編者按：電子招標投標系統(tǒng)作為電子政務的重要組成部分，需要確保電子招標投標過程的安全性，而系統(tǒng)內的招標投標主體的數(shù)據(jù)信息和招標投標過程中產生的重要數(shù)據(jù)信息容易成為互聯(lián)網的非法攻擊目標，文章提出，應從信息技術和管理制度兩個方向入手，建立一個完整的安全防御體系。通過必要的安全架構、技術和安全管理制度，做到事前防范和事后的風險控制。

隨著《網絡安全法》的正式頒布和實施，網絡安全問題已經上升到國家層面。電子招標投標系統(tǒng)作為電子政務的重要組成部分，需要確保電子招標投標過程的安全性，而系統(tǒng)內的招標投標主體的數(shù)據(jù)信息和招標投標過程中產生的重要數(shù)據(jù)信息容易成為互聯(lián)網的非法攻擊目標，如何將安全防護工作落到實處，在當前形勢下尤為迫切。

中國招標公共服務平臺已經與200多家電子招標投標交易平臺實施了數(shù)據(jù)對接，在與交易平臺溝通業(yè)務的過程中，很多交易平臺表達了在安全建設過程中的困惑，部分交易平臺的安全防護建設現(xiàn)狀令人擔憂。為此，平臺公司組織了安全專家就電子招標投標平臺的安全問題進行了專項研究，本文將結合電子招標投標全流程和大家分享這方面的經驗。

電子招標投標全流程的主要節(jié)點分為招標、投標、開標、評標、定標五個主要階段，其中招標公告信息中招標內容和資格條件的確認、確保投標單位信息的保密、評標專家的抽取和名單的保密、投標文件內容的防竊取與防篡改、開標環(huán)節(jié)的防解密失敗、評標過程中的防泄密和評標結果防篡改是電子招標投標工作中的重點安全問題，總結五大環(huán)節(jié)中需要解決的風險點，主要可以歸為六類問題，即：電子招標投標用戶的身份確認問題、投標報名階段投標人的名單泄露風險、專家抽取環(huán)節(jié)專家名單的泄露風險、投標文件的防竊取和防篡改問題、開標環(huán)節(jié)的防解密失敗風險以及評委評標過程的防泄密和評標結果的防篡改問題。

針對以上需要解決的風險和問題，我們需要從信息技術和管理制度兩個方向入手，建立一個完整的安全防御體系。通過必要的安全架構、技術和安全管理制度，做到事前防范和事后的風險控制。

一、信息技術安全

(一)信息操作者(主體)的身份合法性

1.身份標識與鑒別

在《電子招標投標系統(tǒng)技術規(guī)范》中要求應對招標人、招標代理機構、投標人、評標專家等登錄用戶進行身份標識與鑒別，并提供身份標識唯一性檢查功能。應采用以下措施，確保用戶身份不易被冒用：

(1)提供鑒別信息復雜度檢查功能。比如系統(tǒng)登錄用戶的密碼復雜度檢測，要有密碼強度提示。

(2)對身份標識與鑒別異常提供保護措施。比如在系統(tǒng)登錄失敗多次后，應自動鎖定賬戶，再通過其他認證手段進行解鎖。

(3)使用CA數(shù)字證書對交易主體的身份進行標識與鑒別。需要進行身份標識與鑒別的電子招標投標交易行為包括：遞交資格預審申請文件、遞交投標文件、遞交投標保證金、撤回投標文件、確認開標記錄、遞交回執(zhí)、發(fā)出中標通知書、簽訂合同(協(xié)議書)等需要招標投標主體承擔相應法律責任的電子招標投標行為。

(4)采用兩種或兩種以上上述措施進行組合鑒別技術。

2.電子簽名

通過電子簽名來確保電子招標投標文件的完整性和不可抵賴性。電子簽名使用的數(shù)字證書應采用合法的CA機構頒發(fā)的證書，提供按照國家授時中心的標準時間源對需要電子簽名的文件生成時間戳的功能。

應使用電子簽名的文件包括：招標公告(資格預審公告)、投標邀請書、資格預審文件(澄清和修改)、資格預審申請文件(澄清和修改)、資格審查報告、招標文件(澄清和修改)、投標文件(補充、修改、撤回、澄清)、開標記錄、評標報告、中標通知書、合同(協(xié)議書)及相關文件的簽收回執(zhí)等具有法律約束力的文件。

