應對挑戰完善我軍信息安全保障體系

隨著科學技術的飛速發展和我軍現代化建設的不斷推進，計算機網絡的應用范圍迅速擴大，機關辦公、作戰指揮、視頻會議等各類基于網絡的信息系統大量出現，涉及的秘密信息也更加廣泛，系統的安全控制和網絡管理機制較弱，極易遭受攻擊和非授權訪問，給信息安全帶來了極大的威脅。因此，提高信息安全保障能力，解決計算機網絡系統的安全保密問題，對信息系統和秘密信息實施可靠的保護，已成為一項迫切需要解決的重大課題。

一、認清信息安全保障體系建設面臨的形勢

（一）不可漠視敵對勢力的干擾和破壞

境外敵對勢力對我軍事信息網絡的滲透一刻也沒停止過。民族分裂勢力、法輪功邪教組織、恐怖組織，也利用互聯網進行煽動、滲透、組黨結社等非法活動，甚至直接攻擊我軍的信息網絡，利用網絡黑客入侵計算機系統，破壞或竊取我政治信息，成為我軍信息安全面臨的嚴重隱患。

軍內各種形式的廣域網、局域網、內部專網發展迅速，各種網絡應用層出不窮，網絡系統越來越龐大，各種安全保密產品也不斷的被附加到網絡邊界、用戶終端和提供服務的應用系統上，由此帶來的問題是病毒增大了傳播和影響面，各種隱患和漏洞越來越容易被別有用心的人利用，令許多網絡應用難以開放更多的服務，制約了軍隊信息化的發展進程。

（二）引進的技術設備存在安全隱患

目前，我軍應用的信息技術，大部分是引進西方發達國家的，沒有形成具有自主知識產權的核心技術。我們現在使用的計算機芯片、操作系統、協議、標準、先進密碼技術和安全產品幾乎被國外壟斷。由于受技術水平限制，對從外國引進的關鍵信息設備中可能存在預做手腳的情況無從檢測和排除，客觀上造成了軍事工作關鍵信息防護水準不高，存在安全隱患。例如，1998年有人發現微軟的Windows系統中存在第二把密鑰，即NASkey ，在每一份系統中都安裝了一個后門，專供美國國家安全局在需要時侵入全世界用戶的電腦。據報載：美國僅憑在英國約克郡的軍事基地安裝的電子監控系統，就能將全世界4000萬部手機、14億臺傳真機、18億臺上網電腦處于監控之下。

（三）我軍信息化重建設輕防護的現象普遍存在

為緊跟世界新軍事變革潮流，加快我軍信息化建設，這幾年部隊加大了資金和技術投入，大量的信息化裝備配備到了部隊，全軍基本實現了網絡連接。但是，不少單位忽視信息安全方面的建設，投入嚴重不足，也不注重安全產品的升級換代。許多涉密信息系統處于不設防狀態，沒有安裝防病毒和防泄密等技術設備，或者即使采取措施也并不十分有效，這種重建設輕防護的現象，導致了我軍信息系統的不安全因素。

二、明確任務健全軍隊信息安全保障體系

黨的十八大報告中提到要全面加強軍隊革命化現代化正規化建設，堅定不移把信息化作為軍隊現代化建設發展方向，推動信息化建設加速發展。習近平總書記更是指出，“沒有網絡安全，就沒有國家安全；沒有信息化，就沒有現代化?！蹦敲匆粋€完整的信息安全保障體系應該由組織機構、管理體系和技術體系三方面構成。

（一）組織機構

信息安全保障組織機構可分為決策層、管理層和執行層三個層次。決策層負責分析軍隊信息安全需求，制定安全系統建設發展規劃和信息安全防護重大事宜決策，由軍隊信息安全保密主管部門、軍隊信息系統建設、管理、運用單位和相關職能部門共同組成；管理層是隸屬于決策層領導下的職能部門，根據決策機構的決心，全面規劃并協調各方面力量實施信息系統的安全方案，制定、修改安全策略，處理安全事故；執行層是在管理層協調下具體履行某一個或某幾個特定安全事務的一個工作實體，分布在信息系統的各個崗位上。

