着力构建科学的网络安全防护体系

　　各位同仁下午好!非常高兴有这个机会，中国联通在安全防护上做一个介绍，做一下交流，有很多在安全方面的服务的需求，一些合作的机会。

　　在这之前，因为我这是一个当时准备的材料，内部给领导汇报的材料，有些内容过一下，应该说在目前我们这个大的环境下，网络安全，钓鱼网站，网页串改、垃圾邮件等等，都面临一些安全问题，应该说我们业界有一个说法，尤其跟互联网相关的，比较起来非常的安全，这本身也是有些非常传统的，比如我们的病毒，僵尸，刚才强调的针对互联网、云计算，移动互联网最新面临的一些问题。

　　应该说这些问题本身都有一个身体的特点，一个是低门槛，一个是广泛性，一个是趋利性，目前越来越多的敌意性。低门槛都可以看到这个结构，某一个控制成败上万各，趋利性从安全问题出现以来，是一直存在的，并且整个形成一个产业链。在广泛性上我们也可以了解一下，2010年的时候，原来可能都针对我们计算机网络的，后来针对工业控制平台，专业网络无线的出现了，再一个是我们敌意性，应该说从国家安全的角度来说，海陆空天，到网络空间是成为第五围的国际战略空间。这明显一个，当时伊朗暴露，可能没有明确的举证，大家都认为这是一个非官方的，是一个有官方背景的，类似于战略性的攻击。

　　应该说从90年代，我们从当时的工程开始到现在为止，我们整个网络应用，这些服务越来越多的以互联网的基础上承载在网络上面，空间系统，印痕证券、保险，医疗教育制造业，包括游戏，各个方面，包括我们现在，尤其是我们的智能手机，在智能手机上的应用，跟我们个人生活工作是紧密相关的，他们本身针对安全问题，尤其是个人，相应一些企业，包括我们的国家，都是有很大的危险的，包括最早的熊猫烧香病毒，519断网，客户信息的泄漏等等，天涯网客户信息的泄漏，这些事件给我们一次次敲响了警钟。跟专家聊天的时候也认为，有时候天涯的信息泄漏，很长时间形成一个泄漏的状态，如果说大家调查前，我们会有更多的事件发生，或者已经发生。

　　目前我们面临网络安全的现状，中国联通在这方面开展相应的工作，今天的发言分四个部分，第一个部分是安全防护工作政策的一个回顾。整个行业到我们企业的工作情况，这是我们电信研究院，介绍一下防护背景，最早应该从公安部门，计算机系统的一个安全保护，到后来形成的整个信息系统的防护，一直到通信行业，通信安全防护，这个在通信行业是工业信息化部负责进行管理。

　　从通信角度来讲，大概正式开始是从2008年，一个是当年颁布的一系列的各个专业网络的人员防护的行业规范，开展针对奥运的一些单元的安全检查，到09年开始，开展3G以上的一个检查，2010年是一个比较关键的事件，2010年工信部的十号令管理办法出台，目前开展的工作，基于十号令来做的。到现在应该说从2010年开始，包括今年，形成比较正规的体系在推进。这是十一号令主要的一些内容，明确了这个概念，原则，谁运行谁负责的这样一个工作要求。以及三同步，最后把网络单元按照影响的程度，分成了一二三四五级。包括我们单元的划分，一些备案，以及对二级三级进行评测评估，这种时间的要求，进行不同的明确。

　　这是我们这个通信行业的网络体系，包括一个管理指南，系列专业的安全防护的一些规范，这是我们开展检查工作的一个基础。应该说安全防护工作包括三部分内容，一个是安全等级保护，一个是安全风险保护，一个是灾难备份及恢复，风险评估方面，对于我们基层人员来说，社会识别，可能有一些方面的基础，操作起来还是非常困难的。

　　简要介绍一下这个行业和我们在安全防护当中的一些情况的回顾，第二部分简单介绍一下安全防护过程当中发现的一些问题。这些问题一个是说通过这五年左右的时间，工信部组织安全防护检查，企业内部的，包括可能我们的一些社会成员安全机构，他们一些在技术方面的操守，他们发现了一些保护的问题，对一些问题的归纳，技术层面，在安全检测方面，开放的比较开放的服务，建设方面主要是有帐号，边界防护方面，比如有一些配置的及时清理，检测的能力，访问控制方面没有对此进行过滤，包括安全审计，有一些保护设备，本身具备这个功能，还有一些可能是说有这些功能，在进行过程当中，由于一些原因，多了一些应用。再就是终端管理，还是有或多或少存在一些内网的外网。我们有一些系统，或者是某个单元，开发过程当中就存在了一些问题，但是在之前已经严格应用安全的检测，以至于发生的状态。

　　对这些问题做一个深层次的分析，我们发现其实应该说，对网络安全来说，对在座的专业人士大家都比较理解，可能为于一般的，尤其在计算机或者IP网，对支持背景不足的情况下，对安全的认识不是很清晰的，只是说从大的概念来说，包括领导的安全重要，但是在实际的工作过程当中，没有把这个意识落实到工作中，包括我们可能在整个的总体要求上，没有一个明确的防控的一个战略的特殊的一个安防的目标，我们在基础职责，流程这些方面都存在这样那样的一些问题。

　　其实我现在感觉，在队伍上，目前面临一个最大的问题，来之前，在路上，我看到一个微博，看到上面写，说信息安全，这个人，不管技术有多先进，这个技术仍然是使用的，技术再先进，如果你人的意识不足，投入都是属于效率低的。我们今天也是考虑在队伍方面做一些工作，整体提高我们的能力和水平。