(二)信息傳輸過程的安全性

對于招標投標的信息傳輸，一是使用SSL協(xié)議進行通道加密傳輸，同時使用公開密鑰體質和數(shù)字證書技術保護信息傳輸?shù)臋C密性;二是對于投標單位名單、評委名單、評標結果等敏感數(shù)據(jù)采用自定義的加密技術?！峨娮诱袠送稑讼到y(tǒng)技術規(guī)范》中對于數(shù)據(jù)接口的安全要求有具體規(guī)定，在傳輸?shù)慕尤朦c實施網絡邊界安全控制， 接口的安全控制應包括：安全評估、訪問控制、入侵檢測、口令認證、安全審計、防惡意代碼、加密等內容。

數(shù)據(jù)接口訪問應進行雙方身份安全認證，確保接口訪問的安全性。比如在和國家公共服務平臺數(shù)據(jù)接口進行傳輸時，首先采用雙方白名單互認機制，指定IP才能訪問和調用接口，傳輸前先進行身份驗證確認，再進行數(shù)據(jù)傳輸，從交易平臺到國家公共平臺的傳輸通道采用SSL協(xié)議加密。

(三)信息存儲環(huán)節(jié)的安全性

采用加密或其他保護措施確保重要數(shù)據(jù)存儲的保密性。對于投標人的名單、評標專家名單、評標結果等數(shù)據(jù)，要進行加密存儲，避免能夠接觸到后臺數(shù)據(jù)庫的運維人員在數(shù)據(jù)庫上直接拷貝或修改數(shù)據(jù)。

由于服務器系統(tǒng)是24小時不間斷運行，單個部件發(fā)生故障的概率很高，特別是存儲系統(tǒng)中的磁盤，存儲冗余一般至少構建RAID5系統(tǒng)，也可以考慮將服務器資源及存儲資源進行云托管，進一步保障服務的穩(wěn)定性?，F(xiàn)在很多地方的公共資源交易平臺就是依托第三方提供的政務云建設的。

(四)數(shù)據(jù)的備份

根據(jù)制定的備份策略，定期備份數(shù)據(jù)庫和系統(tǒng)重要的數(shù)據(jù)文件，以便在故障或災難的情況下恢復信息。

要選擇合適的備份地點和備份方法，有條件的應當同時進行異地備份。在備份方法上，全數(shù)據(jù)備份是對所有選擇備份的數(shù)據(jù)進行備份。全數(shù)據(jù)備份比其他備份方式需要更多的時間和數(shù)據(jù)存儲容量，但它是數(shù)據(jù)恢復最簡單和最容易的方法。增量備份是對上次備份后所有發(fā)生變化的數(shù)據(jù)進行備份。增量備份比其他方法需要更少的時間和數(shù)據(jù)存儲容量，但它的數(shù)據(jù)恢復方式最復雜。差異備份對上一次全數(shù)據(jù)備份發(fā)生變化的數(shù)據(jù)進行備份。它比全數(shù)據(jù)備份需要更少的時間和數(shù)據(jù)存儲容量，比增量備份對數(shù)據(jù)的恢復更簡單和更容易。一般根據(jù)自身系統(tǒng)數(shù)據(jù)量的大小和存儲設備的難易制定策略，不同備份策略都要兼顧到。

(五)日志記錄體系的全面性

在業(yè)務流程中要記錄電子招標投標全過程關于事項辦理、審批流轉、數(shù)據(jù)修改所產生的記錄以及記錄的時間點，都需要完整地保存在系統(tǒng)里。

對于系統(tǒng)版本發(fā)布更新、系統(tǒng)文件的替換修改、數(shù)據(jù)庫文件的還原恢復等針對系統(tǒng)的操作，要經過技術管理流程的審批和記錄。對于系統(tǒng)后臺的所有管理行為記錄，也需要完整地記錄在日志里，以備日后的監(jiān)督和審計。實際操作中，后臺的操作日志記錄往往是被很多系統(tǒng)所忽略的。對于生產系統(tǒng)的運維管理操作，可以使用堡壘機進行操作審計和記錄;對于數(shù)據(jù)庫的管理，可以通過數(shù)據(jù)庫審計系統(tǒng)，監(jiān)視和分析對數(shù)據(jù)庫服務器的各類操作行為，并記入審計數(shù)據(jù)庫中集中進行管理。

