安全人士眼中的2007年信息安全(二)

　　目前我国信息安全建设正处在一个关键时期，发展可信计算是具有战略意义的事情，我们必须把握住正确的研究方向，制定相应的发展战略，自主创新。

　　信息安全认证成当务之急

　　博士、研究员 陈晓桦

　　现任《全国信息安全标准化技术委员会》委员兼副秘书长、国家电子政务标准化总体组成员、中国实验室国家认可委员会（CNAL）评定委员会委员等。曾任“十五”863计划第二届信息技术领域信息安全技术主题专家组副组长。

　　随着信息化的推进，信息与网络系统的基础性、全局性作用越来越强，信息安全产品、服务以及信息系统固有的敏感性和特殊性，直接影响着国家的安全利益和经济利益。通过颁布法令与标准，在信息安全领域实施认证认可制度，已经成为当今经济全球化和信息化趋势下各国政府维护国家主权的重要手段。信息安全认证认可体系是建设国家信息安全保障体系的重要组成部分，加快我国信息安全认证认可制度的实施是当务之急。

　　近几年来，围绕对信息安全产品的测评认证，公安部、国家保密局、国家密码管理局、信息产业部和一些地方政府分别在各自的职能范围内，对一些信息安全产品实施了相关的检测、评估和许可等制度。

　　2006年年6月，中国信息安全认证中心获中编办正式批准。至此，我国信息安全认证认可体系的建设构架基本形成，工作机制基本确定，对信息安全产品实施统一认证的条件基本准备就绪。中国信息安全认证中心正式成立，标志着我国信息安全认证认可体系建设迈出了重要步伐。

　　当前和今后一段时间，新成立的中国信息安全认证中心将着重开展以下五方面的工作: 一是进一步做好组建工作。尽快做到人员到位、制度到位和职能到位; 二是加强协调与沟通，营造良好的外部工作环境; 三是认真履行职责，确保认证质量; 四是加强认证技术的研发，提高认证检测水平，确保中心的认证技术能力满足业务发展的需要; 五是推进国际合作与交流。

　　信息安全产品测评认证是信息安全保障的基础性工作。特别是在当前我国信息技术与产业的核心竞争力还不强，关键技术、关键设备还受制于人的情况下，严格把住信息技术产品的市场准入关尤为重要。通过认证的手段，有利于改革政府管理方式和手段，创建公平竞争的环境，有效地保护和促进我国信息安全技术与产业的发展。

　　核心观点

　　在当前我国信息技术与产业的核心竞争力还不强，关键技术、关键设备还受制于人的情况下，严格把住信息技术产品的市场准入关尤为重要。

　　从灾备迈向业务连续性管理

　　GDS万国数据服务有限公司副总裁 汪琪

　　GDS万国数据服务有限公司首席灾备专家，深圳市科技专家委员会委员。中国大陆第一位获得DRI International “CBCP”认证的业务连续运作专家。

　　灾难恢复与业务连续管理经过多年的建设已开始初具规模，银行、证券、保险、航空、税务、海关、电力、铁道等国家重要信息系统部门都开始规划或已经投入信息系统的灾难恢复建设。

　　银行业作为中国灾难恢复和业务连续管理建设的领头行业，早在20世纪90年代末即开始规划和实施数据大集中和灾难备份，至今大部分国家政策性银行、国有大型商业银行及全国性股份制银行已形成了一定的灾难备份和恢复能力。2006年，整个银行业对灾难恢复与业务连续体系的认识正在快速提高。可以肯定的是，银行业的灾难备份和业务连续管理在2007年将有望得到快速发展。

　　2006年11月9日，中国银监会召开信息科技风险管理与评价审计工作（电视电话）会议。银监会党委书记、主席刘明康指出，当前我国银行业信息科技风险管理要着重关注和做好信息科技建设与业务发展的协调、信息安全的内部控制体系、信息科技体系变动和发展的管理、信息系统运行和操作管理以及业务持续性规划的研究和制定等五方面工作。根据刘明康主席的讲话，相信在2007年，银行将开始从对信息系统的灾难备份逐步向业务连续性规划和体系的建设完善过渡，以符合银监会审计的要求。

　　证券业、保险业中的大型公司在最近几年都在关注和研究灾难备份中心的建设，其建设的时间表一般都与其大集中的步伐相关，部分先行者已形成了一定的备份能力。证监会、保监会也陆续出台了关于备份和安全的部分管理办法，更加详细的管理规范也将在2007年出台。

　　另外，2007年，也是航空、税务、海关、电力等部门对灾难备份建设进行规划、设计和基础性平台性建设的关键阶段。

　　核心观点

　　灾难恢复与业务连续管理经过多年的建设已开始初具规模，银行、证券、保险、航空、税务、海关、电力、铁道等国家重要信息系统部门都开始规划或已经投入。

　　内部安全成当务之急

　　中国化工信息中心副主任 李中

　　现任中国化工信息中心副主任，曾主持并参与了中国化工综合信息服务系统、中国化工信息网、中国万维化工城网站的建设工作。

　　一直以来，化工企业对于信息安全的重视都有普遍的共识。包括石化、石油在内的众多化工企业都属于流程制造企业，具有产品多、数量大的行业特性，且要求化工设备绝对不能停。这也导致化工企业对信息安全的依赖程度很高，一旦发生网络系统中断、服务器宕机、数据丢失、上下游关系不连通，甚至仅仅是停电，带来的也将是难以承受的后果。

　　从目前的发展来看，化工企业的信息化发展已经从初级起步阶段进入了拓展阶段。各化工大中型企业均在ERP、OA、MIS、电子商务等诸多领域开展了建设，甚至已有超过70%的企业在建或已完成生产制造信息化系统的建设。

　　对于流程制造业来说，一旦信息化进入了生产制造环节，安全可靠就会被视为第一位。为了确保信息系统的安全，不少化工企业已经对系统平台的安全性做了大量的工作，一些防病毒、防攻击设备已经被许多企业所采用，一些大的集团公司甚至已开始考虑建设集中的机房，或是考虑容灾备份、VPN等。