今年8月份，济源市委书记周春艳因公去欧洲出差，走时她带上了笔记本电脑和自己的电子钥匙，在北京首都机场候机时，她利用互联网登陆上了济源之窗电子政务网站，打开了政务网络的平台，继续她忙碌的公务处理。到了英国后，在酒店，她接入了国内的电子政务网，开始她还有些担心和怀疑，但她非常惊奇地发现，她不仅打开了济源的电子政务平台，并且看了市领导当周的工作活动安排，当她发现某个安排有问题时，她马上通过这一个政务平台给有关人员回了一个消息，让他对这个方案做补充和完善，就好像在济源本地一样。真正的移动电子政务办公就这样在异国他乡安全地实现了，这可谓是当今中国政府工作方式改变的一个创举。事实上，周春艳书记利用的电子政务平台是济源市借国信办在济源市开展电子政务信息安全试点之机建设起来的基于互联网的电子政务平台。
由于是基于不同的电子政务模式，所以四个试点在信息安全的方法上也各有特点。
河南省济源市在电子政务网络的建设中，包括信息安全的建设中，没有拉一条专线，没有建一个专网，完全是基于互联网的，这也是此次试点中的一个新的尝试。“但由于互联网的安全风险隐患重大，所以在对待安全的问题上就更不能有一丝松懈，”河南省信息办主任苏福功表示，“河南济源试点明确规定了涉密信息坚决不能上网，并通过综合运用以密码技术为基础的信息安全技术，合理配置信息安全设备。通过采用商用密码技术和VPN技术，合理配置具有防火墙功能的、不同档次的VPN安全网关和VPN客户端，实现相互连通和信息共享。在政务网络安全互联的基础上，通过采用统一身份认证、统一授权管理和访问控制等安全机制，结合应用系统的工作流访问控制，解决了政务办公系统的信息传输安全、身份鉴别、系统使用权限控制与信息访问权限控制等安全问题。”
10月16日，国务院信息化工作办公室在河南省济源市召开了“电子政务信息安全试点总结暨现场交流会”，对从2005年10月份开始的电子政务信息安全试点进行了全面的总结。与会领导和专家一致认为，这次试点工作非常及时、非常必要，试点工作取得了成功，取得的经验值得推广。
国务院信息化工作办公室曲维枝常务副主任充分肯定了各试点的工作：“这次电子政务信息安全试点针对电子政务信息安全保障中的一些重大问题进行了认真探索，各试点都摸索出了一些非常有价值的经验，试点取得了圆满的成功。”
国务院信息化工作办公室网络与信息安全组王渝次司长表示，“电子政务是我们的祖国信息化建设的重点，是国家信息化建设的龙头，而随着信息化建设、电子政务建设的推进，信息安全的问题日渐突出，解决信息安全问题日渐迫切。未解决电子政务信息安全这一个迫切地需要解决的问题，国信办领导很看重，组织进行了此次试点，试点工作的意义重大。”
对电子政务信息安全工作采取试点的方式源自国家对电子政务的重视以及电子政务安全是一个新兴的课题，需要在不断的实践中摸索经验，才能真正的完成电子政务信息安全。
我国改革开放和社会主义现代化建设的进一步推进，电子政务建设已经广泛开展，20世纪90年代初，国务院有关部门相继建设了一批业务系统，“金关”和“金税”工程都取得很明显的成效，办公自动化、政务信息化也取得较大成绩。但从总体上看，电子政务建设存在着很多问题：网络建设各自为政，重复建设；业务系统水平低，应用和服务领域窄；信息资源开发利用滞后，相互连通不畅，共享程度低；标准不统一，安全风险隐患的问题更是严重。
进入21世纪，电子政务的建设慢慢的变成了今后一个时期我国信息化工作的重点，政府先行，带动国民经济与社会持续健康发展信息化，同时加快政府职能的转变，提高行政质量和效率，增强政府监管和服务能力，促进社会监督，实施信息化带动工业化的发展的策略，因此，电子政务意义重大，电子政务的信息安全更是重中之中。
“电子政务信息安全关系到国家的安全、社会的稳定，是电子政务建设中的最要紧的麻烦，如果处理不好，甚至会影响到电子政务建设。”国信办专家曲成义表示。
正因为如此，今年在中办下发的《国家信息化领导小组关于推进国家电子政务网络建设的意见》（简称[2006]18号文件）中，将电子政务安全建设，作为电子政务建设的四项重要任务之一。
