信息安全總體規劃四大要點
——著名信息安全專家曲成義一席談

《祖國》/楊晨

曲成義

當前，信息化已經遍布國家社會的方方面面，網絡信息安全關乎國家政治、經濟、軍事、文化乃至國民生活的各個領域，信息化的融合發展在各個領域、各條戰線不斷深化，信息化與工業的融合越發緊密，對工業化的發展起到了巨大的催化作用。可以說工業化時代的各個領域，信息化帶來的是各領域的倍增效應。筆者曾帶著相關話題專訪著名信息安全專家、國家信息化專家咨詢委員會委員曲成義，他認為：在信息化不斷加強的當今社會，任何信息化危機的發生，都會對社會造成很大風險。因此需要進一步加強信息化的全局和安全規劃。

網絡安全的保障直接決定國家機關的穩定運行，國家的電子政務一旦出現任何風險，都會對國家的發展帶來很大的損害。例如：民航受到攻擊，則飛機無法起飛；核電站受到攻擊，則可能產生重大的核泄漏風險；政府機關的政務受到攻擊，則可能造成大量國家機密文件的泄密事件發生，甚至造成政府的業務中斷，政府的公信力就會受到重大影響……

如何在重大風險甚至是災難發生的情況下，保障信息不中斷的傳輸，使國家部門企業運行正常運轉，是一個很重要的課題。信息化已經在我國發展多年，我們要站在全局規劃的高度上，對信息安全建設進行完整的構想和實施。

信息安全總體規劃四要點：

其一，做好信息安全的等級保護制度的落實。

通俗地說，信息安全等級保護制度就是要在你的信息系統可能面臨的風險和你的信息系統的投入之間尋找到一個平衡點。包括資金、人力、資源的各種投入都要形成一種平衡狀態。因為在中國目前的狀態下，資金的投入一定是受到一些限制的，因此我們需要在業務信息系統的構建和資金投入之間找到合適的點。

其二，建立健全信息安全保障體系。

信息安全保障體系的建立分為技術保障體系的建立和管理保障體系的建立。先說技術保障體系的建立。信息安全技術保障體系的建立包括4 個要點。

第一， 要做好縱深防御工作。這包括4 點：做好信息安全域的科學劃分；要做好安全邊界的防護和控制，這包括物理隔離和邏輯隔離兩種手段；要做好信息安全設施在縱深多級上的部署；要做好公眾信道的安全保障工作。要使信息安全機制形成綜合集成的安全管理和聯動。

第二， 要建立動態防護策略。任何攻擊都是一個過程，要在各環節部署有效的對策，要對外界的攻擊有檢測、預警、監控、抑制、診斷、恢復和容災的動態機制，在整個的動態防御流程中，保證信息傳輸的正常運營。在綜合攻擊情況下，任何單點的靜態的防御效果都不大。

第三， 要加強基于密碼技術的網絡信任體系建設。網絡信任體系的建設，要讓每個人都能夠證明自己的身份。其中包括身份認證、授權管理、責任認定等幾個環節。網絡信任體系是要通過規范操作，確認責任，防止違規。

第四， 強化系統內部審計（內控機制）。近些年來，企業或機構內部安全事件的數量已經超過外部病毒、黑客攻擊等安全事件，這些內部安全事件包括誤操作、違規操作和違法操作（內部人員和外部人員互相勾結，違法泄漏公司機密）等。所以強化內部審計，控制內部員工對于內部文件的接觸掌控是非常重要的。

內部審計有事后審計、事中審計和事前審計。內部審計的發展方向是審計點前移，即從事后審計向事中審計甚至事前審計轉化。

要形成全局范圍的審計系統。這包括網絡審計、數據庫審計（數據庫和日志需要進一步細化），系統流程和應用的審計、主機審計、介質審計等。

審計記錄要進行安全加固，這也是對于系統管理員的一種控制，以防管理員對審計記錄進行篡改。

總體上來說，在建立信息安全保障體系方面，我們不能單純搞技術，也不能單純搞管理。兩者必須緊密結合，技術和管理并重，共同構建完善的保障體系。

其三，做好信息安全系統的風險評估工作。

風險評估包括檢查評估、自評估和委托評估。檢查評估是從領導層強制執行的檢查，由國家機關的官方檢測，委托評估則是委托第三方進行評估。

其四，及時應對網絡突發事件和災難，做好系統應急和災備工作。

這類事件和災難盡管發生概率較低，可一旦發生就是高風險。需要做好準備。

網絡突發事件一般包括電子威脅類、物理威脅類和內容威脅類等幾類。電子威脅類包括大規模病毒擴散等，比如沖擊波等病毒；多年前病毒攻擊東京航空系統，結果日本航空公司大批飛機無法起降；美國8 大網站遭到了拒絕服務攻擊，結果CNN等網站受到很大損害。有的停頓達3 天之久，損失總額達到12 億美元。物理威脅類典型的例子就是“9·11”事件，當時世貿大廈共有2200家公司，沒有備份沒有安全措施的公司受到慘重打擊，其中800家公司完全不可恢復，從此破產，而有應急系統的企業基本都存活了下來。內容威脅類事件則可能導致社會的不穩定，甚至可能會影響到國家的穩定。

“9·11”之前的10 年，美國世貿大廈曾經發生過一次車庫爆炸，為此，紐約證券交易所拿出了災難備份對策，包括遠程恢復系統，結果在“9·11”發生之后，它的信息很快得到恢復。這就是災備的重要性。因此，我們要建立關于災難的網絡災備對策。

建立國家規范的應急預案很重要，目前國家的相關規范已經下發，同時要有應急資源的支撐，以及應急的控制聯絡手段的落實。

應急和災備要系統目標、有規劃、有對策、有組織、有保障、有培訓。要對應急和災備工作進行檢驗和演練，這包括呼叫演練、模擬、實戰演練等。重要的業務應急和災備工作，每年都需要做一次應急系統操作演練。

在制定應急預案方面，最后一道環節就是遠程備份。應急要有異地備份系統，防止單點被徹底摧毀的重大災難發生的時候無計可施。