潘柱廷：安全运营是安全能力和实力体现

北京启明星辰信息技术股份有限公司CSO潘柱廷

近日，国务院办公厅发布了《关于大力推进信息化发展和切实保障信息安全的若干意见》(以下简称《意见》)。文件重点指出，要加强安全防护和管理，保障重点领域信息安全;加快能力建设，提升网络与信息安全保障水平。《意见》是一份非常重要的文件，其历史地位堪比2003年中共中央办公厅和国务院办公厅出台的《国家信息化领导小组关于加强信息安全保障工作的意见》，影响十分深远。

在宏观层面，《意见》提到，要“健全信息安全保障体系，切实增强信息安全保障能力”。能力等同于“实力”，没有过硬的安全技术实力，保障体系就无从谈起。我们要形成局部对抗和防御的实力，以保护商业和社会方面的信息安全。“切实增强信息安全保障能力”将为真正在技术上下工夫的企业和科研机构带来更多增长机会。

关于“加快安全能力建设，完善网络与信息安全基础设施，加强信息安全应急等基础性工作，提高风险隐患发现、监测预警和突发事件处置能力”部分，要做好上述几点，需要建立大PDR(防护+检测+响应)机制。还有其他专家提出的一种更全面的WPDRRC(预警+防护+检测+响应+恢复+反击)机制，涵盖了隐患发现、监测预警和突发事件处置。

安全运营是安全能力和实力的体现。安全运营中不仅要运营防御的设备和系统，还要做好对各种威胁的运营，也就是知己知彼，也就是所谓的威胁运营。隐患发现对应的技术就是漏洞扫描产品、安全基线检查产品;监测预警对应入侵检测、审计、宏观态势感知等技术和产品;能够做好突发事件处置的前提就是要做好事件的分析和处置演练。

对于《意见》提出的“健全安全防护和管理。重要信息系统和基础信息网络要与安全防护设施同步规划、同步建设、同步运行……切实提高防攻击……防窃密能力”。重要信息系统和基础信息网络主要是指电信网络、电力网络、银行和金融信息系统、财税海关、公共安全以及其他重要政务系统。自从《国家信息化领导小组关于加强信息安全保障工作的意见》出台后，“安全责任同步”反复被强调。另一个提法就是谁主管谁负责、谁建设谁负责、谁运行谁负责。而与这些行业相关的信息安全等级保护、分级保护、测评认证制度、风险评估标准等一系列合规性要求将会被更强力地落实。随着这些行业进一步提升安全防护能力，在信息安全方面将投入更多的资金。

对于一些具体的领域，《意见》也提出了信息安全防护要求，包括“保障工业控制系统安全”、“明确敏感信息保护要求……加强个人信息保护工作”，震网病毒、超级火焰病毒的发现，为工业生产控制系统安全敲响了警钟，这一领域的信息安全必须重视起来。安全的目标最终是业务的安全，具体说主要就是数据的安全。最近几年频繁发生的国家、企业、个人数据泄密事件使得数据防泄密成为市场中最热门的话题，数据防泄密这一细分市场正在快速增长。《意见》最后指出，要“加大信息安全技术研发力度，加强对云计算、物联网、移动互联网、下一代互联网等方面的信息安全技术研究……完善有关信息安全政府采购政策措施和管理制度，支持信息安全产业发展”。安全的实力最终还是会落实到技术实力上，落实在技术研究和产品开发上。当前安全技术制高点是APT(高级持续威胁)、宏观态势感知和应对、安全技术的高性能实现(高带宽、多核芯片)等。