换个思维议安全

本刊记者

记者：刘副理事长，作为一

个资深的电子政务领导者和实践者，您几乎见证了我国电子政务从无到有的整个发展历程。信息安全问题和政府信息化建设工作之间的“恩恩怨怨”，您的体会一定更加深切。面对我们国家当前的信息安全现状，您一定有话要说。

刘彦凯：随着信息化时代的到来，信息的重要性越来越凸显，甚至上升到战略资源的地位，所以信息安全问题已被列入世界各国的议事日程，同时也引起信息化工程建设与承建方的高度关注，很多有关信息安全的策略与相关产品应运而生，而且层出不穷。

我们可以从策略、技术思路和产品等三个角度来看信息安全的现状：第一，从策略上看：有分网而治（保密网、内网、外网、专网、因特网、XX主干网等）、分域而治（公安部提出的等级保护）、分级而治（分级保护）和分人而治（身份认证）。第二，从技术思路上看：有物理隔离、逻辑隔离、数据摆渡、虚拟专网（VPN）等。第三，从产品上看：有防火墙、防水墙、UTM、安全网关、入侵检测、异常流量管理、上网行为管理、防病毒网关、防病毒软件、主机加固、网络审计、数据库审计、防主页篡改、网闸、PKI（认证系统）、隔离网卡（防一机两用）、移动办公等等。

这三驾马车基本保障了系统的相对安全，同时，系统集成商和产品开发（代理）商都获得了可观的利润。但是，广大应用人员却倍感纠结。实事求是地讲，能使他们感到有所欣慰的是，花钱买了个相对平安，减轻了责任。可是这一套套“组合拳”（多国别、多厂家、多种类、异构叠加的硬软安全产品）给他们带来更多的是高额投入、效率递减、运维复杂、应用不便的苦恼和无奈。

记者：您觉得当前我们应对信息安全的方式上，是否存在问题？应该如何改进？

刘彦凯：当前，我觉得在应对安全问题的方式上存有四大偏颇：一是防御为主，等敌人上门出现了漏洞才去堵;二是技术为主，技术万能；三是链路为主，只在信息交互的通道上下功夫；四是引进为主沿用发达国家的产品与技术思路，忽视了主动出击、人员管理、数据安全，自主研发。

我们应该换个思路，透过现象抓住本质，把复杂问题简单化，以人为本，达到经济、管用、好用、爱用的佳境。

大家都知道，信息化建设有一条规律——三分技术七分协调，说的是管理与技术的辩证关系，安全问题也不例外。首先，要在管理（内因）上下工夫才会起到事半功倍的效果，抓管理首先要建立相应的制度并强化督查落到实处，同时要抓好人员的教育和培训，使之明了不安全的危害和后果，学习掌握相关的技能，做到主动防御；

其次，在技术思路上要自主、创新，走以数据安全（加密）主动防御为主的路子，建立、健全我国的密码研发体制与配发机制，使传输网由多变少、工作由烦变简、投入由多变少。

记者：您对当前的电子政务网络建设有何看法？

刘彦凯：一位领导秘书曾无限感慨地对我说：“信息化是必由之路，我不反对，可目前这个搞法，以我为例，工作时一个人要面对六网六机（保密网、内网、外网、专网、因特网、应急网），不堪负重啊！能否换个思路解放和发展我们的生产力呢？”

老子曰：大道至简。这是先人留传数千年的大智慧，很值得我们借鉴，并在信息化建设的实践中有所体现。我认为规划和建设信息化，思维要科学，思路要清晰。面对每一个项目，一方面, 在建设之初，应认真做好需求调研，要脚踏实地、不厌其烦，捕捉并汇总出一个全面、深刻、紧贴应用的需求，在此基础上与应用人员共同研讨，理顺、优化好业务流程，勾勒好拓扑结构;另一方面,在为用户编制技术方案和选供产品时，要抓住需求中的主要矛盾和矛盾的主要方面，出烦而入简，要学习中医全息调控、表里兼治、主动出击（未病先防、已病防变）的理念，切忌只着眼微观、头痛医头、脚痛医脚，走被动防御的弯路。