中国工程院院士沈昌祥：信息化全面深化 促进物联网新型领域

2012年中国计算机网络安全年会今日在西安举行，中国工程院院士沈昌祥在大会上了发布"做好新型信息技术发展应用的信息安全等级保护工作"的报告。当前，我国信息化发展正进入全面深化的新阶段，促进了一些新领域，比如说工业控制信息化、三网融合、物联网，尤其是云计算很热。

以下为演讲实录：

各位领导、各位来宾，有机会跟各位交流一下新的信息技术应用。大家问我信息安全保障工作怎么做，我说还要让我们国家信息安全保障体系统一来贯彻执行等级保护制度。

当前，我国信息化发展正进入全面深化的新阶段，促进了一些新领域，比如说工业控制信息化、三网融合、物联网，尤其是云计算很热。这些新型信息技术发展应用，给我国网络与信息安全保障工作提出了新的任务。以前信息安全的理念与做法，对我们信息安全等级保护工作也提出了新的挑战。比如说工业控制系统，2010年伊朗发生了镇惊世界的网震，它把伊朗的核设施震坏了。新的信息安全保障我们信息系统的安全运行，现已经提升到定位和空间，保卫网络空间国家主旋律的问题。三网融合。电信网、广电网和互联网三网融合后，信息安全风险将主要来自于网络开放性、终端复杂性、信息可信性等方面。

互联网。物联网将传感、通信和信息处理整合成网路系统。把物品与互联网连接起来，实现智能化识别、定位、跟踪监控和管理，这必然会成为影响社会稳定、国家安全的重要因素之一。物联网跟以前的网络区别在什么地方呢？在组成上是有明显区别。物联网运用大量感知节点，将成为窃取情报、盗窃隐私的攻击对象，而且庞大节点以集群方式连接将对网络通信的依赖更加敏感，对分布式的物联网核心网络的管理平台安全性、可信性要求更高。另外，对数据传输的安全性和身份认证的可信性提出了更高的要求。

云计算。云计算的问题非常热闹，云是自然形成的，云计算是一种能够动态伸缩的虚拟化资源，通过网络以服务的方式提供给用户的计算模式，用户不需要知道如何管理那些支持云计算的基础设施。类似宾馆服务模式。以前我们开发软件，自己搭建一个平台，后来找一个系统，自己搞个信息中心，现在全部寄托在大的云计算中间，我们有系统资源、信息资源，由不可控、不可信的云经营商统管IT资源和计算基础设施。另外，更大规模异构共享和虚拟动态的运营环境难以控制。虚拟，你用的时候是真实的物理软件，不是虚的。另外，如何保证云中IT资源安全、用户隐私保护以及云计算环境的可信可靠，已成为阻碍云计算进一步发展的主要因素。另外，制定相应的云计算法律法规，明确拥护和运营商法律责任也是发展云计算必不可少的。我们从短期来看这个问题，信息安全等级保护制度适用于新型信息技术应用的信息安全保障，新型信息技术应用系统都是依托网络技术构建不同应用模式的计算环境。比如工业控制系统，尽管把我们计算机的控制信息生产设施过程，它只要有计算决策，网络传输，最后就可以控制，这个也是一个系统工程。物联网，传感器域，网络通信，应用处理环境。

我重点讲一下云计算。云计算打破了原来独立分割的计算平台一个实验室，机房，甚至计算中心，所以它现在提出软件即服务（SaaS）（行业应用、工具应用等）相当于宾馆吃饭的模式、住店的模式，你里是需要点击选择餐饮，就相当于宾馆的点菜吃饭住店。平台即服务（PaaS）（可扩展的运行环境、数据储存等）。基础架构即服务（IaaS）（虚拟服务器、存储、网络），这些都是硬件设施。信息安全等级保护是按信息处理系统的计算资源和信息资源重要程度不同，实施不同保护强度的保障措施。安全保护等级划分准则（GB/17859—1999）核心是对信息系统从三个方面实施保护。第一，可信。针对计算资源（软硬件）构建保护环境，以可信计算基（TCB）为基础，层层扩充，对计算资源进行保护。
去年7月16号美国国防部发布了L空间（音）战略，新的防御有四点：第一是要构建可信的网络环境；第二，内外供给；第三，要多层次的主动防御；第四，要科学计算架构与计算技术。第二，可控。针对信息资源（数据及应用）构建业务流程控制链，以访问控制为核心，实行主体（用户）策略则访问客体（信息资源）。第三，可管。保证资源安全必须实行科学管理，强调最小权限管理，尤其是高等级系统实行三权分离管理体制，不许设超级用户。所以我们现在要理解我们的等级保护，我们国家所提出来的保护，本质是可信、可控、可管。(责任编辑：admin)