1. 概述

1.1 建设背景

电子政务服务平台作为政府机构对外交流，以及政府内部办公的信息化服务平台，既可以帮助公众快速、稳定办理需求业务，还可以帮助机关用户提高工作效率。可能的业务系统包含电子政务门户系统、办公内网系统、远程报件系统、公文传输系统等多种系统。所有业务系统相对独立，但是随着业务的不断发展，信息化平台的不断完善，现有业务系统的业务安全性、系统稳定性及对外服务的无间断性，成为了需要考虑的问题。

随着移动设备产品的飞速发展，智能手机、平板电脑在移动办公业务上的应用已经成为一种发展趋势。如何对移动设备、移动应用、移动文档进行集中管理和控制，移动数据的安全如何得到保障，目前，已成为安全管理的首要问题。

为个人消费者设计的智能手机和平板电脑正在不断被用于承载关键业务及核心应用，使用移动设备访问内部信息，虽然提高了办公效率，但是也会给内网带来很多安全隐患，因此，如何保护敏感信息并确保连接安全变得日趋重要，这就要求能够应用IT 策略及规范管理这些设备，并且提供安全的接入通道及统一认证门户。

1.2 安全目标

本案的建设目标是在国家相关法规和标准的指导下，结合项目需求分析，完成从人员管理，PC、智能终端管理，应用管理与授权，到数据加密管理，通信加密管理，单点登录等，主要解决用户的智能应用在新的计算环境下的问题及安全隐患，通过多种安全手段的智能互动，实现云（管理端）、管（安全通道）、端（智能终端）的业务安全。

1.3 设计依据

本案参照的信息安全标准规范包括：

中华人民共和国密码行业标准 《GM/T 0022-2014 IPSec VPN技术规范》

中华人民共和国密码行业标准 《GM/T 0024-2014 SSL VPN技术规范》

安全断言标记语言：SAML

权限策略交换标准:OASIS（结构化信息标准促进组织）标准

权限管理标准：RBAC

基于角色的访问控制:ANSI/INCITS 359-2004标准

目录访问协议：LDAP v2/v3

轻型目录访问协议：RFC 1777 V2版和RFC 2251标准

安全套接字层：RFC2246标准

公钥密码标准：X.509

本案借鉴的其他信息安全标准包括：

GB/T 22080-2008（idt ISO/IEC 27001:2005）《信息技术 安全技术 信息安全管理体系要求》

GB/T 22081-2008（idt ISO/IEC 27002:2005）《信息技术 安全技术 信息安全管理实用准则》

ISO/IEC 13335《信息技术 安全技术 信息技术安全管理指南》

IATF《信息保障技术框架》

《信息安全等级保护管理办法》

《企业内部控制基本规范》

《中华人民共和国电子签名法》

《GW0202-2014国家电子政务外网安全接入平台技术规范》

2. 现状及需求分析

2.1 现状分析

（1）安全互联需求

政务系统在通过互联网向公众开放时，往往有对外开放服务端口，这为互联网上的不法分子提供了扫描和攻击的入口，导致业务存在被攻击的风险，需要提供安全可靠的通讯链路。

从技术上需要实现移动安全、通讯安全、认证安全，从国家的政策法规的角度，需要采用国家密码管理局（以下简称国密局）的指定密码算法来实现。

（2） 统一管理需求

随着信息化的不断深入和普及，使日常办公更加方便、简单，最直接的目标提高了工作效率。特别是针对一些窗口性行业，极大地提升了服务品牌。但是，对于业务的信息化管理，提出了严峻的挑战，比如信息系统的复杂和多样性、共享性、安全性等一系列的问题，使管理者每天花费大量的时间进行系统管理和维护，并且不断的投入人力和资源来保障，结果还是存在管理漏洞和安全风险。如何能有效地降低安全风险，提高管理能力是对管理者最大的考验。