为此，为了深入探索总结不同模式下的电子政务的信息安全保障方法，探讨解决电子政务信息安全建设和管理中出现的一些共性问题，2005年10月，国信办下发了《关于开展电子政务信息安全试点的通知》，决定在广东、河南、天津、重庆四个省市开展电子政务信息安全试点工作。
对于此次试点工作，国信办以及接到试点工作任务的各省市信息办领导都格外的重视，国信办专家组先后多次到试点地区进行调研，最终圆满完成了试点目标。
在选择试点单位时，国信办广泛征求专家和各方面的意见，最终根据各地电子政务的不同特点，选择了四个各具代表性的地区和网络结构，以便有明确的目的性地察觉缺陷并处理问题，形成经验后，最终全面推广。
河南是基于互联网的集政务办公与公众服务为一体的电子政务信息共享与安全模式互动的互联网的服务模式；广东主要是探索全省省、市、县（区）三级电子政务系统的信息共享与相互连通问题以及等级保护在电子政务信息安全建设过程中的可操作性；天津是构建基于市电子政务专网统一的网络信息保障体系，在系统当中解决信息交互的畅通和安全问题，保障专网上各大机关电子业务安全；重庆是建立了数据大集中模式下的电子政务信息安全保障体系和垂直行业系统的安全管理模式。
与河南济源基于互联网的模式不同，天津试点是建立在天津市电子政务专网上的，将电子政务专网与涉密网物理隔离。“我们将市政府办公厅基于专网开展的国办政府办公业务网（机密级）从此次试点的系统中剥离出去，同时，对天津新技术产业园的与互联网逻辑隔离的网络做改造，将其电子政务部分单独建设成园区电子政务系统，与互联网物理隔离，并且与专网对接，这样就形成了真正的电子政务专网。”天津信息化办公室副主任余学林说，“而在信息安全建设中则强调等级保护制度，运用风险评估的方法，坚持技术与管理并重，并最终实现了统一网络站点平台上三个不同安全级别信息系统之间的互联互通。”
重庆则针对电子政务数据大集中的模式，在重庆工商局和重庆市涪陵区建立了电子政务信息安全保障体系。“我们在试点过程中，总结了一套系统工程实施的方法，这样的解决方法是由‘三分析一筛选’和‘123Y立方’的方法组成。”重庆信息产业局副局长郭坚说。具体而言，对于同属数据大集中模式下的很多类型的电子政务系统，很可能处于不同的发展阶段，“三分析一筛选”的方法就为了区分同属数据大集中模式，但处于不同发展阶段的电子政务系统，主要方法是“依次分析数据特征、业务特征和应用需求，然后筛选安全保障措施”。而将信息安全风险评估的三个流程“资产识别”、“安全威胁分析”和“系统脆弱性评估”与电子政务信息安全等级保护的三个阶段“进行定级”、“规划与设计”和“实施、验证与运维”进行嫁接，就是“123Y立方”的方法。
广东省的电子政务的基础网络建设比较好，这次试点强调是省市县电子政务系统的信息共享与相互连通，但如果要在区县级以下推广电子政务就不是仅在专网而要利用互联网了。“因为要接入互联网，所以进行了严谨的风险评估，并采用了在统一的互联网入口部署IPSECVPN或者SSLVPN实现安全接入，同时对接入系统的边界采用深度隔离和复杂访问控制策略等多种措施，用以控制接入的风险。”广东省信息产业厅副厅长邹生说，“比如江门市就加强了市直各部门统一互联网出口的安全，而江门市政府网上行政服务系统在安全部署方面使用了数字证书、用户名\口令对用户身份做鉴别。”
国信办有关专家在会上发言表示：“试点只是探索电子政务信息安全建设的一种方式，为将来在全国的推广积累经验，所以我们不能为了试点而试点，更不能为完成任务而是试点，而应该是依据自己的真实的情况出发建设自己的电子政务及信息安全系统。”
正确的做法是应该以实际应用为导向，一切从应用出发。电子政务建设的起点不是规划和设计的具体方案，而是行政审批制度改革的工具，是政府管理体制改革的需要，应该是要说明就设什么，要说明就使用什么。
信息安全建设更是如此，在对待安全的问题上，有的人认为安全问题非常的可怕，在面对电子政务的信息安全的建设上畏首畏尾；也有人抱着无知者无畏的态度一直向前冲。“事实上这两种态度都是不行的，”国务院信息化工作办公室网络与信息安全组组长王渝次司长表示，“在进行电子政务信息安全保护的设计时，更应该从应用出发，从实际出发，从科学的方面出发，充分考虑到现有的安全保护基础，合理规划利用现有的安全设备，做到适度保护，而不是过保护，这样既能够完全满足安全的需求也能节约投入。”
