俗話說(shuō)：無(wú)規(guī)矩不成方圓。歐美國(guó)家之所以保持如此高的信息安全標(biāo)準(zhǔn)，并以此抬高中國(guó)企業(yè)進(jìn)入市場(chǎng)的門檻，與其全面嚴(yán)格的法律法規(guī)密切相關(guān)。

政府牽頭 法規(guī)成就高標(biāo)準(zhǔn)

美國(guó)是世界上最早建立和使用計(jì)算機(jī)網(wǎng)絡(luò)的國(guó)家，也是信息產(chǎn)業(yè)發(fā)展最為迅速的國(guó)家，信息安全一直居于美國(guó)國(guó)家安全戰(zhàn)略的高度。早在十年前美國(guó)便公布了《網(wǎng)絡(luò)安全國(guó)家戰(zhàn)略》以及《確保信息安全的國(guó)家戰(zhàn)略》，確定了3個(gè)戰(zhàn)略目標(biāo)和5項(xiàng)優(yōu)先行動(dòng)，并通過(guò)為信息安全立法，來(lái)完善保障信息安全法規(guī)體系。另外，近年來(lái)美國(guó)相繼制定了《信息自由法》、《總統(tǒng)檔案法》、《聯(lián)邦信息資源管理法》、《國(guó)家信息基礎(chǔ)設(shè)施保護(hù)法案》、《反電子盜竊法》、《計(jì)算機(jī)犯罪強(qiáng)制法》等一系列法律法規(guī)，以確保國(guó)家安全。

美國(guó)陸續(xù)發(fā)布的一系列戰(zhàn)略和規(guī)劃，大大加強(qiáng)了政府對(duì)網(wǎng)絡(luò)公司和通信設(shè)備公司的管制。值得一提的是，美國(guó)共和黨控制的眾議院于2012年4月通過(guò)了《網(wǎng)絡(luò)情報(bào)共享與保護(hù)法》，以防止網(wǎng)絡(luò)攻擊，保護(hù)網(wǎng)絡(luò)安全。

除美國(guó)外，歐盟今年也加大了信息安全工作力度，將其列入“歐洲數(shù)字化議程”，作為發(fā)展數(shù)字經(jīng)濟(jì)的重要保障。

據(jù)相關(guān)專家介紹：“在制訂實(shí)施信息安全宏觀政策方面，歐盟正在制定‘歐洲互聯(lián)網(wǎng)安全戰(zhàn)略’，計(jì)劃改進(jìn)歐洲網(wǎng)絡(luò)與信息安全署的職能，并將其作為歐盟信息安全管理的核心機(jī)構(gòu)；在網(wǎng)絡(luò)數(shù)據(jù)和隱私保護(hù)領(lǐng)域，歐盟在2012年年初修訂了《數(shù)據(jù)保護(hù)指令》，特別強(qiáng)調(diào)云計(jì)算和社交媒體等對(duì)消費(fèi)者和銷售者信息的保護(hù)義務(wù)；在信息基礎(chǔ)設(shè)施安全保障方面，歐盟委員會(huì)2010年提出了《關(guān)于應(yīng)對(duì)信息系統(tǒng)受攻擊的指令》的提案，這一提案正在討論修改之中，預(yù)計(jì)今后兩年內(nèi)將獲通過(guò)并實(shí)施。”

具體到國(guó)家，在英國(guó)，政府建立了擁有獨(dú)立管理權(quán)的信息安全評(píng)估中心(CSEC)。CSEC獨(dú)立管理對(duì)中國(guó)企業(yè)在英國(guó)部署的電信基礎(chǔ)網(wǎng)絡(luò)設(shè)備和軟件的安全評(píng)估，并將評(píng)估的結(jié)果提供給英國(guó)的運(yùn)營(yíng)商和政府。這樣做的目的是試圖減少中國(guó)企業(yè)在英國(guó)關(guān)鍵的電信基礎(chǔ)網(wǎng)絡(luò)中部署產(chǎn)品的威脅。

政府、企業(yè)配合默契 提升信息安全標(biāo)準(zhǔn)

與美國(guó)和歐盟相比，雖然我國(guó)早就意識(shí)到了信息安全的重要性和迫切性，但一直沒(méi)有一整套行之有效的體系去保障信息安全。

“雖然每年在信息安全領(lǐng)域國(guó)家都投入大量的經(jīng)費(fèi)來(lái)支持信息安全技術(shù)研究和產(chǎn)業(yè)化推廣工作，也制定了一些與信息安全相關(guān)的政策法規(guī)，但不能從根本上解決問(wèn)題。強(qiáng)制性地把這個(gè)領(lǐng)域的市場(chǎng)交給中國(guó)的企業(yè)去發(fā)展是最行之有效的辦法，可實(shí)現(xiàn)政府與企業(yè)的合力。”某業(yè)內(nèi)人士告訴記者。

