心结网
热门搜索：
- 税务
- 财税
- 会计
- 投资
- 管理
- 审计
- 工商
基层税务部门信息安全建设是税务系统信息化建设的重要组成部分。应以科学发展观为统领，按照一体化的要求，从实际出发，从最迫切、最基础的工作做起，逐步完善基层税务部门信息化安全建设。
随着税收信息化的快速发展，信息安全已成为税收工作的保障。对于基层税务机关而言，信息设备老化、系统崩溃、数据丢失、网络中断、应用系统操作不规范、垃圾数据进入系统、保密性不严等隐患，必须引起重视，加以解决。
（一）各种物理设备的安全风险。税务信息系统各种物理设备安全是税务信息系统安全的前提，包括网络设备、存储设备、计算机及各种传输介质。物理安全主要包括：一是指物理设备本身的安全，防火、防盗、防破坏；二是指在物理媒介层次上对存储和传输的信息加以保护；三是物理设备的可靠性，包括设备的质量、设备的备份，出现故障能在短时间内恢复等。
（二）各种数据信息的安全风险。一是信息的完整性。如信息的来源、去向，内容真实性等，包括数据不被病毒破坏，不被非法删除、修改等；二是信息的保密性。如信息不会被非法泄露、拷贝、窃听等；三是信息的不可否认性。操作员不得越权操作，不能否认自己所做的操作，保证系统操作无法否认。
（一）自然灾害对信息安全的威胁。随着自然环境的恶化，近年来雷电、山洪等自然灾害越来越严重，直接威胁到人类生命财产的安全，对电子设备，网络设备的破坏更为严重。池州地处山区，是山洪高发地带，每年梅雨季节，基层税务部门信息设备都不同程度遭受自然灾害的损坏。去年池州“7.10”特大洪涝灾害，贵池、青阳、九华山等基层单位都不同程度受灾，部分信息设备进水损毁。
（二）防雷设施存在安全隐患。一是基层用房防雷设施存在安全隐患。从调研的情况看，有的农村分局办公用房落成时间早，没有安装防雷设施；有的虽然安装了防雷设施，但从房屋落成到现在从未对防雷设施进行检测和护理，避雷带生锈厉害，有线电视线缠绕在避雷带上，接地阻值增大，不能起到很好的泄雷效果。今年7月份，青阳县局办公大楼被雷电击中，顶层一个角的墙面被击落。二是基层办公场所普遍没有防感应雷设施。电线、电话线、网络接入线是感应雷的传导体。从基层电线、电话线、网络接入线看，都是直接接入办公场所或机房，有的单位光纤甚至悬空接入办公场所或机房的机架上，进户线接入端没有防雷保护器，也没有金属套管。
（三）供电环境对信息安全的威胁。农村分局所处的电网常常是工业用电、农业用电、生活用电、办公用电混在一起，共一条主干线，共一个变压器。工业用电和农业用电的高峰期电网内电压波动较大，严重影响正常的办公用电，也对信息安全造成很大的威胁。一是办公场所附近的强电流工业设备启动和关闭对弱电设备产生很大的破坏作用。如我局梅街分局所处的电网环境，附近有矿山开采企业，强功率电器设备的开启和关闭，分局日光灯就会出现严重闪烁现象，而且还多次造成分局一台高频UPS主机主板烧毁。直到及时更换了一台耐压能力强的工频UPS主机，问题才得以缓解。二是农电使用乱搭、乱挂造成突然断电，给信息安全带来隐患。在部分基层分局没有配备UPS电源，有的虽然配备了UPS电源，大部分都是为了保障网络设备运行供电，不能保障接入到每一台计算机，所以大部分计算机是直接接入市电。在农村，农电使用高峰期，农民乱搭、乱挂接电，造成农村分局突然断电时有发生。断电不仅影响正常工作，而且很容易造成数据丢失。更令人担心的是CTAIS个体税收征收权下放后，由于突然断电的原因还可能造成CTAIS发出去的数据得不到及时返回而产生不良后果。三是基层用电管理缺位，造成电子设备用电混乱。基层税务部门普遍没有专业用电人员，用电操作存在盲目性，导致用电操作不当给信息安全造成隐患，如机房弱电系统是否采用综合布线；电线是否采取双路接入；配线柜内供电线路是否完好；地板下的线路是否用管道包裹等，市电是否很好接地？哪一路限流器保护哪些设备？哪些插座是接普通设备？哪些插座是用作计算机设备的？哪些线路出现老化现象？没有一个人清楚掌握。多年来，基层人员变动，从来没有对这些管理情况进行过移交。基层一些房屋建筑布线图纸都找不到。电路老化可能引发火灾，却没有人能警觉到。出现电路故障不知从何下手，小问题可能当大问题处理，10元钱能解决的问题可能要花更多的钱才能解决。
