一個有效的國家信息安全保障體系的建立，不僅需要國家相關的法律法規(guī)，更在于所有體系內成員的共同努力。

盲目崇拜與追求效益 信息安全認識存誤區(qū)

與近期美國政府以安全為由阻止中國企業(yè)華為、中興進入美國市場不同，中國市場目前幾乎向包括美國在內的國外企業(yè)暢開著大門。究其原因，主要是有些機構和企業(yè)，為了短期的高效快捷和經濟效益，而忽視國家長遠的安全利益，在網絡設計、采購、構建以及管理上，盲目相信外國企業(yè)，并讓其發(fā)揮主導作用，從而為信息安全埋下了重大隱患。技術上的落后也許不是最要命的，而思想上的盲目崇拜和管理上的遲滯才是信息安全面臨的更深層次，也是更為嚴重的威脅。

信息安全專家、中國計算機學會常務理事、北京啟明星辰公司首席戰(zhàn)略官潘柱廷為此告訴記者：“所有的計算機和網絡相關產品都存在漏洞，沒有一家企業(yè)能夠采用相應的技術和產品來證明自己的產品是絕對安全的，高價不代表高安全。”

潘柱廷的判斷不是沒有道理。據記者了解，2005年7月12日，承載著超過200萬用戶的北京網通ADSL和LAN寬帶網，突然大面積中斷。對此，北京網通負責人稱，網絡中斷根源于互聯(lián)網路由器。而自中國互聯(lián)網骨干網從架網開始，大部分使用的都是美國思科的路由器設備，包括硬件和軟件。

更令人擔憂的是，在現(xiàn)有思科路由器產品中，仍然在使用上世紀70年代的加密算法DES(data encryption standard，數據加密標準)，這種算法已經被多次證明不再安全，能用窮舉搜索法對DES算法進行攻擊。即使一臺普通的PC機，也能夠在10分鐘內完成DES算法的破解。

對此，中國工程院院士、中科院計算所研究員倪光南對記者表示：“從客觀水平上來看，在網絡設備領域，華為、中興等國產產品已經完全可以和思科相媲美，重要的是，我們的產品比他們便宜，性價比更高。但是由于一些觀念上的原因，以及在招投標方面存在的不合理之處，很多單位在采購的時候卻會傾向于采購思科這些進口設備。事實上，并非國外的東西才是好的，這是認識上的誤區(qū)。”

除了我國很多政府機構和企業(yè)對當前信息網絡安全問題的認識嚴重遲滯外，相關法規(guī)制度缺失，管理體系不健全、網絡安全監(jiān)管不到位等問題也普遍存在。

重量不重質 標準體系仍缺失

說到相關法規(guī)及管理體系，工信部信息安全協(xié)調司相關報告顯示，僅在涉及個人信息保護方面，相關法規(guī)條文就已經眾多，其中涉及個人信息保護的法律有將近40部，最高人民法院出臺了10條個人信息保護相關的司法解釋，國務院發(fā)布的有關個人信息保護的法規(guī)約有30部，而各大部委頒布的相關部門條例、管理辦法、規(guī)定更是多達近200部，這還不包括各省級以下政府頒布的區(qū)域性政策和規(guī)定。

“盡管相關法規(guī)眾多，但這些文件大多針對具體問題，并未形成體系，在基礎網絡信息安全保護領域，更缺少明確的、體系化的法律文本。”某業(yè)內人士向記者表示。

“此外，法規(guī)眾多，涉及的主管部門也很多，很可能形成‘人人有責’卻‘人人不管’的尷尬局面。”該人士對記者補充道。

例如在中國，國外軟件可以用在哪兒、什么地方必須使用國產軟件、什么機構除了做好網絡安全還需要物理隔離，對于這些問題的管理策略，國內目前還沒有機構對此做出統(tǒng)一規(guī)定。

對此，中國工程院院士、中科院計算所研究員倪光南表示：“在政府采購、公共采購上，現(xiàn)階段可以參考的法律是2001年的《政府采購法》和《招標投標法》，但是這兩部法律對政府采購的界定比較模糊，具體來說就是一個項目的采購不知是由《政府采購法》還是《招標投標法》審核。”

通過對多位業(yè)內人士的采訪，記者發(fā)現(xiàn)，雖然在信息安全保障上，我國的相關法規(guī)數量較之前有了很大增長，但仍不乏空白，交叉重復的現(xiàn)象也時有發(fā)生，給相關企業(yè)帶來了困惑。

多維度建設 限購和遷移國外產品

隨著時代的發(fā)展，信息安全建設已經成為一項系統(tǒng)化、體系化的復雜工程，需要從計算機硬件、網絡設備、軟件等多個方面加強安全防護工作，涉及物理層、系統(tǒng)層、網絡層、應用層等各個層面。長期以來，國內在計算機芯片、操作系統(tǒng)、網絡等關鍵領域缺少具備自主知識產權的成熟產品，包括電信、金融、能源等重要領域在內的各類信息系統(tǒng)只能采用進口的設備。因此，所謂的信息安全保障體系從某種意義上來說只能是“空中樓閣”。

針對上述現(xiàn)實，有業(yè)內專家告訴記者：“應加快信息安全立法進度，完善我國信息安全法律體系，要將《信息安全法》盡快納入國家立法規(guī)劃中，盡快推進《信息安全條例》的出臺；做好基礎性的信息安全法律體系構建工作，要從完善國家信息安全組織體系、建立國家信息安全技術保障體系等多方面進行全面規(guī)劃和不斷完善；對涉及國家安全、國計民生、社會穩(wěn)定的關鍵基礎設施和重要信息系統(tǒng)及信息資源的安全保障制定專門的法規(guī)加以規(guī)范；構建和完善我國信息安全的監(jiān)管體系；在《政府采購法》規(guī)定范圍內實行強制性認證，未獲得強制性認證證書和未加貼中國強制性認證標志的產品體系不得進入政府采購領域。”

對此，互聯(lián)網專家方興東告訴記者：“針對國家信息安全，網絡安全立法、對現(xiàn)有網絡設備的更替以及對現(xiàn)有網絡的安全審查等，都是可行的方法。比如近期聯(lián)通公司對江蘇無錫節(jié)點思科設備的成功搬遷，雖然只是一個節(jié)點，但也是一個良好的開始。另外，在性能相差無幾的情況下，優(yōu)先采購中國企業(yè)自己的產品也可從根本上解決我國信息安全隱患，是構建信息安全保障體系的最佳選擇。”

事實上已經有越來越多的國內聲音發(fā)出，呼吁政府、相關企業(yè)采購設備時更多支持國內企業(yè)，盡可能少地采用思科等國外的設備。

可以說，信息安全保障不僅牽涉到用戶的利益，更事關國家的信息安全，因此亟需產業(yè)鏈各方的積極參與，共同推動產業(yè)發(fā)展。業(yè)內人士指出：“產業(yè)化道路是構建國家安全保障體系的必然選擇，國家需要打造以市場為導向，以政策和法規(guī)為支撐的一整套信息安全保障模式，形成政府重視、企業(yè)投入、用戶積極的良性循環(huán)機制，惟有如此國內信息安全保障體系才能不斷完善，并發(fā)揮應有的作用。”[!--empirenews.page--]