（二）管理體系

信息系統安全的管理體系由法律管理、制度管理和培訓管理三部分組成。法律管理是根據相關的國家與軍隊的法律、法規對軍隊信息系統主體及其與外界關聯行為的規范和約束，具有對軍隊信息系統主體行為的強制性約束力，與安全有關的法律法規是軍隊信息系統安全的最高行為準則；制度管理是軍隊信息系統內部依據系統必要的安全需求制定的一系列內部規章制度，主要內容包括：安全管理和執行機構的行為規范，崗位設定及其操作規范，崗位人員的素質要求及行為規范，內部關系與外部關系的行為規范等；培訓管理是確保軍隊信息系統安全的前提。培訓管理的內容包括：法律法規培訓、內部制度培訓、崗位操作培訓、普遍安全意識和與崗位相關的重點安全意識相結合的培訓，業務素質與技能技巧培訓等。培訓的對象不僅僅是從事安全管理和業務的人員，幾乎應包括軍隊信息系統有關的所有人員。

（三）技術體系

信息安全保障體系通常由邊界防衛、入侵檢測、安全反應和信息恢復等4個互相關聯的環節組成。由于這四個環節的英文單詞分別以P、D、R、R開頭，因此該體系也被稱為PDRR體系。邊界防衛是指采用防火墻、線路加密和接人控制等措施，防止“敵方”或未授權人員以非法方式進人信息系統，是“御敵于國門之外”的安全技術，重點阻止諸如冒名頂替、線路竊聽等試圖“越界”的行為，相關的技術包括數據加密、數據完整性、數字簽名、主體認證、訪問控制和公證仲裁等。人侵檢測是發現“敵方”滲透企圖和入侵行為等過程。目的是盡早發現入侵行為，并予以防范。安全反應是將“敵方”攻擊危害降低到最小限度的措施，常用手段包括物理阻斷、漏洞修補、快速響應和組織必要的反擊等措施。信息恢復是指信息系統被攻陷后迅速恢復原有信息的過程，目的是在信息系統遭到信息攻擊或精確打擊破壞后，迅速恢復系統原有功能和信息的過程，制定信息系統的備份、替代方案，實施系統容錯、容災設計等都是實現信息恢復功能的有效手段。

三、迎接挑戰強化我軍信息安全技術防范能力

（一）信息安全技術是具有對抗性的敏感技術。真正先進、核心的信息安全技術和產品是買不來的，信息安全技術含量高，更新快，開發投入高，難度大，如所有技術都靠軍隊自己研制是不現實的，也沒有必要。因此，應將自主研究與合作研究結合起來，形成符臺軍隊實際的良性研發機制，走低投入、高效益的跨越式發展道路。對于軍民通用的技術和設備，應主要依托國家信息安全產業研發力量，采取公開招標、軍品定貨等造徑解決。對于軍隊急需而又必須引進的國外先進技術和產品，引進后必須進行安全檢測并予以技術改造；對于專用的核心技術和裝備，要設立專項課題，組織軍內外專家，集中力量聯合攻關，盡快提升軍隊信息安全保密防護能力。

（二）信息安全技術研發必須突出重點。當前.應力爭在以下三種技術上求得突破：一是能逐步改善信息安全狀況的、帶有普遍性的關鍵技本，如密碼技術、鑒別技術、病毒防御技術、人侵檢測技術等；二是創新性強、可發揮杠桿作用的突破性技術，如網絡偵察技術、信息監測技術、風險管理技術、測試評估技術等；三是能形成“殺手锏”的戰略性技術，如操作系統、密碼專用芯片和安全處理器等。同時，還要樹立大系統觀念，著力解決軍隊信息安全技術的瓶頸問題，狠抓技術及系統的綜合集成。

（三）應加強信息安全技術研發的規劃管理。根據軍隊信息安全面臨的形勢任務，要抓緊研究制定全軍信息安全技術發展戰略和研發計劃，將信息安全技術研究作為全軍科研規劃的重點項目，加強組織領導，加大資金投人，并確定長遠日標、階段目標和初始切人點，大力推動信息安全技術的發展。同時，應堅持科研、生產與應用相結臺，將信息安全設備列入全軍裝備計劃，設立專項經費予以保障，通過軍內生產和社會定購等多種渠道，為部隊提供系列化的裝備保障。此外，還要完善測評認證機制，拓寬信息安全產品發布渠道.積極促進科研成果向戰斗力轉化，逐步形成具有軍隊特色的、先進可靠的信息安全保障體系。

（作者單位：65301部隊自動化站）