近日，由中国计算机学会计算机安全专委会指导，国家信息中心《信息安全研究》杂志、安徽省网络安全协会主办的数字政府安全建设大会暨关键信息基础设施安全防护专家认证培训（第3期）在安徽合肥举行。会议邀请政府有关部门和行业专家学者等嘉宾代表围绕数字政府建设、数据要素治理、数据基础设施建设等议题展开交流，共同探索政府信息化领域发展的创新路径。

作为国内网络安全代表企业，梆梆安全受邀出席会议，梆梆安全产品中心总监谭阳进行了题为《电子政务移动应用安全热点攻击事件&防御措施最佳实践》的主题分享，从移动政务的安全风险与挑战解析数字政府网络安全建设热点，分享梆梆安全端到端&全渠道应用安全防护思路的先进理念及最佳实践，获得参会人员广泛好评。

随着政务服务数字化不断推进，各类政务服务APP应运而生，人脸识别绕过、盗版仿冒、数据泄露、薅羊毛等移动应用安全风险随之而来。与此同时，在移动端网络技术广泛应用的背景下，新型网络攻击层出不穷，针对移动端的安全威胁类型也趋于多样化，包括定制ROM、云手机、注入攻击、内容篡改、参数篡改等，传统WAF、API安全网关提供的身份认证、权限管控、速率限制、请求内容校验等安全机制逐渐失灵，给电子政务行业的信息安全和合规性带来极大挑战。

监管要求持续加码

政务服务平台移动端安全建设加速

政府部门在行使职能中涉及大量保密信息和敏感信息，保障网络安全是电子政务系统可靠运行的基本条件。近年来，我国在政务服务领域密集出台多项网络安全法律法规和政策文件，压实维护网络安全的主体责任。2023年6月，为推动《数据安全法》《密码法》和等级保护2.0的相关要求在移动政务领域的落地，国家信息中心牵头编制GB/T 35282—2023《信息安全技术 电子政务移动办公系统安全技术规范》，聚焦政务办公和政务服务两大移动应用场景，重点解决政务移动办公终端、通信、接入、应用、数据等方面安全问题。标准中对政务服务移动应用管理和安全监测方面的安全技术要求如下：

1. 移动应用管理

• 应支持对政务APP进行安全防护和加固，防止受到恶意程序的破坏、破解和篡改； 

• 应支持对政务APP进行安全检测和签名，并通过应用商店或授权渠道统一提供下载。

2. 安全监测

• 应支持对移动终端的网络攻击行为进行监测和告警，包括但不限于模拟器攻击、框架攻击、位置欺诈、域名欺诈等； 

• 应支持对移动政务应用的异常访问和操作行为进行监测和告警，包括但不限于账户登录异常、数据下载异常、可疑网络访问、操作异常等；

• 应支持对移动政务应用程序和服务端存在的安全漏洞和脆弱性进行持续监测。 

构建主动网络安全防御体系

梆梆安全护航政务服务高质量发展

梆梆安全基于“端到端的全渠道风险防护”技术理念，遵循动态自适安全防护模型，结合政务终端安全接入具体需求，提出构建面向电子政务移动安全的主动防御体系，建立涵盖预测、防护、检测、监测、响应等维度的全方位安全能力，有效提升政务服务系统的整体安全性和合规性。方案优势：

1.静态防御措施全渠道覆盖

客户渠道众多，且部分API接口存在多渠道共用，攻击者发起攻击时，往往会选择防护能力最弱的渠道发起攻击，所以做静态防御措施时需针对全渠道进行静态防御。

2.动静结合&端到端联动

动静结合的安全防御策略是一种使用广泛的安全防御思路，动态安全防御机制需要与现有的静态防御机制进行联动及协同防御。端到端的全渠道API安全防御思路中，动态防御机制需要能够：

• 实时感知客户端风险：加固破解、动态攻击等，将前端风险感知与后端流量感知结合，实现端到端的安全协同；

• 前端风险感知能力亦需要纳入当前的静态保护范围，防止被逆向分析。

3.实时防御&全渠道联动

针对前端风险的防御机制需做到实时防御，同时防御措施需要多样化，需覆盖不同业务渠道，不同渠道安全防御能力也能联防联控，如针对APP的攻击识别情报能够同步对轻应用侧协同。

方案已在包括国家多个省、地市级政务服务平台安全建设中落地应用，满足电子渠道攻击监测溯源、市民卡充值业务反洗钱、电子渠道零信任安全体系、敏感数据防泄漏等政务移动终端场景安全建设需求，合理性及适用性得到充分认可和验证，切实保障政务移动办公、公众政务服务等移动业务的安全运行，为数字政府和智慧政务的稳健发展提供了有力支持。

在数字政府建设提速，政务数据扩大开放共享，政务应用功能不断丰富的电子政务发展大趋势下，移动政务成为各级政府服务公众和办公的重要渠道。作为移动应用安全领域代表企业，梆梆安全将不断结合网络安全法律法规新要求、电子政务移动端技术及应用发展特点，持续优化方案与产品，全面构筑数字安全屏障，为我国数字政府实现治理体系和治理能力现代化提供坚实支撑。