沈昌祥：高安全等级信息系统 等级保护建设整改技术框架

沈昌祥：各位来宾大家好！今天有机会跟大家介绍一下等级保护建设整改建设的问题发表一些看法很高兴，我们先看看最近美国的一些情况，美国对信息安全保障非常的重视。911以后美国对信息安全不断的升级，一直到了国家战略，但是美国近几年也做了深刻的反思，尤其是2005年以后，它们认为美国的信息安全保障不成功，是失败的。在20078月，专门组织了下一届总统的信息安全的委员会，来研究下一届总统执政的时候怎么来搞美国的信息安全。经过他们一年半的时间工作，奥巴马总统上台以后就提出了44届总统网络空间安全报告，这个报告非常有新意，他们以二战时期的一个阿尔法和英格码事件为警示。

二战时期盟军破了德国的密码，才使得战争优势起了根本性的变化。英格码是德国的一个核心密码，所以以英国为首的破译他们称之为阿尔法的过程。破译了以后盟军不说，不暴露，甚至把德国要轰炸英国的时候也没有暴露，一直到所有的战略战术都搞的一清二楚，使战争有了一个根本性的转变，取得了绝对的优势。

他们美国这次以这个事例为警示，他们把自己变成为英格码，把其他的称之为阿尔法，可见他们受到信息安全的威胁是相当的严重的。20多年来美国一直在努力设计一种战略，保护自身的利益，但是一直是不成功的，原因就是没有从根本上解决这个问题，只是在网络上封堵，打补丁，美国受到了攻击，削弱了美国的力量。这个报告提出了12项，25条建议，要重新制订战略，尤其是要特别强调要设立一个协调部门，咱们国家这方面以前做的还是不错的，我看要重新洗牌了，没有一个高层次的信息安全协调小组是不行的，要制定法律法规，技术方面要重新的从根本上进行研究。

尤其是第一条，他们设定一条基本的原则，网络安全是国家的一项关键资产，美国将动用国家力量的所有工具对其实施保护，第一，确保国家公众安全，经济繁荣以及关键服务对美国公众的顺畅提供。从这儿看来，我国推行信息安全等级保护的制度具有创造性和前瞻性。认识还不行，我们要做好等级保护，尤其是高安全等级的系统是我们信息安全保障体系的主要的任务，也是要确保基础网络，基础设施与重要信息的安全。

面对这个问题我们比较被动，周司长刚才讲了高技术的安全的技术，芯片操作系统不在我们手上，我们如何对付这个被动的局面呢？我们还是要做，我们有我们中国的特点，有我们的做法，我们还是要按照等级保护的红头文件，比如说66号文件，要按照我们国家制订的等级保护有关的制订保准，比如说17859，要从技术和管理方面进行建设。这里要提一下关于标准问题我们制订出的比较多，大家反映也比较乱，究竟怎么样来看待这些标准。我认为标准从三个层面来看，第一个是17859，这个是国家强制性的标准，研究计算机信息系统安全保护划分准则，这是根据国务院147号令制定的，应该说我们等级保护的基础性标准，也就是其他标准制定的依据，这个是不会动摇的。有的人认为这个标准好象有一点过时了，不是这样的。这个标准我们要强调的首先是以访问控制为核心，这是非常正确的。

我们日常生活当中也是以访问控制为核心的，也就是是什么样的人可以做什么样的事情，这就是访问控制。有等级的，什么等级？你市长能访问什么文件，你处长能访问什么文件，什么等级的文件，这就是强制访问控制。不要因为强制访问控制吓的不得了，必须这么做，不分等级，不分重要性，信息安全无从谈起，这是第一个要点。

第二个要点的核心不是说要改造他应用系统，改造应用程序，比如说我们的人要健康，人不能变，变不了，要构造一个环境，使人生长健康的一个保护环境。我们强调的是基本保护环境，安全的基本保护环境，以及相关的安全服务，这是很重要的，没有过时，我们必须贯彻执行。

