在前不久在一次高层研讨会上，中国工程院院士沈昌祥为人们解读了如今中国在网络信息安全领域的领先理念。
反思美国信息安全建设的弯路
沈院士首先指出，9·11以后美国对网络信息安全保障的认识直线上升，但是通过几年的反思，他们意识到美国这么多年信息安全保障建设其实并不是成功的，而是失败的。原因在于，他们一直在没完没了地打补丁。二十多年来，美国一直在努力设计一种战略来应对新型威胁和保护自身利益，但始终都不算成功，无效的网络安全以及信息基础设施在激烈竞争中受到了攻击，使国家处于风险之中。奥巴马新上任后，提出一份新的安全报告，报告提出了12项、25条建议，分别从制订战略、设立部门角度做出了考虑。
最值得一提的是，他们文件的第一条就是讲基本原则，他们说网络空间是国家一项关键的资产，美国将动用国家力量的所有工具对其施以保护。所指出的一些办法，尤其是要按照已经提出的要求，从技术和管理两个方面去进行建设。
沈院士称，相对应的，中国网络信息安全市场上人们以前总习惯于将网络信息安全的系统框架按照七层协议来设计，但其实信息系统应该按照信息处理流程来建立框架，程式是解决不了问题的。
如，我们要注意办公室环境的安全，因为上网以后，办公室是一个局域网，每个人都有一个终端机，首先应该把这个计算环境、把个人处理的行为管理好、控制好，才是保障安全的前提，这也正是处理流程的源头，是最重要的部分。
从流程入手重塑安全架构
一、把好信息的入口关
如果把网络入口比作一扇门，那么以前都是在网络端口上去堵，堵了以后不解决问题。并且由于把门的保安、警卫等的权力是有限的，他只能按照以前规定的规则，谁批准的能进能出，他要把所有进去的文件都打开来检查，他如果觉得行就可以过去，他如果觉得不行就过不去。
所以我们提出来主要把这个办公环境，也即计算环境单独拿出来考虑以后，就按照规定谁批准的有权进去的进去，有权出来的出来，人家把文件送到里头来，如果在输送文件过程当中不安全也是有的，有可能输错对象了，有可能人家拆了信偷看了，有可能调包了、篡改了，这个是没有被防到的。一样我们上网以后在网络传输也是信息传输，也要注意这个问题，但这些跟现实生活一样，办公环境、个人作业门卫把好了，这个通信传输、保密有安全了，大体的这个系统就会安全了。
我们提出，安全管理中心是这一个环境，我们平时一个单位都有保安部或者保安处或者保卫科，他们干什么的?是关于办公室怎么设置，门怎么开?东西怎么放，人员怎么流动，该进去进去，不能进去的堵死?这些都是资源的管理。
我们计算机也有这个问题，计算机有程序的配置、有端口的配置等等，我们加强这方面的管理就能防止病毒感染，一段有病毒的程序把好的程序给改了，加一段程序就把系统破坏了，一查就可以发现它电脑游问题。木马怎么回事儿?木马也是一个可执行程序，如果有保卫部一查多出来一堆东西了，马上就采取措施了，那还有木马吗?所以我们在系统里面大家以前不太注意，系统管理是非常地重要，要把资源的配置、要检查。
二、重要单位按权限进行安全管理
对于重要单位来说，哪怕是涉及国家秘密的，一个公司和老板，他很担心把他自己的投资给人家偷走了，他也要严加控制的，所以好多都有保密室或者保安室，也就是说把重要文件打上标记，规定什么人可以访问什么，访问室，有他的统一进去读写的访问的控制。单位有吗?我们是叫访问控制，按照级别来访问就是强制访问控制，不要害怕，大家在网上有看到，对于强制访问控制很害怕，这可能是一个误解，普遍都存在。所以我们有关什么级别的人做什么样的事儿的，怎么设权的一个级别，我们这里称之为安全管理。
三、很多单位还需要采用外部监控系统