（四）信息基础设施对信息安全的威胁。信息化基础设施是信息安全运行最基本的条件，也是影响信息安全的最直接的因素，现状不容乐观。一是区县级以下机房硬件设施不配套，网络设备运行环境条件差。随着信息化发展，县区级的主机房多数是在已有办公条件下由一间办公室改造而成，面积相对较小，条件较差，没有统一的规划和建设标准。机房工作环境有待改善与规范。机房防雷、防静电和接地以及消防工作需要进一步规范，机房供电防浪涌保护不足，机房设备未作等电位连接并接地，地板下线路未能用金属管道（钢管或者金属软管）包裹，个别机房空调效果不好，温度偏高。农村分局普遍没有专用机房，有的网络设备架设在办税服务厅，有的网络设备架设在会计或其他人员的办公室里；有的网络设备运行环境中没有空调，夏天高温时期设备运行发烫；有的网络设备运行环境中没有静电板，没有接地线，有时外机箱上的静电能将人手打麻；有的网络设备运行环境中没有配备UPS电源，插头直接插入墙上市电插孔中，市电断电设备也就自动断电，市电来了，设备又自动开启；因为没有专用机房，在开放的设备运行环境中，没有设专门的防盗设施，安全情况不理想，人来人往，卫生环境得不到保障。二是部分电子设备老化。UPS电池和稽核服务器是县区级机房的主要设备，也是档次最高的设备，这些设备基本都是2001年金税二期建设时总局统一下发的，到目前为止已经运行7年之久，网络交换设备使用年限均超过5年。科华UPS今年未巡检，所有UPS均未更换过电池，电池老化现象严重，个别出现电池接线腐蚀，暂未漏液，问题随时都可能出现。因财力有限，服务器得不到补充和更换，使用PC替代服务器的现象普遍。
（五）操作不规范对信息安全的威胁。一是账号、密码与人共享。操作人员保密意识不强，为方便工作，代为操作，基层用户将自己的账号、密码转借他人或与别人共享使用的情况时有发生。二是业务系统安全管理缺位。各应用系统的权限管理缺位，业务部门管理与技术部门授权之间的权限很少起到相互监督制约作用，表现在各应用系统的操作应用没有规范的岗责体系，业务部门需要什么权限就通知信息部门赋予什么权限，如果操作员越权操作、修改应用系统中信息，有时也很难发现。三是防病毒意识不强，随意将移动存储设备在内外网间拷贝数据。因为每一台计算机都安装了网络防病毒软件，并启用了实时监控系统，所以在大家的意识中，任何带病毒的数据进入系统都会被拦截。其实不然，防病毒软件主要是对已知病毒起到防护作用，经常在内外网间倒数据，容易将新病毒带入内网。从过去的情况看这种现象时有发生，一旦发生危害，程度往往比较严重，如熊猫烧香。四是数据备份抗风险等级不高，数据备份的方式单一。个别单位数据备份策略不完整，数据未实行异机备份，数据备份频率偏低等。
三、问题存在的原因
一是基层信息安全管理没有引起上级的足够重视。计算机网络是税务部门的日常工作工具，其安全是税务部门安全生产的基础。这几年来，随着信息的省局集中，人才和资金也集中到省、市级，基层税务部门没有专项资金投入、没有专业人员进入、没有技术人员培训。上级局对信息安全管理认识上明显头重脚轻，重视省、市以上部门的信息化建设，不重视基层税务部门的信息化建设，考核上也是粗放的要求，没有细致的技术规范和操作流程。
