1、国税局信息化建设调研报告 1、物理平安上存在的问题。物理平安主要指信息化系统、设备、工作环境等在物理上采取的保护措施。国税系统在物理平安上存在的问题主要表现在机房建设、局域网建设缺乏规划，根本没有专门的防雷、防火、防水、防潮设施。机房中重要设备尘土覆盖，存在许多平安上的隐患。 2、网络平安上存在的问题。网络平安主要是指网络访问、使用、操作的平安，它是信息化平安中最普遍的内容，主要包括：病毒危害和访问平安。在开放网络环境下，计算机病毒的危害比以往要大得多，特别是近几年，通过互联网进行传播的病毒数量急剧增长，危害范围也不断扩大。对付计算机病毒的最好的方法是安文秘杂烩网防病毒软件，国税系统最好具备网
2、络版的防病毒软件，可以实时查杀病毒、智能安装，快速方便地升级。然而，当前在使用的防病毒软件根本上是单用户版的，容易造成长时间不升级，在管理上也不方便。访问平安是指对设备、资源、信息和效劳访问权限的平安控制。访问平安也是最常见的平安问题，国税网络缺少必要的权限管理，人人都可以通过网络访问到各效劳器和路由器。虽然网管人员可以通过外部防火墙限制外部用户访问内网，也可以限制内部用户浏览互联网的权限和时间，但是由于县局与省局、市局无内部防火墙隔离，全国的国税广域网用户都可以通过网络访问国税的路由器和效劳器，造成许多平安上的隐患。 3、信息平安上存在的问题。信息平安主要是指信息交换平安。网上申报、网上认证
3、的开展推动了信息平安需求。这两种情况都需要对连接者身份进行严格验证，防止非法用户的进入，为了防止传输过程中的信息被窃听，要求用户名和密码以及数据在传输过程中进行有效的加密。为了增强信息平安，需要对信息和纳税申报信息进行平安审计记录，从而可以对非法入侵进行跟踪，并分析系统的平安状况。这一块工作我们还没有很好的开展起来。 4、管理平安上存在的问题。管理平安是指通过加强平安管理来保证物理平安、网络平安和信息平安措施的实现。信息化平安是一项系统工程，如果没有有效的平安管理，其他的任何努力都形同虚设。信息化平安需要一个完善的平安管理体系，从平安管理组织、制度、措施上都要制定一整套相应的标准。国税自从通过
4、is2023000认证以来，信息中心的制度建设已日趋完善，但网络信息平安方面的制度如应急预案、机房平安制度、密码制度等相对较少，没有从制度上来杜绝网络平安上的漏洞。 5、网络及信息系统平安意识存在的问题。网络及信息系统平安问题很多时候都出在内部，许多典型的网络入侵事件都是借助于内部人员才得以实观的，而我们国税系统的一般工作人员，网络及信息系统平安意识差，个别人就根本没有平安意识，计算机随便装载各种游戏软件，不经杀毒随便使用外来u盘、软盘、光盘等。 二、加高“短板的对策 信息化平安问题不存在一劳永逸的解决方案，提出的任何平安对策也只能是更好地预防问题的出现，尽量减少平安问题对正常业务的影响。针对
5、国税系统信息化建设的特点和存在问题的分析，可以归纳出“三大对策，即建设高可用性网络、部署平安防护系统和建立平安保障体系。 1、建设高可用性网络。建设高可用性网络就是要建设具有高性能和高可靠性的信息化根底网络设施，实现信息化物理平安和网络平安。建设高可用性网络的主要措施涵盖信息化硬件和软件以及需要重点考虑的灾难恢复。（1）信息化硬件。信息化硬件包括网络设备、效劳器、布线、机房设备等。要保证信息化网络的高可用性，在设备选择上必须坚持高性能和高可靠性，在系统设计上也要充分考虑网络和设备的冗余备份。在网络设备上，应尽可能选用可靠性高，有相对冗余的中心交换机：效劳器应选用带冗余电源的，硬盘应选用能做ra
