加強(qiáng)信息安全建設(shè)的幾點(diǎn)認(rèn)識(shí)
董振國(guó)
信息安全建設(shè)是電子政務(wù)建設(shè)不可缺少的重要組成部分。電子政務(wù)信息系統(tǒng)承載著大量事關(guān)國(guó)家政治安全、經(jīng)濟(jì)安全、國(guó)防安全和社會(huì)穩(wěn)定的數(shù)據(jù)和信息；網(wǎng)絡(luò)與信息安全不僅關(guān)系到電子政務(wù)的健康發(fā)展，而且已經(jīng)成為國(guó)家安全保障體系的重要組成部分。缺乏安全保障的電子政務(wù)信息系統(tǒng)，不可能實(shí)現(xiàn)真正意義上的電子政務(wù)。
一、強(qiáng)化安全保密意識(shí)，高度重視信息安全，是確保政務(wù)網(wǎng)絡(luò)信息系統(tǒng)安全運(yùn)行的前提條件
目前，電子政務(wù)信息系統(tǒng)大都是采用開放式的操作系統(tǒng)和網(wǎng)絡(luò)協(xié)議，存在著先天的安全隱患。網(wǎng)絡(luò)攻擊、黑客入侵、病毒泛濫、系統(tǒng)故障、自然災(zāi)害、網(wǎng)絡(luò)竊密和內(nèi)部人員違規(guī)操作等都對(duì)電子政務(wù)的安全構(gòu)成極大威脅。因此，信息安全保障工作是一項(xiàng)關(guān)系國(guó)民經(jīng)濟(jì)和社會(huì)信息化全局的長(zhǎng)期性任務(wù)。
我們必須認(rèn)真貫徹“一手抓電子政務(wù)建設(shè)，一手抓網(wǎng)絡(luò)和信息安全”的精神和中辦發(fā)［2003］27號(hào)文件關(guān)于信息安全保障工作的總體要求，充分認(rèn)識(shí)加強(qiáng)信息安全體系建設(shè)的重要性和緊迫性，高度重視網(wǎng)絡(luò)和信息安全。這是做好信息安全保障工作的前提條件?！案叨戎匾暋笔紫纫I(lǐng)導(dǎo)重視；只有領(lǐng)導(dǎo)重視才能把信息安全工作列入議事日程，放到重要的位置，才能及時(shí)協(xié)調(diào)解決信息安全工作所面臨的諸多難題。其次，要通過加強(qiáng)網(wǎng)絡(luò)保密知識(shí)的普及教育，特別是對(duì)縣處級(jí)以上干部進(jìn)行網(wǎng)絡(luò)安全知識(shí)培訓(xùn)，大力強(qiáng)化公務(wù)員隊(duì)伍的安全保密意識(shí)，使網(wǎng)絡(luò)信息安全宣傳教育工作不留死角，為網(wǎng)絡(luò)信息系統(tǒng)安全運(yùn)行創(chuàng)造條件。
二、加強(qiáng)法制建設(shè)，建立完善的制度規(guī)范，是做好信息安全保障工作的重要基礎(chǔ)
確保政務(wù)網(wǎng)絡(luò)信息安全，必須加強(qiáng)信息安全法制建設(shè)和標(biāo)準(zhǔn)化建設(shè)，嚴(yán)格按照規(guī)章制度和工作規(guī)范辦事。俗話說，沒有規(guī)矩不成方圓，信息安全工作尤其如此。如果我們能夠堅(jiān)持建立法制和標(biāo)準(zhǔn)，完善制度和規(guī)范并很好地執(zhí)行，就會(huì)把不安全因素和失誤降到最低限度，使政務(wù)信息安全工作不斷登上新的臺(tái)階。
為此，一要嚴(yán)格按照現(xiàn)行的法律法規(guī)規(guī)范網(wǎng)絡(luò)行為，維護(hù)網(wǎng)絡(luò)秩序，同時(shí)逐步建立和完善信息安全法律制度。要加強(qiáng)信息安全標(biāo)準(zhǔn)化工作，抓緊制定急需的信息安全和技術(shù)標(biāo)準(zhǔn)，形成與國(guó)際標(biāo)準(zhǔn)相銜接的具有中國(guó)特色的信息安全標(biāo)準(zhǔn)體系。