(六)安全審計管理

安全審計管理應滿足以下要求：

(1)應提供安全審計功能。安全審計范圍應覆蓋系統(tǒng)中的每個用戶及系統(tǒng)中的所有重要安全事件，如登錄事件、關鍵數(shù)據(jù)變更等。

(2)審計記錄的內容應包括事件的日期、時間、發(fā)起者信息、類型、描述和結果等。

(3)應提供審計記錄數(shù)據(jù)的查詢、統(tǒng)計、分析功能。

(4)安全審計人員不能同時兼任系統(tǒng)管理員。

(5)安全審計系統(tǒng)設備宜獨立部署，以確保數(shù)據(jù)不被篡改。

(七)硬件系統(tǒng)及網絡的可靠性

不能在互聯(lián)網上直接開放運維管理后臺和主機的登錄入口，可以采用VPN通道的方式強化網絡安全，同時采用抗DDoS攻擊系統(tǒng)、網頁防篡改保護系統(tǒng)、WAF防火墻、IPS入侵防護系統(tǒng)、數(shù)據(jù)泄露防護系統(tǒng)等為系統(tǒng)提供安全檢測防護。采用防病毒網關或殺毒軟件防病毒，并定期查殺病毒。定期對操作系統(tǒng)進行漏洞掃描，及時安裝系統(tǒng)補丁，防范安全漏洞。

由于安全防護的投入成本較高，中小型交易平臺在實施時由于成本壓力造成實施困難，可以采用諸如UTM、下一代防火墻之類的集成多功能的一體化產品來降低實施成本。

對于生產環(huán)境，要按照等級保護的要求劃分安全區(qū)域，需要對外提供服務的web服務、應用程序、接口等部署在外網區(qū)，系統(tǒng)的數(shù)據(jù)庫和其他重要的數(shù)據(jù)文件存儲應在內網區(qū)域，互聯(lián)網不能直接訪問，區(qū)域之間要用防火墻作邊界隔離。

(八)系統(tǒng)安全風險測評

要對系統(tǒng)的源代碼做安全審查。由于開發(fā)人員的水平和經驗問題，源代碼當中通常會存在一些安全漏洞和安全風險，在互聯(lián)網上容易被攻擊者利用，源代碼審查要從源頭上發(fā)現(xiàn)這些漏洞并進行安全整改。

系統(tǒng)的安全檢測，包括系統(tǒng)漏洞掃描、用戶身份鑒別、抗抵賴、訪問控制、數(shù)據(jù)的完整性、保密性檢查，數(shù)據(jù)備份與恢復檢查等檢測內容。

還可以做本地、遠程、網絡三個不同層級的滲透測試，模擬演練發(fā)生攻擊的情況，通過滲透測試對網站進行深度檢測，發(fā)現(xiàn)和挖掘系統(tǒng)中存在的漏洞。

二、管理流程和制度

《公共資源交易管理辦法》中沒有對信息安全做相關的規(guī)定，但是在《電子招標投標辦法》第十二條和第十三條中做出了相關規(guī)定。

(一)評標專家抽取的保密性控制

專家抽取環(huán)節(jié)最擔心的問題是名單泄露，在統(tǒng)一的評標專家隨機抽取系統(tǒng)建設中，主要有以下幾個措施：

(1)通知階段引用電話語音通知，隨機雙盲，“電腦隨機抽取—語音自動通知—短信發(fā)送確認”的流程。

(2)抽取過程應采用“語音+錄像監(jiān)控”的方法抽取評標專家時，應有招標人代表、監(jiān)督部門監(jiān)督人員同時在場。

(3)目前有很多種專家抽取結果通知的方式，但普遍采用的是密封打印。開標結束后打印，在到達評標時間后，由監(jiān)督人員查驗密封情況后拆封。還有一些專家?guī)斓淖龇ㄊ堑竭_評標時間后，傳真專家名單到評標現(xiàn)場。

