e-GP网络安全手册

核心观点

电子政府采购（e-GP）平台是公共投资和服务交付的基础机制，其安全性直接关系到公共服务的连续性和公众对国家发展计划的信心。因此，加强e-GP系统的安全性和弹性至关重要。

关键数据

• e-GP平台处理大量敏感数据，成为网络攻击的高价值目标。
• 研究报告揭示了e-GP系统中存在的常见漏洞，如身份验证机制薄弱、系统架构不安全、未经授权的访问和IDOR等。
• 常见的攻击模式包括DoS攻击、勒索软件感染和钓鱼攻击等。
• 没有足够的网络安全保障，这些风险可能导致严重的运营中断、数据泄露、身份盗窃和公众信任侵蚀。

研究结论

• 本手册为决策者、行政官员、管理人员、IT和信息安全人员以及治理官员提供了实用的指导，帮助他们建立网络安全治理和政策框架，定义机构职责，并维护e-GP系统的安全运行。
• 手册围绕七个核心支柱展开：治理和政策框架、网络风险和威胁环境评估、安全协议和控制实施、采购生命周期安全、事件响应和业务连续性维护、监控、审计和持续改进、以及行业网络安全成熟度评估。
• 手册结合了蒙古和泰国e-GP系统审查的经验教训，为不同机构环境提供了实用的知识。
• 手册与ISO/IEC 27001和NIST网络安全框架等国际标准保持一致，并结合了全球最佳实践和区域经验。
• 手册强调了领导承诺、风险意识、机构问责制、投资于弹性以及协调与合作的重要性。

实施建议

• 建立网络安全治理机制，明确角色和职责，并确保信息安全政策得到执行。
• 采用基于风险的方法，将网络安全风险评估纳入采购规划、决策和政策制定。
• 加强协调和沟通，增强采购机构、IT部门、监督机构和国家CERT之间的合作。
• 确保持续监控和改进，定期进行审计和成熟度评估。

通过实施本手册中的建议，机构可以降低风险暴露，加强合规性，并增强公众对数字采购系统的信心。