導(dǎo)語：社保系統(tǒng)信息安全建設(shè)思路一文來源于網(wǎng)友上傳，不代表本站觀點(diǎn)，若需要原創(chuàng)文章可咨詢客服老師，歡迎參考。

1信息安全總體構(gòu)架

任何一項(xiàng)安全工作的落實(shí),都依賴于人員、技術(shù)、流程作為支撐,結(jié)合人力社保業(yè)務(wù)的實(shí)際情況,從技術(shù)與管理上進(jìn)行規(guī)劃與規(guī)范通過對(duì)安全域的劃分明確各業(yè)務(wù)系統(tǒng)所在的區(qū)域,同時(shí)在域邊界、內(nèi)部部署相應(yīng)的安全檢測(cè)、防護(hù)、審計(jì)等措施,建立綜合安全運(yùn)維管理平臺(tái),以支撐我局信息系統(tǒng)的安全運(yùn)行形成信息系統(tǒng)安全規(guī)劃總框架。

2應(yīng)對(duì)措施

2.1信息安全基礎(chǔ)設(shè)施及環(huán)境保障建設(shè)

一是物理環(huán)境安全物理環(huán)境安全是信息系統(tǒng)安全的前提,信息中心建有一個(gè)國(guó)家A類標(biāo)準(zhǔn)主機(jī)房通過雙路市電和冗余UPS主機(jī)電源,配備后備大功率發(fā)電機(jī),以提高電源保障能力,同時(shí)通過雙精密空調(diào)保障恒溫恒濕的機(jī)房環(huán)境二是本地機(jī)房關(guān)鍵設(shè)備實(shí)現(xiàn)冗余熱備通過多次對(duì)小型機(jī)、核心交換機(jī)、核心路由器、防火墻等重要設(shè)備進(jìn)行升級(jí)、更新,實(shí)現(xiàn)關(guān)鍵設(shè)備高可靠性、高性能熱備,通過負(fù)載均衡設(shè)備實(shí)現(xiàn)業(yè)務(wù)自動(dòng)均衡分。三是多渠道、多方式保障數(shù)據(jù)真實(shí)、有效做好數(shù)據(jù)備份管理及恢復(fù)測(cè)試工作,對(duì)人社基礎(chǔ)數(shù)據(jù)通過虛擬帶庫(kù)每天進(jìn)行增量備份,每周進(jìn)行一次全備此外,還在異地建立了應(yīng)用級(jí)容災(zāi)系統(tǒng)中心,保證數(shù)據(jù)的完整性和業(yè)務(wù)的連續(xù)性四是采用網(wǎng)絡(luò)版防毒墻,定期修改相關(guān)密碼保護(hù)網(wǎng)絡(luò)上的端點(diǎn)免受惡意軟件、網(wǎng)絡(luò)病毒、基于Web的威脅、間諜軟件和混合威脅攻擊的危害,信息中心采用了多層病毒防御體系,即在每臺(tái)PC和服務(wù)器上安裝防病毒軟件,定期升級(jí)病毒庫(kù)同時(shí)定期對(duì)所有相關(guān)硬件設(shè)備及業(yè)務(wù)系統(tǒng)密碼進(jìn)行修改五是通過專線加前置機(jī)接口方式實(shí)現(xiàn)業(yè)務(wù)延伸和部門聯(lián)網(wǎng)數(shù)據(jù)交換首先,政府不斷推行便民服務(wù)意識(shí),不斷延伸業(yè)務(wù)窗口,相關(guān)業(yè)務(wù)通過專線延伸到鎮(zhèn)街勞管所,部分業(yè)務(wù)延伸至行政村(社區(qū)),實(shí)行業(yè)務(wù)內(nèi)網(wǎng)與互聯(lián)網(wǎng)物理隔離,數(shù)據(jù)交換采用前置機(jī)接口方式實(shí)現(xiàn),減少手工參與,提升數(shù)據(jù)交換的質(zhì)量與實(shí)時(shí)性和安全性。