比較先進的做法是評標區(qū)安裝監(jiān)控和門禁系統(tǒng)，專家簽到系統(tǒng)在評標前共享評標專家抽取信息和專家的指紋信息，專家驗證指紋進場，并自動提示專家進入哪間評標室評什么標。監(jiān)督人員可以在另外的房間通過視頻監(jiān)控系統(tǒng)全程監(jiān)督，并保留評標過程的影音資料。

4.候選專家資源人數(shù)要在抽取系統(tǒng)中有一個比例限制，要確保候選專家資源充足。

(二)投標文件的加密和解密

投標人制作投標文件后采用CA加密，開標時用CA解密，杜絕過程中的信息泄露。交易平臺普遍采用兩種解密模式：交易中心集中解密和投標人分別參與解密。

采用集中解密的方式，存在安全風險。文件上傳到交易平臺后，可能會發(fā)生系統(tǒng)管理員非法提前解密，需要通過管理制度加強技術安全管理，以保證投標文件不被提前解密，控制風險。

投標人參與解密模式，由于投標人網絡、電腦等環(huán)境因素，存在解密失敗風險，且責任不易認定。國家公共服務平臺提供開標保障服務，在投標文件解密失敗后，投標人使用國家公共服務平臺提供的開標保障服務，可以及時補救，完成解密操作。

(三)信息訪問權限的嚴格控制

1.嚴格分離系統(tǒng)開發(fā)權和系統(tǒng)管理權

等級保護制度對于軟件的部署環(huán)境劃分為測試環(huán)境、預生產環(huán)境和生產環(huán)境。軟件開發(fā)人員負責軟件程序的開發(fā)和后期修改，他們只能夠訪問測試環(huán)境，不能擁有生產環(huán)境的訪問權限。要制定版本發(fā)布流程，對于系統(tǒng)的版本發(fā)布和更新要經過功能、性能和安全性的測試，測試通過后由運維人員在預生產環(huán)境發(fā)布，預生產環(huán)境試運行通過后，再發(fā)布到正式環(huán)境，嚴格禁止開發(fā)人員接觸到生產環(huán)境。

2.采用最小化原則，設定系統(tǒng)使用各方的權限

按角色劃分系統(tǒng)權限，招標方、投標方的操作人員，平臺運營人員和系統(tǒng)維護人員等各司其職，每個角色只能在自己的權限范圍內查看自己分內的信息，各角色之間又能相互監(jiān)控，避免權限過于集中導致的安全風險。

(四)制定安全管理制度

可以根據(jù)《網絡安全法》和《信息安全技術信息系統(tǒng)安全等級保護基本要求》GB/T22239-2008中的管理要求部分以及《電子招標投標系統(tǒng)技術規(guī)范》的第8.2章節(jié)，結合本單位的實際現(xiàn)狀，從機構、人員、系統(tǒng)建設和運維管理等方面制定相應的安全管理制度。

1.人員方面要求

(1)設計安全主管、安全管理各個方面的負責人，并定義各負責人職責。

(2)設計系統(tǒng)管理員、網絡管理員、安全管理員等崗位，并定義各個工作崗位的職責。安全管理員不能兼任網絡管理員、系統(tǒng)管理員、數(shù)據(jù)庫管理員等。

(3)針對關鍵活動建立審批流程，并由批準人簽字確認。

(4)安全管理員應定期進行安全檢查，檢查內容包括：系統(tǒng)日常運行、系統(tǒng)漏洞和數(shù)據(jù)備份等情況。另外，還需要檢查安全防護設備的運行情況，定期查看監(jiān)控日志。

(5)確保在外部人員訪問受控區(qū)域前得到授權或審批，批準后由專人全程陪同或監(jiān)督，并登記備案。

2.系統(tǒng)建設方面的要求

(1)在軟件安裝之前檢測軟件包中可能存在的惡意代碼。

(2)要求開發(fā)單位提供軟件源代碼，并審查軟件中可能存在的后門。

(3)規(guī)劃總體安全防護體系，制定安全保護方案，并按照方案實施設備采購，部署安全設備。

(4)與選定的安全服務商簽訂與安全相關的協(xié)議，明確約定相關責任。

3.運維管理方面的要求

(1)應指定人員對網絡進行管理，負責運行日志、網絡監(jiān)控記錄的日常維護、報警信息分析和處理工作，嚴格遵守網絡區(qū)域的邊界控制，未經過審批嚴禁跨區(qū)訪問，關閉所有不用的公網服務端口。

