關於悠悠影院 |  悠悠影院 |  郵箱登錄

電子招標投標係統安全風險分析及應對措施
作者:許程亮,中國招標公共服務平台    發布於:2018-04-12 08:49:18    文字:【】【】【

編者:電子招標投標係統作為電子政務的重要組成部分,需要確保電子招標投標過程的安全性,而係統內的招標投標主體的數據信息和招標投標過程中產生的重要數據信息容易成為互聯網的非法攻擊目標,文章提出,應從信息技術和管理製度兩個方向入手,建立一個完整的安全防禦體係。通過必要的安全架構、技術和安全管理製度,做到事前防範和事後的風險控製。


隨著《網絡安全法》的正式頒布和實施,網絡安全問題已經上升到國家層麵。電子招標投標係統作為電子政務的重要組成部分,需要確保電子招標投標過程的安全性,而係統內的招標投標主體的數據信息和招標投標過程中產生的重要數據信息容易成為互聯網的非法攻擊目標,如何將安全防護工作落到實處,在當前形勢下尤為迫切。

中國招標公共服務平台已經與200多家電子招標投標交易平台實施了數據對接,在與交易平台溝通業務的過程中,很多交易平台表達了在安全建設過程中的困惑,部分交易平台的安全防護建設現狀令人擔憂。為此,平台公司組織了安全專家就電子招標投標平台的安全問題進行了專項研究,本文將結合電子招標投標全流程和大家分享這方麵的經驗。

電子招標投標全流程的主要節點分為招標、投標、開標、評標、定標五個主要階段,其中招標公告信息中招標內容和資格條件的確認、確保投標單位信息的保密、評標專家的抽取和名單的保密、投標文件內容的防竊取與防篡改、開標環節的防解密失敗、評標過程中的防泄密和評標結果防篡改是電子招標投標工作中的重點安全問題,總結五大環節中需要解決的風險點,主要可以歸為六類問題,即:電子招標投標用戶的身份確認問題、投標報名階段投標人的名單泄露風險、專家抽取環節專家名單的泄露風險、投標文件的防竊取和防篡改問題、開標環節的防解密失敗風險以及評委評標過程的防泄密和評標結果的防篡改問題。

針對以上需要解決的風險和問題,悠悠影院需要從信息技術和管理製度兩個方向入手,建立一個完整的安全防禦體係。通過必要的安全架構、技術和安全管理製度,做到事前防範和事後的風險控製。

一、信息技術安全

(一)信息操作者(主體)的身份合法性

1.身份標識與鑒別

在《電子招標投標係統技術規範》中要求應對招標人、招標代理機構、投標人、評標專家等登錄用戶進行身份標識與鑒別,並提供身份標識唯一性檢查功能。應采用以下措施,確保用戶身份不易被冒用:

(1)提供鑒別信息複雜度檢查功能。比如係統登錄用戶的密碼複雜度檢測,要有密碼強度提示。

(2)對身份標識與鑒別異常提供保護措施。比如在係統登錄失敗多次後,應自動鎖定賬戶,再通過其他認證手段進行解鎖。

(3)使用CA數字證書對交易主體的身份進行標識與鑒別。需要進行身份標識與鑒別的電子招標投標交易行為包括:遞交資格預審申請文件、遞交投標文件、遞交投標保證金、撤回投標文件、確認開標記錄、遞交回執、發出中標通知書、簽訂合同(協議書)等需要招標投標主體承擔相應法律責任的電子招標投標行為。

(4)采用兩種或兩種以上上述措施進行組合鑒別技術。

2.電子簽名

通過電子簽名來確保電子招標投標文件的完整性和不可抵賴性。電子簽名使用的數字證書應采用合法的CA機構頒發的證書,提供按照國家授時中心的標準時間源對需要電子簽名的文件生成時間戳的功能。

應使用電子簽名的文件包括:招標公告(資格預審公告)、投標邀請書、資格預審文件(澄清和修改)、資格預審申請文件(澄清和修改)、資格審查報告、招標文件(澄清和修改)、投標文件(補充、修改、撤回、澄清)、開標記錄、評標報告、中標通知書、合同(協議書)及相關文件的簽收回執等具有法律約束力的文件。