二要建立健全各項(xiàng)規(guī)章制度和日常工作規(guī)范。要根據(jù)網(wǎng)絡(luò)和信息安全面臨的新情況、新問題，緊密聯(lián)系本單位信息安全保密工作的實(shí)際，本著“堵漏、補(bǔ)缺、管用”的原則，抓緊修訂、完善和新建信息安全工作的各項(xiàng)規(guī)章制度及操作規(guī)程，切實(shí)增強(qiáng)制度的科學(xué)性、有用性和可操作性，使信息安全工作有據(jù)可依、有章可循。
三要重視安全標(biāo)準(zhǔn)和規(guī)章制度的貫徹落實(shí)。有了制度，不能把它束之高閣。不按制度辦事，是造成工作失誤和安全隱患的重要原因。很多不安全因素和工作漏洞都是由于沒有按程序辦事所造成的。因此，要組織信息化工作人員反復(fù)學(xué)習(xí)有關(guān)制度和規(guī)范，使他們熟悉和掌握各項(xiàng)制度的基本內(nèi)容，明白信息安全工作的規(guī)矩和方法，自覺用制度約束自己，規(guī)范工作。
四要建立完善對(duì)制度落實(shí)情況的監(jiān)督檢查和激勵(lì)機(jī)制。工作程序、規(guī)章制度建立后，必須做到行必循之，把規(guī)章制度的每一條、每一款落到實(shí)處。執(zhí)行制度主要靠自覺，但必須有嚴(yán)格的監(jiān)督檢查。要通過監(jiān)督檢查建立信息安全工作的激勵(lì)機(jī)制，把信息安全工作與年度考核評(píng)比及“爭(zhēng)先創(chuàng)優(yōu)”工作緊密結(jié)合起來，激勵(lì)先進(jìn)，鞭策后進(jìn)，確保各項(xiàng)信息安全工作制度落到實(shí)處。各地、各部門要不定期地對(duì)本地和本系統(tǒng)的制度落實(shí)情況進(jìn)行自查自糾，發(fā)現(xiàn)問題及早解決。
三、建立信息安全組織體系，落實(shí)安全管理責(zé)任制，是做好政務(wù)信息安全保障工作的關(guān)鍵
調(diào)查顯示，在實(shí)際的網(wǎng)絡(luò)安全問題中，約有80%是由于管理問題造成的。因此，建立信息安全管理機(jī)構(gòu)，加強(qiáng)組織協(xié)調(diào)，發(fā)揮其統(tǒng)籌規(guī)劃、科學(xué)管理、宏觀調(diào)控和決策的作用，強(qiáng)化信息安全管理，形成全方位的信息安全管理組織體系至關(guān)重要。
一方面，要逐步建立和完善信息安全組織體系。該體系應(yīng)包括各地、各部門成立的保密工作領(lǐng)導(dǎo)小組；有本部門主管領(lǐng)導(dǎo)參加的政務(wù)網(wǎng)絡(luò)與信息安全協(xié)調(diào)小組；聘請(qǐng)國(guó)內(nèi)外安全專家組成的安全咨詢專家小組。根據(jù)建設(shè)和應(yīng)用情況需要，還可建立相應(yīng)的信息安全管理執(zhí)行機(jī)構(gòu)（如“政府安全中心”），負(fù)責(zé)整個(gè)政務(wù)信息系統(tǒng)中的安全保密工作，包括提供相關(guān)服務(wù)。
另一方面，要在健全信息安全組織體系的基礎(chǔ)上，切實(shí)落實(shí)安全管理責(zé)任制。明確各級(jí)、各部門行政一把手（或主管領(lǐng)導(dǎo)同志）作為信息安全保障工作的第一責(zé)任人；技術(shù)部門主管或項(xiàng)目負(fù)責(zé)人作為信息安全保障工作直接責(zé)任人，強(qiáng)化對(duì)網(wǎng)絡(luò)管理人員和操作人員的管理。切實(shí)把好用人關(guān)，對(duì)關(guān)鍵崗位實(shí)行A、B角色管理；對(duì)網(wǎng)絡(luò)管理人員和涉密操作人員要簽訂保密協(xié)議，明確保密職責(zé)，實(shí)行持證上崗制度。要培養(yǎng)一批具有信息安全管理經(jīng)驗(yàn)的復(fù)合人才，充實(shí)到關(guān)鍵崗位，為政務(wù)信息化把好安全關(guān)。