事实上，安全只是应用的保障，安全是为应用服务的，并不是安全措施越多越好，不能为了安全而安全，应该根据系统的安全等级采用适度安全，通过综合防范，构建有效的安全体系，使电子政务既安全又好用。
现在信息安全方面存在着很多隐患，尤其如果是基于互联网来做的电子政务系统，那么风险则更大。但是我们大家可以在综合考虑系统的风险、需求与保护成本的前提下，增加必要的技术方法，通过安全等级和安全域的划分，对不一样的等级信息系统和安全域的安全保护采取管理与技术相结合的手段，实现适度的安全保障，提高信息系统的整体防御能力。
所以，“信息安全等级保护是电子政务安全建设中的重点。”公安部十一局副局长赵林说。等级保护不但在电子政务信息安全建设中不可或缺，更可以推动电子政务信息共享和相互连通：按照等级保护的方法，将不同重要程度的电子政务系统区别划分不一样的等级的安全域，分别制定适度的安全保护措施，并按照高等级系统的安全要求确定相互连通边界保护的方法，从而形成信息共享和互联互通。
不同的电子政务应用系统的安全等级不同，同一电子政务系统应用系统中的信息等级也有高有低，一旦被破坏后的影响也是不完全一样的，所以从实际出发，综合平衡安全成本和风险，实施分级分域的等级保护是必要的选择。
河南在济源的试点中，在坚持适度安全综合防范的基础上，构建了一体化基于互联网电子政务分级防护的安全保障体系，深人的探索等级保护的实用性和可行性。济源采用了“等级保护、分域防护”，把安全办公与开放服务有机的统一起来，在风险分析的前提下合理定级，并进行了分域防控和分级防护，并坚持物理分域与逻辑分域相结合、网络控制与应用控制相结合、系统分级与数据分级相结合、用户分级与信息分级相结合。
而又该怎么样作好等级保护呢？这也是这次几家试点在要探索的重要问题。参加会议的专家表示，首先，系统定级是实施等级保护的前提，济源的经验是简单、实用的表格化定级方法，这样把系统识别、信息资产安全属性分析、信息系统定级等复杂的安全需求分析和定级工作变为了简单的、可操作的表格填写，发放调查表，对系统和信息进行属性分析、风险分析，合理的确定安全等级。
然后就是分级分域的防护，由于济源是基于互联网的电子政务网络，与在专网上建立的安全体系不太相同，安全风险隐患更加多而复杂，所以在风险分析中就面临了更大的和更严峻的挑战。所以针对互联网带来的这些风险，济源将电子政务应用系统在分域上，将其分为了公开信息处理区和敏感信息处理区，根据其不同的特点分别进行防护；而在分级防护方面，将信息分为了完全公开、内部公开和内部受控三类，也是根据不同类别的不同特点采取不同的安全措施。
而广东是在电子政务网络比较完备的基础上建立的电子政务信息安全系统，与互联网所面临的风险可能不大相同。不过它也同样面临着各电子政务网络之间的安全需求存在一定的差异的问题，比如政务系统与业务系统，公开系统与内部系统，省级系统与区县系统都存在着差异。
所以，只有首先了解了电子政务的特点和不同系统之间的差异才能对系统来进行分级防护，并更好的使得总系统在安全下实现信息共享与相互连通。广东的经验是电子政务系统的定级规则应该细化，不同业务系统、不一样的区域和不同的信息化发展水平的定级规则应该不一样，并探索出了框架式的分类方法，这样就既能总结类似系统的特点、简化分析过程和分析结果，从而利用系统定级，又能够尽可能的防止分类过于复杂、定级规则过多。
同样，在系统定级的基础上，安全域的划分对于等级保护也是起到至关重要的基础作用。广东省提出了安全域要求与系统等级相对应的原则，并开发了定级软件系统，只要按照软件导航的操作的过程，进行内容输入或者可选项选择就能够实现系统的定级。
不同的风险状况对于等级保护的要求和方法可能都是不同的，而等级保护与风险评估有哪些内在联系呢？