6、idl，raid5等高可靠性的磁盘阵列：机房设备必须用ups供电，保证设备的持续、稳定运行。（2）信息化软件。信系化软件主要包括操作系统、数据库、应用程序等。应尽量选用性能好平安性高的操作系统，个人计算机操作系统可以选用，效劳器操作系统应优先选用unix系统。（3）灾难恢复。随着信息化进程的深入，国税系统对计算机设备的依赖度也越来越大、对税务系统而言，最珍贵的不是信息化设备或系统：而是存储的各种文档和数据库信息。网络的可用性也是极为重要的，如果网络总是有问题，谁还有信心去用它。所以灾难恢复是信息化平安中很重要的一个组成局部，必须想法保证数据存储的可靠性，保证网络效劳和应用在故障时能尽快恢复。对
7、国税系统而言，灾难恢复保护的地方主要是关键数据库和文件效劳器。关键数据库一般是指存储纳税申报信息ctais数据库、金税数据库，文件效劳器主要是指办公自动化所依赖的效劳器，它存储国税系统管理过程中所需的重要文档和资料。先进的典型灾难恢复系统是由集群效劳器、存储设备和相关软件组成，当系统局部设备发生灾难时可以保持效劳的连续性并自动恢复或尽可能恢复最近的数据。典型灾难恢复系统的一个重要特点就是灾难恢复系统里的设备要做到地理分散，才能真正应对灾难的发生。国税系统应在县局建立了异地数据容灾备份系统。容灾系统中采用falconstor的ipstor软件和legatoautomatedavailabilit
8、ymanager（legatocluster）。市县局用4m光纤相连，在晚上进行数据复制。系统运行后，市局将各县市局的ctais查询直接指向县局的小型机进行查询，此举极大地减轻了以市局为主的征管效劳器的压力，从根本上改善了效劳器征期顶峰的拥塞现象，保证了市局主效劳器主要正常业务的开展与运行。同时，数据的备份将在很大的程度上保证税务工作的平安运转，给征管数据上了“保险。ctais异地备份的成功实现为其他系统的平安保护提供了很好的借鉴。 2、部署平安防护系统。部署平安防护系统主要指通过操作系统平安使用和部署平安防护软件，实现信息化网络平安和信息平安。（1）防病毒系统。常见的计算机病毒主要是针对微软
9、的操作系统，如果你使用其他操作系统如unix或linux，根本可以不用担忧受感染，但是仍可能成为病毒传播源和感染对象。国税系统中用户网络节点多，如果采用单机防病毒软件，本钱高，维护起来也不方便，防病毒的效果也不理想，所以对国税系统而言，对付病毒的重要手段是部署网络防病毒系统。网络防病毒系统由防病毒主程序和客户端以及其他辅助应用组成，它可以通过管理平台监测、分发部署防病毒客户端，这种功能意味着可以统一并实施全系统内的反病毒策略，并封锁整个系统内病毒的所有入口点。因为计算机病毒是动态开展的，到目前为上尚未发现“万能防病毒系统，所以我们能做到只能是及时地更新病毒库。要有效地对付计算机病毒，除了部署防
10、病毒系统外，还要配合其他手段维护系统平安，做好数据备份是关键，并且要及时升级杀毒软件的病毒库，还要做好灾难恢复。（2）防火墙。防火墙是目前最重要的信息平安产品，它可以提供实质上的网络平安，它承担着对外防御来自互联网的各种攻击，对内辅助用户平安策略的实施的重任，是用户保护信息平安的第一道屏障，在信息化平安中应给予高度重视。通过配置平安策略，防火墙主要承担以下作用：禁止外部网络对国税系统内部网络的访问，保护国税网络平安：满足内部员工访问互联网的需求；对员工访问互联网进行审计和限制。对国税来说，除现在应用的internet防火墙外，还应该在与外单位包括其他国税局、银行等联网的过程中没置内部防火墙、保
11、证国税内部网全部在防火墙的保护之下。 现在的防火墙在功能上不断加强，如可以实现流量控制、病毒检测、vpn功能等，但是防火墙的主要功能仍然是通过包过滤来实现访问控制。防火墙的使用通常并不能防止来自内部的攻击，而且由于数据包都要通过防火墙的过滤，增加了网延迟，降低了网络性能，要想充分发挥防火墙的作用，还要与其他平安产品配合使用。（3）入侵检测。大局部入侵检测系统主要采用基于包特征的检测技术来实现，它们的根本原理是：对网络上的数据包进行复制，与内部的攻击特征数据库进行匹配比较，如果相符即产生报警或响应。检测到入侵事件后，产生报警，并把报警事件计入日志，日后可以通过日志分析确定网络的平安状态，发现系统
