信息安全战略述评

　　2016年4月19日，习近平总书记在网络安全和信息化工作座谈会上的讲话指出：

　　网络安全和信息化是相辅相成的。安全是发展的前提，发展是安全的保障，安全和发展要同步推进。我们一定要认识到，古往今来，很多技术都是“双刃剑”，一方面可以造福社会、造福人民，另一方面也可以被一些人用来损害社会公共利益和民众利益。从世界范围看，网络安全威胁和风险日益突出，并日益向政治、经济、文化、社会、生态、国防等领域传导渗透。特别是国家关键信息基础设施面临较大风险隐患，网络安全防控能力薄弱，难以有效应对国家级、有组织的高强度网络攻击。这对世界各国都是一个难题，我们当然也不例外。  面对复杂严峻的网络安全形势，我们要保持清醒头脑，各方面齐抓共管，切实维护网络安全。

　　 面对复杂严峻的网络安全形势，我们要保持清醒头脑，各方面齐抓共管，切实维护网络安全。

　　 第一，树立正确的网络安全观。理念决定行动。当今的网络安全，有几个主要特点。一是网络安全是整体的而不是割裂的。在信息时代，网络安全对国家安全牵一发而动全身，同许多其他方面的安全都有着密切关系。二是网络安全是动态的而不是静态的。信息技术变化越来越快，过去分散独立的网络变得高度关联、相互依赖，网络安全的威胁来源和攻击手段不断变化，那种依靠装几个安全设备和安全软件就想永保安全的想法已不合时宜，需要树立动态、综合的防护理念。三是网络安全是开放的而不是封闭的。只有立足开放环境，加强对外交流、合作、互动、博弈，吸收先进技术，网络安全水平才会不断提高。四是网络安全是相对的而不是绝对的。没有绝对安全，要立足基本国情保安全，避免不计成本追求绝对安全，那样不仅会背上沉重负担，甚至可能顾此失彼。五是网络安全是共同的而不是孤立的。网络安全为人民，网络安全靠人民，维护网络安全是全社会共同责任，需要政府、企业、社会组织、广大网民共同参与，共筑网络安全防线。这几个特点，各有关方面要好好把握。

　　第二，加快构建关键信息基础设施安全保障体系。金融、能源、电力、通信、交通等领域的关键信息基础设施是经济社会运行的神经中枢，是网络安全的重中之重，也是可能遭到重点攻击的目标。“物理隔离”防线可被跨网入侵，电力调配指令可被恶意篡改，金融交易信息可被窃取，这些都是重大风险隐患。不出问题则已，一出就可能导致交通中断、金融紊乱、电力瘫痪等问题，具有很大的破坏性和杀伤力。我们必须深入研究，采取有效措施，切实做好国家关键信息基础设施安全防护。

　　第三，全天候全方位感知网络安全态势。知己知彼，才能百战不殆。没有意识到风险是最大的风险。网络安全具有很强的隐蔽性，一个技术漏洞、安全风险可能隐藏几年都发现不了，结果是“谁进来了不知道、是敌是友不知道、干了什么不知道”，长期“潜伏”在里面，一旦有事就发作了。  维护网络安全，首先要知道风险在哪里，是什么样的风险，什么时候发生风险，正所谓“聪者听于无声，明者见于未形”。感知网络安全态势是最基本最基础的工作。要全面加强网络安全检查，摸清家底，认清风险，找出漏洞，通报结果，督促整改。要建立统一高效的网络安全风险报告机制、情报共享机制、研判处置机制，准确把握网络安全风险发生的规律、动向、趋势。要建立政府和企业网络安全信息共享机制，把企业掌握的大量网络安全信息用起来，龙头企业要带头参加这个机制。

　　 第四，增强网络安全防御能力和威慑能力。网络安全的本质在对抗，对抗的本质在攻防两端能力较量。要落实网络安全责任制，制定网络安全标准，明确保护对象、保护层级、保护措施。哪些方面要重兵把守、严防死守，哪些方面由地方政府保障、适度防范，哪些方面由市场力量防护，都要有本清清楚楚的账。人家用的是飞机大炮，我们这里还用大刀长矛，那是不行的，攻防力量要对等。要以技术对技术，以技术管技术，做到魔高一尺、道高一丈。  目前，大国网络安全博弈，不单是技术博弈，还是理念博弈、话语权博弈。我们提出了全球互联网发展治理的“四项原则”、“五点主张”，特别是我们倡导尊重网络主权、构建网络空间命运共同体，赢得了世界绝大多数国家赞同。

