稅收信息化建設(shè)中的信息安全技術(shù)研究

摘要：稅收管理信息化是加強(qiáng)稅收征管、實(shí)現(xiàn)依法治稅的重要措施，也是降低稅收成本和提高征管效率的技術(shù)保障。隨著我國(guó)稅收信息化的快速發(fā)展，稅收信息化建設(shè)中的信息安全問(wèn)題日益凸顯，它已成為制約我國(guó)稅收現(xiàn)代化的瓶頸。隨著“科技興稅”和稅收征管改革的全面實(shí)施，稅收信息化有了長(zhǎng)足的發(fā)展，稅收信息化建設(shè)中的信息安全問(wèn)題越來(lái)越重要。 　　關(guān)鍵詞：稅收信息化；信息狀態(tài)安全；信息轉(zhuǎn)移安全；信息安全技術(shù)
　　
　　從三個(gè)方面來(lái)考慮：首先是信息狀態(tài)安全，即稅務(wù)系統(tǒng)安全，要防止稅務(wù)系統(tǒng)中心的數(shù)據(jù)被攻擊者破壞。稅務(wù)系統(tǒng)要通過(guò)Internet對(duì)納稅人提供納稅便利，必須以一定的方式將它的數(shù)據(jù)中心開(kāi)放，這對(duì)稅務(wù)系統(tǒng)本身帶來(lái)了很大的風(fēng)險(xiǎn)。其次是信息轉(zhuǎn)移安全，即服務(wù)安全，如納稅人識(shí)別號(hào)、口令、納稅金額等在傳輸中不被冒用、泄露和篡改。再次是安全管理制度，即使用安全，保證稅務(wù)人員正確、安全的使用。本文主要針對(duì)以上前兩個(gè)方面也就是信息安全技術(shù)進(jìn)行研究。
　　
　　一、信息狀態(tài)安全技術(shù)
　　
　　信息狀態(tài)安全主要包括系統(tǒng)主機(jī)服務(wù)器安全、操作系統(tǒng)安全和數(shù)據(jù)庫(kù)安全三個(gè)方面。
　　（一）系統(tǒng)主機(jī)服務(wù)器安全（Server Security）
　　服務(wù)器是存儲(chǔ)數(shù)據(jù)、處理請(qǐng)求的核心，因此服務(wù)器的安全性尤為重要。服務(wù)器的安全性主要涉及到服務(wù)器硬件設(shè)備自身的安全性防護(hù)，對(duì)非法接觸服務(wù)器配件具有一定的保護(hù)措施，比如加鎖或密碼開(kāi)關(guān)設(shè)置等；同時(shí)，服務(wù)器需要支持大數(shù)據(jù)量及多線程存儲(chǔ)矩陣以滿足大數(shù)據(jù)量訪問(wèn)的實(shí)時(shí)性和穩(wěn)定性，不會(huì)因?yàn)榇罅康脑L問(wèn)導(dǎo)致服務(wù)器崩潰；服務(wù)器要能夠支持基于硬件的磁盤陣列功能，支持磁盤及磁帶的系統(tǒng)、數(shù)據(jù)備份功能，使得安裝在服務(wù)器上的操作系統(tǒng)和數(shù)據(jù)庫(kù)能夠在災(zāi)難后得到備份恢復(fù)，保證服務(wù)器的不間斷運(yùn)行；服務(wù)器設(shè)備配件的高質(zhì)量及運(yùn)行可靠性也是服務(wù)器安全的非常重要的一個(gè)方面，這直接關(guān)系到服務(wù)器不間斷運(yùn)行的時(shí)間和網(wǎng)絡(luò)數(shù)據(jù)訪問(wèn)的效率。
　�。ǘ�）操作系統(tǒng)安全（Operating System Security）
　　設(shè)置操作系統(tǒng)就像為構(gòu)筑安全防范體系打好“地基”。