12、漏洞等。如果它与防火墙等其他平安产品配合使用，可以在入侵发生时，使防火墙联动，暂时阻断非法连接，保护网络不受侵害。在部署此类产品时要注意进行性能优化，尽量防止屏蔽没有价值的检测规那么。（4）操作系统平安使用。在信息化网络中，操作系统的平安使用是保证网络平安的重要环节，试想如果你打算与同事共享一个文件夹，可是你又没有加密码，共享的文件就会变成公开的文件。操作系统平安使用主要包括以下几方面内容：用户密码管理、系统漏洞检测、信息加密等。用户密码管理无论是对个人还是整个系统都是很重要的。用户密码管理有许多的原那么要遵守，最重要的就是不要使用空密码，如当你使用windowsnt2022时，如果不幸你使用
13、空密码，局域网中的任何人都可以随意访问你的计算机资源。如果你是系统管理员，制定严谨的用户密码策略是首要任务之一。漏洞检测对关键效劳器的操作系统是极为重要的。任何操作系统都不可防止地存在平安漏洞，操作系统的漏洞总是不断地被发现并公布在互联网上，争取在黑客没有攻击你的主机之前及时发现并修补漏洞是极为关键的。另外一种类型的漏洞并不是系统固有的，而是由于系统安装配置缺陷造成的，同样应引起足够重视。对效劳器而言，关闭不需要的效劳或端口也是必要的。即使网络很平安了，需要保密的信息在存储介质上的加密仍然是必要的，因为任何网络不能保证百分之百的平安。使用windowsnt2022等操作系统时，尽量使用ntfs
14、分区，对重要信息起用加密保护功能，这样就算是信息意外泄露，也无法破解。采用vpn（虚拟专用网）。vpn是当前实现远程访问重要方法，它可以有效地降低广域网通讯费用，并实现从任何位置平安地访问国税系统内部网络，它也可以作为国税系统内部重要资源访问控制的一种手段。vpn通过internet或其他公用ip网络实现，可以满足远程通讯平安的根本需求，它将通讯信息进行加密和认证传输，从而保证了信息传输的保密性、数据完整性和信息源的可靠性，实现平安的远程端到端连接。vpn的实现主要基于以下技术： （1）ipsec，ietf（internet工程师任务组）制定的ip平安标准。 （2）通过认证机构发放数字证书和进
15、行第三方认证。 （3）使用共享密钥认证用于小规模的vpn网络。 vpn一般采用专用的设备实现，在选用vpn产品时应主要考虑几点：可管理性、可扩展性、可靠性、兼容性和价格。 3、建立平安保障体系。平安保障体系主要是指：对信息化平安管理的整套体制，包括管理组织、制度、措施等，通过平安管理，保证物理平安、网络平安和信息平安措施的实现。（1）建立平安管理机构和管理制度。建立平安管理机构，确定平安管理人员，建立平安管理制度、维护和维修管理制度及平安考核制度，建立责任和监督机制，实行分权制约，优先授权，进行系统设备、网络设备和存储设备的平安管理，建立工作记录，详细记载运行情况。（2）制定平安应急方案。在国
16、税系统网络中，小的平安问题可能比较容易解决，但是严重的平安问题对税收工作的影响是很大的，如系统设备故障或大范围病毒感染等，这时的问题处理起来会特别复杂，有必要针对特定的平安问题制定平安应急方案。平安应急方案主要确定平安应急处理时的领导组织结构，解决问题的思路、方法和步骤，做好事前准备，不至于遇到问题时慌了神而手忙脚乱。（3）加强网络管理。加强网络管理是信息化平安的重要环节，网络管理的内容主要包括：操作系统平安策略的维护和检查、系统和数据的备份、防火墙路由器等的平安检查、审计分析网络平安事件日志、设备和系统的日常维护等。只有加强网络管理，才能保证网络的平安可靠运行。（4）加强网络及信息系统平安宣传教育。平安问题很多时候都出在内部，许多典型的网络入侵事件都是借助于内部人员才得以实观的，而且严格的平安策略大多是针对外部的，所以应高度重视内部平安。除了从技
