信息安全總體規(guī)劃四大要點
——著名信息安全專家曲成義一席談

《祖國》/楊晨

曲成義

當前，信息化已經(jīng)遍布國家社會的方方面面，網(wǎng)絡信息安全關乎國家政治、經(jīng)濟、軍事、文化乃至國民生活的各個領域，信息化的融合發(fā)展在各個領域、各條戰(zhàn)線不斷深化，信息化與工業(yè)的融合越發(fā)緊密，對工業(yè)化的發(fā)展起到了巨大的催化作用。可以說工業(yè)化時代的各個領域，信息化帶來的是各領域的倍增效應。筆者曾帶著相關話題專訪著名信息安全專家、國家信息化專家咨詢委員會委員曲成義，他認為：在信息化不斷加強的當今社會，任何信息化危機的發(fā)生，都會對社會造成很大風險。因此需要進一步加強信息化的全局和安全規(guī)劃。

網(wǎng)絡安全的保障直接決定國家機關的穩(wěn)定運行，國家的電子政務一旦出現(xiàn)任何風險，都會對國家的發(fā)展帶來很大的損害。例如：民航受到攻擊，則飛機無法起飛；核電站受到攻擊，則可能產(chǎn)生重大的核泄漏風險；政府機關的政務受到攻擊，則可能造成大量國家機密文件的泄密事件發(fā)生，甚至造成政府的業(yè)務中斷，政府的公信力就會受到重大影響……

如何在重大風險甚至是災難發(fā)生的情況下，保障信息不中斷的傳輸，使國家部門企業(yè)運行正常運轉，是一個很重要的課題。信息化已經(jīng)在我國發(fā)展多年，我們要站在全局規(guī)劃的高度上，對信息安全建設進行完整的構想和實施。

信息安全總體規(guī)劃四要點：

其一，做好信息安全的等級保護制度的落實。

通俗地說，信息安全等級保護制度就是要在你的信息系統(tǒng)可能面臨的風險和你的信息系統(tǒng)的投入之間尋找到一個平衡點。包括資金、人力、資源的各種投入都要形成一種平衡狀態(tài)。因為在中國目前的狀態(tài)下，資金的投入一定是受到一些限制的，因此我們需要在業(yè)務信息系統(tǒng)的構建和資金投入之間找到合適的點。

其二，建立健全信息安全保障體系。

信息安全保障體系的建立分為技術保障體系的建立和管理保障體系的建立。先說技術保障體系的建立。信息安全技術保障體系的建立包括4 個要點。

第一， 要做好縱深防御工作。這包括4 點：做好信息安全域的科學劃分；要做好安全邊界的防護和控制，這包括物理隔離和邏輯隔離兩種手段；要做好信息安全設施在縱深多級上的部署；要做好公眾信道的安全保障工作。要使信息安全機制形成綜合集成的安全管理和聯(lián)動。

第二， 要建立動態(tài)防護策略。任何攻擊都是一個過程，要在各環(huán)節(jié)部署有效的對策，要對外界的攻擊有檢測、預警、監(jiān)控、抑制、診斷、恢復和容災的動態(tài)機制，在整個的動態(tài)防御流程中，保證信息傳輸?shù)恼＿\營。在綜合攻擊情況下，任何單點的靜態(tài)的防御效果都不大。

第三， 要加強基于密碼技術的網(wǎng)絡信任體系建設。網(wǎng)絡信任體系的建設，要讓每個人都能夠證明自己的身份。其中包括身份認證、授權管理、責任認定等幾個環(huán)節(jié)。網(wǎng)絡信任體系是要通過規(guī)范操作，確認責任，防止違規(guī)。

第四， 強化系統(tǒng)內部審計（內控機制）。近些年來，企業(yè)或機構內部安全事件的數(shù)量已經(jīng)超過外部病毒、黑客攻擊等安全事件，這些內部安全事件包括誤操作、違規(guī)操作和違法操作（內部人員和外部人員互相勾結，違法泄漏公司機密）等。所以強化內部審計，控制內部員工對于內部文件的接觸掌控是非常重要的。

內部審計有事后審計、事中審計和事前審計。內部審計的發(fā)展方向是審計點前移，即從事后審計向事中審計甚至事前審計轉化。

要形成全局范圍的審計系統(tǒng)。這包括網(wǎng)絡審計、數(shù)據(jù)庫審計（數(shù)據(jù)庫和日志需要進一步細化），系統(tǒng)流程和應用的審計、主機審計、介質審計等。

審計記錄要進行安全加固，這也是對于系統(tǒng)管理員的一種控制，以防管理員對審計記錄進行篡改。

總體上來說，在建立信息安全保障體系方面，我們不能單純搞技術，也不能單純搞管理。兩者必須緊密結合，技術和管理并重，共同構建完善的保障體系。

其三，做好信息安全系統(tǒng)的風險評估工作。

風險評估包括檢查評估、自評估和委托評估。檢查評估是從領導層強制執(zhí)行的檢查，由國家機關的官方檢測，委托評估則是委托第三方進行評估。

其四，及時應對網(wǎng)絡突發(fā)事件和災難，做好系統(tǒng)應急和災備工作。

這類事件和災難盡管發(fā)生概率較低，可一旦發(fā)生就是高風險。需要做好準備。

網(wǎng)絡突發(fā)事件一般包括電子威脅類、物理威脅類和內容威脅類等幾類。電子威脅類包括大規(guī)模病毒擴散等，比如沖擊波等病毒；多年前病毒攻擊東京航空系統(tǒng)，結果日本航空公司大批飛機無法起降；美國8 大網(wǎng)站遭到了拒絕服務攻擊，結果CNN等網(wǎng)站受到很大損害。有的停頓達3 天之久，損失總額達到12 億美元。物理威脅類典型的例子就是“9·11”事件，當時世貿大廈共有2200家公司，沒有備份沒有安全措施的公司受到慘重打擊，其中800家公司完全不可恢復，從此破產(chǎn)，而有應急系統(tǒng)的企業(yè)基本都存活了下來。內容威脅類事件則可能導致社會的不穩(wěn)定，甚至可能會影響到國家的穩(wěn)定。

“9·11”之前的10 年，美國世貿大廈曾經(jīng)發(fā)生過一次車庫爆炸，為此，紐約證券交易所拿出了災難備份對策，包括遠程恢復系統(tǒng)，結果在“9·11”發(fā)生之后，它的信息很快得到恢復。這就是災備的重要性。因此，我們要建立關于災難的網(wǎng)絡災備對策。

建立國家規(guī)范的應急預案很重要，目前國家的相關規(guī)范已經(jīng)下發(fā)，同時要有應急資源的支撐，以及應急的控制聯(lián)絡手段的落實。

應急和災備要系統(tǒng)目標、有規(guī)劃、有對策、有組織、有保障、有培訓。要對應急和災備工作進行檢驗和演練，這包括呼叫演練、模擬、實戰(zhàn)演練等。重要的業(yè)務應急和災備工作，每年都需要做一次應急系統(tǒng)操作演練。

在制定應急預案方面，最后一道環(huán)節(jié)就是遠程備份。應急要有異地備份系統(tǒng)，防止單點被徹底摧毀的重大災難發(fā)生的時候無計可施。