《密码法》已于2019年10月26日由第十三届全国人大常委会第十四次会议通过，并将于2020年1月1日起施行。该法的颁布实施，将对我国政府采购信息平台的安全建设产生极大的促进作用。本法第二条规定“本法所称密码，是指采用特定变换的方法对信息等进行加密保护、安全认证的技术、产品和服务”。各省政府采购中心建立的电子信息采购平台为提供公平、公正、公开、透明、高效的政采服务发挥了重要的作用，该平台是为国家机关、事业单位和团体组织提供政务保障服务的窗口，如果平台密码一旦被窃取而遭受攻击导致数据被篡改，服务中断，将会造成广泛而深远的社会影响，甚至威胁到国家安全。因此，政府采购信息系统的安全建设应引起高度重视，与信息平台建设同时考虑、同步落实。

 

 

    为贯彻落实好国家法律规定，应对日益严峻的网络安全形势,切实提升网络信息系统安全保障能力，确保核心业务和数据的安全，需要切实加强政府采购信息安全保障工作。考虑到信息安全工作的专业性强、知识更新换代快，而政府采购中心是一个服务性机构，缺乏信息安全方面的专业人才，应将专业的事情委托第三方专业机构来承担，以年度服务的方式定期委托第三方专业机构开展安全运维工作，具体包括：定期开展等级保护测评和风险评估，落实等保制度定期开展安全巡检，排查信息系统运行过程中此出现的安全漏洞和风险，及时采取有效的应对措施；开展实时安全监测和预警，掌握平台运行安全态势；针对出现的安全事件快速响应和处置。通过上述日常性工作，建立起常态化的信息安全保障工作机制，确保信息安全风险动态可控。

 

    重点加强采购项目的信息安全

 

    根据政府采购中心的工作实际，应该重点加强采购项目安全保护。强化数据存储、数据传输过程中的安全保密性，并对系统进行有效的安全访问控制，是政府采购中心信息系统安全的重中之重。政府采购中心信息系统应具有较强的网络身份识别能力、抵御病毒与木马侵害能力、防止黑客攻击的能力，以及系统被攻击后的应急恢复能力。实现备份和方便快捷的恢复功能，在遭到攻击或崩溃时能快速恢复，确保重要数据的机密性和完整性。系统在硬件、网络、数据库和数据、应用操作权限和身份认证（支持 CA 认证）等方面，实现全面的安全防护措施，建立健全各项安全保障制度。

 

 

    基于政府采购信息系统部署在电子政务外网云端，所以安全层面主要考虑在应用、数据二个层面，而物理、系统和网络三个层面依托于电子政务云的安全机制，确保信息系统安全。

 

    一是应用系统访问控制技术的运用。应用系统应能够控制不同用户在不同数据、不同业务环节上的查询、添加、修改、删除的权限，提供面向URL(统一资源定位符)的控制能力，提供面向 Service（服务器）的控制能力，提供面向 IP 的控制能力，提供 Session 的超时控制。Session Timeout（获取并设置在会话状态提供程序终止会话之前各请求之间所允许的时间）：通过配置指定客户连接的超时时长，在客户长时间没有操作时强制使会话失效。限制登录失败次数：限制客户在可配置的时间长度内登录失败的次数，避免客户密码遭到窃取。

 

    二是数据库系统安全。一方面，通过系统权限、数据权限、角色权限管理建立数据库系统的权限控制机制，任何业务终端禁止直接访问数据库服务器，只能够通过 Web 服务器或接口服务器进行访问数据库服务器，并设置严格的数据库访问权限。另一方面，建立完备的数据修改日志，通过安全审计记录和跟踪用户对数据库的操作，明确对数据库的安全责任。部署应用服务器和数据库服务器具备较完善的用户和权限管理机制。

 

 

    政府采购信息系统的数据安全，重点以数据备份为目标。数据备份涉及两种类型的备份内容：系统中关键应用系统及运行的操作系统的备份；系统中数据的备份。

 

    一是对于应用软件及系统软件的备份恢复，由于应用及系统软件稳定性较高，可采用一次性的全备份，以防止当系统遭到任何程度的破坏，都可以方便快速地将原来的系统恢复出来。

 

    二是对于数据的备份，由于数据的不稳定性，可分别采用定期全备份、差分备份份和增量备份的策略，来保证数据的安全。配置数据备份系统，以实现本地关键系统和重要数据的备份。

 

    三是数据访问控制。支持 ACCL 模式（以用户为中心的控制访问权限表）的数据访问控制机制，实现以用户为中心建立访问权限表，控制用户按照指定的方式访问指定的数据；同时对用户访问过程全程记录轨迹，并对用户访问行为进行监控。

 

    四是加强数据传输安全。系统必须实现以下传输安全要求： 1.机密性要求：采用加密算法对传输的数据进行加解密。2.完整性要求：采用数字签名保证所传输数据不被篡改和破坏。3.可用性要求：通过格式检查、内容过滤机制，保证所传输数据可用。 4.可审查性要求：通过审计能够满足交换行为的可审查。

 

 

    一是强化CA 身份认证。充分利用电子政务外网统一云平台的安全认证基础设施，加强身份认证安全。

 

    二是强化VPN 终端保护。利用安装在数据中心 VPN 路由器（虚拟专用网络）、防火墙等网络设备上的数字证书，在传输过程中给访问者创建一个不受外界干扰完全逻辑隔离的安全通道，确认访问通道的安全。

 

 

    政府采购中心内部办公系统系政府采购中心信息系统一个子系统。一方面，政府采购中心内部办公系统提供单点登录接口，单点进入内部办公系统。系统与政务办公系统账号、密码同步。另一方面，内部办公系统应能够基于不同角色的用户管理，即按照管理员、信息发布、信息报送、信息查询四种角色进行角色权限的分配。支持新增用户、修改用户信息、删除用户、用户密码重置、用户停用等功能，

 

    加强投标保证金系统的高可靠性

 

    政府采购保证金统一管理平台是政府采购信息系统的一个分系统。其安全性要求比较高，安全性原则的目的是保障该系统的可靠性、隔离性、以及数据库的绝对安全。一方面，本系统要求提供云平台级、系统级、应用级等不同层次的、灵活的安全措施。另一方面，本系统能够采取操作权限控制、密码控制、数据加密、系统日志监督等多种手段确保系统安全，尤其是确保核心网络的安全。总之，该系统必须保证数据不被非法入侵者破坏和盗用，并保证数据的一致性是其关键所在，不能有任何疏忽大意。