网络信息安全发展战略思考与对策

沈昌祥

各位领导、各位专家、同志们，今天叫我来讲讲关于信息安全有关技术方面的准备，因为准备不够充分，时间比较紧张，只能讲讲大方面的问题。题目很大，这是去年在深圳高交会上的讲稿。

今天讲信息安全国家保障的一些看法。

一，信息安全与网络安全的重要性与严峻性。我们国家要实现信息化与信息化带动工业化，信息安全的保障是基础性的工作，是国家安全的问题。党和国家领导人非常重视，发表一系列重要指示，去年已经成立了国家信息化领导小组，信息化领导小组办公室启动，有一个组管信息安全。

每个国家都非常重视信息安全，像美国发表了保护计算机空间的国家保障计划。俄罗斯发布了信息安全学术的国家级、顶层的，规划如何搞信息安全的纲领性文件。其它国家都有很多的法律或者是规划，在保障自己国家的信息化安全。

我们国家起步比较晚，党和国家领导人非常重视，研究层面、生产层面都进行了一系列努力。比如说基础层面，已经有信息安全项目，叫“信息安全体系研究”。科学基金也有信息安全的项目，“863”信息领域把信息安全作为努力的一个方面。计委促进产业化已经连续两年，今年是第三年了，进行了示范工程的指示，力度相当大。我们国家从立法、管理、技术的层面都有很大的进步。但是，我们现在也存在不少的问题，比如说现在我们的信息系统建立起来了，不断地出现信息安全的问题。目前，更重要的问题是我们没能全面解决信息安全自主知识产权的产品。多数还是要利用人家的技术，或者是系统。

下面讲讲强化信息安全保障体系的有关看法。

信息安全是一个很广泛的词。从历史上讲，这些是靠通信保密来解决信息安全，是大家都容易理解的。没有发展计算机以前，我们的通信是比较前沿的。到计算机开始的时候，计算机用于计算，还不存在现在的问题。后来计算机大量用于事务的处理，社会的生活、金融，有关的问题，甚至政府企业的决策支持，就出现了计算机安全问题，我们称之为“信息安全保障”。

计算机网络化以后，所处理的内容不仅仅被计算机所代替，所以就出现了如何保证网络安全是全方位的事。以前信息安全建立的概念又显得不够了，就出现了信息保障概念。信息保障是全方位的，并不限于一个计算机。它的正式目标主要是要保证国民经济，基础设施的信息安全，要抵御有关国家地区集团可能对我们实施信息战的威胁和打击，以及国内外高技术犯罪。保障国家的社会稳定、经济发展。

我们以前一提信息安全，总想到病毒怎么厉害，黑客怎么厉害，病毒怎么猖狂，我们搞防火墙，病毒这个概念是有的。但是从“9.11”出来以后，其实美国人最感兴趣的是网络的恐怖，信息的恐怖，电视的恐怖，没有想到大楼被飞机撞了。我们想想，如果出现网络恐怖以后，对美国政府的影响，金融、经济的影响，比“9.11”的影响要大得多。

我们说信息安全要站在信息站，国家与国家之间的角度，恐怖与犯罪这个层面考虑。重点应该在信息社会里，保证国家基础设施，经营，国计民生有关重大的问题，比如水电。如果没有，老百姓生活有很多问题，如果任何工作都用计算机、网络化控制了，信息安全保障绝不是某个信息丢不丢，人家偷不偷的事，而是一个总体的、整体的系统工程。

信息安全是一个社会系统工程，有几个层面涉及这个事。我们把一个图拿来画一下，从几个层面，它的重点是要保证国家信息基础设施的正常运行发挥作用。要靠什么呢？靠信息安全平台以及安全基础设施来保障的。这个保障是靠信息安全技术来进行作用的。信息安全技术的作用，实际要靠信息安全保障体系，产生信息安全的平台，信息安全基础设施。

三分技术，七分管理，技术通过管理才能起作用。必须要有严格的管理，严密的制度，才能使信息技术起作用。这个组织管理，也不是乱来的。因为信息社会必须有序的依照法律进行管理组织，最顶层是信息安全法律体系。倒过来说，按照信息安全的法律为依据，进行严格的组织管理，使信息安全保障体系起作用，使平等的信息安全基础设施作用于信息基础设施正常运行，使得整个信息社会，稳定的、健康的发展。