此次，重庆市试点工作的创新点就是针对风险评估与等级保护的内在联系，强化了业务的重要性、安全危机验证的重要性，以及系统评估对总系统的影响的重要性，具体体现在下面几个维度：第一个在评估过程中，将重心放在业务上，这样就为下一步系统来进行升级打下了基础；第二是，评估中不仅仅要对安全漏洞进行的改进，重要的要逐步验证安全漏洞所产生的危机，进一步形成有明确的目的性安全解决方案和技术数据；第三，在评估中，也要考虑系统与服务器中断后对整个电子政务运行环境的影响。在具体实施的过程中，重庆两家试点制定了分期、分批实现的计划，利用风险评估的方法，是试点单位真正抵达安全风险可控的要求。
当然分级保护只是在技术上让电子政务系统更安全，而技术不是万能的，技术与管理的并重才能事半功倍。在试点工作结束后，可能要面临的就是试点经验的推广，因此，技术与管理的结合则显得更为重要，而从自身的应用出发，建设符合自己的电子政务及信息安全保障体系是各地电子政务建设中需要做的。
经验共享：4个地区电子政务网络情况各异，所实现的应用和面对的服务人群完全不同，因此，采取的信息安全保护的方法和重点也不可能一样。但他们在电子政务中具有典型代表意义，其经验值得借鉴。河南：基于互联网的电子政务安全
河南省济源市辖8镇4乡4个街道办事处，整体规模较小，每年传递的涉密信息不到信息总量的3％，根据这一特点，如果专门建设电子政务网络的话，不仅投资大、覆盖面小，而且与电子政务建设的初衷相违背。
所以，济源根据其信息化基础设施较好的特点，积极利用互联网资源进行了电子政务建设，这样既能节约资源、节省成本，又提高了服务的覆盖面，并最终探索出了一条基于互联网的电子政务信息安全保障的新路线，为全国电子政务的推广提供的很好的经验。
不过，我们毋庸置疑，互联网作为一个开放的网络环境，在安全方面确实存在着先天不足，存在着诸多的隐患，基于互联网的电子政务建设面临着政务信息失泄密、非法篡改、身份假冒等安全威胁。所以济源在电子政务建设中，格外的重视信息安全的问题，明确规定涉密信息不能上网，而且通过密码技术来保证基于互联网的电子政务的信息安全。
虽然济源在电子政务网络的建设中，包括信息安全的建设中，都没有拉一条专线，没有建一个专网，完全是基于互联网，但他们通过采用商用密码技术和VPN技术，合理配置了具有防火墙功能的、不同档次的VPN安全网关和VPN客户端，实现了整个网络在安全性能条件下的互联互通和信息共享。
由于完全是基于互联网的电子政务，安全变得至关重要，但是，保障信息安全并不是安全措施越多越好，不能为了安全而安全，而是应该根据系统安全等级采用适度的安全措施，更重要的是从实际应用出发，保证适度安全，使电子政务系统能够既安全又好用。
济源同样选择了等级保护的方法，把安全办公与开放服务有机的统一起来，在风险分析的前提下合理定级，并进行了分域防控和分级防护。
同样是由于基于互联网，安全风险隐患多而复杂，所以在风险分析中就面临了更大的和更严峻的挑战。作为政府政务办公的“内部”网和面向公众开放服务的“外部”网都是在网络上的，网络上的身份假冒、口令窃取等威胁很大，所以身份鉴别是网络安全的基础；存储或传输的信息在网络上容易被窃取或篡改，所以涉密信息坚决不能上网；系统遭到攻击的风险很大，所以必须提高抗攻击的能力；网络上病毒传播和扩散很大，所以要防止其影响到终端与服务器的正常运行。
针对由于互联网带来的这些风险，济源将电子政务应用系统和信息分为了公开信息处理区和敏感信息处理区，根据其不同的特点分别进行防护。比如，公开信息处理区主要是面向广大公众的服务系统和完全公开的信息，由于广大互联网用户都可以访问，所以就要采取网页防篡改措施。
而在分级防护方面，将信息分为了完全公开、内部公开和内部受控三类，也是根据不同类别的不同特点采取不同的安全措施。比如对于在网络上完全公开的信息，用户就无须身份认证、加密传输就能直接访问；而对于内部公开信息就是使用了商用密码进行传输加密，政务人员要通过口令进行身份认证后才能访问。
当然作为基于互联网开展电子政务的唯一一家试点单位，济源进行了一些有益的尝试，也取得了初步的成效，但要逐步拓展服务模式、扩大应用限制范围、提升服务质量，甚至是在全国进行推广，都还有非常长的路要走。
中国信息协会第七届会员代表大会暨第七届理事会第一次会议在京召开 王金平当选中国信息协会会长