　　综合相关信息研判，我国信息安全形势恶化，技术演进使行业面临新挑战。当前我国信息安全事件数量快速上升，国内安全形势不容乐观，同时“棱镜门”事件爆发凸显新形势下大国之间信息安全竞争升级，我国国内外信息安全形势极其恶化。同时，随着技术演进，APT（高级持续性威胁）、BYOD（自带设备工作）、大数据和移动互联网等新技术新应用新场景也是信息安全行业面临新挑战。

　　美国的政策发展，对我国信息安全行业发展有重要启示。美国拥有完备的信息安全法案，分工明确的安全政策体系，且具备极强“扩张性”。美国把确保信息安全列为国家安全战略最重要的组成部分之一，“911”之后提出了确保网络信息安全的3 个战略目标和5 项优先行动。同时美国在信息安全政策体系明确规定各机构在信息安全工作中的职责范围，以免“政出多门”，造成“政策撞车”。美国信息安全政策的发展，对我国国安委成立之后改善国内信息安全行业“多头管理”、法规缺失等现状有重要启示。

　　信息安全本身包括的范围很大，大到国家军事政治等机密安全，小范围的当然还包括如防范商业企业机密泄露，防范青少年对不良信息的浏览，个人信息的泄露等。网络环境下的信息安全体系是保证信息安全的关键，包括计算机安全操作系统、各种安全协议、安全机制（数字签名，信息认证，数据加密等），直至安全系统，其中任何一个安全漏洞便可以威胁全局安全。信息安全服务至少应该包括支持信息网络安全服务的基本理论，以及基于新一代信息网络体系结构的网络安全服务体系结构。

　　网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。

　　信息安全主要包括以下五方面的内容，即需保证信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。信息安全本身包括的范围很大，其中包括如何防范商业企业机密泄露、防范青少年对不良信息的浏览、个人信息的泄露等。网络环境下的信息安全体系是保证信息安全的关键，包括计算机安全操作系统、各种安全协议、安全机制（数字签名、消息认证、数据加密等），直至安全系统，如UniNAC、DLP等，只要存在安全漏洞便可以威胁全局安全。信息安全是指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。

　　信息安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。从广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全的研究领域。

　　信息安全是指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。信息安全主要包括以下五方面的内容，即需保证信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。

　　信息安全（ Computer security ）是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用数学、数论、信息论等多种学科的综合性学科。它包括以下五方面的特性，即需保证信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。 它使信息网络的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断。其根本目的就是使内部信息不受内部、外部、自然等因素的威胁。为保障信息安全，要求有信息源认证、访问控制，不能有非法软件驻留，不能有未授权的操作等行为。

　　信息安全是指保护信息和信息系统（包括硬件、软件、数据、物理环境和基础设施）的网络安全，以防止未经授权的访问、使用、泄漏、破坏、修改或销毁，确保信息以及信息系统的完整性、可用性、机密性、未授权拷贝和主机系统安全。信息安全主要包括以下五方面的内容，即需保证信息的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。

　　信息安全本身包括的范围很大，其中包括如何防范商业企业机密泄露、防范青少年对不良信息的浏览、个人信息的泄露等。网络环境下的信息安全体系是保证信息安全的关键，包括计算机安全操作系统、各种安全协议、安全机制（数字签名、消息认证、数据加密等），直至安全系统，如UniNAC、DLP等，只要存在安全漏洞便可以威胁全局安全。信息安全是指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。

　　信息安全学科可分为狭义安全与广义安全两个层次，狭义的安全是建立在以密码论为基础的计算机安全领域，早期中国信息安全专业通常以此为基准，辅以计算机技术、通信网络技术与编程等方面的内容；广义的信息安全是一门综合性学科，从传统的计算机安全到信息安全，不但是名称的变更也是对安全发展的延伸，安全不在是单纯的技术问题，而是将管理、技术、法律等问题相结合的产物。本专业培养能够从事计算机、通信、电子商务、电子政务、电子金融等领域的信息安全高级专门人才。

　　信息安全的概念在二十世纪经历了一个漫长的历史阶段，90年代以来得到了深化。进入21世纪，随着信息技术的不断发展，信息安全问题也日显突出。如何确保信息系统的安全已成为全社会关注的问题。国际上对于信息安全的研究起步较早，投入力度大，已取得了许多成果，并得以推广应用。中国已有一批专门从事信息安全基础研究、技术开发与技术服务工作的研究机构与高科技企业，形成了中国信息安全产业的雏形，但由于中国专门从事信息安全工作技术人才严重短缺，阻碍了中国信息安全事业的发展。信息安全专业是十分具有发展前途的专业。