　　极高的危害性，包括客户信息的泄漏，导致客户的经济的损失，以及对我们企业带来的损失，再大就是一些社会政治影响，我们也能看到，对此的报告，包括现在目前在境内有多少网站在串改，或者可能严重导致有些网站被利用发布一些违法的信息，或者目前的这个谣言，这方面就是我们企业运营的保证是我们国家的一个基础资源，也可能导致被破坏，或者是可用，应该说这些危害是非常大的。对这些问题的分析我们也是，目前我们的考虑，提升我们防护水平这么几个关键点，简单总结一下，一个是我们提到的人员安全意识，能力不足。

　　我记得跟各位专家交流的时候就说，包括之前我也一直强调，这种状况没有太多的资金投入到安全的社会的这种建设这些方面，但是他就说，其实你不用过多地强调资金的投入，只要是简单的一些，在人员方面的一些安全意识和安全培养，就会达到事半功倍的效果。另外我们的安全制度要切实执行，这个制度制订起来比较容易，怎样能够把它执行下去，这是一个难点。确实是有了人之后，还是有一些手段，才会做一些对抗，做一些工作的预防。另外从整个的意识来说，因为我们是联合部，我们的主要工作是整个通信网络的一个运行，目前来看，因为我们是基于这个电信网络互联网如何来转变，但是在日常的维护过程当中，强调的是运行的状态，没有更多的谈到网络安全，应该有一个意识的转变，把安全工作纳入到运行的过程当中。

　　我今天介绍的第三点我们在构建通信网络安全体系上的一些想法。简单说一下我们2012年工信部安排的安全防护检查的要求，今年为了保护任务，8月底准备完成，首次采用平分的方法，增加企业单元，做一个量化的平分，这对我们来说是一个督促，毕竟通过这种平分可以很量化直观的看到这些工作的成效。

　　基于我们前几年的工作情况，对问题的一些认识，以及我们今年面临的工作要求，我们也是在保障性方面，借这个想法，还是能够进一步落实，主动防御，重点防护，恢复的一个指导原则，统一法律的保护，安全工作纳入到工作当中，在中国联通构建一个科学的安全防护体系。

　　我们理解这个科学的安全防护体系包括这几个方面，一个是机构的职责，规章制度，工具手段，人员队伍，外部环境，外部环境好的话，我们工作也会比较迅速地推动。在机构整个方面，我们目前面临一个问题，涉及到安全防护的部门很多，为了形成一个比较顺畅的横向的工作机制。这是我们今年着重考虑的前沿，协调的会议，初步建立这样一个机制，但是离我们理想的目标还是有一定的距离，规章制度建设方面我们考虑做到进入法律概念，有法可依，执法必严，违法必究，有法必究，三分技术，七分管理，进入到我们的工作落实当中。

　　我一直强调从网络安全工作来说，三分技术，七分管理是十分贴切的一句话。在队伍当中你是考虑，一方面提升专业，另外一个是培养全员的安全意识，安全不仅仅是安全人员，包括我们在座的设备提供商，服务商，包括我们的电信运营企业，安全专业人员，也包括我们涉及到的一些，他们网络安全的一个意识。

　　工具手段建设，开发研究阶段，前沿性，基础性，适应网络需要，当中运用这些技术运行稳定，快速有效地手段，做流量的一个管控，IP地址的搜索，做一些我们日常的扫描、检测这些工具。

　　在web环境里面，营造良好的环境，从目前的环境来说，可能大家对网络安全认识还都不统一，另外我们可能在通信行业，管理部门，网络运行部门，支撑部门能够共同合作，能够积极防御非法攻击，这是个人的，整个社会前沿的，包括他们自身的那种事件的一个防护。通信学会还是在这方面也应该是下一步，建议能够做更大的一个投入，做这方面的一个工作。

　　我们在建设方面我们开展了一些工作和想法。

　　第一，基础职责。安全防护工作涉及到我们的建设，包括之前的设立部门，建设、采购，运行维护，包括我们一些专业化，还有内网信息化部，还有一些支撑单位，怎样能够建立一个跨部门的机制，形成这样一个转控的平台。

　　第二，推进整个运行维护，体系的一个调整，我们也是提出意见，能够把安全进入新的港区的纳入。另外一个在各级的其他的部门，在部门职责明确，他们在安全方面承担了哪些责任。

　　第三，我们也借鉴了，中国电信他们建立这些体系，一个是我们工具手段，还有我们的安全管理中心，电信来说他们是在网络中心里面成立一个班组，我们也有这方面的考虑，借鉴实际运作的情况。应该说在我们国内很多东西，如果没有机构职责，做起来还是有些困难的。

　　安全制度方面的考虑。首先建立企业防护管理办法，考核办法，技术要求，新网络运行上线的一些保护办法。在安全人员队伍建设方面的考虑，进行人员的开发，利用学院的课堂，开展一些网络教学，我们有一个安全的新闻竞赛，进行内部的队伍的建设，寻找能力的合作伙伴，帮助开展我们的安全规划和架构的建设，人才的培养。

　　在安全工具方面涉及到安全设备、测试工具，网管手段，管控平台，考虑针对不同的内容，开展一些技术规范的制订，选择，工具做一些自己的研发。逐步推进我们的防护工具手段逐步到位，实现标准化，安全化。