2.2搭建網(wǎng)絡(luò)安全區(qū)域

明確劃分各安全區(qū)域,整體信息系統(tǒng)安全構(gòu)架通過部署異構(gòu)防火墻和工PS來實(shí)現(xiàn)在核心數(shù)據(jù)庫(kù)和內(nèi)部業(yè)務(wù)服務(wù)、運(yùn)維管理等系統(tǒng)之間設(shè)置防火墻和工PS,對(duì)外業(yè)務(wù)服務(wù)系統(tǒng)和外聯(lián)單位之間設(shè)置防火墻和工PS網(wǎng)上申報(bào)業(yè)務(wù)通過網(wǎng)閘和防火墻連接互聯(lián)網(wǎng),在有效保障網(wǎng)絡(luò)安全的前提下,滿足業(yè)務(wù)查詢與數(shù)據(jù)信息同步等需求并通過WAF應(yīng)用防火墻,對(duì)社保網(wǎng)上申報(bào)業(yè)務(wù)進(jìn)行安全防護(hù),有效阻止日益盛行的WEB黑客攻擊安全區(qū)域之間策略部署按需開放,精細(xì)化控制一是在安全設(shè)備上進(jìn)行ACCESSCONTROL精細(xì)化ACCESSCONTROL就是在身份認(rèn)證的基礎(chǔ)上,依據(jù)授權(quán)對(duì)提出的資源訪問請(qǐng)求加以控制訪問控制是網(wǎng)絡(luò)安全防范和保護(hù)的主要策略,他可以限制對(duì)關(guān)鍵資源的訪問,防止非法用戶的侵人或因合法用戶的不慎操作所造成的破壞實(shí)現(xiàn)路由上最小化,端口上具體化、策略上清晰化,根據(jù)業(yè)務(wù)變更定期清理無效策略。

2.3通過安全審計(jì)系統(tǒng),提高數(shù)據(jù)的安全性

安全審計(jì)已經(jīng)成為信息安全保障體系建設(shè)中必不可少的關(guān)鍵組成部分,安全審計(jì)可以對(duì)主機(jī)、網(wǎng)絡(luò)、數(shù)據(jù)庫(kù)等各類信息系統(tǒng)各層面進(jìn)行審計(jì)我們采用數(shù)字KVM實(shí)現(xiàn)系統(tǒng)服務(wù)器的集中管理,并開啟KVM審計(jì)功能,對(duì)操作行為進(jìn)行屏幕錄像審計(jì)為了保證社保核心數(shù)據(jù)得到規(guī)范存儲(chǔ)、規(guī)范管理,以及有效地減少核心信息資產(chǎn)的被破壞和數(shù)據(jù)泄漏,我們采用了嵌人式的數(shù)據(jù)庫(kù)審計(jì)系統(tǒng)我們通過B/S三層構(gòu)架,前臺(tái)業(yè)務(wù)統(tǒng)一通過中間件訪問生產(chǎn)庫(kù),拒絕外部訪問數(shù)據(jù)庫(kù);只有內(nèi)部開發(fā)與維護(hù)用戶且授權(quán)的工P、連接用戶、進(jìn)程名,才能訪問生產(chǎn)庫(kù),并且不允許DRoP、DEL等刪除操作。

2.4建成應(yīng)用級(jí)容災(zāi)系統(tǒng),定期組織信息系統(tǒng)容災(zāi)演練

系統(tǒng)容災(zāi)演練是信息化應(yīng)急體系建設(shè)的重要組成部分容災(zāi)演練是指本地生產(chǎn)中心主機(jī)、存儲(chǔ)、網(wǎng)絡(luò)等系統(tǒng)在突發(fā)故障情況下,快速地啟用容災(zāi)備份中心相應(yīng)系統(tǒng),以證實(shí)容災(zāi)應(yīng)用系統(tǒng)恢復(fù)的可用性、快速性通過進(jìn)行容災(zāi)演練,確保冗余信息系統(tǒng)的可用性,并對(duì)演練過程中發(fā)現(xiàn)的一些問題進(jìn)行分析優(yōu)化,進(jìn)一步做好安全隱患排查和應(yīng)急預(yù)案的完善工作。

2.5應(yīng)用層面安全控制

在物理安全及網(wǎng)絡(luò)安全采取相關(guān)保障的基礎(chǔ)上,業(yè)務(wù)系統(tǒng)基于B/S三層構(gòu)架開發(fā)設(shè)計(jì),提高信息系統(tǒng)的安全性與可靠性一是業(yè)務(wù)經(jīng)辦人員CA認(rèn)證為加強(qiáng)經(jīng)辦業(yè)務(wù)數(shù)據(jù)的安全,建立業(yè)務(wù)經(jīng)辦人員CA認(rèn)證系統(tǒng),登錄業(yè)務(wù)系統(tǒng)要求進(jìn)行CA認(rèn)證,并在系統(tǒng)中實(shí)行業(yè)務(wù)人員與CA綁定,并根據(jù)業(yè)務(wù)不同分配不同權(quán)限二是社會(huì)保險(xiǎn)基金的安全管理嚴(yán)格要求醫(yī)保定點(diǎn)醫(yī)療藥店對(duì)藥品出人庫(kù)數(shù)據(jù)庫(kù)信息與醫(yī)保刷卡信息數(shù)據(jù)與中心數(shù)據(jù)庫(kù)進(jìn)行比對(duì),防止藥品串換,確保醫(yī)療保險(xiǎn)基金的安全通過社?；鸨O(jiān)管軟件,定期對(duì)各項(xiàng)數(shù)據(jù)進(jìn)行審查三是社會(huì)保障卡安全管理設(shè)置卡密碼和刷卡消費(fèi)信息自動(dòng)提醒,如果卡被盜刷,持卡人可以通過電話(96150)或者網(wǎng)站進(jìn)行7*24h的自助掛失,也可以到就近人社服務(wù)窗口網(wǎng)點(diǎn)掛失。