很多单位都有摄像头、监控室，把一些活动记录下来，我们计算机信息系统的在处理过程当中也要把重要信息取下来放在监控室去，我们管这个叫监控、审计，审计信息来自于哪里?来自跟监控头一样，我们叫审计引擎，埋在重要的环境里面，哪个主体、哪个人访问了什么课题，马上把信息就返回到了我们后面的审计平台进行统一处理，这就是我们所说的三种安全保护体系，在安全管理中心支持下的这么一个结构，里面我们可以分为办公环境，管理分为安全管理、审计管理、系统管理这么几个子系统。这个结构应该是比较清晰的。
四、安全建设整改技术路线
1)从国情出发逐步完善，我们现在没有高等级的安全操作系统，我们要增强安全性，要构建一个合理的框架是非常重要的，也就是我们这么一个分段保护、分段隔离，一段一段隔离，接下来要打造整体安全，也就是说某一个环节出了问题不要紧的，损失是有限的，它不至于扩展到整个系统，使整个系统瘫痪。需要强调的一点是，一个合理的、科学的体系框架，如果我们这样做了仍然在某个地方有问题，那么也不必担心感染病毒或木马。在这种前提下，就要重点做好操作人员使用终端控制的问题，控制源头的问题。
2)由此，如果是控制了一个人，他是按照规则进行操作，不会发生攻击行为，那么我们在系统内是安全的。
3)新的标准中核心的内容，是以防内为主，内外兼防，也就是要提高计算机节点的自身防御能力，减少从外部入口上的封堵。可以这么说，如果我们防内为主这件事情做好了，应该说非法的病毒是进不来的，进去以后我们有访问控制，他没有授权的拿不走，即使他拿走了以后，我们高等级的还有保密的要求，甚至重要信息有密码，他拿走了以后也看不懂的，白拿走。那么他要破坏，这个系统停下来不让工作，要修改、要破坏，我们里面有一次性的保护、有系统管理严格的检查，你也改不掉。做一些违规的东西你像赖赖不了。
4)我们这套技术框架强调的是技术平台支持下的安全管理，以前是技术是技术、管理是管理，两张皮，现在我们把技术和管理融合起来，在技术平台支持下的安全管理。以前出了问题很被动，怎么能管理信息安全呢?他无从下手，好像是我们一些技术人员说了算，IDS怎么配置，打出来的信息他看不懂。现在我们的管理跟日常管理一样，日常管理谁能做什么?谁不能做什么?是领导拍板定的，现在我们也要求领导决策，谁有什么权，处理过程什么软件、什么级别领导也可以拍板了，定了以后我们安全管理操作人员仅仅是操作，领导有决策权，领导还有检查权，因为我们的管理平台有界面，你可以去抽查，是不是按照我定的原则，张三是什么权限，李四是什么权限，事中可以检查，事后可以追查。这个人这段时间情绪不太好，会不会搞违法违规的事情，他可以到审计平台看看张三李四哪一天做什么事儿，有没有违规，马上发现不正常行为，这样领导就比较主动了，我们安全管理是一个整体管理，一定要按照单位性质以及领导所制订的策略来实行管理，这样才是有效的。
5)至此，有人可能会问，程序是不是要重写?不是的，你应用程序可能一条也不用改，可能应用平台以前没有安全的支撑，要得到基础环境的支撑，可能可以进一步开发，只有我们OA平台的厂家，数据库的一些个开发的厂家，以及我们网站的厂家是可以做这个工作的。那么我们现在大量操作性的架构下，一定做得不错的，通过产品检测达到四级的，至少我们是可以做不少的工作，所以我们现在这个环境不是重新设计应用程序，而是在操作系统层面上、在环境管理层面上来构建安全的支撑框架，这样以前的所有信息资源、资产都不动，如果你改动一个程序以后，有可能数据格式化了，原来的资产就废了，这个风险很大。可以这么说，我们按照这个做的话风险很小。是不是投资很大呢?大家可以想想我们可以减少不必要的网络封堵设备，而且可以提高它的性能。