（3）移动管理需求

业务系统对外开放本身导致大量移动设备进入信息化系统，移动设备操作系统和硬件类型繁多，无法完成系统化的管理，设备的维护和查询十分不便。设备的移动化特性给网络的安全管理带来了严峻的考验，设备丢失或人员离职给内网的数据安全带来的及大安全隐患。设备的使用者大多工作地点不固定，管理员难以对监控移动设备的使用状态，难以保证移动设备被正常使用。应用分发渠道和来源让移动设备处在一个保护极其脆弱的环境；安全漏洞的隐患，给不法分子带来了可乘之机。

（4）强身份认证需求

在进行业务访问时面临着多种安全问题，这些问题包括信息的保密性、完整性、抗抵赖、身份鉴别和授权等等。目前解决电子政务安全问题的最佳手段是多因子认证，并根据等保2.0的要求采用国产密码技术进行安全保障。

国产密码技术是指能够实现商用密码算法的加密、解密和认证等功能的技术，即国密局指定的商用密码技术。目前该技术的应用领域十分广泛，主要用于对不涉及国家秘密内容但又具有敏感性的内部信息、行政事务信息、经济信息等进行加密保护。

2.2 需求分析

    综合上述分析，用户需求为以下几点：

能够保证可信局域网和移动用户安全快捷地与业务局域网互访。

数据在Internet上传输时应保证足够的安全。

实现业务资源整合

提供统一身份管理

实现安全策略集中管理

实现移动设备管理

实现移动应用管理

实现移动内容管理

实现移动安全管理

基于上述需求，天融信充分考虑终端安全、接入安全、用户安全、边界安全、统一接入、应用安全等技术，提供基于国密协议和国密算法的智能应用安全接入解决方案。

2.3 整体架构

图 2 1 架构图

3.方案综述

3.1 部署说明

整体方案拓扑如下图：

图 3 1方案部署图

（1）本案政务服务中心集中了各类业务应用服务器，是应用的核心所在，对外提供各类政务服务；

（2）政务服务中心部署VPN网关，提供远程接入服务，在远程数据传输上实现安全保密需求，解决用户数据在互联网上传输安全问题。VPN是安全接入的首选技术，既能降低用户接入成本，又能达到类似专网的效果；VPN网关上采用国密局认可的对称密码算法（SM1/SM4）对传输过程进行加密，并采用SM2证书进行身份认证，并启用SM3算法校验传输过程中的数据，完整的国密算法套件可对用户的业务数据进行量化；

（3）对于用户应用系统在智能终端的使用情况，部署EMM安全网关进行有效管控，对设备（时间、地点、状态）、应用（推送、更新、使用）、内容、安全进行统一管理，达到安全使用智能终端的目的；EMM在终端采用沙箱技术，对应用环境进行隔离，并可选择采用国密算法（SM1/SM4）对本地数据进行加密保护；

（4）用户内网部署CA数字证书系统，为终端接入、应用身份认证提供强身份认证服务；电子证书系统采用国密SM2证书；

（5）用户业务应用系统账号、VPN账号、EMM账号等均采用天融信统一接入平台进行身份认证，实现一次登录，处处识别，方便用户在智能终端上的使用，无论是智能终端上的UAP还是电脑端的应用程序，只需输入一次主账号认证凭证（主账号为VPN账号，从账号为EMM网关账号及各种业务系统账号），在后台的业务系统上均能智能识别用户身份，自动分配相应的权限；统一接入平台可使用国密证书作为主认证凭证，强化认证环节的安全性，整体安全认证性符合等保2.0中8.1.4.1所要求的身份鉴别等级；

（6）智能终端安装EMM客户端实现移动设备管理，配合EMM安全容器套件（已集成VPN客户端），在使用APP时自动创建安全通道，保护用户数据链路，并将本地数据进行加密保存（可选择国际标准算法或者国密标准算法），创建安全通道、保存安全数据的过程对用户完全透明，减少用户在智能终端上的操作，简化用户认证流程。

