換個思維議安全

本刊記者

記者：劉副理事長，作為一

個資深的電子政務(wù)領(lǐng)導者和實踐者，您幾乎見證了我國電子政務(wù)從無到有的整個發(fā)展歷程。信息安全問題和政府信息化建設(shè)工作之間的“恩恩怨怨”，您的體會一定更加深切。面對我們國家當前的信息安全現(xiàn)狀，您一定有話要說。

劉彥凱：隨著信息化時代的到來，信息的重要性越來越凸顯，甚至上升到戰(zhàn)略資源的地位，所以信息安全問題已被列入世界各國的議事日程，同時也引起信息化工程建設(shè)與承建方的高度關(guān)注，很多有關(guān)信息安全的策略與相關(guān)產(chǎn)品應(yīng)運而生，而且層出不窮。

我們可以從策略、技術(shù)思路和產(chǎn)品等三個角度來看信息安全的現(xiàn)狀：第一，從策略上看：有分網(wǎng)而治（保密網(wǎng)、內(nèi)網(wǎng)、外網(wǎng)、專網(wǎng)、因特網(wǎng)、XX主干網(wǎng)等）、分域而治（公安部提出的等級保護）、分級而治（分級保護）和分人而治（身份認證）。第二，從技術(shù)思路上看：有物理隔離、邏輯隔離、數(shù)據(jù)擺渡、虛擬專網(wǎng)（VPN）等。第三，從產(chǎn)品上看：有防火墻、防水墻、UTM、安全網(wǎng)關(guān)、入侵檢測、異常流量管理、上網(wǎng)行為管理、防病毒網(wǎng)關(guān)、防病毒軟件、主機加固、網(wǎng)絡(luò)審計、數(shù)據(jù)庫審計、防主頁篡改、網(wǎng)閘、PKI（認證系統(tǒng)）、隔離網(wǎng)卡（防一機兩用）、移動辦公等等。

這三駕馬車基本保障了系統(tǒng)的相對安全，同時，系統(tǒng)集成商和產(chǎn)品開發(fā)（代理）商都獲得了可觀的利潤。但是，廣大應(yīng)用人員卻倍感糾結(jié)。實事求是地講，能使他們感到有所欣慰的是，花錢買了個相對平安，減輕了責任。可是這一套套“組合拳”（多國別、多廠家、多種類、異構(gòu)疊加的硬軟安全產(chǎn)品）給他們帶來更多的是高額投入、效率遞減、運維復雜、應(yīng)用不便的苦惱和無奈。

記者：您覺得當前我們應(yīng)對信息安全的方式上，是否存在問題？應(yīng)該如何改進？

劉彥凱：當前，我覺得在應(yīng)對安全問題的方式上存有四大偏頗：一是防御為主，等敵人上門出現(xiàn)了漏洞才去堵;二是技術(shù)為主，技術(shù)萬能；三是鏈路為主，只在信息交互的通道上下功夫；四是引進為主沿用發(fā)達國家的產(chǎn)品與技術(shù)思路，忽視了主動出擊、人員管理、數(shù)據(jù)安全，自主研發(fā)。

我們應(yīng)該換個思路，透過現(xiàn)象抓住本質(zhì)，把復雜問題簡單化，以人為本，達到經(jīng)濟、管用、好用、愛用的佳境。

大家都知道，信息化建設(shè)有一條規(guī)律——三分技術(shù)七分協(xié)調(diào)，說的是管理與技術(shù)的辯證關(guān)系，安全問題也不例外。首先，要在管理（內(nèi)因）上下工夫才會起到事半功倍的效果，抓管理首先要建立相應(yīng)的制度并強化督查落到實處，同時要抓好人員的教育和培訓，使之明了不安全的危害和后果，學習掌握相關(guān)的技能，做到主動防御；

其次，在技術(shù)思路上要自主、創(chuàng)新，走以數(shù)據(jù)安全（加密）主動防御為主的路子，建立、健全我國的密碼研發(fā)體制與配發(fā)機制，使傳輸網(wǎng)由多變少、工作由煩變簡、投入由多變少。

記者：您對當前的電子政務(wù)網(wǎng)絡(luò)建設(shè)有何看法？

劉彥凱：一位領(lǐng)導秘書曾無限感慨地對我說：“信息化是必由之路，我不反對，可目前這個搞法，以我為例，工作時一個人要面對六網(wǎng)六機（保密網(wǎng)、內(nèi)網(wǎng)、外網(wǎng)、專網(wǎng)、因特網(wǎng)、應(yīng)急網(wǎng)），不堪負重啊！能否換個思路解放和發(fā)展我們的生產(chǎn)力呢？”

老子曰：大道至簡。這是先人留傳數(shù)千年的大智慧，很值得我們借鑒，并在信息化建設(shè)的實踐中有所體現(xiàn)。我認為規(guī)劃和建設(shè)信息化，思維要科學，思路要清晰。面對每一個項目，一方面, 在建設(shè)之初，應(yīng)認真做好需求調(diào)研，要腳踏實地、不厭其煩，捕捉并匯總出一個全面、深刻、緊貼應(yīng)用的需求，在此基礎(chǔ)上與應(yīng)用人員共同研討，理順、優(yōu)化好業(yè)務(wù)流程，勾勒好拓撲結(jié)構(gòu);另一方面,在為用戶編制技術(shù)方案和選供產(chǎn)品時，要抓住需求中的主要矛盾和矛盾的主要方面，出煩而入簡，要學習中醫(yī)全息調(diào)控、表里兼治、主動出擊（未病先防、已病防變）的理念，切忌只著眼微觀、頭痛醫(yī)頭、腳痛醫(yī)腳，走被動防御的彎路。