(2)對服務器主機要做安全加固，例如禁ping，修改系統(tǒng)賬號密碼策略，刪除或禁用不必要的用戶和用戶組，停用無關的服務等。

(3)根據(jù)業(yè)務需求和系統(tǒng)安全分析確定系統(tǒng)的訪問控制策略，并根據(jù)系統(tǒng)的情況及時優(yōu)化和調整策略。

(4)定期對運行日志和審計數(shù)據(jù)進行分析，以便及時發(fā)現(xiàn)異常行為。

(5)應確認系統(tǒng)中要發(fā)生的重要變更，并制定相應的變更方案。系統(tǒng)發(fā)生重要變更前，向主管領導申請，審批后方可實施變更，并在實施后向相關人員通告。

(6)制定安全事件報告和處置管理制度，明確安全事件類型，規(guī)定安全事件的現(xiàn)場處理、事件報告和后期恢復的管理職責。

(7)在統(tǒng)一的應急預案框架下制定不同事件的應急預案。應急預案框架應包括啟動應急預案的條件、應急處理流程、系統(tǒng)恢復流程、事后教育和培訓等內容。應對系統(tǒng)相關的人員進行應急預案培訓，應急預案的培訓應至少每年舉辦一次。

(五)市場化交易平臺與公共服務平臺及監(jiān)督平臺分離運營

避免“所有的雞蛋都放在一個籃子里”產生的系統(tǒng)性風險，《電子招標投標辦法》中設計的三平臺分離運營的思想，也是安全性考慮的一個重要設計。目前有些開發(fā)單位不僅將電子招標投標三大平臺放在一起，有意無意地將工程建設、政府采購、產權、土地等各類公共資源都放在一個平臺里，甚至將全省所有的地方也都放在一個平臺里，并冠以“全省一張網”，這種設計造成的結果是，如果這個省的“這張網”的平臺安全出現(xiàn)問題，那么也就意味整個省就全部出現(xiàn)問題。

國家制度設計里，無論是電子招標投標系統(tǒng)，還是公共資源交易平臺的電子化，一直都特別強調交易平臺和公共服務平臺一定要物理分離，公共服務平臺(公共資源交易平臺也稱“電子服務系統(tǒng)”)可以全省建設一個，但交易平臺則應是市場化、專業(yè)化、集約化的。監(jiān)督平臺更應當與交易平臺分離，避免監(jiān)督平臺嵌入交易平臺中，防止監(jiān)督功能被交易平臺綁架。

三大平臺之間如何界定各自功能和定位?《電子招標投標辦法》以及最近的《“互聯(lián)網+招標采購”行動方案(2017-2019年)》，都對這個問題有明確的規(guī)定，公共資源交易采取了同樣的架構：

(1)交易平臺負責完成招標投標交易活動，不能承擔監(jiān)督功能，要與公共服務平臺分離。

(2)公共服務平臺提供交易平臺之間，以及交易平臺與監(jiān)督平臺之間信息交換、資源共享服務，并為市場主體、行政監(jiān)督部門和社會公眾提供信息服務，不得具有交易功能，可以為監(jiān)督部門提供監(jiān)督窗口和監(jiān)督工具。交易平臺樞紐，公共信息載體，身份互認橋梁，行政監(jiān)管依托，國家電子招標投標公共服務平臺有義務為地方公共服務平臺建設提供技術和信息資源支持。

(3)行政監(jiān)督平臺負責完成行政監(jiān)督部門和監(jiān)察機關在線監(jiān)督電子招標投標活動，不能承擔交易功能。

(六)交易系統(tǒng)與專用的工具軟件分離開發(fā)運營

《電子招標投標管理辦法》和《交易平臺技術規(guī)范》中，對交易平臺與專業(yè)工具軟件之間的關系問題，做了接口的技術性要求，即：

交易系統(tǒng)不得限制或者排斥符合技術規(guī)范規(guī)定的工具軟件與其對接。如各投標人編制投標文件時可以使用自己已經購買的符合標準的工程計價系統(tǒng)的工具軟件，只要符合交易平臺公布的數(shù)據(jù)接口標準，即可與交易平臺實現(xiàn)數(shù)據(jù)對接交換。