第二个层次，要细化要求，总的要求是比较宏观的，等级保护有结合的基本要求，是根据17859的标准基础上根据现有技术发展水平，提出和规定了不同安全等级信息系统的最低保护要求，这也包括技术要求和基本管理要求。这是门槛，怎么起步，是这个事。不是说基本要求达到了以后就达到了整改目标了，我不同意这种说法。

第三个层次，你光提要求大家是莫名其妙的，那么一大堆要求我怎么办呢？我怎么做呢？因此，公安部非常重视，在2007年调过来了一批资金，做了一个项目。就是说我们现在二级、三级、四级，五级现在没有，怎么做，怎么来达到上面说的要求，我们组织了团队经过一年多时间的努力攻关做了，做出来了，能达到新要求。在这个基础上，就提炼了一个要求，等级保护的技术要求，目前已经形成了报批稿，经过几十次的专家的论证，反复征求国家部委、行业以及信息安全企业，尤其是经过了我们8675工作组秘书处的认证和检查，等于中央委员会来审批了。

主要是针对三级的，三级以后成四级，三级减去一些功能，减弱以后就变二级，主要是针对三级而言的。我们所说的现在卡壳的最关键的是怎么实施3G以上系统的保护，因为3G如果出了问题会引起大面积的社会秩序，公共利益的损害。我们不但要防止外面的攻击，还要防止内部人内外勾结的攻击，这个是会影响到国家安全的。不但要防止外部一般的攻击，而且要防止敌对势力，敌对组织的大规模的攻击，内外勾结的大规模的攻击。这个事情是比较严重的，我们怎么办呢？我简单介绍一下，前面讲过了17859的总则，也可以说我们做了以后也可以满足基本要求的最低门槛。

这个我们怎么来看呢？我们以前讲的都是按照层次来说的，物理层、网络层、主机层、系统层、应用层、数据层这么来说的，这个事情也不能说它错，在座的各位都是搞安全的，这一条在80年代中期ISO79就是开放互联标准，研究的时候说开放互联两个网络之间的一点接口、界面，提升安全，大家误认为这就是信息安全的体系结构了，我再强调一下这是一个误解。开放互联网络一个对接的标准不是整个信息系统的框架，我们要重新认识信息系统安全框架是什么呢？我们要按照平日我们日常的一个单位的安全管理怎么搞的对照起来认识是比较合理的。因为我们信息系统是一个平时工作过程的一个信息化、网络化，是很有对照关系的，比如说第一个我们要抓什么呢？平时要抓什么呢？抓带动式管理的安全，行政文件不能乱扔，不能被人家偷了，看了，不能让人家拿走了，这里就涉及到管好个人的行为，个人的案头弄好了。计算机、OA、办公自动化也不是说一台计算机代替了一切手工，所以我们提出来了要从计算机的信息化强调计算环境的安全，这是第一个。

第二个，我们每一个单位都有保安，有一些单位有警卫，警卫室，这也是安全，该拿出去的拿出去，违规的一律禁止，这个问题也是有一些误解。以前我们信息安全觉得外面的做好了就可以了，内部可以不管，这是不对的。因此拼命的去封堵，只是管外面的东西进来，内部的东西不管，这是片面的。我们要把所有进入的信息全部打开，全部拼起来要进行比对，警卫也好，保安也好都是编码，我们单位里头你处长不见得看所有的都是，你警卫什么东西都可以看，这还得了吗？这个体系框架就不安全的。所以我们提到是按照谁批准的，符合规定的可以进来。

第三个，我们日常安全形成了一个软件，也交流要送出去，要送进来，这就是我们通讯网络的安全。第一，你不能送错了；第二，你不能偷看了；第三，你不能调包了，篡改了。因此我们网络以后，信息化以后依然如此，网络通讯依然如此，跟我们平常的安全抓法是一样的，抓住这三个环节基本搞定。这个不是说自己搞就搞了，要有管理部门的支持和监督，所以我们提出了安全管理中心支持下的环境这么一个框架。我重点讲一讲安全管理也是跟我们日常管理是一样对应的，我觉得一般单位所谓重要的单位，比如说宾馆，它可能有保安科，保安处，他们干什么呢？他们管环境配置的安全，这个门该开的开，该锁的锁，这个东西不能乱放，防火通道不能堵塞，这就是保卫的工作。

