研发奠定基础，创新攀登高峰

“研”是信息安全科学研究，通常以高等院校和科研机构为基地开展。信息安全科学研究的理论创新，技术突破，为今天的信息安全保障奠定科学技术基础，为明天的信息安全保障进行探索。理论研究为未来探路，技术研发为产业供血，为应用奠基。

回顾信息安全保障技术的发展历程，随着人们对信息安全需求的认识深化，大致可以归纳为信息的保密、保护、保障，关键基础设施的保护，有保障的信息共享几个的阶段，这些阶段有时间上的交叉，概念上的继承延伸。

保密阶段主要使用密码，密码技术用于通信保密。早期的通信保密主要为军政独需，独享。

随着计算机应用的普及，提升了人们对计算机安全的关注度，保护计算机安全成为一个历史时期信息安全的目标。美国率先提出了可信计算机安全评价准则(TCSEC)，试图用访问控制机制保证只有授权者可以访问与其相关的信息。网络化的应用使人们认识到仅在计算机上关注信息保密性的局限性，提出了保障信息的保密性、完整性、可用性(CIA)的安全权保障要求。欧洲英法德荷四国联合制定的信息技术安全评价准则(ITSEC)，六国七方联合制定的信息技术安全通用标准(CC)现在成为国际标准化组织(ISO)标准的ISO/IEC 15408体现了这个要求。传统的密码技术除了用于通信加密外，增添了签名认证和完整性检验等新功能，成为信息安全保障的核心技术。美国通过全球智慧为其所用的方式将DES标准加密算法提升到AES分组密码算法，又以同样方式遴选出SHA-3杂凑函数。这些算法和RSA、ECC数字签名算法一起成为他们确立的社会应用的配套密码。近年来我国逐步认识到商用密码势在必行，相继研发出SM系列算法。我国学者自主设计的用于加密和完整性检验的，包括祖冲之算法、加密算法128-EEA3和完整性算法128-EIA3的祖冲之算法集(ZUC算法)，也经国际组织3GPP推荐为4G无线通信的第三套国际加密和完整性标准的侯选算法。我国的商用密码工作从无到有，逐步走上科学、开放、规范的道路。但密码的保密和安全保障能力受到计算能力、破译能力快速提高的威胁，必须与时俱进，不断深化研究。同时，由于密码的敏感性，必须自主可控的推动研究开发和应用。

人们继而认识到信息系统是人机结合的系统，不但要关注CIA，还必须同时关注计算机网络信息活动的主体和客体的可认证性，行为的不可否认性。国防部门还根据自己的经验认识到，仅依靠保护是不够的，提出要保障信息安全必须全面关注防护，检测、响应、恢复(PDRR)，提出了信息安全保障的理念(IA)，并在这种概念指导下，美国国家安全局颁发的信息技术保障框架(IATF)，提出了三保卫一支撑(保护局域计算环境，保护边界和外部连接，保护网络传输，用PKI、KMI、防火墙、入侵检测等密码和边界防护技术作为支撑)的安全框架，以及依靠人使用管理和技术来实现信息安全保障的纵深防御的理念，影响了一个时期的信息安全保障能力的研发。

随着计算机网络化的应用深入到各行各业，支撑社会运作的关键基础设施保护保护(CIP)和作为关键基础设施核心的关键信息基础设施的保护(CIIP)受到高度重视。克林顿任总统的时期就将此作为重点任务。“9.11”后，小布什2003年制定的《保护网络空间的国家战略》中，提出了防止对美国关键基础设施的网络攻击；减少国家对网络攻击的脆弱性；在出现网络攻击时，尽量减少损失并缩短恢复时间等三项信息安全保障的战略目标。在这些战略目标的推动下，分析关键基础设施间的互影响，互依赖；评估检测国家的重要基础设施在恐怖袭击中的脆弱性，并为之排定优先级；保护关键基础设施和重要资产免受恐怖威胁利用脆弱性的缓解的管理战略和技术手段成为研究的重点。工业控制系统(DCS，SCADA)的安全保障成为研究的重点对象，风险管理(风险分析，风险评估，风险处置，事件处理，灾备恢复)成为信息安全保障的核心指导思想。相关需求的理论和技术手段成为研究的热点。

2005年2月，总统的信息技术顾问委员会(PITAC)关于赛博安全R&D 的报告《赛博安全：一个优先级的危机》中提出，无穷无尽的打补丁并不是保障信息安全的好办法，需要新的基础性的安全模型和方法来提升安全保障水平。提出了认证技术，安全基础协议，安全软件工程和软件保证，系统整体安全，网络监控与监测，减少损失和进行恢复的方法，捕获犯罪分子和阻止犯罪行为的网络法庭，新技术开发所需的模型和测试平台，评价标准、测试方法和实施方案，损害网络安全的非技术因素等十个领域为网络空间安全研究的优先领域。 为了回应PITAC报告，美国国家科学技术委员会与总统行政办公室公布了一份由网际安全与信息保障基础设施小组委员会、网络和信息技术研究与开发小组委员会联合工作组提交的《赛博安全与信息保障研究开发的联邦计划》。报告分析了网际安全功能、安全基础设施、特别领域的安全、网际安全描述和评估、网际安全的基础、网际安全和信息保障的研究开发的支撑性技术、网际安全的先进的下一代的系统和体系结构、网际安全的社会因素等八类技术领域，49项技术主题的定义、重要性、技术现状和能力差距。确定了技术重点14项，投资重点13项。认证、授权和可信管理，访问控制和权限管理，攻击保护、预防和先发制人，无线安全，软件测试和评估工具等五项成为技术和投资的双重点。