四、結(jié)合實(shí)際注重實(shí)效，正確處理信息安全“五大關(guān)系”，是確保信息安全投資效益的最佳選擇
在電子政務(wù)建設(shè)中，信息安全方面的投資往往涉及很大金額。各地、各部門應(yīng)緊密結(jié)合自身實(shí)際，正確處理和把握與信息安全相關(guān)的“五大關(guān)系”，使有限的資金發(fā)揮出最大的社會(huì)效益。
1、要正確處理發(fā)展與安全的關(guān)系。發(fā)展與安全是信息安全關(guān)系中最基本、最重要的一對(duì)關(guān)系，由此可以派生出其他一些關(guān)系。發(fā)展與安全的關(guān)系是辯證統(tǒng)一、相輔相成的，其中發(fā)展是目的，安全是保證。二者關(guān)系處理得好，安全會(huì)有保障并能促進(jìn)發(fā)展；處理不好，安全就會(huì)制約并牽制發(fā)展。正確處理發(fā)展與安全的關(guān)系就是要加快發(fā)展，確保安全。具體講，就是在加快發(fā)展過程中確保安全；在確保安全的條件下加快發(fā)展。這里要注意克服兩種傾向：一是過分強(qiáng)調(diào)發(fā)展而忽視安全；二是追求絕對(duì)安全而制約發(fā)展。為此，要堅(jiān)持電子政務(wù)發(fā)展和網(wǎng)絡(luò)信息安全“兩手抓”。要在電子政務(wù)建設(shè)和發(fā)展過程中不斷加強(qiáng)安全管理，完善安全措施，切實(shí)保障安全；同時(shí)要在適度安全、基本安全的前提下，培育業(yè)務(wù)需求，加大工作力度，促進(jìn)電子政務(wù)事業(yè)加快發(fā)展。
2、處理好安全成本與效益的關(guān)系。成本與效益的關(guān)系是由信息安全基本關(guān)系派生出來的，二者的關(guān)系是對(duì)立統(tǒng)一、相反相成的。成本與效益的關(guān)系處理得好，安全成本就會(huì)下降同時(shí)效益提高；處理不好，安全成本就會(huì)上升同時(shí)效益下降。正確處理好安全成本與效益的關(guān)系，必須堅(jiān)持綜合平衡。要根據(jù)中辦發(fā)［2003］27號(hào)文件中關(guān)于“信息化發(fā)展的不同階段和不同信息系統(tǒng)不同的安全需求，必須從實(shí)際出發(fā)，綜合平衡安全成本和風(fēng)險(xiǎn)，優(yōu)化信息安全資源的配置，確保重點(diǎn)”的要求，一方面千方百計(jì)降低安全投入成本，另一方面努力提高安全措施的實(shí)際效果，確保滿足重點(diǎn)項(xiàng)目、重點(diǎn)部位的安全需求，使有限的安全保障資金充分發(fā)揮出良好的使用效益。
3、處理好信息安全與共享（信息公開和保密）的關(guān)系。這也是從信息安全基本關(guān)系中派生出來的。開放和發(fā)展需要信息資源共享，而網(wǎng)絡(luò)互聯(lián)為信息共享提供了條件。但信息公開和信息保護(hù)是一對(duì)不可回避的矛盾。推進(jìn)信息化建設(shè)既要強(qiáng)調(diào)資源共享，還要保證信息安全。我們應(yīng)立足于電子政務(wù)建設(shè)的大系統(tǒng)，整體地、動(dòng)態(tài)地看待信息安全與資源共享問題，用發(fā)展的眼光和辯證的觀點(diǎn)去處理問題。在這對(duì)矛盾中，目前資源共享是矛盾的主要方面。當(dāng)前我國(guó)各地方、各行業(yè)的信息資源建設(shè)普遍存在“數(shù)字鴻溝”、“信息孤島”現(xiàn)象。針對(duì)這種情況,我們?cè)谔幚韮烧咧g關(guān)系時(shí),應(yīng)當(dāng)緊緊圍繞矛盾的主要方面，在確保國(guó)家安全和尊重個(gè)人隱私的前提下，把當(dāng)前工作的重點(diǎn)放在最大限度地促進(jìn)信息資源共享方面，消除數(shù)字鴻溝和信息孤島，提高信息資源共享程度，使政務(wù)信息資源發(fā)揮更大的社會(huì)效益。