(二)信息傳輸過程的安全性

對於招標投標的信息傳輸,一是使用SSL協議進行通道加密傳輸,同時使用公開密鑰體質和數字證書技術保護信息傳輸的機密性;二是對於投標單位名單、評委名單、評標結果等敏感數據采用自定義的加密技術。《電子招標投標係統技術規範》中對於數據接口的安全要求有具體規定,在傳輸的接入點實施網絡邊界安全控製, 接口的安全控製應包括:安全評估、訪問控製、入侵檢測、口令認證、安全審計、防惡意代碼、加密等內容。

數據接口訪問應進行雙方身份安全認證,確保接口訪問的安全性。比如在和國家公共服務平台數據接口進行傳輸時,首先采用雙方白名單互認機製,指定IP才能訪問和調用接口,傳輸前先進行身份驗證確認,再進行數據傳輸,從交易平台到國家公共平台的傳輸通道采用SSL協議加密。

(三)信息存儲環節的安全性

采用加密或其他保護措施確保重要數據存儲的保密性。對於投標人的名單、評標專家名單、評標結果等數據,要進行加密存儲,避免能夠接觸到後台數據庫的運維人員在數據庫上直接拷貝或修改數據。

由於服務器係統是24小時不間斷運行,單個部件發生故障的概率很高,特別是存儲係統中的磁盤,存儲冗餘一般至少構建RAID5係統,也可以考慮將服務器資源及存儲資源進行雲托管,進一步保障服務的穩定性。現在很多地方的公共資源交易平台就是依托第三方提供的政務雲建設的。

(四)數據的備份

根據製定的備份策略,定期備份數據庫和係統重要的數據文件,以便在故障或災難的情況下恢複信息。

要選擇合適的備份地點和備份方法,有條件的應當同時進行異地備份。在備份方法上,全數據備份是對所有選擇備份的數據進行備份。全數據備份比其他備份方式需要更多的時間和數據存儲容量,但它是數據恢複最簡單和最容易的方法。增量備份是對上次備份後所有發生變化的數據進行備份。增量備份比其他方法需要更少的時間和數據存儲容量,但它的數據恢複方式最複雜。差異備份對上一次全數據備份發生變化的數據進行備份。它比全數據備份需要更少的時間和數據存儲容量,比增量備份對數據的恢複更簡單和更容易。一般根據自身係統數據量的大小和存儲設備的難易製定策略,不同備份策略都要兼顧到。

(五)日誌記錄體係的全麵性

在業務流程中要記錄電子招標投標全過程關於事項辦理、審批流轉、數據修改所產生的記錄以及記錄的時間點,都需要完整地保存在係統裏。

對於係統版本發布更新、係統文件的替換修改、數據庫文件的還原恢複等針對係統的操作,要經過技術管理流程的審批和記錄。對於係統後台的所有管理行為記錄,也需要完整地記錄在日誌裏,以備日後的監督和審計。實際操作中,後台的操作日誌記錄往往是被很多係統所忽略的。對於生產係統的運維管理操作,可以使用堡壘機進行操作審計和記錄;對於數據庫的管理,可以通過數據庫審計係統,監視和分析對數據庫服務器的各類操作行為,並記入審計數據庫中集中進行管理。

(六)安全審計管理

安全審計管理應滿足以下要求:

(1)應提供安全審計功能。安全審計範圍應覆蓋係統中的每個用戶及係統中的所有重要安全事件,如登錄事件、關鍵數據變更等。

(2)審計記錄的內容應包括事件的日期、時間、發起者信息、類型、描述和結果等。

(3)應提供審計記錄數據的查詢、統計、分析功能。

(4)安全審計人員不能同時兼任係統管理員。

(5)安全審計係統設備宜獨立部署,以確保數據不被篡改。

(七)硬件係統及網絡的可靠性

不能在互聯網上直接開放運維管理後台和主機的登錄入口,可以采用VPN通道的方式強化網絡安全,同時采用抗DDoS攻擊係統、網頁防篡改保護係統、WAF防火牆、IPS入侵防護係統、數據泄露防護係統等為係統提供安全檢測防護。采用防病毒網關或殺毒軟件防病毒,並定期查殺病毒。定期對操作係統進行漏洞掃描,及時安裝係統補丁,防範安全漏洞。

