《密碼法》已于2019年10月26日由第十三屆全國人大常委會第十四次會議通過，并將于2020年1月1日起施行。該法的頒布實(shí)施，將對我國政府采購信息平臺的安全建設(shè)產(chǎn)生極大的促進(jìn)作用。本法第二條規(guī)定“本法所稱密碼，是指采用特定變換的方法對信息等進(jìn)行加密保護(hù)、安全認(rèn)證的技術(shù)、產(chǎn)品和服務(wù)”。各省政府采購中心建立的電子信息采購平臺為提供公平、公正、公開、透明、高效的政采服務(wù)發(fā)揮了重要的作用，該平臺是為國家機(jī)關(guān)、事業(yè)單位和團(tuán)體組織提供政務(wù)保障服務(wù)的窗口，如果平臺密碼一旦被竊取而遭受攻擊導(dǎo)致數(shù)據(jù)被篡改，服務(wù)中斷，將會造成廣泛而深遠(yuǎn)的社會影響，甚至威脅到國家安全。因此，政府采購信息系統(tǒng)的安全建設(shè)應(yīng)引起高度重視，與信息平臺建設(shè)同時(shí)考慮、同步落實(shí)。
委托第三方開展安全檢測服務(wù)
為貫徹落實(shí)好國家法律規(guī)定，應(yīng)對日益嚴(yán)峻的網(wǎng)絡(luò)安全形勢,切實(shí)提升網(wǎng)絡(luò)信息系統(tǒng)安全保障能力，確保核心業(yè)務(wù)和數(shù)據(jù)的安全，需要切實(shí)加強(qiáng)政府采購信息安全保障工作。考慮到信息安全工作的專業(yè)性強(qiáng)、知識更新?lián)Q代快，而政府采購中心是一個(gè)服務(wù)性機(jī)構(gòu)，缺乏信息安全方面的專業(yè)人才，應(yīng)將專業(yè)的事情委托第三方專業(yè)機(jī)構(gòu)來承擔(dān)，以年度服務(wù)的方式定期委托第三方專業(yè)機(jī)構(gòu)開展安全運(yùn)維工作，具體包括：定期開展等級保護(hù)測評和風(fēng)險(xiǎn)評估，落實(shí)等保制度定期開展安全巡檢，排查信息系統(tǒng)運(yùn)行過程中此出現(xiàn)的安全漏洞和風(fēng)險(xiǎn)，及時(shí)采取有效的應(yīng)對措施；開展實(shí)時(shí)安全監(jiān)測和預(yù)警，掌握平臺運(yùn)行安全態(tài)勢；針對出現(xiàn)的安全事件快速響應(yīng)和處置。通過上述日常性工作，建立起常態(tài)化的信息安全保障工作機(jī)制，確保信息安全風(fēng)險(xiǎn)動態(tài)可控。
重點(diǎn)加強(qiáng)采購項(xiàng)目的信息安全
根據(jù)政府采購中心的工作實(shí)際，應(yīng)該重點(diǎn)加強(qiáng)采購項(xiàng)目安全保護(hù)。強(qiáng)化數(shù)據(jù)存儲、數(shù)據(jù)傳輸過程中的安全保密性，并對系統(tǒng)進(jìn)行有效的安全訪問控制，是政府采購中心信息系統(tǒng)安全的重中之重。政府采購中心信息系統(tǒng)應(yīng)具有較強(qiáng)的網(wǎng)絡(luò)身份識別能力、抵御病毒與木馬侵害能力、防止黑客攻擊的能力，以及系統(tǒng)被攻擊后的應(yīng)急恢復(fù)能力。實(shí)現(xiàn)備份和方便快捷的恢復(fù)功能，在遭到攻擊或崩潰時(shí)能快速恢復(fù)，確保重要數(shù)據(jù)的機(jī)密性和完整性。系統(tǒng)在硬件、網(wǎng)絡(luò)、數(shù)據(jù)庫和數(shù)據(jù)、應(yīng)用操作權(quán)限和身份認(rèn)證（支持 CA 認(rèn)證）等方面，實(shí)現(xiàn)全面的安全防護(hù)措施，建立健全各項(xiàng)安全保障制度。
不斷加強(qiáng)信息系統(tǒng)的應(yīng)用安全
基于政府采購信息系統(tǒng)部署在電子政務(wù)外網(wǎng)云端，所以安全層面主要考慮在應(yīng)用、數(shù)據(jù)二個(gè)層面，而物理、系統(tǒng)和網(wǎng)絡(luò)三個(gè)層面依托于電子政務(wù)云的安全機(jī)制，確保信息系統(tǒng)安全。
一是應(yīng)用系統(tǒng)訪問控制技術(shù)的運(yùn)用。應(yīng)用系統(tǒng)應(yīng)能夠控制不同用戶在不同數(shù)據(jù)、不同業(yè)務(wù)環(huán)節(jié)上的查詢、添加、修改、刪除的權(quán)限，提供面向URL(統(tǒng)一資源定位符)的控制能力，提供面向 Service（服務(wù)器）的控制能力，提供面向 IP 的控制能力，提供 Session 的超時(shí)控制。Session Timeout（獲取并設(shè)置在會話狀態(tài)提供程序終止會話之前各請求之間所允許的時(shí)間）：通過配置指定客戶連接的超時(shí)時(shí)長，在客戶長時(shí)間沒有操作時(shí)強(qiáng)制使會話失效。限制登錄失敗次數(shù)：限制客戶在可配置的時(shí)間長度內(nèi)登錄失敗的次數(shù)，避免客戶密碼遭到竊取。