3.2 技术指标

本案主要性能指标如下：

10000点安全接入性能；

10000个用户管理能力；

10000点移动终端管理；

10000个安全智能钥匙（含10000个数字证书）。

主要产品清单如下：

3.3 方案特色

本案主要拥有三大特色：智能化、安全性、开放性。

（1）智能化

各类设备、终端以及组件均能智能连接至方案体系中；客户的各种应用均能轻松授权传递，快捷展现在各类终端，实现应用一体化；同时还可以智能管理人员、认证策略、网关、智能终端、应用、体验优化、运营策略等。

（2）安全性

可以保障接入终端及接入链路的安全；安全桌面及安全门户保证客户各类应用隔离，实现应用保护；数据在传输过程会进行加密、同时本地数据存储也会加密。本案安全性主要由国产密码体系来进行保障，通过确认使用者（使用SM2证书）身份、将业务数据通过安全通道传输（使用国密协议、国密算法加密传输）、进行统一安全授权（将使用者身份通过令牌方式验证）、数据安全存储（采用国密算法保护）等方面的技术手段，将国产密码覆盖到本案使用场景的所有层面。

（3）开放性

拥有通过各类标准的接口，可以无缝对接各类设备与应用；各类应用可随意扩展接入在统一的架构中；可对接各种认证系统、应用系统、管理系统，智能终端等各类平台等。

3.4 方案收益

（1）移动安全

业务员轻松完成APP的安装和更新，随时随地APP做业务办理，提升工作效率的同时带给了客户全新的体验。

因为使用EMM使工作变得简单、便捷，节省了大量的人力和时间成本。

移动设备管理变得更规范，资产清点一目了然，设备使用和APP应用可视化、可分析。

（2）数据安全

使用灵活多变的认证手段满足不同用户需求，实现同一体系下不同的安全需求.

通过隧道技术、加解密技术、密钥管理技术、身份认证技术建立透明的VPN通道，传输安全得到保障。

VPN通过标准化接口无缝对接应用系统，让用户在无感知的情况下使用多种终端（包括智能终端）实现安全通讯。

（3） 管理安全

从复杂的认证关系中总结出共同的认证凭证，简化了复杂的用户管理，为用户提供良好的用户体验。

将异构的信息系统构建可协同的信息通道，优化了信息系统的架构，实现多信息系统的和谐体验。

规范化业务认证流程，制定业务统一接入标准，优化业务认证通道。

4. 应用案例

单位

国家信息中心（国家电子政务外网管理中心）是国家发展和改革委员会直属事业单位。1986年，为迎接世界信息技术革命挑战、适应我国改革发展形势需要，国务院批准建设国家经济信息系统并组建国家经济信息中心。1987年1月24日，国家经济信息中心正式成立。1988年1月22日，邓小平同志亲笔题名“国家信息中心”。作为以经济分析预测、信息化建设和大数据应用为特色的国家级决策咨询机构和国家电子政务公共服务平台，国家信息中心始终坚持以先进信息技术为手段，以信息资源开发为核心，以服务科学决策为使命，在围绕党中央、国务院和国家发展改革委以及各级政府部门提供宏观决策支持，推进国民经济和社会信息化发展方面发挥了重要的思想库和主力军作用。

难点

接入规模大，实施难度高，协调工作困难，并发量巨大。

天融信方案

天融信为国家信息中心量身定做解决方案，分区域分中心的制定上线时间表，并按照整体安全防护规划，对上线的业务系统与多种安全防护系统进行深度结合。

本案亮点

实现了多应用系统的国密安全防护策略，实现接入接入、认证安全、移动安全等安全需求。

影响

为电子政务工程在各省市推进落地起到示范作用，成为各地电子政务工程的标杆。

北京天融信网络安全技术有限公司

联系人：刘治平

电  话：13910294344