NSA陰影下的企業信息安全

作者 | 程德杰

NSA陰影下的企業信息安全

作者 | 程德杰

近日，華為被曝出的美國NSA監聽的新聞引發業內廣泛關注，并受到國內諸多媒體及人士的指責。但指責之余，如何防患于未然，才是正解。

史上最有名的爆料者—斯諾登，雖然目前隱身于俄羅斯，但卻并沒有停止其爆料歷程。根據其最新一次爆料：美國國家安全局（National Security Agency，NSA）已經秘密對來自中國的華為公司（HUAWEI）進行了長達數年的監控，其監控行為包括入侵華為的郵件服務器、竊聽通話、竊取華為通信設備的核心源代碼等。

這并不是中國企業第一次成為有關“信息安全”話題的焦點。與過往西方媒體的喧囂不同，這一次，華為公司從西方網絡信息安全的潛在“威脅者”，逆轉成為美國國安局監控行為的“受害者”。

盡管NSA長達數年的監控，并沒有能夠讓NSA獲取到華為公司和中國軍方部門聯系的有力證據，但卻讓NSA通過竊取華為網絡設備的核心代碼，借助華為公司這幾年在全球通信市場的快速成長，成功地將監控的黑手伸到了華為公司的客戶那里。

長期以來，企業信息安全主要由企業自己負責，政府和相關安全保衛部門則主要負責政府機關和要害部門的信息安全工作，大型國有企事業單位雖然也納入到各級政府的保密安全工作范疇，但不得不承認的是，國家信息安全保衛的重點，仍主要在政府系統和重點軍工研究單位。企業信息安全、特別是部分高科技民營企業的信息安全，長久以來并沒有受到應有的重視。

事實上，隨著中國改革開放進程的加速，企業日益成為國家經濟活動的主體。企業的信息安全，尤其是掌握著國家高科技發展資源的企業，其信息安全早已是國家信息安全的重要組成部分，企業的信息安全同樣關系著國家安全。

如何確保中國企業的信息安全，讓眾多像華為那樣的中國企業，遠離NSA的黑手，個人以為：在此中間政府應扮演重要角色，政府應成為企業信息安全的第一道防火墻。

首先，國家應將企業信息安全工作，納入到國家信息安全防控體系中來，以企業的微觀安全來確保國家的宏觀安全。

企業作為經濟發展的主體，重點企業、特別是高科技企業，往往承載著國家在某一領域領先突破的希望和未來。但由于歷史原因，企業往往缺乏信息安全意識，缺少在信息安全方面的投入，相關國家信息安全部門也缺乏對企業信息安全的重視和關注，導致部分高科技企業的核心技術外泄，使企業利益受損，進而損害國家的經濟利益，并可能危害國家經濟安全。因此，有必要以加強企業信息安全為著力點，將企業信息安全納入到整個國家信息安全體系中來，以企業的微觀安全來確保國家的宏觀安全。

其次，構建國家信息安全體系應做好頂層設計，實現好與企業信息安全的對接，讓企業在信息安全中發揮主導作用。

目前，在國家層面已經成立了信息安全領導機構，但在有關企業信息安全方面，仍需探索構建一套既有利于企業發展，又有利于信息安全防范的成熟機制。這就需要做好頂層設計，讓企業在關系自身信息安全的工作中，扮演主要角色。

再次，國家信息安全部門應建立與重點保護企業的情報共享、信息通報和業務輔導機制，共同確保企業信息安全。

企業信息安全是國家信息安全的重要組成部門，企業防控安全入侵的戰場也是國家信息安全戰場的一部分。在防控安全入侵方面，不少企業累積了不少有益的經驗，而不少企業本身就是信息領域的領導者和標準制訂者。因此，國家信息安全部門建立和重點企業的定期溝通機制，通報國際、國內信息安全形勢，互通情報，做到信息互通，情報共享，雙向業務輔導，共同提升企業和國家信息安全水平，確保企業信息安全。

最后，國家應進一步加大對信息安全設備和安全技術的研發支持力度，將信息安全的鑰匙掌握在自己手中。

從根本上來說，國家的信息安全從來都不是構建在別國信息安全設備和技術之上的。靠別國設備和技術搭建起來的國家信息安全，總是會輕易地被戳得千瘡百孔。因此，國家有必要進一步加大對自有信息安全設備安全技術的研發支持力度，建立適應現代信息安全環境的中國信息安全標準體系，壯大國內自我掌控的國家信息安全產業。

綜上所述，企業信息安全作為國家安全的微觀層面，有必要受到政府信息安全部門的高度關注。通過頂層設計和體制建設，構建起企業信息安全的保護傘，使企業遠離NSA的魔爪，才能夠真正確保國家的戰略安全。