信息安全总体规划四大要点——著名信息安全专家曲成义一席谈

《祖国》/杨晨

曲成义

当前，信息化已经遍布国家社会的方方面面，网络信息安全关乎国家政治、经济、军事、文化乃至国民生活的各个领域，信息化的融合发展在各个领域、各条战线不断深化，信息化与工业的融合越发紧密，对工业化的发展起到了巨大的催化作用。可以说工业化时代的各个领域，信息化带来的是各领域的倍增效应。笔者曾带着相关话题专访著名信息安全专家、国家信息化专家咨询委员会委员曲成义，他认为：在信息化不断加强的当今社会，任何信息化危机的发生，都会对社会造成很大风险。因此需要进一步加强信息化的全局和安全规划。

网络安全的保障直接决定国家机关的稳定运行，国家的电子政务一旦出现任何风险，都会对国家的发展带来很大的损害。例如：民航受到攻击，则飞机无法起飞；核电站受到攻击，则可能产生重大的核泄漏风险；政府机关的政务受到攻击，则可能造成大量国家机密文件的泄密事件发生，甚至造成政府的业务中断，政府的公信力就会受到重大影响……

如何在重大风险甚至是灾难发生的情况下，保障信息不中断的传输，使国家部门企业运行正常运转，是一个很重要的课题。信息化已经在我国发展多年，我们要站在全局规划的高度上，对信息安全建设进行完整的构想和实施。

信息安全总体规划四要点：

其一，做好信息安全的等级保护制度的落实。

通俗地说，信息安全等级保护制度就是要在你的信息系统可能面临的风险和你的信息系统的投入之间寻找到一个平衡点。包括资金、人力、资源的各种投入都要形成一种平衡状态。因为在中国目前的状态下，资金的投入一定是受到一些限制的，因此我们需要在业务信息系统的构建和资金投入之间找到合适的点。

其二，建立健全信息安全保障体系。

信息安全保障体系的建立分为技术保障体系的建立和管理保障体系的建立。先说技术保障体系的建立。信息安全技术保障体系的建立包括4 个要点。

第一， 要做好纵深防御工作。这包括4 点：做好信息安全域的科学划分；要做好安全边界的防护和控制，这包括物理隔离和逻辑隔离两种手段；要做好信息安全设施在纵深多级上的部署；要做好公众信道的安全保障工作。要使信息安全机制形成综合集成的安全管理和联动。

第二， 要建立动态防护策略。任何攻击都是一个过程，要在各环节部署有效的对策，要对外界的攻击有检测、预警、监控、抑制、诊断、恢复和容灾的动态机制，在整个的动态防御流程中，保证信息传输的正常运营。在综合攻击情况下，任何单点的静态的防御效果都不大。

第三， 要加强基于密码技术的网络信任体系建设。网络信任体系的建设，要让每个人都能够证明自己的身份。其中包括身份认证、授权管理、责任认定等几个环节。网络信任体系是要通过规范操作，确认责任，防止违规。

第四， 强化系统内部审计（内控机制）。近些年来，企业或机构内部安全事件的数量已经超过外部病毒、黑客攻击等安全事件，这些内部安全事件包括误操作、违规操作和违法操作（内部人员和外部人员互相勾结，违法泄漏公司机密）等。所以强化内部审计，控制内部员工对于内部文件的接触掌控是非常重要的。

内部审计有事后审计、事中审计和事前审计。内部审计的发展方向是审计点前移，即从事后审计向事中审计甚至事前审计转化。

要形成全局范围的审计系统。这包括网络审计、数据库审计（数据库和日志需要进一步细化），系统流程和应用的审计、主机审计、介质审计等。

审计记录要进行安全加固，这也是对于系统管理员的一种控制，以防管理员对审计记录进行篡改。

总体上来说，在建立信息安全保障体系方面，我们不能单纯搞技术，也不能单纯搞管理。两者必须紧密结合，技术和管理并重，共同构建完善的保障体系。

其三，做好信息安全系统的风险评估工作。

风险评估包括检查评估、自评估和委托评估。检查评估是从领导层强制执行的检查，由国家机关的官方检测，委托评估则是委托第三方进行评估。

其四，及时应对网络突发事件和灾难，做好系统应急和灾备工作。

这类事件和灾难尽管发生概率较低，可一旦发生就是高风险。需要做好准备。

网络突发事件一般包括电子威胁类、物理威胁类和内容威胁类等几类。电子威胁类包括大规模病毒扩散等，比如冲击波等病毒；多年前病毒攻击东京航空系统，结果日本航空公司大批飞机无法起降；美国8 大网站遭到了拒绝服务攻击，结果CNN等网站受到很大损害。有的停顿达3 天之久，损失总额达到12 亿美元。物理威胁类典型的例子就是“9·11”事件，当时世贸大厦共有2200家公司，没有备份没有安全措施的公司受到惨重打击，其中800家公司完全不可恢复，从此破产，而有应急系统的企业基本都存活了下来。内容威胁类事件则可能导致社会的不稳定，甚至可能会影响到国家的稳定。

“9·11”之前的10 年，美国世贸大厦曾经发生过一次车库爆炸，为此，纽约证券交易所拿出了灾难备份对策，包括远程恢复系统，结果在“9·11”发生之后，它的信息很快得到恢复。这就是灾备的重要性。因此，我们要建立关于灾难的网络灾备对策。

建立国家规范的应急预案很重要，目前国家的相关规范已经下发，同时要有应急资源的支撑，以及应急的控制联络手段的落实。

应急和灾备要系统目标、有规划、有对策、有组织、有保障、有培训。要对应急和灾备工作进行检验和演练，这包括呼叫演练、模拟、实战演练等。重要的业务应急和灾备工作，每年都需要做一次应急系统操作演练。

在制定应急预案方面，最后一道环节就是远程备份。应急要有异地备份系统，防止单点被彻底摧毁的重大灾难发生的时候无计可施。