技术干货 | 浅谈政务数据交换服务平台基础架构 用户统一身份安全管理平台的构建

随着国家的信息化发展战略的铺开，各级各部门的政务信息化建设显得尤为重要。政府行业信息化从最初的办公自动化开始，需要逐步实现各职能部门及各行政单位之间的电子化、网络化和集中化，但是，传统电子政务面临着办公服务效率低、项目建设周期长、资源利用率低、信息安全难保障等种种挑战。围绕社会和公众的需求持续创新，以开放共享、敏捷高效、安全可靠的政务信息化解决方案助力政府提升行政效率、推动公共服务创新、促进经济增长和社会公平，建立基础数据安全共享的平台能够进一步完善政府部门的信息化建设，建成标准规范、相互协同的业务管理信息系统，最终实现各部门和协作单位之间的信息互通互联，从而实现“让数据多跑路，百姓少跑腿”的业务目标，提高政府部门整体管理水平和集中办公的效率，为政府职能由管理型向服务型的转变提供重要的信息化转型能力和技术支持。

随着“政务+互联网”的推进，各级政府部门在信息化建设方面的投入越来越多，也越来越依赖各种如电子邮件系统、网络办公、电子财务、人事管理，以及与政府部门特定职能相关的业务系统等。所有这些系统都牵涉到众多用户账号的管理，少则以十计，多则以万计，不同系统下账户的创建、分配、重设、注销可能是电子政务信息系统管理部门日常工作的一个重要组成部分。另一方面，系统用户需要随时使用自己的账号信息访问上述系统，并在多套系统之间切换。

主要呈现出以下需求特征：

为了加强安全性，保护各项信息资源，信息管理部门不得不依赖设置复杂的密码，并频繁地更换密码，因此账户管理及系统维护的成本不断增加。同时由于用户忘记密码，信息管理部门需要分配相当的人力和工时进行处理。

多套系统账号密码，多个系统间来回切换重复登录，同时用户需要配合电子政务的安全规章制度管理自己的账户信息，这些规章制度和安全策略由于对用户要求过高，实际上会流于形式。

应用千差万别，很多都是根据电子政务自身的要求而开发的，或者是在电子政务发展的不同历史时期部署的，部署系统的时候还没有统一身份认证的考虑。因此对于存量的原有系统，在对接时往往面临着改造困难的问题。

政务信息发展处于政务云、政务外网及政务内网多网络环境交织的阶段，政务外网区域数据流通过政务外网出口区、安全控制区、核心交换区到达政务外网接入业务应用网络；互联网区域数据流通过流量清洗区、互联网出口区、安全控制区到达互联网接入业务应用网络。对于没有政务外网网络的有关部门，利用专线接入的方式接入到政务外网区域。因此，用户接入访问安全带来极大的挑战。

近年来随着各地政府陆续投入建设基于政务数据打通，实现市级、省级到中央的政务数据共享交换中心，数据共享服务能力产生了大量的数据接口API，这些API的安全访问与权限控制同样与核心受管的“人员”一样面临着安全管理问题。

分散的管理，“烟囱”式的系统建设，使得用户层面、法人组织机构层面的数据分散在不同系统，出现违规操作，很难追溯并定位到出现问题的法人单位及具体用户。

针对上述问题与痛点，结合国家层面法律法规，例如《网络安全法》、《信息安全等级保护条例2.0》，以及国家信息中心、国家电子政务外网管理中心对政务数据共享平台接入的安全控制规范要求，建立可信数字身份的统一安全管理平台，作为政务数据交换平台的安全基础架构。

? 平台建设目标

? 安全管理功能

? 平台整体逻辑架构

? 实施步骤：

1）集中统一用户管理

政务系统的用户数据梳理、数据归集、依据政务机关单位及职能的分类定义，形成集中统一的用户、法人单位、岗位信息主数据。

2） 构建基于身份信息的自动化流程，简化管理，提高效率

基于策略的自动创建，实现用户自动化的入转调离所涉及的权限变更，通过RBAC角色化实现自动权限分配

3）安全分区与隔离策略

● 网络区分，隔离

● 不同用户访问隔离

● 强化特权访问控制

4）安全认证集成

针对用户使用效率问题，以及满足电子政务安全监管中的密码安全问题，采用生物认证技术，保障用户即安全又便捷的登录模式，从而解决复杂密码维护的低价值问题。

基于“零信任网络架构”理念，构建持续动态的安全访问控制，解决政务外网、内网环境下的交叉访问安全问题。身份的实体并不仅仅局限于自然人，政务数据共享交换服务能力中的API接口的服务方与消费方均作为身份验证的“实体”，“实体”包含了人、服务、设备。针对API安全需要采用带有认证功能的API网关与统一身份安全管理平台集成，确保每个API服务的安全访问。

持续动态风险控制，利用大数据技术和AI算法，结合全面的身份“实体”数据，通过用户行为分析、访问途径上下文、设备指纹/FaceID建立风险引擎，引入风险模型算法，根据用户访问习惯、特征判别风险等级，智能化身份识别验证。

5）全面安全审计内容的定义

■ 用户集中管理

1、减少的重复建设用户管理的过程

2、实现用户和密码策略统一

3、实现用户全生命周期管理

■ 智能安全认证

1.提供统一安全访问入口，统一认证

2.结合生物识别技术，简化用户操作，提升用户体验与安全性

■ 降低信息化运维成本

1.线上流程的自动化授权，减少信息化部门日常运维工作量

2.通过梳理，清除系统中冗余的“僵尸”账号

■ 360度全方位安全审计

1.审计账号使用情况，减少资源浪费

2.风险审计可视化，提高系统安全性

3.满足国家层面等保、合规要求