　　中国信息安全行业起步较晚，自本世纪初以来经历了萌芽、爆发和普及阶段三个重要发展阶段，产业规模逐步扩张。尤其是近年来，各类网络威胁造成的损害不断增强，带动了市场对信息安全产品和服务需求的持续增长；另外，政府重视和政策扶持也不断推动我国信息安全产业的快速发展。 目前，我国信息安全产业针对各类网络威胁行为已经具备了一定的防护、监管、控制能力，市场开发潜力得到不断提升。2010年中国信息安全产品市场规模达到111.74 亿元，同比增长20.23%。《中国信息安全行业发展前景与投资战略规划分析报告前瞻》显示，政府、电信、银行、能源、军队等仍然是信息安全企业关注的重点行业，证券、交通、教育、制造等新兴市场需求强劲，为信息安全产品市场注入了新的活力；在产品结构方面，信息安全产品种类日益丰富，网络边界安全、内网信息安全及外网信息交换安全等领域全面发展。

　　所有的信息安全技术都是为了达到一定的安全目标，其核心包括保密性、完整性、可用性、可控性和不可否认性五个安全目标。

　　保密性（Confidentiality）是指阻止非授权的主体阅读信息。它是信息安全一诞生就具有的特性，也是信息安全主要的研究内容之一。更通俗地讲，就是说未授权的用户不能够获取敏感信息。对纸质文档信息，我们只需要保护好文件，不被非授权者接触即可。而对计算机及网络环境中的信息，不仅要制止非授权者对信息的阅读。也要阻止授权者将其访问的信息传递给非授权者，以致信息被泄漏。

　　完整性（Integrity）是指防止信息被未经授权的篡改。它是保护信息保持原始的状态，使信息保持其真实性。如果这些信息被蓄意地修改、插入、删除等，形成虚假信息将带来严重的后果。

　　可用性（Availability）是指授权主体在需要信息时能及时得到服务的能力。可用性是在信息安全保护阶段对信息安全提出的新要求，也是在网络化空间中必须满足的一项信息安全要求。

　　可控性（Controlability）是指对信息和信息系统实施安全监控管理，防止非法利用信息和信息系统。

　　不可否认性（Non-repudiation）是指在网络环境中，信息交换的双方不能否认其在交换过程中发送信息或接收信息的行为。信息安全的保密性、完整性和可用性主要强调对非授权主体的控制。而对授权主体的不正当行为如何控制呢？信息安全的可控性和不可否认性恰恰是通过对授权主体的控制，实现对保密性、完整性和可用性的有效补充，主要强调授权用户只能在授权范围内进行合法的访问，并对其行为进行监督和审查。

　　除了上述的信息安全五性外，还有信息安全的可审计性（Audiability）、可鉴别性（Authenticity）等。信息安全的可审计性是指信息系统的行为人不能否认自己的信息处理行为。与不可否认性的信息交换过程中行为可认定性相比，可审计性的含义更宽泛一些。信息安全的可见鉴别性是指信息的接收者能对信息的发送者的身份进行判定。它也是一个与不可否认性相关的概念。

　　产业政策

　　随着互联网、云计算和大数据技术的发展，以及基础设施对网络的依赖，网络信息战已经成为新的战场，发达国家如美国、俄罗斯、日本、欧洲等国家都将其提升到国家战略高度，信息安全成为新的安全壁垒。“9•11”事件的发生被美国认为其信息安全体制存在问题，信息安全协调员现已成为美国政府行政部门中最重要的高级官员之一，专注于对美国重要信息基础设施的保护和网维攻击能力建设，对美国的国家安全、外交和经济事务能够产生举足轻重的影响力。

　　信息安全作为保障国家安全的战略性核心产业，国家队信息行业安全给予了高度重视，不仅在财税和金融上给予大力支持，还在很多细分领域推出相关的扶持政策以加速安全产业的发展。在政策支持和市场需求的驱动下，中国信息安全产业近几年年平均增速均在20％以上，但中国信息安全投入占IT 总投入的比重仍然大幅低于欧美国家。