二是信息技术人员配备不合理。由于岗位交流，农村分局严重缺人，工作中心向税收管理偏移等主、客观原因，造成基层税务部门信息技术人员配备不合理。如贵池区国税局在职职工76人，下辖4个分局，3个税源管理科，7个内设科室，有PC机86台，广域网接点4个，网络设备若干，办公场所5处，没有1名电工，信息中心只有1名专业计算机管理人员。近年来，引进计算机相关专业毕业生3人，其中有2人不在计算机管理岗位上；有2人脱产进行计算机应用培训1年，现在也都不从事计算机信息管理工作。其它县局情况也与贵池相似，信息中心的人员未必懂行，懂行的未必在信息中心工作。
三是基层信息中心人员的技术水平与信息安全管理要求存有差距。信息安全管理是一个大课题，涉及知识面非常广，要做好信息安全管理只靠信息中心人员是不够的。尤其是基层税务部门信息中心人员，专业技术水平远远跟不上信息化发展的需要，想做好工作往往也是心有余力不足，如防雷、防火、电路测试等方方面面的问题。
四是整体信息安全认识不高。著名信息安全专家、中国工程院院士沈昌祥曾提出应把信息系统安全建设提高到研制“两弹一星”的高度去认识。但在基层广大国税干部职工的意识中，什么是信息安全，怎样做才能确保信息安全，信息安全维护平时需要做哪些工作，什么样的现象是不安全的征兆等情况没有太多的概念，也没有太高的认识。只要不造成直接的生命、财产损失，就是信息安全。真是信息安全没有收税重要，如同资料没有钞票重要一样。
五是资金投入严重不足。信息化建设是一项配套设施多，资金投入大，运行费用高的项目。上级拨付的人头经费除去职工工资、津贴和日常办公经费外已所剩无几。预算中金税工程专项经费太少，没有更多的投入。2006年贵池区国税局金税工程专项经费只有3万元。机房硬件不配套，设备老化，电路老化，防雷措施跟不上等，都与资金投入不足有关。
基层税务部门信息安全建设是税务系统信息化建设的重要组成部分，随着信息化建设的高速发展，税收信息化的地位和作用也越来越突出，越来越不可缺少。而信息安全建设本身就是一项复杂的系统工程和长期的工作任务，应以科学发展观为统领，按照一体化的要求，从实际出发，从最迫切、最基础的工作做起，逐步完善基层税务部门信息化安全建设。
（一）科学规划，统筹安排，改善运行环境
统筹规划、统一标准，突出重点、分步实施，整合资源、讲求实效，加强管理、保证安全，是多年来税务系统信息化建设实践经验的总结，作为基层税务部门应予以坚决贯彻落实。一是统筹规划，统一标准。针对县区级机房硬件设施不配套，网络设备运行环境条件差的实际情况，要统一对基层单位在机房建设、防火、防雷、综合布线、服务器、UPS购置等方面，制定出统一整改方案，统一技术标准，统一采购，统一施工。这样，一方面在设计、施工、管理、维护等方面都要节省大量的人力、物力和财力；另一方面，一处出现问题对另一处也是一种提醒，促使其提前有针对性的采取预防措施。二是突出重点，分步实施。基层税务部门点广面多，经费有限，只能突出重点，分步实施，从最基础、最重要的方面开始做起，逐步完善。首先应改善用电环境，规范布线，配备必要的UPS电源；其次要更换部分老化的服务器以及网络设备；第三逐步完善机房建设。
（二）完善制度，建立信息安全运维体系
设备再先进，运行环境再好，如果没有认真负责的工作人员，没有健全的机制，也保证不了网络的正常运行。因此，要针对信息安全的薄弱环节、关键环节、易忽视的环节，制定、修改、完善具体、操作性强的制度或目标考核责任制，通过机制来强化信息安全。一是以区县局为单位建立和完善运维制度。要针对网络的薄弱环节、关键环节、易忽视的环节，制定、修改完善信息安全管理制度，数据异地备份制度，通过机制来强化网络、数据安全。二是建立运维的长效机制。定期对影响信息安全的设施进行检修和维护，包括聘请供电部门、防雷部门、网络专业维修公司的专业人员每年一次定期检修和保养。三是建立运维档案制度。