公安部第三研究所所長國家反計算機入侵和防病毒研究中心主任
嚴明
任何一項技術在其發展過程中都會產生自己的對立面,網絡的好處在于它廣泛的互聯,然而麻煩也正是來自于它廣泛的互聯。
計算機系統的脆弱性是一個我們必須面對的事實。令人擔憂的是,隨著計算機應用的普及和軟硬件產品的不斷更新,其安全問題正在成幾何級數增加。被病毒感染的計算機數量越來越多,損失也越來越嚴重。因此,黨和國家領導人曾經指出:“信息和網絡安全關系國家安全。”
金融、電信和民航一向被認為是我國信息化程度最高的三大行業,也是信息化手段更新最快、對信息技術依賴性最強的行業。安全生產是民航運輸業的重中之重,但是由于信息安全保障不足,今年7月,某機場的計算機網絡系統突然癱瘓,一時間,所有飛機無法起降,大量乘客被困機場,嚴重影響機場的正常運營,并造成了巨大的損失。而在不久之后,某大型民航機場的信息系統又突然出現問題,所幸幾分鐘后機場備用系統成功地接替了工作,順利化險為夷。這些例子說明,當前民航網絡和信息安全形勢不容樂觀,重要的網絡和信息系統缺乏必要的安全防范手段,這同樣也成為了民航信息化建設的隱患。
值得一提的是,和國外相比,信息網絡安全在國內的信息系統建設過程中所受到的重視程度往往不夠,投資所占的比例明顯偏低。也許這正是我國信息系統安全的隱憂所在。雖然我國民航信息系統的情況相對要好一些,但是和整個信息系統的安全需求相比,仍需有所加強。前面所舉的實例中,涉及到民航信息系統的備用系統建設,就需要大量的資金投入。筆者認為,在當前民航網絡安全系統的建設過程中,以下三個問題值得我們重視和探討:風險度問題
現代信息系統是一個非線性的智能化人機結合的復雜大系統。由于人能力的局限性,即便有再好的愿望,出于多美好的出發點,信息系統總是會存在漏洞,無法禁絕,而使用和管理系統的人也總會存在犯錯誤的可能性。
當前對于系統安全性的研究,攻擊和反攻擊技術也在相互追逐,不斷提高,正所謂“道高一尺,魔高一丈”,其發展沒有盡頭。當前我們認為還算安全的系統,不久之后就可能發現其不夠安全,因為發現了新的漏洞,黑客研究出了新的攻擊技術,或者病毒制造者設計出了新的病毒程序,甚至僅僅是由于我們對系統進行了重新配置,從而帶來了新的安全威脅等等。因此,如果我們把信息安全的目標定位于:“系統永不停機、數據永不丟失、網絡永不癱瘓、信息永不泄密”,可以說,那是永遠不可能實現的!
所以,安全只能是相對的,這是一個風險的問題,是一個動態的過程。我們不應當一廂情愿地追求所謂絕對安全,而是要追求將安全風險控制在合理程度或允許的范圍內。這就是信息安全的風險度觀點。適度安全問題
既然我們要實現的是合理和可以允許的風險度,我們追求的當然就是適度安全,這里需要運用科學的評估方法,圍繞威脅、資產、脆弱性、安全措施等,對系統安全的風險度展開分析。在評估時不僅要考慮現有環境,還應考慮近期和遠期發展變化的趨勢。然后,我們還應該評估控制風險所需要付出的安全代價。在此基礎上,對風險和代價進行均衡,最終確定相應的安全策略。
正因為如此,網絡信息安全的等級保護概念應運而生。應當強調的是,中央和國家領導部門已經將計算機安全登記保護的管理,作為國家信息安全的基本框架推行。
“木桶效應”問題
所謂“木桶效應”,是將信息系統的整體安全比作一個木桶。其安全水平是由構成木桶的最短的那塊木板所決定的。這也就是說,在我們的網絡信息安全體系中,各個安全要素都同等重要。所謂“螻蟻之穴,潰千里之堤”,各方面的安全要素均不容忽視。但是特別應當強調的是,安全管理在信息安全的各個要素中具有極其重要的地位。有人將安全管理的漏洞比作存在于木桶桶底的漏洞,言下之意是:如果安全管理不符合要求,其他安全措施即使投入再大也無濟于事。
作者點評
1999年9月13日,國家質量技術監督局發布了由公安部提出并組織制定的強制性國家標準《計算機信息安全保護等級劃分準則》。該準則是建立安全等級保護制度、實施安全等級管理的重要基礎性標準。它將計算機信息系統分為五個安全保護等級,并正在繼續制定一系列配套標準和法規,這些標準將為我國信息安全保障體系的建設和管理提供技術指導和支持。據了解,我國民航的全球分銷系統(GDS)已經完成主體工程;電子商務和電子客票在南航、深航航空公司開始得到廣泛應用;離港信息系統先后在全國吞吐量前100位的機場進行安裝;中航油企業資源計劃管理(ERP)在華東等地區完成試點。其他各項信息化工程也在穩步推進之中。
我國民航信息網是覆蓋全國的巨型網絡,存在著眾多的信息系統,由各個部門進行管理和使用,所以應當根據其計算機信息系統所處理信息的敏感程度、業務應用性質和部門重要程度,按照國家有關標準,分別確定其計算機信息系統的安全保護等級并實施安全保護。
近日欣聞第五屆民航信息化發展論壇即將在上海召開,我認為,“網絡與信息安全”是本屆論壇非常有價值的一個議題,并預祝論壇活動取得圓滿成功,同時也希望我國民航業在為乘客提供安全舒適
的服務過程中不斷得以成長壯大!
|