　　1.自主訪問(wèn)控制（Discretionary Access Control，DAC）。自主訪問(wèn)控制是基于對(duì)主體（Subject）或主體所屬的主體組的識(shí)別來(lái)限制對(duì)客體（Object）的訪問(wèn)。為實(shí)現(xiàn)完備的自主訪問(wèn)控制，由訪問(wèn)控制矩陣提供的信息必須以某種形式保存在稅務(wù)操作系統(tǒng)中。訪問(wèn)控制矩陣中的每行表示一個(gè)主體，每列表示一個(gè)受保護(hù)的客體，矩陣中的元素表示主體可對(duì)客體的訪問(wèn)模式。以基于行的自主訪問(wèn)控制方法為例。它是在每個(gè)主體上都附加一個(gè)該主體可訪問(wèn)的客體的明細(xì)表，根據(jù)表中信息的不同可分為三種形式：（1）權(quán)力表（Capabilities List），它決定是否可對(duì)客體進(jìn)行訪問(wèn)以及可進(jìn)行何種模式的訪問(wèn)。（2）前綴表（Prefix List），它包括受保護(hù)客體名以及主體對(duì)客體的訪問(wèn)權(quán)。（3）口令（Password），主體對(duì)客體進(jìn)行訪問(wèn)前，必須向稅務(wù)操作系統(tǒng)提供該客體的口令。對(duì)于口令的使用，建議實(shí)行相互制約式的雙人共管系統(tǒng)口令。
　　2.強(qiáng)制訪問(wèn)控制（Mandatory Access Control，MAC）。鑒于自主訪問(wèn)控制不能有效的抵抗計(jì)算機(jī)病毒的攻擊，這就需要利用強(qiáng)制訪問(wèn)控制來(lái)采取更強(qiáng)有力的訪問(wèn)控制手段。在強(qiáng)制訪問(wèn)控制中，稅務(wù)系統(tǒng)對(duì)主體和客體都分配一個(gè)特殊的一般不能更改的安全屬性，系統(tǒng)通過(guò)比較主體與客體的安全屬性來(lái)決定一個(gè)主體是否能夠訪問(wèn)某個(gè)客體。稅務(wù)系統(tǒng)一般可采取兩種強(qiáng)制措施：（1）限制訪問(wèn)控制的靈活性。用戶修改訪問(wèn)控制信息的唯一途徑是請(qǐng)求一個(gè)特權(quán)系統(tǒng)的功能調(diào)用，該功能依據(jù)用戶終端輸入的信息而不是靠另一個(gè)程序提供的信息來(lái)修改訪問(wèn)控制信息。在確信用戶自己不會(huì)泄露文件的前提下，用這種方法可以消除偷改訪問(wèn)控制信息的計(jì)算機(jī)病毒的威脅。（2）限制編程。鑒于稅務(wù)系統(tǒng)僅需要進(jìn)行事務(wù)處理，不需要任何編程的能力，可將用于應(yīng)用開(kāi)發(fā)的計(jì)算機(jī)系統(tǒng)分離出去，完全消除用戶的編程能力。
　　3.安全核技術(shù)（Security Kernel Technology）。安全核是構(gòu)造高度安全的操作系統(tǒng)最常用的技術(shù)。該技術(shù)的理論基礎(chǔ)是：將與安全有關(guān)的軟件隔離在操作系統(tǒng)的一個(gè)可信核內(nèi)，而操作系統(tǒng)的大部分軟件無(wú)須負(fù)責(zé)系統(tǒng)安全。稅務(wù)系統(tǒng)安全核技術(shù)要滿足三個(gè)原則：（1）完備性（Completeness），要求使主體必須通過(guò)引進(jìn)監(jiān)控器才能對(duì)客體進(jìn)行訪問(wèn)操作，并使硬件支持基于安全核的系統(tǒng)。（2）隔離性（Isolation），要求將安全核與外部系統(tǒng)很好的隔離起來(lái)，以防止進(jìn)程對(duì)安全核的非法修改。（3）可驗(yàn)證性（Verifiability），要求無(wú)論采用什么方法構(gòu)造安全核，都必須保證對(duì)它的正確性可以進(jìn)行某種驗(yàn)證。