　　所有的信息安全技术都是为了达到一定的安全目标，其核心包括保密性、完整性、可用性、可控性和不可否认性五个安全目标。

　　1、保密性（Confidentiality）：是指阻止非授权的主体阅读信息。它是信息安全一诞生就具有的特性，也是信息安全主要的研究内容之一。更通俗地讲，就是说未授权的用户不能够获取敏感信息。对纸质文档信息，我们只需要保护好文件，不被非授权者接触即可。而对计算机及网络环境中的信息，不仅要制止非授权者对信息的阅读。也要阻止授权者将其访问的信息传递给非授权者，以致信息被泄漏。

　　2、完整性（Integrity）是指防止信息被未经授权的篡改。它是保护信息保持原始的状态，使信息保持其真实性。如果这些信息被蓄意地修改、插入、删除等，形成虚假信息将带来严重的后果。

　　3、可用性（Availability）是指授权主体在需要信息时能及时得到服务的能力。可用性是在信息安全保护阶段对信息安全提出的新要求，也是在网络化空间中必须满足的一项信息安全要求。

　　4、可控性（Controlability）是指对信息和信息系统实施安全监控管理，防止非法利用信息和信息系统。

　　5、不可否认性（Non-repudiation）是指在网络环境中，信息交换的双方不能否认其在交换过程中发送信息或接收信息的行为。

　　信息安全的保密性、完整性和可用性主要强调对非授权主体的控制。而对授权主体的不正当行为如何控制呢？信息安全的可控性和不可否认性恰恰是通过对授权主体的控制，实现对保密性、完整性和可用性的有效补充，主要强调授权用户只能在授权范围内进行合法的访问，并对其行为进行监督和审查。除了上述的信息安全五性外，还有信息安全的可审计性（Audiability）、可鉴别性（Authenticity）等。

　　1、可审计性（Audiability）是指信息系统的行为人不能否认自己的信息处理行为。与不可否认性的信息交换过程中行为可认定性相比，可审计性的含义更宽泛一些。

　　2、可见鉴别性（Authenticity）是指信息的接收者能对信息的发送者的身份进行判定。它也是一个与不可否认性相关的概念。原则为了达到信息安全的目标，各种信息安全技术的使用必须遵守一些基本的原则。

　　数据安全、信息安全、网络安全有何区别与联系

　　目前，信息安全（Information security）常见的定义有：

　　1、美国联邦政府的定义信息安全是保护信息系统免受意外或故意的非授权泄漏、传递、修改或破坏。

　　2、国际标准化组织（ISO）定义信息安全是为数据处理系统建立和采取的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因而遭到破坏、更改和泄漏。

　　3、我国信息安全国家重点实验室的定义信息安全涉及信息的保密性、可用性、完整性和可控性。保密性就是保证信息不泄漏给未经授权的人；可用性就是保证信息以及信息系统确实为授权使用者所用；完整性就是抵抗对手的主动攻击，防止信息被篡改；可控性就是对信息以及信息系统实施安全监控。综合起来说，就是要保障电子信息的有效性。

　　4、信息科学研究领域的定义信息安全是指信息在生产、传输、处理和储存过程中不被泄漏或破坏，确保信息的可用性、保密性、完整性和不可否认性，并保证信息系统的可靠性和可控性。

　　从历史角度来看，信息安全早于网络安全。随着信息化的深入，信息安全和网络安全内涵不断丰富。信息安全随着网络的发展提出了新的目标和要求，网络安全技术在此过程中也得到不断创新和发展。

　　网络安全

　　网络安全（Network security）不仅包括网络信息的存储安全，还涉及信息的产生、传输和使用过程中的安全。

　　从狭义来说，网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。网络安全从其本质上来讲就是网络上的信息安全。

　　从广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性和可控性的相关技术和理论都是网络安全的研究领域。所以广义的计算机网络安全还包括信息设备的物理安全性，如场地环境保护、防火措施、静电防护、防水防潮措施、电源保护、空调设备、计算机辐射等。

　　从两者的定义可看出，信息安全与网络安全有很多相似之处，两者都对信息（数据）的生产、传输、存储和使用等过程有相同地基本要求，如可用性、保密性、完整性和不可否认性等。但两者又有区别，不论是狭义的网络安全——网络上的信息安全，还是广义的网络安全都是信息安全的子集。