我们信息化有没有呢？应该有，该什么程序可以放，什么程序不该放，什么时候应该开放，什么应该封闭，这是一样的，这很重要，我们叫系统管理。

还有一个是都有保密室，什么文件打的什么章，放在保密室，什么级别的人可以访问这个文件，这是一样的，我们在信息上有一个安全管理的平台，安全子系统，制订策略。给不同级别的人设权，安全在计算机里面有这么一个代理自动进行审查，这就是第二个管理的部门，保密部门，我们讲安全管理子系统或者是平台。

第三个很多单位都是有摄象头实时监控的，博物馆更厉害了，也就是把行为的状态监控下来，放到监控室去进行实时监控或者是事后查询。我们信息系统必须有审计，我们审计引擎就是跟监控一样，有据可查，可以实时监控。在安全管理平台上我们是这么一个结构，跟我们日常安全管理非常对应，真正的反映了我们信息系统安全的等级。

这样做是不是很复杂呢？大家理解了这样做以后就不复杂了。我们各个安全控制要制定规章制度，以前规章制度定了以后贴在墙上，我们可以把规章制度变成为软件控制的模块，也就是说谁能做什么，谁不能做什么，什么系统改了配置，什么行为该审计，由领导定了以后我们定完以后就要初始化，把这些规则定下来，有操作人员、管理人员平台，以前认为安全管理操作人员有权力，他是一个操作人没有决定权，决定权在领导那儿，定了以后由操作人员初始化。初始化了以后打进去，在系统里自动执行就完成了这样的流程，很简单。

这样做究竟可行不可行呢？有什么特点呢？第一，我们从国情出发，前面讲过了，我们的操作系统芯片不完全自主，我们要在整体上解决问题，要有中国特点，我们是一国两制，我们大陆就是完全的社会主义制度，香港就是资本主义制度，怎么办呢？我们总体的框架很重要，局部不安全没有关系，我给它隔离起来，局部有了问题以后不会影响到整体。这样做到了以后，我的病毒，我的木马，我的病毒染不了，木马进不来。

第二，我们要重点防止个人操作，从源头上要防止攻击。什么样的人做什么样的事不违规，违规以后自动会纠正，这个系统就是安全的。

第三，要以防内为主，内外兼防，如果内部的人员受到了严格控制，那么我们可以说做到了非法的人员进不去，进去了以后我们有防控措施你拿不到，拿到了以后你也看不懂，也改不了。我们有系统管理，有严格的检查的，你改不了，而且你还做了违规的事，赖不了，我们有审计。

第四，我们强调在技术支持下的安全管理，当然规章制度非常重要，我们前面讲过了我们领导同志在制订信息安全大策略，有具体操作能力来操作，事先领导有决策权，事中有检查权，事后还有追查处理权。把规则定好了，我们可以检查一下，事后还可以检查谁做什么了，违规了没有，会去检查。

我们要保护环境，不要给应用程序，尤其是我们整改应用程序是改不了的，以前的数据要全部的保留，只要确定了什么样的人做什么样的事，打一个标记，加以授权，就可以确定整个系统的运行，这样做风险就不大了，而且成本大为降低。我觉得大家应该反思一下，应该认真反思我们以前的安全保障工作的建设情况怎么样，我们要有新的观点，科学的发展的观点来对待我们信息安全保障建设，来对待我们等级保护的整改工作，谢谢大家！

转载：感谢您对网站平台的认可，以及对我们原创作品以及文章的青睐，非常欢迎各位朋友分享到个人站长或者朋友圈，但转载请说明文章出处。