《2022年住房公积金管理信息系统安全需求分析 2.pdf》由会员分享，可在线阅读，更多相关《2022年住房公积金管理信息系统安全需求分析 2.pdf（4页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、“住房公积金管理信息系统”安全需求分析一、系统安全现状1、网上服务厅目前，住房公积金管理中心对外以网上服务厅的业务模式分别为个人用户和单位用户提供服务。 其中个人用户可以登录系统办理信息查询、业务咨询以及贷款和提取申请表打印、 表格下载等业务操作。 单位用户可以登录系统进行职工账户管理、缴存变更、汇缴等级、缴存结算、信息查询等业务操作。个人用户在登录公积金管理信息系统网上服务厅时采用用户名（身份证号）+口令的认证方式。单位用户采用安全级别较高的硬件数字证书的双因子认证方式进行身份登录认证，并结合数字签名技术来保障系统的使用安全。2、数据共享和交换目前中心因业务需要， 与下属部门或其他单位之间采
2、用专线或基于开放的互联网方式，实现了互联互通，满足了部分数据共享和交换业务需要。数据在共享和交换过程 基本没有采取安全保护措施，交换的数据基本以明文形式在互联网络中传输，而且随着中心信息化建设的深入发展，未来将不断加强与工商、质检、公安等部门之间的数据共享和交换。3、数据交换接口住房公积金管理中心通过银行提供的前置机系统实现数据交换，数据在交换过程中采用了 国际通用加密算法 实现报文的加密传输和鉴别。二、存在的安全问题1、网上服务厅存在的安全问题住房公积金管理信息系统网上服务厅存在的安全问题主要集中于个人用户业务模式，具体如下：1）公众身份可信认证问题个人用户采用了传统的“身份证号+口令”的弱
3、安全认证登录方式，由于目前各种“泄密门”事件，导致用户姓名、身份证号等个人隐私信息铺天盖地，而且用户为了便于记忆， 其密码设置往往过于简单且带有一定的规律性，易被猜测、易泄露，此外密码以明文形式在传输的过程中也易被黑客截获，因此，即使一个名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 1 页，共 4 页 - - - - - - - - - 没有任何黑客技能的用户也很容易利用网络上获得的信息，假冒合法用户登录系统进行信息查询等非法操作，给个人用户带来损失，影响用户的切身利益。2）查询数
4、据安全传输问题网上服务厅查询系统是通过HTTP协议进行信息传输， 而 HTTP是明文传输协议， 因此个人用户查询的公积金数据等敏感信息在传输过程中极易被非法用户截取和篡改， 无法保障传输数据内容的私密性和完整性，容易造成因敏感数据泄露而引发的各种纠纷。3）责任无法认定的问题非法用户窃取到合法用户的身份证号和口令后，假冒合法用户登录查询系统，进行贷款提交等恶意操作，由此产生的责任和损失无法进行有效的追溯和认定。4）数据共享和交换存在的安全问题单位之间安全互联问题采用专线模式，一是没有有效的备份网络，一旦专线出现故障，整个专线网络无法正常运行；二是专网中包含了中心的各个部门、各个组织的各类应用，对
5、于某些关键应用无法进行有效的数据保护，数据在专网传输中也存在信息泄露和被篡改的安全风险； 三是采用专线模式， 必须完全信任第三方提供的服务，安全性无法自主掌控。采用开放的互联网方式， 数据暴露在开放的网络上， 在传输过程中易被黑客截取和篡改，无法保证数据的私密性和完整性， 互联的安全性无法得到有效保障。数据安全共享和交换公积金管理中心与其他业务部门、单位进行数据共享和交换时， 虽然采用了专线方式在一定程度上确保了数据的传输安全，但是数据共享和交换过程中仍存在以下安全问题：部门之间身份可信认证问题目前的数据共享和交换过程采用服务器对服务器的交互模式，以明文方式存储、传送的用户名和口令存在被截获、
6、破译等诸多安全隐患，并且不便于日常维护， 请求指令很有可能被伪造或假冒， 响应方无法有效确认请求方的身份。 同样，请求发起方也无法对数据响应方的身份进行有效认证，从而无法辨别所交换数据的真伪。名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 2 页，共 4 页 - - - - - - - - - 交换过程的数据可信问题虽然专线保证了数据不会泄露到互联网，但是也有可能遭受专网内的恶意人员等的攻击，数据在共享和交换过程中仍存在被篡改和泄露的风险。数据交换行为可信问题相关部门在办理业务过程中
7、， 无法对各方提供数据的行为保留有效的行为证据，当出现因数据不准确等问题引发的纠纷事件时，无法进行有效的责任追溯和认定，导致部门之间相互推卸责任，影响业务正常、有序开展。数据交换接口存在的问题随着密码技术和计算技术的发展，国外 1024 位 RSA 、DES等算法正面临严重的安全威胁， 数据交换过程存在信息泄露的风险。由于密码技术是金融信息安全的核心技术，采用国外密码算法体系无法实现国家金融信息安全的自主可控， 无法满足国家相关部门对金融领域密码应用的相关政策和标准要求。三、安全需求分析总结通过以上安全问题分析， 山东渔翁信息技术股份有限公司对住房公积金管理信息系统安全需求总结如下：1、公众身
8、份可信认证需求针对公众查询业务， 需要通过颁发的数字证书对个人用户进行可信身份认证，替代传统的“身份证号+口令”的弱登录认证方式，确保公积金个人用户身份的真实性、唯一性，防止身份假冒。2、查询数据安全传输需求渔翁信息采用国家密码管理局审批的国产密码算法对公积金查询系统传输的数据进行加密保护， 确保个人用户的姓名、 身份证号及公积金数据等敏感信息在传输过程中的私密性和完整性，防止信息被非法窃取和篡改。3、单位安全互联需求对采用专线的互联单位构建安全备份网络；对基于互联网互联的单位建设安全加密虚拟专网， 确保数据基于互联网传输时的安全性。住房公积金管理中心可以自主设置安全策略， 全方位掌握整个网络
9、的安全状况，同时便于后期专网的快速扩展。4、数据安全共享和交换需求名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 3 页，共 4 页 - - - - - - - - - 中心与银行系统之间的数据交换应满足金融行业对国产密码算法的要求，即采用国密 SM2 、SM3 、SM4算法对中心的归集、 贷款等系统生成的数据进行加密保护，确保数据的私密性和完整性， 从而实现银行生产系统和公积金管理信息系统间的数据安全交换。（完）名师资料总结 - - -精品资料欢迎下载 - - - - - - - - - - - - - - - - - - 名师精心整理 - - - - - - - 第 4 页，共 4 页 - - - - - - - - -