　　其他常見(jiàn)措施還有：信息加密、數(shù)字簽名、審計(jì)等，這些技術(shù)方法在數(shù)據(jù)庫(kù)安全等方面也可廣泛應(yīng)用，我們將在下面介紹。
　�。ㄈ�）數(shù)據(jù)庫(kù)安全（Database Security）
　　數(shù)據(jù)庫(kù)是信息化及很多應(yīng)用系統(tǒng)的核心，其安全在整個(gè)信息系統(tǒng)中是最為關(guān)鍵的一環(huán)，所有的安全措施都是為了最終的數(shù)據(jù)庫(kù)上的數(shù)據(jù)的安全性。另外，根據(jù)稅務(wù)網(wǎng)絡(luò)信息系統(tǒng)中各種不同應(yīng)用系統(tǒng)對(duì)各種機(jī)密、非機(jī)密信息訪問(wèn)權(quán)限的要求，數(shù)據(jù)庫(kù)需要提供安全性控制的層次結(jié)構(gòu)和有效的安全性控制策略。
　　數(shù)據(jù)庫(kù)的安全性主要是依靠分層解決的，它的安全措施也是一級(jí)一級(jí)層層設(shè)置的，真正做到了層層設(shè)防。第一層應(yīng)該是注冊(cè)和用戶許可，保護(hù)對(duì)服務(wù)器的基本存�。坏诙�層是存取控制，對(duì)不同用戶設(shè)定不同的權(quán)限，使數(shù)據(jù)庫(kù)得到最大限度的保護(hù)；第三層是增加限制數(shù)據(jù)存取的視圖和存儲(chǔ)過(guò)程，在數(shù)據(jù)庫(kù)與用戶之間建立一道屏障�；�于上述數(shù)據(jù)庫(kù)層次結(jié)構(gòu)的安全體系，稅務(wù)網(wǎng)絡(luò)信息系統(tǒng)需要設(shè)置對(duì)機(jī)密和非機(jī)密數(shù)據(jù)的訪問(wèn)控制：（1）驗(yàn)證（Authentication），保證只有授權(quán)的合法用戶才能注冊(cè)和訪問(wèn)；（2）授權(quán)（Authorization），對(duì)不同的用戶訪問(wèn)數(shù)據(jù)庫(kù)授予不同的權(quán)限；（3）審計(jì)（Auditing），對(duì)涉及數(shù)據(jù)庫(kù)安全的操作做一個(gè)完整的記錄，以備有違反數(shù)據(jù)庫(kù)安全規(guī)則的事件發(fā)生后能夠有效追查，再結(jié)合以報(bào)警（Alert）功能，將達(dá)到更好的效果。還可以使用數(shù)據(jù)庫(kù)本身提供的視圖和存儲(chǔ)過(guò)程對(duì)數(shù)據(jù)庫(kù)中的其他對(duì)象進(jìn)行權(quán)限設(shè)定，這樣用戶只能取得對(duì)視圖和存儲(chǔ)過(guò)程的授權(quán)，而無(wú)法訪問(wèn)底層表。視圖可以限制底層表的可見(jiàn)列，從而限制用戶能查詢的數(shù)據(jù)列的種類。

【稅收信息化建設(shè)中的信息安全技術(shù)研究】相關(guān)文章：

企業(yè)信息化安全技術(shù)研究01-08

檔案信息化建設(shè)中存在的問(wèn)題及強(qiáng)化措施03-14

試論會(huì)計(jì)信息化建設(shè)中的工程監(jiān)理03-18

淺談機(jī)械制造企業(yè)信息化建設(shè)中出現(xiàn)的問(wèn)題及對(duì)策分析03-19

信息化與經(jīng)濟(jì)增長(zhǎng)03-22

醫(yī)院的信息化管理03-18

淺談檔案信息化建設(shè)05-05

推行項(xiàng)目管理信息化03-18

審計(jì)信息化問(wèn)題淺析03-15