

关键词：政府网站；门户；安全；标准

中图分类号：TP393.0 文献标识码：A

1 引言

政府机关门户网站既是单位的门面又是审视自身工作的一面镜子。政府门户网站的安全状况直接关乎单位的荣誉、影响力、绩效评比以及公众的信任程度等，因此如何做好政府部门的网站安全成为每一位政务信息化从业人事不可回避的命题之一。

2 政府网站呈现出新时代特点

有关政府门户网站的定义，在GB/T 31506-2015《政府门户网站系统安全技术指南》[1]国家标准中给出定义：政府机构利用互联网发布政务信息、提供在线服务、开展互动交流等而建立的网站。

正如标准中所言，当今政府门户网站的形态呈现多样化特点，包括以政策发布、新闻浏览为主的宣传类网站，如中国新闻网等；以支撑政府决策为目标，通过互联网应用形式展示，为百姓生活提供便利的服务类政府网站，如北京小客车指标调控管理系统、12306网站等；除新闻浏览外，还辅以提供政务公开、政民互动等信息化服务的综合性网站，如首都之窗网、各省政府或行业主管部门的门户网站等。

在云计算、大数据技术的发展下，各省、市政府网站逐步在原有综合类网站的基础上，依托政企数据的汇聚，建设政务数据共享和交换应用平台，通过开放政府数据为企业、公众提供更加便捷和多样的政务服务和应用，解决百姓办事难、办事慢的实际困难，如浙江省政务服务网等。

随着“互联网+政务”的广泛应用，越来越多的政务系统开始尝试利用移动客户端提供在线服务，这也是政府门户网站的一种新应用的实现形式。

由此可见，政府门户网站呈现出形式多样化、应用复杂化的新时代特点，其提供的功能与一般意义上的业务信息系统之间的区别越来越小，界限越来越模糊。因此，《政府门户网站系统安全技术指南》中对政府网站的解释包括党政部门、政府机关的宣传门户，以及通过网站形态对外提供服务的应用系统。

3 政府网站面临的安全风险

国家互联网应急中心发布的《2017年中国互联网网络安全报告》[2]对2013年至2017年间我国境内互联网安全状况进行统计，结果显示2017年全年通报涉及政府机构、关键信息基础设施以及行业安全漏洞事件共26892起，同比上升10.9%。2017年我国境内约2万个网站被篡改，较2016年增长20.0%，其中被篡改的政府网站较2016年增长 32.3%。

根据长期对我国政府网站安全事件的跟踪发现，黑客对于政府网站的攻击常常集中在我国重要政治活动期间，如G20峰会等，而政府网站遭受攻击的影响则集中反应在几个方面。

（1）网站性能下降或中断，导致重要时刻不能正常对外提供服务，带来严重的社会影响和政治舆论。

（2）网站内容遭到篡改，黑客在页面上散播反动言论或有目的性的曝光敏感事件等。

（3）随着网站对外提供服务形式多样化，内容范围逐渐丰富，网站势必会沉淀大量政府、企业和百姓的敏感信息、隐私信息等，近期接连曝光的个人信息泄露事件就是最好的例证。

4 我国政府网站政策标准分析

经由搜索引擎检索，截至2018年9月我国针对政府网站的政策规定和国家标准主要有八点，如表1所示。

网站安全保障的思想都不同程度地体现在这些政策的内容中主要包括几个方面。

（1）目标：提升政府网站安全防护水平是政府部门信息化建设的驱动力。

（2）任务：建设全方位、整体化的网站安全防护体系，实现对网站系统的技术保障和管理规范。

（3）内容：从域名、内容、人员、设备、应急监测等方面进行规划部署，保障网站安全建设工作有效开展。

国家和地方政府的法规制度从顶层设计上对于网站安全的整体规划和布局给出了指导和建议。但具体到一个单位的信息化建设工作，还需要具体的、有针对性的、可操作的、有落实性的标准、指南或规范来具体指导网站系统的安全设计、建设和运营保障工作。

GB/T 22239-2008《信息系统安全等级保护基本要求》标准是针对信息系统的一个通用类的安全基线标准，它以分级分域分层的方式给出了一个信息系统应该满足的基本安全要求。本文要重点阐述的GB/T 31506-2015《政府门户网站系统安全技术指南》是2016年中国国家标准化管理委员会发布的政府网站领域第一个技术类的专用标准。总结该标准有三个特点。

