北京国和信诚信息安全技术服务中心关于信息安全工作的认识与体会主要内容一、国家高度重视信息安全二、我国信息安全主要工作开展情况三、国家信息安全保障体系介绍四、对园区信息安全的几点建议3*国家安全战略的演变和发展冷战结束后，各国面临的安全问题和威胁日益增加并趋复杂化，传统的以军事安全为主要内涵的国家安全和安全战略受到冲击，经济安全、金融安全、能源安全、信息安全、生态环境安全等诸多非传统安全问题逐渐突出，非传统威胁正在推动国家安全战略的演变和发展。4*传统安全与非传统安全 传统安全主要是指国家的政治安全和军事安全，即国家的 生存不受威胁 就国家外部安全而言，主要是指国家独立，主权和领土完 整，不存在军事威胁和军事入侵 非传统安全指除军事、政治和外交冲突以外的其他因素也 对主权国家及人类整体生存与发展构成威胁 国土安全、经济安全、文化安全、信息安全、社会安全等从不同的角度构成直接对国家安全威胁的重要因素信息安全属于非传统安全5*党的十六届四中全会决定 针对传统安全威胁和非传统安全威胁的因素相互交织的新 情况，提出： 增强国家安全意识 完善国家安全战略 抓紧构建维护国家安全的科学、协调、高效的工作机 制 决定还从全面应对传统安全威胁和非传统安全威胁着 眼，重点提出了维护国家政治安全、经济安全、文化安全 、信息安全、国防安全的重大任务。6*中央领导重要指示 胡锦涛总书记“把信息安全放到至关重要的位置上， 认真加以考虑和解决”。强调要从国家安全、社会稳定、经济 发展的高度去认识信息安全问题的极 端重要性。7*中央领导重要指示 温家宝总理面对复杂多变的国际环境和互联网 的广泛应用，我国信息安全问题日益 突出。加入世界贸易组织、发展电子 政务等，对信息安全保障提出了新的 、更高的要求。主要内容一、国家领导重视信息安全二、我国信息安全主要工作开展情况三、国家信息安全保障体系介绍四、对园区信息安全的几点建议9*近年国家层面的主要工作 完成国家信息安全顶层设计 开展信息安全规划 管理体制和工作机制逐步建立 基础性工作和基础设施建设取得较大进展10*一、完成国家信息安全顶层设计 国家信息化领导小组关于加强信息安全 保障工作的意见（中办发200327号文件） 我国第一个全面关于信息安全保障工作的 文件，是我国今后一段时期内信息安全保 障工作的纲领性文件11*加强以密码技术为基础的信息 保护和网络信任体系：规范和 加强以身份认证、授权管理、 责任认定等为主要内容的的网 络信任体系建设12*加强信息安全保障工作-总体要求： 总体要求： 坚持积极防御、综合防范的方针， 全面提高信息安全防护能力， 重点保障基础信息网络和重要信息系统安全， 创建安全健康的网络环境， 保障和促进信息化发展， 保护公众利益，维护国家安全。13*加强信息安全保障工作-主要原则 主要原则： 立足国情，以我为主， 坚持管理与技术并重； 正确处理安全与发展的关系，以安全保发展， 在发展中求安全； 统筹规划，突出重点，强化基础性工作； 明确国家、企业、个人的责任和义务，充分发 挥各方面的积极性，共同构筑国家信息安全保 障体系。14*加强信息安全保障工作-九项任务一、加强信息安全保障工作的总体要求和主要原则一、加强信息安全保障工作的总体要求和主要原则二、实行信息安全等级保护二、实行信息安全等级保护三、加强以密码技术为基础的信息保护和网络信任体系建设三、加强以密码技术为基础的信息保护和网络信任体系建设四、建设和完善信息安全监控体系四、建设和完善信息安全监控体系五、重视信息安全应急处理工作五、重视信息安全应急处理工作六、加强信息安全技术研究开发，推进信息安全产业发展六、加强信息安全技术研究开发，推进信息安全产业发展七、加快信息安全人才培养，增强全民信息安全意识七、加快信息安全人才培养，增强全民信息安全意识八、保证信息安全资金八、保证信息安全资金九、加强对信息安全保障工作的领导，建立健全信息安全管理责任制九、加强对信息安全保障工作的领导，建立健全信息安全管理责任制15*国家中长期科学和技术发展规划纲要 