一个是信息安全几个层面，需要人才保证，这也是一个体系，人才也是工程，也需要大量的经费进行保证的。这个图概括了信息安全是怎么回事，我们现在要加快信息安全的立法，建立各种各样的、比较全面的信息安全的法律体系。

我们要建立国家信息安全组织管理体系，加强国家信息安全机构以及职能。信息化领导小组办公室统管协调整个国家信息安全事务。下面还有很多具体的部委、党政机关来管理信息安全。这是怎么做的，尤其是相互协调的信息管理，有人说都是管理，不是很协调。我想今后党和国家领导人统一组织这个事，可以进行协调。更重要的是建立国家信息安全保障措施的物质基础，没有物质，管理也是空的。保障体系，物质基础是技术保障体系，我们是研究技术的，重点强调这方面的问题。

一个网络由各种各样的信用的网络系统组成的。这个网络可以大概分为涉及国家秘密的网络。这个是顶层的。下一个是表示国家秘密的信息。下面一层是敏感信息。再下面是公共的公众信息，这是共享的。我们可以把这个企业称之为计算的环境。这里的局域网或服务器，有初级端的，有应用程序，有应用数据，这是很重要的，是实质性的一个环境。这个是安全的，要保证这个环境的安全，处理环境的安全，计算环境的安全，保证计算环境的安全。这样还不行，因为网络需要有链接的服务器。说到计算环境，做一个安全的链接，信息安全与社会安全有非常等同、非常的映射关系。比如故宫，以前封建王朝最高的领导层，最秘密的，外面有围墙，有护城河，有边界，我们是网络世界处理局部的处理基点，要有边界安排保护。

像防火、网关、通讯服务器，这些都是解决边界安全的。边界安全也是很重要的，但是通讯网络是通过信道相互连接起来的，所以涉及到通信网络的安全。通信网络技术的安全对应三个处理环境，有三种不同的网络安全。一个是保证机密的网络，一个是保证敏感的网络，也可以说是实用信息的网络，一个是公众网络，Internet是公众网络，他们相互之间的连接要有安全保证的，我们称之为“三个保证”。计算环境的安全保证，技术安全保证，计算环境边界的安全保证，通信网络设施的安全保证。最后采取一系列的技术措施来构筑的。光有这个设施还不行的，还要有一个支撑系统。这个支撑系统是两个方面，一个要运行，一个要检测。先检测，后运行。要恢复这套程序，还有密码支撑，重要的是像密码设备引进的反映，这个主要是密钥管理，对称密码的管理。对密码密钥的管理，最对称密码密钥的管理，对称是KNI，最对称的密钥是PKNI。这里PKNI说的比较多，关注的比较多，但是PKNI是密码知识的一部分，不是全部。很重要的部分是用对称密码解决安全保密和数据一致性等等。工程密码的优点将解决网络边界的延伸，平等的第三方认证等等。这样我们概括为三个保证，一个支撑，构筑一个信息安全保证的技术体系。

我们还可以把这个保障体系，把人参与进去，做成一个深入保证的战略。下面有几个层次，人是核心的，人是主体的，要通过人操作，作用于基础设施，通过技术层面去操作，使安全保障的基础设施起作用。有三个保证，一个支撑，这样变成为动态的概念。

下面所讲的就是构筑的一些平台。大家所说的动态PPIR模型，首先要访问，在保护的基础上，尽管你觉得很全面了，但是网络的系统动态，说不定什么时候存在漏洞，我们要有解释的手段，解释这个存在的漏洞，使得这个漏洞越少越好。尽管检测完了以后，漏洞少了，但是不可能没有漏洞，漏洞是绝对存在的。我们还应该有办法，一旦有漏洞，造成损失以后，我们能及时地响应，能发现它，采取措施来主动补救。响应以后还可能会导致什么事，还应该及时恢复，形成一个动态的、全方位的、立体的信息安全保障模型与概念。

我们国家有相当大的投入建立信息安全保障体系，尤其基础设施要加强投入。尤其高度重视人才的培养，建立信息安全人才培养体系。可喜的是，我们经过几年的努力，不少学校已经设立了专业、系，甚至学院，在职教育部已经把信息安全列为一级学科的目录，。我们国家批了35所软件学院。软件学院是新的体制，招生的指标不是国家控制，根据需要来定。其中不少的软件学院设了信息安全学科，还有组织培训班，培养各种需要的人才。以前没有的一些目录，有硕士研究生、博士研究生，从事信息安全的研究工作、管理工作，甚至立法工作。