奥巴马上台后，在小布什离任时提出的《综合的国家网络安全倡议》(NSPD-54)的基础上把美国的信息安全保障提升到攻防兼备的高度，并确立了先发制人的策略。他通过PPD-21《总统政策指令-关键基础设施的安全性和灵活性》和行政命令13636《改进关键基础设施的网际安全》推动了NIST网际安全框架标准的研究制定；又通过PPD-20《美国网络作战政策》，PPD-28《信号情报活动》明晰了网络战的定义授权和情报活动的原则立场和策略。围绕着攻防必将产生诸如网络工具武器、ATP的攻防和信息情报手段的攻防，我们对此必须高度警惕与关注。

由于信息安全的本质是博弈对抗，要在应用系统上真枪实弹的演练对抗，必将影响系统的实际应用。因此模拟、仿真、分析系统构成的实验床是一种演练对抗的好环境。美国把实验床作为信息安全保障的能力建设。我们也应建立其这种实验环境，为人才成长提供条件，为攻防兼备的研究开发提供靶场。

云计算、物联网、移动通信、大数据、智慧XX等新技术，新应用为我们的信息安全保障提出了新问题，其安全理论和保障技术正在成为新热点。

发达国家的信息化和信息安全保障是在拥有“芯”、“魂”的自主技术至高点的情况下展开的。他们具备在系统内核、宽带高速的信息技术高端开发网络信息系统的应用的能力，增强信息安全保障。不补上“缺芯少魂”的课，我们就不能从根本上实现自主可控。我们的研究工作到了发扬两弹一星精神，攻坚克难，打翻身硬战的时刻了。

　　用为先，需求牵全局，有效才落地

“用”是使用者，用户。他是需求的体现者，产生需求的牵引力，完成信息安全保障工作要求的落地、落实处。

用户以零散的个体化公众，有组织的团体化的机构、行业显现，规模不同、资源财力的拥有不同，信息安全保障的需求不同，但他们都有信息安全的需求。要提升其信息化的生活质量，工作的效率和效益，都需要信息安全保障。

用户的信息安全需求看似显然，但并非显见，自在，自为。他们需要从信息安全意识的启蒙中觉悟、觉醒。其需求需要有先知先觉者担当提炼，提升的任务。处于信息化高速发展大国的我们，依然有为数不少的“大妈”们非要将辛勤积累的存款汇寄给隐身于网络空间的骗子们的现实，看到了我们在信息革命的征途上使命的繁重。和任何一场革命需要发动群众，组织群众，使参与革命的基本力量觉悟，认识自己的核心利益，并投入到争取利益，保护利益的斗争一样，需要我们持之以恒。

组织机构、行业的信息安全需求，体现在其依赖信息技术手段完成的使命、业务、应用上，只有相关组织和行业的人员对其最了解。但是，他们未必了解信息安全保障的技术和管理。这就需要从事信息安全保障的专业人员与相关组织、行业的管理人员、业务人员紧密配合才能有效的梳理业务的使命、应用的流程、活动及其相关的安全需求。十多年来，我国对重要系统和基础网络实施的信息系统安全等级保护制度，不断提升了重要用户的信息安全意识和信息安全保障能力。但是，仅从信息技术系统提炼的信息安全需求，虽然可以提升系统的信息安全程度，但和使命、业务、应用未能紧密结合的两张皮状况，依然不能使信息安全保障真正落地，等级保护制度需要我们不断完善与提升。

“9.11”之后，美国在制定其国家信息安全战略的过程中，为了提炼需求，明确要求，就提出来涉及家庭用户和小型商业机构、大型机构、国家信息基础设施部门、国家机构和政策、全球的53个问题，在研究半年之后，制定了其保护网络空间的国家战略(草案)并在此基础上修订，于2003年2月颁布了至今依然执行的保护网络空间的国家战略。在美国制定网络空间国家战略的过程中，要求作为国家关键基础设施的行业及其主管部门一一制定自己的信息安全战略，其后公共部门、银行与金融部门、信息与通信部门、高教部门、化工部门、电力部门、保险部门、供水部门、铁路部门、石油部门等，纷纷回应了要求，制定并颁布了自己的信息安全保障的战略。这些都是从克林顿到小布什担任总统的时期，美国在推动信息安全保障工作进行的基础性工作。

美国和欧盟先后发动过多次网络风暴，他们选择了特定行业，组织了专门队伍，开展了攻击实验，这就是用接近实战的方法检验关键基础设施的信息安全保障状况，检查信息安全保障要求的落实情况，进一步提炼用户信息安全需求的好办法。

国际上相关的信息安全联盟，专业协会，标准化组织，不断地汇集、研究、总结来自用户的实践经验，将成功的经验纳入指南、标准，也是从用户体验中获取知识，探索规律，推而广之的有效做法。

(责任编辑：安博涛)