明确未来15年信息安全技术发展重点： （1）掌握集成电路及关键元器件、大型软件、高性能计 算、宽带无线移动通信、下一代网络等核心技术； （2）开发网络信息安全技术及相关产品，建立信息安全 技术保障体系，具备防范各种信息安全突发事件的技术能 力； （3）重点研究开发国家基础信息网络和重要信息系统中 的安全保障技术，开发复杂大系统下的网络生存、主动实 时防护、安全存储、网络病毒防范、恶意攻击防范、网络 信任体系与新的密码技术等。16*中华人民共和国国民经济和社会发展第十一个五年规划纲要 积极防御、综合防范，提高信息安全保障能力。 强化安全监控、应急响应、密钥管理、网络信任 等信息安全基础设施建设。加强基础信息网络和 国家重要信息系统的安全防护。推进信息安全产 品产业化。发展咨询、测评、灾备等专业化信息 安全服务。健全安全等级保护、风险评估和安全 准入制度。 “信息安全保障”列入国家“十一五”规划，再显中 央对信息安全工作的重视程度。 17*20062020年国家信息化发展战略 提出了全面加强国家信息安全保障体系 、增强国家信息安全保障能力的战略目标 。 战略是继中办发200327号文件后提出 的包括信息安全工作在内的又一纲领性文 件，18*20062020年国家信息化发展战略 其战略任务可概括为完成信息安全保障六项工作和提高信 息安全保障六大能力： 1信息安全保障六项工作可概括为： （1）建立和完善信息安全等级保护制度； （2）建设以密码为基础的网络信任体系； （3）建设和完善信息安全监控体系，加强网络防范， 防止有害信息传播； （4）做好信息安全应急处置工作； （5）做好信息安全风险评估工作，综合平衡安全成本 和风险，确保重点，优化信息安全资源配置； （6）促进资源共享，加强灾难备份体系建设。19*20062020年国家信息化发展战略 提高信息安全保障六大能力： （1）信息安全核心产品和技术的自主创新 能力； （2）信息安全人才保障能力； （3）信息安全法律保障能力； （4）信息安全基础设施支撑能力； （5）网络宣传驾驭能力； （6）国际影响力。20*二、开展信息安全规划 国家发展与改革委积极布局国家“十一五”信息化 发展规划，并列专题研究了信息安全问题。 国家“十一五”科学技术发展规划规定：在信 息领域，重点研究开发高性能CPU和面向网络通 信、信息家电、信息安全和工业控制的系统芯片 ；研究新一代网络与通信关键技术、传感器网络 与智能信息处理技术以及新型开放式架构核心路 由器、服务器和低成本网络信息终端。 国家 “863”计划根据国际信息安全技术发展态势， 结合我国信息安全技术实际应用需求，重点支持 复杂系统下的网络生存、主动实时防护、安全存 储、网络病毒防范、网络信任保障等技术和系统 的研发。21*二、开展信息安全规划 国家自然科学基金“十一五”发展规划在完善 学科布局和部署优先发展领域方面向信息科学研 究倾斜，把信息安全领域中的可信计算、包括量 子密码的量子调控理论和技术作为未来五年的重 点支持领域。 信息产业科技发展“十一五”规划和2020年中长 期规划纲要提出使集成电路在信息安全和国防 安全领域的自给率达到70%以上的建设目标，并 重点支持和发展密码技术；安全处理芯片；电子 认证、责任认定、授权管理；计算环境和终端安 全处理；网络和通信边界安全；应急响应和灾难 恢复；信息安全测评等技术和相关产品。