（1）重点从网站面临的典型安全威胁出发，突出了相关防护技术，如网页篡改、服务中断、网页挂马、信息窃取等。

（2）从网站的行政级别、访问量、注册用户数以及业务重要度出发，根据安全防护需求的不同，将网站分为基本和增强两个级别，分别给出相应的技术控制措施。

（3）从物理环境、网络通信、系统、终端、数据及应用等十一个方面，全方位提出安全保护要求，并强调对系统建设方、开发方及运维方的具体指导作用。

5《政府门户网站系统安全技术指南》主要内容解读

《政府门户网站系统安全技术指南》的目标对象是政府网站以及对外提供服务的信息系统，以满足政务业务多样化的形势需求。标准约束范畴不局限于政府网站的建设模式，既适用于通过自建机房、购买设备和开发应用程序方式来建设的网站系统，同时兼容采用虚拟化或云计算模式部署的网站应用。标准范围覆盖十一大方面，如图1所示，从层面防护和整体防护两个维度，给出基本级和增强级两种安全要求供读者适度选择。

标准内容最关注的核心问题反应在几个方面。

5.1 可控运行是安全基础

政府网站安全工作最基本的目标是保证系统的可控运行，即性能稳定、服务可控、数据完整及内容规范等。因此标准从运行支撑、分层防护、综合防范、安全监控和应急响应等五个方面，给出整体层面的防护要求；同时，标准还结合网站特点，区别与其他内部应用系统的特殊性，从物理安全、边界安全、主机安全、终端安全、应用安全、域名安全、数据安全和网站内容等方面给出分层防护要求，内容覆盖网站设计、建设和运行的基本安全功能，如图2所示。

标准内容针对政府网站的建设运行模式明确了政府部门的管理和监督职责；边界防护方面，在网络边界、安全域边界的基础上，着重强调网站与业务系统之间加强数据边界安全防护的重要性；无论是服务器、数据库和网站运行所需依托的其他软件，其安全性的核心都是操作系统的安全配置和对恶意代码的防范；网站应用安全和对域名的管理有着网站系统区别与其他业务类信息系统的特殊性，标准从网站内容编辑与审核、系统管理和域名管理人员的身份控制和行为追述等方面出发，提出加强网站Web层抗风险能力的安全要求。

5.2 内容安全是工作核心

网站内容的合法性、合规性以及合理性关乎政府的声誉，直接影响着公众对于政府的信任程度。因此，为保证网站内容的规范可控，标准在内容安全方面提出了由编制、审核、批准、发布和管控等环节组成的闭环安全管理体系，如图3所示，以及包括终端编制、内容检查、发布受控和在线监测等内容的基于权限控制的全流程安全防护机制。

标准中“终端安全”指出：限制网站编辑、发布和管理终端的外联行为，并加强终端接入的管控和恶意代码检查，保证网站内容的完整性；“内容发布安全”指出：网站内容应由授权人员审核、批准后才能对外发布，且内容编辑、审核与发布的权限应被分离，以保证内容的合法性和可控性；“安全监控”指出：应对网站状态、网页内容进行动态监控、实时过滤，以便及时发现网站内容被挂名或篡改等安全事件。

5.3 数据安全是重要保障

近年来频繁爆发的信息泄露事件，说明网站数据的使用、存储、转移等方面的防护措施仍然薄弱，网站被脱库或撞库后导致大量敏感信息和个人隐私信息被泄露和丢失。标准从信息采集、传输、使用、存储和备份等全过程给出数据安全技术措施，如图4所示。

标准内容强调通过提高编码规范性和安全性来降低网站信息在采集输入阶段带来的安全风险，同时标准中“数据安全”指出涉及个人信息、隐私信息、法人和组织敏感信息的应采取密码保护技术和权限控制措施等，来保证隐私和敏感信息的加密传输和数据使用过程的不可抵赖，以及数据存储后的完整性和保密性等，并利用数据备份的有效性降低网站内容遭受攻击的安全成本。

6 我國政府网站安全工作的相关建议

标准牵头起草单位在国家互联网信息办公室和全国信息安全标准化技术委员会的支持和指导下，从省级、地方、华北、西部等区域内选择了七家政府单位开展标准应用示范工作。本文总结出实施过程中收获的经验和遇到的挑战，建议从几方面推进政府网站安全工作。

