[專家談]做好國家關鍵信息基礎設施安全防護

9月19日到25日，以“網絡安全為人民，網絡安全靠人民”為主題，以“網絡安全博覽會、網絡安全技術高峯論壇、網絡安全電視知識競賽”等重要活動為載體的2016年網絡安全宣傳週在湖北武漢舉行。全國各地也根據自身實際開展着多種網絡宣傳活動，在全社會營造增強網絡安全意識，提升防護技能的濃郁氛圍。

近年來，以雲計算、大數據、物聯網、工業互聯網為代表的新技術得到了快速應用，更多的傳統能源、電力、交通基礎設施、招投標平台聯入網絡，成為泛在的關鍵信息基礎設施的有機組成。基礎設施中系統的大規模集成、互聯使得基礎設施的脆弱性和安全威脅不再是簡單的線性疊加。在有組織的、高強度攻擊面前，關鍵信息基礎設施面臨着巨大挑戰。新形勢下的網絡安全問題需要以複雜系統等理論和思路去破解，呼籲創新性的安全評價機制去給人們以信心。

作為第一個專門定向攻擊現實關鍵基礎設施的病毒，伊朗“震網”病毒事件已作為教科書般的案例讓工控系統安全成為全球矚目的焦點。為了應對日益增長的網絡安全威脅，美國、歐盟等主要發達國家紛紛採取措施，從法律法規、發展戰略、技術標準、管理體系等方面入手，加強國家關鍵信息基礎設施的保護。“9·11”事件之後，美國強化了對關鍵信息基礎設施的保護，建立了以國土安全部為主導、各部門之間職能分工明確、公私相互協作的關鍵信息基礎設施保護組織體系。歐洲網絡和信息安全局也為歐盟成員國的關鍵信息基礎設施保護提供頂層設計和戰略指導。

我國也高度重視關鍵信息基礎設施的安全防護。習近平總書記在在網絡安全和信息化工作座談會上指出，“金融、能源、電力、通信、交通等領域的關鍵信息基礎設施是經濟社會運行的神經中樞，是網絡安全的重中之重，也是可能遭到重點攻擊的目標。我們必須深入研究，採取有效措施，切實做好國家關鍵信息基礎設施安全防護。”

“重中之重”四個字突顯了加快構建關鍵信息基礎設施安全保障體系的重要性和緊迫性。在我國剛剛開展的電子招投標系統檢測認證中，創新性地提出了以“系統認證”的手段對電子招投標系統運維安全的持續符合性進行評價，為關鍵信息基礎設施的安全評價提供了寶貴的借鑑。我們可以大膽參考上述經驗，以可信的信息技術產品和安全服務的審查為基石，以風險評估和系統綜合防範能力檢測為支撐，通過類似系統認證的安全評價機制向社會傳遞信任。作為依據，“急用先行”的關鍵信息基礎設施保護框架、安全測評標準、檢測認證模型、安全評價機制的研究工作需要力爭在短時間內取得積極進展。

“重中之重”更為網信事業指明瞭下一步工作的着力點。創新是破解難題的“金鑰匙”，我們期待以理論創新、評價機制創新為後盾，依託國家網絡安全保障隊伍，吸收關鍵信息基礎設施運營機構和運營機構之外的自願性力量，為新形勢下關鍵信息基礎保護體系的建立和完善貢獻中國智慧。（作者系中國信息安全認證中心綜合業務處處長）