对基层信息安全设备的运行、维护应做好详细的记录，以便后来接手此项工作的人员备查和参考。主要包括①UPS主机运行情况。正常输入/输出电压值，负载情况；放电记录；设备巡检记录。更换电池记录，定期检查记录；②网络与安全设备的配置文档，维护通讯录（设备厂商、运营商等）；③审计系统反映异常情况记录；④桌面防护系统客户端注册情况及策略启用情况记录；⑤客户端杀毒软件安装运行及病毒危害情况记录；⑥关键应用数据备份情况存档。四是完善技术指导方法。如UPS怎样维护、电子设备怎样接地和测量接地阻值、温度和湿度的测量方法等要有文字指导。五是建立业务部门和技术部门系统管理员的岗责体系。信息安全管理不是单纯的技术管理，如果不从管理制度，人员和技术上建立相应的安全防范机制，缺乏行之有效的内部业务部门和技术部门系统管理员的工作规范，就存在管理漏洞，管理员可以轻易地操作系统，破坏和销毁记录，盗出重要信息等。要明确岗位信息安全管理责任，制定管理岗位责任制及有关措施，严格内部安全管理，消除人为信息安全隐患。六是加强安全运维考核。考核机房运行管理情况：有无机房运行管理制度；机房建设工程文档（设备使用手册、工程文档等）是否完备；是否安排人员值班；机房进出是否采取有效的身份鉴别系统；是否有机房监控系统；是否有专业人员管理电源、UPS、空调等设备。考核机房卫生环境情况：机房面积大小，是否整洁，是否定期清洁；是否采取防虫、鼠措施（密封机房、投放药物或器具等）；是否配备除尘设备等工具。考核机房保护措施情况。是否采取防雷、防静电、消防、漏水检测及接地保护等措施。考核机房空调设施情况。是否配备空调；是否配备机房专用空调；温度及湿度情况。考核机房线路情况。机房弱电系统是否采用综合布线；电线是否采取双路接入；配线柜内供电线路是否完好；地板下的线路是否用管道包裹等。
（三）设立专项资金，加大基础设施建设资金投入
要改造机房，改造电路，增加防雷措施，更新老化的设备等等，只要做其中的一项，少则几万，多则几十万，作为基层税务部门，是拿不出这样大批资金来投入这些建设的。如果不设立专项资金，做到专款专用，只靠基层税务部门自筹资金，就如同杯水车薪，难以解决实质性的问题，越到后期随着设备的老化安全隐患就越严重。建议省局设立专项资金，专款专用，逐步改善基础设施，更新设备。制定服务器、交换机更换计划，对使用年限过长、故障频率高的服务器进行更换。
一是强化安全责任意识。基层领导要强化安全责任意识，本着对工作顺利推进、对职工生命财产安全极端负责的态度，充分认识信息安全的重要性，切实增强责任感和使命感。信息管理人员要消除麻痹思想和侥幸心理，不可有丝毫的疏忽，不要忽视细小的细节，时刻绷紧安全这根弦，落实好机房运行管理和安全体系建设。二是提高全员信息安全意识。通过广泛深入宣传，不断普及信息安全知识，使广大干部、职工认识到信息安全是税收工作正常而高效运转的基础，是保障税收各项工作顺利完成的重要前提，进而增强税务干部信息安全意识，牢固树立信息安全第一的思想，提高发现影响信息安全的现象和行为的敏锐性和警惕性，切实增强维护信息安全的主动性和积极性。三是加大技术培训力度。树立“人才层级”理念。合理调整人员比例，逐步使基本技术人员、专业技术人员占专业管理人员的比例趋于合理。信息技术发展快，唯有不断开展更新知识培训，才能适应信息岗位的需要。要增强培训的针对性，针对现有专业技术人才的不同层次、特点，开展好不同内容和方法的差别化、特色化培训。在培训中，要坚持“课堂教学与实地考察相结合”、“短期培训与长期培训相结合”、“统一组织与个人自学相结合”灵活的培训方式，积极组织各种专题讲座和培训班，有针对性地培训现有信息管理人员，不断提高培训质量。要通过技术人员岗前培训、在岗培训、资质资格培训、发展培训等，更新技术人员知识和技能，为信息安全工作打下坚实的基础。