　　数据安全

　　数据安全有两方面的含义：

　　一是数据本身的安全，主要是指采用现代密码算法对数据进行主动保护，如数据保密、数据完整性、双向强身份认证等。

　　二是数据防护的安全，主要是采用现代信息存储手段对数据进行主动防护，如通过磁盘阵列、数据备份、异地容灾等手段保证数据的安全，数据安全是一种主动的包含措施，数据本身的安全必须基于可靠的加密算法与安全体系，主要是有对称算法与公开密钥密码体系两种。

　　数据处理的安全是指如何有效的防止数据在录入、处理、统计或打印中由于硬件故障、断电、死机、人为的误操作、程序缺陷、病毒或黑客等造成的数据库损坏或数据丢失现象，某些敏感或保密的数据可能不具备资格的人员或操作员阅读，而造成数据泄密等后果。

　　数据存储的安全是指数据库在系统运行之外的可读性。一旦数据库被盗，即使没有原来的系统程序，照样可以另外编写程序对盗取的数据库进行查看或修改。从这个角度说，不加密的数据库是不安全的，容易造成商业泄密，所以便衍生出数据防泄密这一概念，这就涉及了计算机网络通信的保密、安全及软件保护等问题。

　　相对于信息安全这个相对广泛的概念，数据安全则显得更为精准，而且国家对数据安全的重视程度也越来越高。近期出台的《网络安全法》对数据安全也给予了足够的关注。《网络安全法》对数据的安全保护，主要着眼于两方面：一是要求各类组织切实承担起保障数据安全的责任，即保密性、完整性、可控性。二是保障个人对其个人信息的安全可控。有了国家和社会各界对数据安全的重视，作为数据安全行业领军企业的优炫软件也更加坚定深耕数据安全细分领域的决心。

　　重要性

　　信息作为一种资源，它的普遍性、共享性、增值性、可处理性和多效用性，使其对于人类具有特别重要的意义。信息安全的实质就是要保护信息系统或信息网络中的信息资源免受各种类型的威胁、干扰和破坏，即保证信息的安全性。根据国际标准化组织的定义，信息安全性的含义主要是指信息的完整性、可用性、保密性和可靠性。信息安全是任何国家、政府、部门、行业都必须十分重视的问题，是一个不容忽视的国家安全战略。但是，对于不同的部门和行业来说，其对信息安全的要求和重点却是有区别的。

　　中国的改革开放带来了各方面信息量的急剧增加，并要求大容量、高效率地传输这些信息。为了适应这一形势，通信技术发生了前所未有的爆炸性发展。除有线通信外，短波、超短波、微波、卫星等无线电通信也正在越来越广泛地应用。与此同时，国外敌对势力为了窃取中国的政治、军事、经济、科学技术等方面的秘密信息，运用侦察台、侦察船、侦察机、卫星等手段，形成固定与移动、远距离与近距离、空中与地面相结合的立体侦察网，截取中国通信传输中的信息。

　　从文献中了解一个社会的内幕，早已是司空见惯的事情。在20世纪后50年中，从社会所属计算机中了解一个社会的内幕，正变得越来越容易。不管是机构还是个人，正把日益繁多的事情托付给计算机来完成，敏感信息正经过脆弱的通信线路在计算机系统之间传送，专用信息在计算机内存储或在计算机之间传送，电子银行业务使财务账目可通过通信线路查阅，执法部门从计算机中了解罪犯的前科，医生们用计算机管理病历，最重要的问题是不能在对非法（非授权）获取（访问）不加防范的条件下传输信息。

　　传输信息的方式很多，有局域计算机网、互联网和分布式数据库，有蜂窝式无线、分组交换式无线、卫星电视会议、电子邮件及其它各种传输技术。信息在存储、处理和交换过程中，都存在泄密或被截收、窃听、窜改和伪造的可能性。不难看出，单一的保密措施已很难保证通信和信息的安全，必须综合应用各种保密措施，即通过技术的、管理的、行政的手段，实现信源、信号、信息三个环节的保护，藉以达到秘密信息安全的目的。

　　我国信息安全产业带的相关政策 ： 国务院办公厅  《关于大力推进信息化发展和切实保障信息安全的若干意见》 ； 全国人大常委会  《加强网络信息保护的决定（草案）》；  工信部  《关于加强工业控制系统信息安全管理的通知》 ； 工信部  《移动互联网恶意程序监测与处置机制》；  工信部  《信息安全产业十二五规划》；  发改委  《关于组织实施2011 年国家信息安全专项有关事项的通知》；  公安部等  《信息安全等级保护管理办法》等等。

　　蔡律综合  2018年5月19