我们现在讲的保障框架，标准很重要。大概说一下标准怎么回事。这个标准两个层面，一个层面应该按照一定的等级保护衡量一个系统是不是安全的，这个很重要。你建完以后是一个什么系统，按照什么建，适合这个规格标准吗？第二，你做了一个东西，建了一个系统，或者建一个设备，是不是安全，达到哪个等级，哪个标准，有明确规定。只有用这样的标准，才能知道我们产业健康的发展，有序的发展。只有这样的标准，才能指导信息安全体系的建设。

在80年代，美国国防部颁布了“可信计算机安全评价准则”，我们称之为“桔皮书”，TCSEC。一个系统如果缺乏安全保密，它分了四个等，八个级，主要是按照保密要求高低来分的。保密要求高的，安全功能要强，保障措施要求严，随着信息化、网络化，全面信息化，这个标准有它的意义，一个是建立在理论基础上，建立在VIP模型，有数学模型。网络发展以后，其它方面数据的完整性、一致性等等方面体现的都很多。

还有一个问题，在信息社会里，安全保密要求高的未必就等于是高的，比如银行系统对数字的保密性要求不是很强，但是数的一致性、完整性要求非常强。在这方面要求保障的非常严。比如我们现在要搞电子证书了，这样的系统属于国家哪个级的？说不上，它作为第三方，安全保障措施要求非常高，你说他可信吗？如果容易被人家破坏，容易被人家篡改，这就不可信了。所以，出现了可信计算机单独接点考虑问题又出现了，后来欧洲出现了信息技术、IT按照标准来考虑，或者CC标准，这个很清楚了。

CC标准是更适合于在网络化、信息化这种环境下建立标准评估，我认为不是先进不先进，一个标准符合他的需要，能解决问题，它就是好的。如果不满足，或者针对性不强，那就不好了。应该说CC是代替了目前信息社会各种应用评估准则。

我们国家已经有5个等级的准则，严格说，我们国家不是评估准则，按照五个等级来划分保护，所以我们说这五个保护准则只能说是原则性的，没有具体的内容。

对下面城市评估准则一些评测手段进行研发、产品化，做了很多工作。CC标准我们国家很重视，列为国家的开发标准。WTO以后，我们把这两个标准有机结合，成为适合我们国家、适合我们国情的标准。现在正在研究这方面的事情。

大力发展我国信息安全产业。

信息安全产业是发展信息产业很好的突破口。唯有信息安全，才能引起各方面的重视。国产的产品容易得到共识，应该说它是核心的产品。如果发展我们自己的信息产业，使得我们的系统建的安全，用的放心，能推进我们国家信息化发展的进程。

如果，真正解决不信息安全的自主产品以后，其它安全产业也有了基础，也有了积累。比如说，在操作系统安全的核心基础上，加强了安全的内核研究，技术相当。我们的操作系统应该说有力量、有基础，只要适当的组织，有市场的积累，我们可以解决自主版权国产化的操作系统。目前，信息安全不可能用国产的产品，这是一个值得研究的问题。我们应该“有所为，有所不为”，不是所有的都搞。应该说，首先要打基础。主要是信息保密产品、用户认证授权产品、安全平台与系统，网络安全检测控制设备，应急反映和恢复。

首先是安全平台，安全系统作为基础。信息保密类的产品作用于平台，在有安全认证授权的产品，解决用户使用安全问题。上面一层有安全检测与监控产品，来解决支持于管理的问题。当然，恢复响应也是很重要的，这方面要花很多钱，有相应的发展，重点应该放在基础平台上。

信息安全是国家大事，必须强化我国信息安全保障体系，制定和实施国家信息安全保障战略计划是当务之急。这已经列为信息化领导小组办公室今年的重要任务。

信息安全产业化是确保信息安全的国家重大举措，是推进国家信息化进程保障的物质基础，从战略高度应该大抓产业化。

强化我国信息安全保障体系，构建牢不可破的信息安全“钢铁长城”，是时代赋予我们的历史责任。经过我们的努力，不仅能解决信息产品安全的问题，而且在世界上有立足之地。

谢谢大家。

来源：计世网