二是數(shù)據(jù)庫系統(tǒng)安全。一方面，通過系統(tǒng)權(quán)限、數(shù)據(jù)權(quán)限、角色權(quán)限管理建立數(shù)據(jù)庫系統(tǒng)的權(quán)限控制機(jī)制，任何業(yè)務(wù)終端禁止直接訪問數(shù)據(jù)庫服務(wù)器，只能夠通過 Web 服務(wù)器或接口服務(wù)器進(jìn)行訪問數(shù)據(jù)庫服務(wù)器，并設(shè)置嚴(yán)格的數(shù)據(jù)庫訪問權(quán)限。另一方面，建立完備的數(shù)據(jù)修改日志，通過安全審計(jì)記錄和跟蹤用戶對數(shù)據(jù)庫的操作，明確對數(shù)據(jù)庫的安全責(zé)任。部署應(yīng)用服務(wù)器和數(shù)據(jù)庫服務(wù)器具備較完善的用戶和權(quán)限管理機(jī)制。
切實(shí)強(qiáng)化信息系統(tǒng)的數(shù)據(jù)安全
政府采購信息系統(tǒng)的數(shù)據(jù)安全，重點(diǎn)以數(shù)據(jù)備份為目標(biāo)。數(shù)據(jù)備份涉及兩種類型的備份內(nèi)容：系統(tǒng)中關(guān)鍵應(yīng)用系統(tǒng)及運(yùn)行的操作系統(tǒng)的備份；系統(tǒng)中數(shù)據(jù)的備份。
一是對于應(yīng)用軟件及系統(tǒng)軟件的備份恢復(fù)，由于應(yīng)用及系統(tǒng)軟件穩(wěn)定性較高，可采用一次性的全備份，以防止當(dāng)系統(tǒng)遭到任何程度的破壞，都可以方便快速地將原來的系統(tǒng)恢復(fù)出來。
二是對于數(shù)據(jù)的備份，由于數(shù)據(jù)的不穩(wěn)定性，可分別采用定期全備份、差分備份份和增量備份的策略，來保證數(shù)據(jù)的安全。配置數(shù)據(jù)備份系統(tǒng)，以實(shí)現(xiàn)本地關(guān)鍵系統(tǒng)和重要數(shù)據(jù)的備份。
三是數(shù)據(jù)訪問控制。支持 ACCL 模式（以用戶為中心的控制訪問權(quán)限表）的數(shù)據(jù)訪問控制機(jī)制，實(shí)現(xiàn)以用戶為中心建立訪問權(quán)限表，控制用戶按照指定的方式訪問指定的數(shù)據(jù)；同時(shí)對用戶訪問過程全程記錄軌跡，并對用戶訪問行為進(jìn)行監(jiān)控。
四是加強(qiáng)數(shù)據(jù)傳輸安全。系統(tǒng)必須實(shí)現(xiàn)以下傳輸安全要求： 1.機(jī)密性要求：采用加密算法對傳輸?shù)臄?shù)據(jù)進(jìn)行加解密。2.完整性要求：采用數(shù)字簽名保證所傳輸數(shù)據(jù)不被篡改和破壞。3.可用性要求：通過格式檢查、內(nèi)容過濾機(jī)制，保證所傳輸數(shù)據(jù)可用。 4.可審查性要求：通過審計(jì)能夠滿足交換行為的可審查。
強(qiáng)化信息系統(tǒng)的終端安全措施
一是強(qiáng)化CA 身份認(rèn)證。充分利用電子政務(wù)外網(wǎng)統(tǒng)一云平臺的安全認(rèn)證基礎(chǔ)設(shè)施，加強(qiáng)身份認(rèn)證安全。
二是強(qiáng)化VPN 終端保護(hù)。利用安裝在數(shù)據(jù)中心 VPN 路由器（虛擬專用網(wǎng)絡(luò)）、防火墻等網(wǎng)絡(luò)設(shè)備上的數(shù)字證書，在傳輸過程中給訪問者創(chuàng)建一個(gè)不受外界干擾完全邏輯隔離的安全通道，確認(rèn)訪問通道的安全。
加強(qiáng)政府采購中心內(nèi)部辦公系統(tǒng)的安全措施
政府采購中心內(nèi)部辦公系統(tǒng)系政府采購中心信息系統(tǒng)一個(gè)子系統(tǒng)。一方面，政府采購中心內(nèi)部辦公系統(tǒng)提供單點(diǎn)登錄接口，單點(diǎn)進(jìn)入內(nèi)部辦公系統(tǒng)。系統(tǒng)與政務(wù)辦公系統(tǒng)賬號、密碼同步。另一方面，內(nèi)部辦公系統(tǒng)應(yīng)能夠基于不同角色的用戶管理，即按照管理員、信息發(fā)布、信息報(bào)送、信息查詢四種角色進(jìn)行角色權(quán)限的分配。支持新增用戶、修改用戶信息、刪除用戶、用戶密碼重置、用戶停用等功能，
加強(qiáng)投標(biāo)保證金系統(tǒng)的高可靠性
政府采購保證金統(tǒng)一管理平臺是政府采購信息系統(tǒng)的一個(gè)分系統(tǒng)。其安全性要求比較高，安全性原則的目的是保障該系統(tǒng)的可靠性、隔離性、以及數(shù)據(jù)庫的絕對安全。一方面，本系統(tǒng)要求提供云平臺級、系統(tǒng)級、應(yīng)用級等不同層次的、靈活的安全措施。另一方面，本系統(tǒng)能夠采取操作權(quán)限控制、密碼控制、數(shù)據(jù)加密、系統(tǒng)日志監(jiān)督等多種手段確保系統(tǒng)安全，尤其是確保核心網(wǎng)絡(luò)的安全?？傊?，該系統(tǒng)必須保證數(shù)據(jù)不被非法入侵者破壞和盜用，并保證數(shù)據(jù)的一致性是其關(guān)鍵所在，不能有任何疏忽大意。