而隨著電子招標投標工作的不斷推進和深化，解決交易平臺與專業(yè)工具軟件之間的開發(fā)和運營問題也越來越迫切，一些推行電子招標投標比較早的地方，如北京市建設工程承包發(fā)包中心就規(guī)定，交易平臺和專業(yè)的工具軟件分別由不同的開發(fā)商開發(fā)。

之所以這樣要求就是因為交易平臺和專業(yè)工具軟件，如果都是由同一家軟件供應商開發(fā)，就容易導致交易平臺對軟件開發(fā)商的全流程依賴，難以防范開發(fā)商的開發(fā)人員利用交易平臺全程控制的技術地位，篡改后臺數(shù)據(jù)和文件調包等非法行為。

此外，由于交易平臺和工具軟件是同一開發(fā)商開發(fā)，那么平臺與工具軟件對接這個關系環(huán)節(jié)缺少中立的第三方監(jiān)督，那么該開發(fā)商就可以利用這一技術地位，抹掉修改或調包的操作痕跡，造成沒有后門的假象等問題。

將交易系統(tǒng)和工具軟件的開發(fā)和運營分離，不僅形成工具軟件的充分市場競爭，更有利于交易平臺和工具軟件的安全管控，從而促進電子招標投標的健康可持續(xù)運營。

(七)交易平臺須通過檢測認證

由于交易平臺專業(yè)性強、技術復雜，僅通過使用者的功能性檢測，難以對數(shù)據(jù)接口、后臺技術規(guī)范性、中間件等隱蔽性工程進行測試了解。因此，通過第三方專業(yè)機構的檢測認證，可以有效地將交易平臺中存在的功能、性能、安全等缺陷、漏洞和后門等提早發(fā)現(xiàn)出來，從源頭上防止問題的發(fā)生。

國家對交易平臺的檢測有明確要求，即應符合《電子招標投標辦法》及《電子招標投標系統(tǒng)技術規(guī)范》的要求，并按照檢測認證管理辦法，進行檢測認證。

交易平臺的檢測認證有一星二星三星三個等級，有關檢測認證的內容、方法和流程在已經發(fā)布的檢測認證管理辦法里都有詳細規(guī)定。

注意檢測是針對交易平臺系統(tǒng)而言，認證是針對交易平臺運營機構而言。

(八)數(shù)據(jù)信息傳送公共服務平臺接受認證后監(jiān)督

實現(xiàn)電子招標投標的全流程，不僅包括交易平臺上的全流程，也包括跨越交易平臺、公共服務平臺和行政監(jiān)督平臺的全流程。例如，招標公告不僅要在交易平臺上生成，也要到公共服務平臺指定媒體上公開，還要到行政監(jiān)督平臺上備案接受在線監(jiān)督，也就是說招標公告要跨越三大平臺實現(xiàn)全流程。

除了依法依規(guī)公開的數(shù)據(jù)傳送公共服務平臺履行公開，并通過公共服務平臺提供的監(jiān)督通道(或者監(jiān)督窗口)接受認證后在線監(jiān)督外，在安全性上也有好處和必要。

電子招標投標交易過程中的信息，按法律法規(guī)約定的時間節(jié)點上不僅在工具軟件、交易平臺上生成和歸檔，同時也要在物理分離的獨立的公共服務平臺進行同步備案存檔，既達到了《電子招標投標辦法》里面要求的信息公開要求，也從根本上杜絕了交易信息被開發(fā)商或者內部技術人員篡改的第三方備份機制，為日后的監(jiān)督和審計提供了可信、可靠的備查機制。

本文最后需要強調的是，安全威脅總是實時變化的，任何系統(tǒng)的安全防護措施都不是一勞永逸的，需要平臺的運營主體加強安全管理和安全運維的意識，設置適合自己平臺的安全基線，定期進行安全檢測、安全加固，及時處理發(fā)現(xiàn)的問題，確保交易平臺的安全運行。