22*三、管理体制和工作机制逐步建立 信息安全等级保护 信息安全风险评估 信息安全产品认证认可 网络信任体系建设23*管理体制和工作机制逐步建立 （1）信息安全等级保护 国家信息化领导小组关于加强信息安全保障工 作的意见（中办发200327号文件） 实行信息安全等级保护实行信息安全等级保护 公安部等四部委联合下发了关于加强信 息安全等级保护的意见24*管理体制和工作机制逐步建立 （1）信息安全等级保护信息安全等级保护制度的主要工作内容信息安全等级保护是指：对国家秘密信息、法人和其他组织及公民的专有信息、公开信息分类分级进行管理和保护；对信息系统按业务安全应用域和区实行分级保护。对系统中使用的信息安全产品实行按分级许可管理。对等级系统的安全服务资质分级许可管理。对信息系统中发生的信息安全事件分等级响应、处置。25*信息安全等级保护管理办法颁布单位：公安部、国家保密局、国家密码管理局、国务院信息化工作办公室 安全 等级名称对国家安全、社会秩序、经济 建设和公共利益的危害程度 监管方式第一级级自主保护级护级无影响自主保护护第二级级指导导保护级护级有一定损损害 政府职职能部门门指导导下的自 主保护护第三级级监监督保护级护级较较大损损害 政府职职能部门监门监 督下的严严 格保护护第四级级强制保护级护级严严重损损害 政府职职能部门门的强制监监督 和检查检查 下的严严格保护护第五级级专专控保护级护级特别严别严 重损损害 政府协协助下由主管部门门和 使用单单位实实施专门专门 控制和 保护护26*管理体制和工作机制逐步建立 （2）信息安全风险评估工作 国家信息化领导小组关于加强信息安全保障工 作的意见（中办发200327号文件） 要重视信息安全风险评估工作，对网络与 信息系统安全的潜在威胁、薄弱环节、防 护措施等进行分析评估，综合考虑网络与 信息系统的重要性、涉密程度和面临的风 险等因素，进行相应等级的安全建设和管 理。27*关于开展信息安全风险评估工作的意见 （国信办 20065号） 什么是信息安全风险评估什么是信息安全风险评估 信息安全风险评估是从风险管理角度，运用科信息安全风险评估是从风险管理角度，运用科 学的方法和手段，系统地分析网络与信息系统学的方法和手段，系统地分析网络与信息系统 所面临的威胁及其存在地脆弱性，评估安全事所面临的威胁及其存在地脆弱性，评估安全事 件一旦发生可能造成的危害程度，提出有针对件一旦发生可能造成的危害程度，提出有针对 性的抵御威胁的防护对策和整改措施。性的抵御威胁的防护对策和整改措施。 目的是：为防范和化解信息安全风险，或者将目的是：为防范和化解信息安全风险，或者将 风险控制在可接受的水平，从而最大限度地保风险控制在可接受的水平，从而最大限度地保 障网络和信息系统提供科学依据。障网络和信息系统提供科学依据。28*管理体制和工作机制逐步建立 （3）信息安全产品认证认可 认监委等八部委联合发下发了关于建立 国家信息安全产品认证认可体系的通知 2005年4月19日国家信息安全产品认证管理 委员会成立，这标志着我国建立统一的信 息安全产品认证认可体系已进入实质性的 实施阶段。29*管理体制和工作机制逐步建立 （4）网络信任体系建设国家信息化领导小组关于加强信息安全保障工作的意见（中办发200327号文件）加强以密码技术为基础的信息保护和网络信任体系建设加强以密码技术为基础的信息保护和网络信任体系建设2006年2月国务院办公厅下发关于网络信任体系建设若干意见的通知（国办发200611号） 。对网络信任体系建设提出了总体要求。 30*电子签名已得到广泛的承认： 2004年全国人大常委会通过了电子签名法 2005年信息产业部制定了电子认证服务管理办法管理体制和工作机制逐步建立 （4）网络信任体系建设31*管理体制和工作机制逐步建立 （5）信息安全应急协调机制建设国家信息化领导小组关于加强信息安全保障工作 的意见（中办发200327号文件）