2.6安全管理組織及制度

一是堅(jiān)持統(tǒng)籌規(guī)劃,建立安全組織和人員體系在安全組織和人員體系方面,成立了信息安全工作領(lǐng)導(dǎo)小組,建立決策、管理、執(zhí)行三級(jí)組織構(gòu)架,明確各層級(jí)組織的職責(zé)分工及相應(yīng)的崗位和人員配置要求針對(duì)系統(tǒng)安全相關(guān)人員開展安全知識(shí)、技能和意識(shí)培訓(xùn),根據(jù)單位工作實(shí)際情況,建立垂直和水平的溝通、協(xié)調(diào)機(jī)制如定期召集務(wù)相關(guān)單位進(jìn)行座談會(huì)和討論會(huì)二是建立安全管理制度和引進(jìn)信息化建設(shè)監(jiān)理機(jī)制信息系統(tǒng)環(huán)境隨著業(yè)務(wù)需求變化而不斷變化,這就需要一個(gè)可持續(xù)的信息安全制度來不斷規(guī)范指導(dǎo)新業(yè)務(wù)系統(tǒng)以保障其安全性從項(xiàng)目立項(xiàng)前期開始,組織專家對(duì)信息系統(tǒng)構(gòu)架進(jìn)行討論,然后再組織市級(jí)專家對(duì)項(xiàng)目的可行性進(jìn)行論證,使信息系統(tǒng)建設(shè)方案更加科學(xué)化項(xiàng)目建設(shè)中引人監(jiān)理,監(jiān)理公司按照“四控制、三管理、一協(xié)調(diào)”的原則,對(duì)每個(gè)環(huán)節(jié)安全的實(shí)—管理創(chuàng)新施質(zhì)量進(jìn)行把控三是不斷完善信息安全制度,注重落實(shí)和監(jiān)督建立相應(yīng)的安全管理總綱和策略要求,明確在安全規(guī)劃建設(shè)、軟件開發(fā)安全、安全風(fēng)險(xiǎn)評(píng)估、安全運(yùn)維維護(hù)、敏感信息防護(hù)等方面的安全要求,并編制相應(yīng)的規(guī)章制度、流程,以及相應(yīng)的標(biāo)準(zhǔn)規(guī)范我們制訂了《信息系統(tǒng)容災(zāi)演練應(yīng)急預(yù)案》、《義烏市社會(huì)保障聯(lián)網(wǎng)業(yè)務(wù)計(jì)算機(jī)安全管理制度》、《義烏市人力資源和社會(huì)保障網(wǎng)站管理辦法》等相關(guān)制度。

2.7定期組織信息安全培訓(xùn)學(xué)習(xí)

信息安全培訓(xùn)學(xué)習(xí)是加強(qiáng)信息安全建設(shè)的重要組成部分通過培訓(xùn)和學(xué)習(xí),不斷提高干部職工的信息安全知識(shí)和意識(shí),信息安全服務(wù)能力得到切實(shí)提高為進(jìn)一步加大信息安全的培訓(xùn)學(xué)習(xí)力度,提高信息系統(tǒng)安全管理和安全防范技術(shù)水平,一是安排干部職工外出學(xué)習(xí),如參加專業(yè)的信息安全知識(shí)、安全產(chǎn)品的相關(guān)培訓(xùn)等二是邀請(qǐng)專家到我局現(xiàn)場(chǎng)授課,擴(kuò)大內(nèi)部干部職工參與面與互動(dòng)面,使培訓(xùn)更有針對(duì)性三是定期在單位內(nèi)部舉行信息安全知識(shí)交流學(xué)習(xí),每月由內(nèi)部技術(shù)骨干授課,牽頭交流學(xué)習(xí)實(shí)際工作中問題與難點(diǎn)解決方法。

作者：樓江杭工作單位：義烏市人力資源與社會(huì)保障信息管理中心