例如，近期美國(guó)政府對(duì)中興與華為的調(diào)查，并不是由政府直接出面，而是眾議院下屬的情報(bào)委員會(huì)主導(dǎo)，而申請(qǐng)調(diào)查的則是思科等美國(guó)企業(yè)。這份報(bào)告本身沒(méi)有任何的法律約束力，但如果報(bào)告通過(guò)議會(huì)，則可能迅速演變?yōu)榱⒎ǎ瑥亩纬梢粋€(gè)堅(jiān)固的壁壘，無(wú)形中提升了信息安全標(biāo)準(zhǔn)。

“在此過(guò)程中，美國(guó)從企業(yè)申請(qǐng)調(diào)查、立法到政府介入的各個(gè)環(huán)節(jié)，都已經(jīng)形成了一個(gè)通暢的體系，企業(yè)與政府達(dá)成了‘默契’。”某業(yè)內(nèi)資深人士告訴記者。

“不僅在美國(guó)，在注重信息安全的歐盟，每次信息安全領(lǐng)域的調(diào)查也多是相關(guān)企業(yè)首先申請(qǐng)發(fā)起，政府相關(guān)部門會(huì)依照相關(guān)法規(guī)迅速跟進(jìn)，如果針對(duì)某項(xiàng)調(diào)查缺乏相關(guān)法律依據(jù)，也會(huì)由此督促政府在法律上拾遺補(bǔ)缺，長(zhǎng)此以往，其信息安全的標(biāo)準(zhǔn)也自然水漲船高。”該資深人士補(bǔ)充道。

綜合治理 企業(yè)把好頭道關(guān)

針對(duì)目前中國(guó)信息安全標(biāo)準(zhǔn)偏低的現(xiàn)實(shí)，中國(guó)IT治理研究中心相關(guān)人士建議：“應(yīng)立足中國(guó)國(guó)情，建立健全具有中國(guó)特色的信息安全保障體系。包括信息安全法律保障機(jī)制、信息安全政治保障機(jī)制、信息安全管理機(jī)制、信息安全人才的培養(yǎng)和使用機(jī)制；參與進(jìn)而主導(dǎo)制定國(guó)際信息網(wǎng)絡(luò)規(guī)則，通過(guò)外交活動(dòng)為確保信息安全營(yíng)造良好的國(guó)際環(huán)境，建立‘國(guó)際信息新秩序’；著力加強(qiáng)自主知識(shí)產(chǎn)權(quán)技術(shù)和產(chǎn)品的研制，從最核心的層面——標(biāo)準(zhǔn)為切入點(diǎn)，制定中國(guó)主導(dǎo)的標(biāo)準(zhǔn)；建立公平有序的招標(biāo)采購(gòu)市場(chǎng)環(huán)境；加大對(duì)在華國(guó)外網(wǎng)絡(luò)企業(yè)的安全審查、合規(guī)審計(jì)和監(jiān)管力度。”

“只有從法規(guī)、監(jiān)管、人才、宣傳等方面綜合治理，中國(guó)的信息安全標(biāo)準(zhǔn)才能得到根本性的提升，其中任何一個(gè)因素的偏廢，都可能繼續(xù)拉大我們與國(guó)外的差距。” 中國(guó)工程院院士、中科院計(jì)算所研究員倪光南對(duì)記者表示。

說(shuō)到企業(yè)層面，互聯(lián)網(wǎng)專家方興東告訴記者：“相關(guān)企業(yè)可以采用源代碼托管和首席安全官制度。首先可以采用的辦法是源代碼托管，很多國(guó)家都在采用這種辦法對(duì)信息安全進(jìn)行監(jiān)管。但在中國(guó)更方便借鑒的是首席安全官制度，在歐美很多國(guó)家的大企業(yè)都有這樣一個(gè)職位，首席安全官既是公司的員工，也受國(guó)家安全部門直接管理，在涉及到安全領(lǐng)域的大量采購(gòu)時(shí)他擁有一票否決權(quán)。國(guó)內(nèi)的一些央企或者大型企業(yè)也有必要設(shè)立這樣一個(gè)職位。”

據(jù)記者了解，早在10年前，IBM就宣布任命全球首任"首席安全官"。目前，越來(lái)越多的企業(yè)開(kāi)始設(shè)置相關(guān)的職位。目前，設(shè)有"首席安全官"的國(guó)際企業(yè)除了IBM外，還有微軟、柯達(dá)、花旗、Facebook、寶潔等，相比之下，"首席安全官"對(duì)于中國(guó)企業(yè)而言，還是一個(gè)新鮮事物，尚需迎頭趕上。

“我國(guó)目前在信息安全標(biāo)準(zhǔn)及相關(guān)法規(guī)方面與歐美存在差距，中國(guó)企業(yè)理應(yīng)首先從企業(yè)內(nèi)部建立良好的信息安全監(jiān)測(cè)和評(píng)估機(jī)制，做到防患于未然，這對(duì)于能否充分發(fā)揮和改進(jìn)我國(guó)相關(guān)法規(guī)，提升所在行業(yè)信息安全標(biāo)準(zhǔn)也至關(guān)重要。”業(yè)內(nèi)人士呼吁。