4、處理好安全管理與技術(shù)的關(guān)系。安全管理與技術(shù)的關(guān)系也是信息安全體系中的基本關(guān)系之一。在信息安全保障體系中，安全管理和安全技術(shù)是一個(gè)不可分割的統(tǒng)一體，是一個(gè)事物的兩個(gè)方面。管理離不開技術(shù)，技術(shù)離不開管理；兩者緊密相連、相互滲透、互為補(bǔ)充。因此，在信息安全工作中，我們要堅(jiān)持管理和技術(shù)并重，做到管理手段和技術(shù)手段相結(jié)合，也就是在加強(qiáng)管理的前提下，采用先進(jìn)的安全技術(shù)，在提升技術(shù)的基礎(chǔ)上強(qiáng)化管理。信息安全問題的解決需要技術(shù)手段，但又不能單純依賴技術(shù)。信息化的過程其實(shí)是人與技術(shù)相互融合的過程，如何使管理與技術(shù)相得益彰十分重要。在這方面，我們要同時(shí)注意防止和克服“重管理、輕技術(shù)”和“單純技術(shù)觀點(diǎn)”兩種傾向，既要高度重視信息安全技術(shù)的重要作用，又要避免陷入唯技術(shù)論的怪圈。從理論上看，不存在絕對(duì)安全的技術(shù)；技術(shù)固然重要，但管理更不容忽視。雖然“三分技術(shù)，七分管理”的說法不一定準(zhǔn)確，但從另一個(gè)角度說明了安全管理工作的重要性。因此，我們應(yīng)以業(yè)務(wù)為主導(dǎo)，從全局的高度部署安全策略，采用先進(jìn)技術(shù)，加強(qiáng)安全管理，把采取安全技術(shù)手段與加強(qiáng)日常管理和健全體制機(jī)制緊密結(jié)合起來，堅(jiān)持一手抓安全技術(shù)手段開發(fā)，一手抓安全規(guī)章制度的建立與完善，提高政務(wù)網(wǎng)絡(luò)信息系統(tǒng)的安全性和可靠性。
5、處理好信息安全工作中應(yīng)急事件處理與建立長(zhǎng)效機(jī)制的關(guān)系。要保證政務(wù)網(wǎng)絡(luò)與信息系統(tǒng)的“長(zhǎng)治久安”，必須著手建立一套長(zhǎng)期有效的安全機(jī)制。但信息安全問題在信息化進(jìn)程中廣泛存在且突發(fā)性強(qiáng)，所以又必須強(qiáng)調(diào)和重視應(yīng)急事件的處理。一旦出現(xiàn)影響到國(guó)家利益的網(wǎng)絡(luò)安全與信息安全事件，必須能夠立即采取有效措施，控制危機(jī)的發(fā)展，把損失減少到最低限度。
為此，首先要建立和完善信息安全監(jiān)控體系，及時(shí)發(fā)現(xiàn)和處置突發(fā)事件，提高對(duì)網(wǎng)絡(luò)攻擊、病毒入侵、網(wǎng)絡(luò)失竊密的防范能力，防治有害信息傳播，增強(qiáng)對(duì)政務(wù)網(wǎng)絡(luò)和信息系統(tǒng)的監(jiān)控、管理和保護(hù)。其次，要重視信息安全應(yīng)急處理工作，建立健全應(yīng)急管理協(xié)調(diào)機(jī)制、指揮調(diào)度機(jī)制和信息安全通報(bào)制度。要制定完善信息安全處置預(yù)案，加強(qiáng)信息安全應(yīng)急支援服務(wù)隊(duì)伍建設(shè)，提高信息安全應(yīng)急響應(yīng)能力。
