中国工程院院士沈昌祥发表主题演讲

 2005年12月21日，“2005年中国电信业网络与信息安全研讨会”在京召开，来自信息产业部、科技部及公安部等部门的领导，及电信运营商、设备商、网络增值服务商等共同就电信、网络安全进行探讨，从信息监管政策、应急措施等方面作了深入交流，共同倡议构建安全网络，服务和谐社会。

TOM网作为本次大会的协办单位，TOM科技对本次大会进行了全程图文直播。

中国工程院院士沈昌祥：

各位来宾早上好！题目是网络安全与应急体系，前面几个专家领导已经报告了，信息安全的保障是一个全过程的，风险管理对于信息系统，以及运营商企业来讲，机构来讲更为重要，只有弄清楚怎么进行风险管理，把风险降到最低限度，而且用应急处理办法把损失降到最低，可以承受的程度，这是信息系统保障很重要的环节，尤其保障电信网络安全是至关重要的。

    一、信息安全的风险管理，风险是指安全事件发生，即保密性、完整性、可用性损失可能造成的影响，这样情况下系统缺失性可能被利用，产生实际的负面影响。针对这个风险要进行全过程的管理，也就是首先要识别风险，评估风险，采取步骤减缓风险并将它降到可以接受的水平之内的过程。因此风险管理是保护组织机构的信息资产及业务，保护其完成使命的能力。不仅是其IT资产价值，而且是专业人员实施技术功能和组织机构管理功能的综合。即信息资产的保护和业务能力的保证。

    我们在紧锣密鼓搞信息按照等级保护的标准，等级主要是资产保护与能力保护两个层面考虑，信息资产是实际存在的，是有价值的，这个价值分两个方面，一个是有经济价值的，比如银行系统、金融系统，还有一个是社会价值的，比如新闻媒体，这样我们在考虑一个系统重要性，价值的重要性可以有两类组成，也就是经济价值与社会价值称为综合价值，综合价值高的等级就高，低的就保护低。业务能力也表现在两方面，一个是服务范围大，越大影响越大，发生安全事故以后负面影响越大。还有信息系统通过连续工作，服务才能保证业务的完成。因此连续依赖性也体现了综合业务能力的要素，这样业务范围与连续依赖性组成一个系统或机构拥有的信息系统的综合能力保证。 我们将要出台等级保护划分就按照这个思想来界定。

    风险管理怎么搞，归结三个过程，第一过程是风险评估，对风险机其影响的识别和评价，建议如何降低风险。我们国家要制定国家标准，这个标准正在审查。第二个根据评估情况风险减缓，对风险评估过程中所推荐的风险降低措施进行优先级排序，加以实施和维护。第三个环节评价确认，这个风险还有没有，对残余的风险能不能接受。

    风险减缓方法流程分六个部分做，首先要增强和强化安全措施，根据不同级别采取不同的安全措施，主要目的降低脆弱性，降低威胁能力，一个系统之所以有风险就是因为有脆弱性，所以我们采取的措施是使他们降低，还有一个要采取措施，使我系统负面影响  减少，然后看残余风险是否可以接受，如果不能接受还要继续采取措施达到能够接受。

    所以一个系统风险管理成功与否决定高层管理的决心，这是一个有组织的行为，第二个安全团队的支持与参与。第三个风险评估小组的评的准确不准确，能力怎么样？再一个系统的服务商需要得到用户的意识和配合合作。第五个对使命的风险进行持续的评价和评估。不是搞一次就完了。

    第二个介绍一下信息安全应急体系框架，应急体系是完全的社会体系，框架是要求我们怎么去操作，首先要做应急规划工作，做好风险管理工作，使脆弱性核威胁最小化，但是仍然有危险，有风险，我们应该采用应急处理的办法，使它产业的风险所产生的后果最小化，因此安全应急是一种协调的战略过程，涉及到计划，流程和技术措施，以及IT系统、运行和数据在被破坏后能够得到恢复。这涉及到法律、组织管理和技术支持等环节，首先要做好应急的规划。

    也就是说规划要包括计划流程与技术，所有的基础网络重要信息技术，有几个类型，一个业务连续性计划，一个业务恢复再继续计划、第三个运行连续性计划、第四个支持连续性计划，第五个危险沟通计划、第六个计算机实践响应计划、第七个灾难恢复计划、第八个拥有者应急计划。这些计划是反映了全生命周期的，是整个过程导向都要识别到有一个计划，比如正常运行过程怎么办？发生事情怎么办？发生灾难性事情怎么办？应急处理不是到发生了问题以后再处理，要预先有设准备，当发生事情的时候，事故的时候我们及时得到反应和恢复，在起动阶段就要考虑应急需求，在开发阶段就要确定应急的方案，在系统实现阶段要进行测试，在运行维护阶段要进行计划的培训和演习，在废弃阶段末随时准备实现原系统。所以应急工作是贯穿全生命周期的。

    应急规划的过程有七个步骤，首先制定应该归九的政策说明这涉及法律政策层面的。第二个实施业务影响分析、第三个确定预防性控制措施、第四个制定恢复战略、第五个制定IT应急计划、第六个计划的测试、培训和演习、最后一个计划要不断维护与完善。

    介绍应急处理有规划有流程有技术支持，技术支持包括什么问题，首先是数据、应用操作系统的备份与异地存储、第二个关键系统组建或能力的冗余，第三个系统配置的要求文档。在系统组建间以及主备点间互操作，以加快系统恢复，最后一个适当规模的电源管理系统和环境控制。比如广域网应急策略应该是把WAN的文档记录要齐全，要注意和厂商的协调，第三点与安全政策和控制保持协调，再一个确定单点故障在什么地方，要实现关键组建的冗余、最后制定服务级别的协定。应急方案是要确保广域网的可用性，一个冗余通信线路，第二个冗余网络服务提供商、冗余的网络连接设备一般采用双重网络连接的设备。第四个来自NSP或ISP的冗余，要评估其核心网络的健壮性、可靠性。

    因为时间有限，把概要做的事情提一提，针对我国对信息系统的风险管理和应急处理研究还是有意义的，因为我多次参加会议大家提的比较少，应急处理都是在政府协调层面上做的，具体的一个系统怎么进行风险管理，怎么进行应急处理缺少具体内容，风险管理应急处理是保障中的重要环节，我们应该学习、吸收美国等国家先进技术，尽快建立适合我国国情的风险管理和应急体系。谢谢大家！