由於安全防護的投入成本較高,中小型交易平台在實施時由於成本壓力造成實施困難,可以采用諸如UTM、下一代防火牆之類的集成多功能的一體化產品來降低實施成本。

對於生產環境,要按照等級保護的要求劃分安全區域,需要對外提供服務的web服務、應用程序、接口等部署在外網區,係統的數據庫和其他重要的數據文件存儲應在內網區域,互聯網不能直接訪問,區域之間要用防火牆作邊界隔離。

(八)係統安全風險測評

要對係統的源代碼做安全審查。由於開發人員的水平和經驗問題,源代碼當中通常會存在一些安全漏洞和安全風險,在互聯網上容易被攻擊者利用,源代碼審查要從源頭上發現這些漏洞並進行安全整改。

係統的安全檢測,包括係統漏洞掃描、用戶身份鑒別、抗抵賴、訪問控製、數據的完整性、保密性檢查,數據備份與恢複檢查等檢測內容。

還可以做本地、遠程、網絡三個不同層級的滲透測試,模擬演練發生攻擊的情況,通過滲透測試對網站進行深度檢測,發現和挖掘係統中存在的漏洞。

二、管理流程和製度

《公共資源交易管理辦法》中沒有對信息安全做相關的規定,但是在《電子招標投標辦法》第十二條和第十三條中做出了相關規定。

(一)評標專家抽取的保密性控製

專家抽取環節最擔心的問題是名單泄露,在統一的評標專家隨機抽取係統建設中,主要有以下幾個措施:

(1)通知階段引用電話語音通知,隨機雙盲,“電腦隨機抽取—語音自動通知—短信發送確認”的流程。

(2)抽取過程應采用“語音+錄像監控”的方法抽取評標專家時,應有招標人代表、監督部門監督人員同時在場。

(3)目前有很多種專家抽取結果通知的方式,但普遍采用的是密封打印。開標結束後打印,在到達評標時間後,由監督人員查驗密封情況後拆封。還有一些專家庫的做法是到達評標時間後,傳真專家名單到評標現場。

比較先進的做法是評標區安裝監控和門禁係統,專家簽到係統在評標前共享評標專家抽取信息和專家的指紋信息,專家驗證指紋進場,並自動提示專家進入哪間評標室評什麽標。監督人員可以在另外的房間通過視頻監控係統全程監督,並保留評標過程的影音資料。

4.候選專家資源人數要在抽取係統中有一個比例限製,要確保候選專家資源充足。

(二)投標文件的加密和解密

投標人製作投標文件後采用CA加密,開標時用CA解密,杜絕過程中的信息泄露。交易平台普遍采用兩種解密模式:交易中心集中解密和投標人分別參與解密。

采用集中解密的方式,存在安全風險。文件上傳到交易平台後,可能會發生係統管理員非法提前解密,需要通過管理製度加強技術安全管理,以保證投標文件不被提前解密,控製風險。

投標人參與解密模式,由於投標人網絡、電腦等環境因素,存在解密失敗風險,且責任不易認定。國家公共服務平台提供開標保障服務,在投標文件解密失敗後,投標人使用國家公共服務平台提供的開標保障服務,可以及時補救,完成解密操作。

(三)信息訪問權限的嚴格控製

1.嚴格分離係統開發權和係統管理權

等級保護製度對於軟件的部署環境劃分為測試環境、預生產環境和生產環境。軟件開發人員負責軟件程序的開發和後期修改,他們隻能夠訪問測試環境,不能擁有生產環境的訪問權限。要製定版本發布流程,對於係統的版本發布和更新要經過功能、性能和安全性的測試,測試通過後由運維人員在預生產環境發布,預生產環境試運行通過後,再發布到正式環境,嚴格禁止開發人員接觸到生產環境。

2.采用最小化原則,設定係統使用各方的權限

按角色劃分係統權限,招標方、投標方的操作人員,平台運營人員和係統維護人員等各司其職,每個角色隻能在自己的權限範圍內查看自己分內的信息,各角色之間又能相互監控,避免權限過於集中導致的安全風險。

(四)製定安全管理製度

可以根據《網絡安全法》和《信息安全技術信息係統安全等級保護基本要求》GB/T22239-2008中的管理要求部分以及《電子招標投標係統技術規範》的第8.2章節,結合本單位的實際現狀,從機構、人員、係統建設和運維管理等方麵製定相應的安全管理製度。