6.1 以“三同步原则”为基本指导思想

政府网站安全工作应落实三同步原则，以“同步规划、同步建设、同步使用”为基本指导思想，本着“谁主管、谁负责”的工作理念落地执行，在信息系统生命周期各阶段明确责任部门及安全职责，在全过程中推行安全同步原则，强化安全工作前移，降低运维阶段的服务成本和资金压力等。应在政府门户网站规划设计之出，将标准中的技术要求和安全检测等内容作为网站安全工作需求提出，并在系统建设时依照安全需求部署实施，同时在系统上线前及时开展安全验收、渗透测试、源代码审核等工作，最大程度上减少网站在安全防护方面的整改费用和难度。同时将针对网站的监测、预警和处置等作为日常运营的常态工作，也会降低网站安全事件发生带来的社会影响和造成的经济损失。

6.2 政府网站监管评价机制亟待完善

在国务院办公厅政府信息与政务公开办公室组织开展的全国政府网站抽查工作中，安全保障效果已作为政府网站绩效评估指标之一，但所占比例不高，尚未引起政府网站运营者的高度重视和对网站安全保障工作的资金、人力等资源投入。但从评价结果来看，已将主机风险控制、网站漏洞防护等方面的安全控制工作纳入日常运维管理中的网站运营单位，在绩效评比中均取得了优异的成绩，例如“首都之窗”依据国家标准对门户网站进行防护和检测，在第十五届中国政府网站绩效评比中蝉联省级政府网站评估第一名[5]，荣获省级网站评估绩效第一名。因此，建议各地网信部门和政府门户网站运营者通过行政指令等方式，将国家标准作为安全检查工作开展的有力工具和网站安全评价工作的重要依据。

6.3 研究检查评估方法，促进安全工作落地

标准针对政府网站安全提出了具体的技术要求和量化指标，以及应达到的安全效果和防护水平，但在实际应用中还需要结合网站建设工作所处的信息化发展水平，从研究可实现的安全措施出发，制订切实可行的安全评估工作指南，包括检查要点、检测工具使用以及定性定量相结合的网站安全风险分析方法等。工作指南将便于政府网站建设使用单位更清晰、准确地理解国家政策标准的要求，促进网站安全自查或检查工作的有效开展；帮助网站运营监管部门全面准确地评价网站安全风险，为加强网站安全建设管理工作提供实践依据。

6.4 人才队伍建设是安全工作的核心保障

我国政府网站信息化工作中普遍存在人员数量不足、技术能力有限等客观问题，网站运营者缺少可靠的技术团队来配合支撑政策执行、标准应用等工作，无法快速、准确地理解标准内容，难以保障网站安全工作的有序推进。因此，通过建立自身技术团队或者依托外部技术力量来加强人才队伍建设，增强安全防范意识水平，是支撑网站安全保障工作和提高网站安全防护水平的基本前提。

7 结束语

随着云计算、大数据、物联网、移动互联网、智慧城市等新技术的发展和应用，政府网站的运营模式、访问形式、业务形态等都在发生着改变，因此关于政府网站安全防护的政策规定及相关标准规范等也需要随之完善。目前，亟需关注的有政府网站如何安全迁入云环境，移动互联应用下的政府网站如何安全运营等方面的政策标准制定；同时传统的安全防护产品已经无法满足在虚拟化技术下提供服务，因此云上网站安全防护产品和服务的选择和使用，以及基于云计算的政府网站安全测评要求等方面的相关标准研制也需要引起进一步地关注。

参考文献

[1] 国家计算机网络应急技术处理协调中心.2017年中国互联网网络安全报告[M].北京： 人民邮电出版社，2018.

[2] GB/T 31506-2015政府门户网站系统安全技术指南[S].

[3] GB/T 22239-2008信息系统安全等级保护基本要求[S].

[4] 刘海峰.政务信息系统安全测评应用指南[M].北京： 中国质检出版社，2013.

[5] 中国软件评测中心.第十五届中国政府网站绩效评估总报告[EB/OL]. http：//www.cstc.org.cn/wzpg2016/zbg/pgbg_detail.jsp？id=128308，2017.