1.人員方麵要求

(1)設計安全主管、安全管理各個方麵的負責人,並定義各負責人職責。

(2)設計係統管理員、網絡管理員、安全管理員等崗位,並定義各個工作崗位的職責。安全管理員不能兼任網絡管理員、係統管理員、數據庫管理員等。

(3)針對關鍵活動建立審批流程,並由批準人簽字確認。

(4)安全管理員應定期進行安全檢查,檢查內容包括:係統日常運行、係統漏洞和數據備份等情況。另外,還需要檢查安全防護設備的運行情況,定期查看監控日誌。

(5)確保在外部人員訪問受控區域前得到授權或審批,批準後由專人全程陪同或監督,並登記備案。

2.係統建設方麵的要求

(1)在軟件安裝之前檢測軟件包中可能存在的惡意代碼。

(2)要求開發單位提供軟件源代碼,並審查軟件中可能存在的後門。

(3)規劃總體安全防護體係,製定安全保護方案,並按照方案實施設備采購,部署安全設備。

(4)與選定的安全服務商簽訂與安全相關的協議,明確約定相關責任。

3.運維管理方麵的要求

(1)應指定人員對網絡進行管理,負責運行日誌、網絡監控記錄的日常維護、報警信息分析和處理工作,嚴格遵守網絡區域的邊界控製,未經過審批嚴禁跨區訪問,關閉所有不用的公網服務端口。

(2)對服務器主機要做安全加固,例如禁ping,修改係統賬號密碼策略,刪除或禁用不必要的用戶和用戶組,停用無關的服務等。

(3)根據業務需求和係統安全分析確定係統的訪問控製策略,並根據係統的情況及時優化和調整策略。

(4)定期對運行日誌和審計數據進行分析,以便及時發現異常行為。

(5)應確認係統中要發生的重要變更,並製定相應的變更方案。係統發生重要變更前,向主管領導申請,審批後方可實施變更,並在實施後向相關人員通告。

(6)製定安全事件報告和處置管理製度,明確安全事件類型,規定安全事件的現場處理、事件報告和後期恢複的管理職責。

(7)在統一的應急預案框架下製定不同事件的應急預案。應急預案框架應包括啟動應急預案的條件、應急處理流程、係統恢複流程、事後教育和培訓等內容。應對係統相關的人員進行應急預案培訓,應急預案的培訓應至少每年舉辦一次。

(五)市場化交易平台與公共服務平台及監督平台分離運營

避免“所有的雞蛋都放在一個籃子裏”產生的係統性風險,《電子招標投標辦法》中設計的三平台分離運營的思想,也是安全性考慮的一個重要設計。目前有些開發單位不僅將電子招標投標三大平台放在一起,有意無意地將工程建設、政府采購、產權、土地等各類公共資源都放在一個平台裏,甚至將全省所有的地方也都放在一個平台裏,並冠以“全省一張網”,這種設計造成的結果是,如果這個省的“這張網”的平台安全出現問題,那麽也就意味整個省就全部出現問題。

國家製度設計裏,無論是電子招標投標係統,還是公共資源交易平台的電子化,一直都特別強調交易平台和公共服務平台一定要物理分離,公共服務平台(公共資源交易平台也稱“電子服務係統”)可以全省建設一個,但交易平台則應是市場化、專業化、集約化的。監督平台更應當與交易平台分離,避免監督平台嵌入交易平台中,防止監督功能被交易平台綁架。

三大平台之間如何界定各自功能和定位?《電子招標投標辦法》以及最近的《“互聯網+招標采購”行動方案(2017-2019年)》,都對這個問題有明確的規定,公共資源交易采取了同樣的架構:

(1)交易平台負責完成招標投標交易活動,不能承擔監督功能,要與公共服務平台分離。

(2)公共服務平台提供交易平台之間,以及交易平台與監督平台之間信息交換、資源共享服務,並為市場主體、行政監督部門和社會公眾提供信息服務,不得具有交易功能,可以為監督部門提供監督窗口和監督工具。交易平台樞紐,公共信息載體,身份互認橋梁,行政監管依托,國家電子招標投標公共服務平台有義務為地方公共服務平台建設提供技術和信息資源支持。

(3)行政監督平台負責完成行政監督部門和監察機關在線監督電子招標投標活動,不能承擔交易功能。

(六)交易係統與專用的工具軟件分離開發運營

《電子招標投標管理辦法》和《交易平台技術規範》中,對交易平台與專業工具軟件之間的關係問題,做了接口的技術性要求,即:

交易係統不得限製或者排斥符合技術規範規定的工具軟件與其對接。如各投標人編製投標文件時可以使用自己已經購買的符合標準的工程計價係統的工具軟件,隻要符合交易平台公布的數據接口標準,即可與交易平台實現數據對接交換。

而隨著電子招標投標工作的不斷推進和深化,解決交易平台與專業工具軟件之間的開發和運營問題也越來越迫切,一些推行電子招標投標比較早的地方,如北京市建設工程承包發包中心就規定,交易平台和專業的工具軟件分別由不同的開發商開發。

之所以這樣要求就是因為交易平台和專業工具軟件,如果都是由同一家軟件供應商開發,就容易導致交易平台對軟件開發商的全流程依賴,難以防範開發商的開發人員利用交易平台全程控製的技術地位,篡改後台數據和文件調包等非法行為。

此外,由於交易平台和工具軟件是同一開發商開發,那麽平台與工具軟件對接這個關係環節缺少中立的第三方監督,那麽該開發商就可以利用這一技術地位,抹掉修改或調包的操作痕跡,造成沒有後門的假象等問題。

將交易係統和工具軟件的開發和運營分離,不僅形成工具軟件的充分市場競爭,更有利於交易平台和工具軟件的安全管控,從而促進電子招標投標的健康可持續運營。

(七)交易平台須通過檢測認證

由於交易平台專業性強、技術複雜,僅通過使用者的功能性檢測,難以對數據接口、後台技術規範性、中間件等隱蔽性工程進行測試了解。因此,通過第三方專業機構的檢測認證,可以有效地將交易平台中存在的功能、性能、安全等缺陷、漏洞和後門等提早發現出來,從源頭上防止問題的發生。

國家對交易平台的檢測有明確要求,即應符合《電子招標投標辦法》及《電子招標投標係統技術規範》的要求,並按照檢測認證管理辦法,進行檢測認證。

交易平台的檢測認證有一星二星三星三個等級,有關檢測認證的內容、方法和流程在已經發布的檢測認證管理辦法裏都有詳細規定。

注意檢測是針對交易平台係統而言,認證是針對交易平台運營機構而言。

(八)數據信息傳送公共服務平台接受認證後監督

實現電子招標投標的全流程,不僅包括交易平台上的全流程,也包括跨越交易平台、公共服務平台和行政監督平台的全流程。例如,招標公告不僅要在交易平台上生成,也要到公共服務平台指定媒體上公開,還要到行政監督平台上備案接受在線監督,也就是說招標公告要跨越三大平台實現全流程。

除了依法依規公開的數據傳送公共服務平台履行公開,並通過公共服務平台提供的監督通道(或者監督窗口)接受認證後在線監督外,在安全性上也有好處和必要。

電子招標投標交易過程中的信息,按法律法規約定的時間節點上不僅在工具軟件、交易平台上生成和歸檔,同時也要在物理分離的獨立的公共服務平台進行同步備案存檔,既達到了《電子招標投標辦法》裏麵要求的信息公開要求,也從根本上杜絕了交易信息被開發商或者內部技術人員篡改的第三方備份機製,為日後的監督和審計提供了可信、可靠的備查機製。


本文最後需要強調的是,安全威脅總是實時變化的,任何係統的安全防護措施都不是一勞永逸的,需要平台的運營主體加強安全管理和安全運維的意識,設置適合自己平台的安全基線,定期進行安全檢測、安全加固,及時處理發現的問題,確保交易平台的安全運行。

版權所有 Copyright(C)2016 貴州悠悠影院工程建設谘詢有限公司
辦公地址:貴陽市觀山湖區長嶺北路6號(大唐·東原財富廣場3 號棟 23 樓)
     貴陽市雲岩區友誼路 198 號百靈陽光1單元27樓
   辦公電話:0851-86973996、86835738、86835728