“棱镜门”事件反映的信息安全风险

“棱镜门”事件反映的信息安全风险

所谓“棱镜门”事件，就是美国中情局(CIA)前雇员爱德华·斯诺登揭露美国情报监听公众通信的“棱镜”计划。据了解，“棱镜”窃听计划始于2007年的小布什时期，据斯诺登爆料，美国国安局(NSA)和联邦调查局(FBI)经由代号为“棱镜”(PRISM)的互联网信息筛选项目，直接从九大互联网企业获取用户数据。值得注意的是，斯诺登在采访中披露，至少从2009年起，美国政府就开始发动黑客行动侵入中国网络，其攻击的目标达到上百个，其中包括大学、商业机构以及著名的政界人士。

据海外权威媒体报道，随着“棱镜门”的事件的曝光，世界上很多国家和地区纷纷重视并重新审视美国主导的互联网保密计划，怀疑本国保存在美国服务器上的资料是否安全。面对信息安全威胁，很多国家开始进行互联网“自主化”计划。在很多国人都抱着幸灾乐祸的心态笑看美国政府的信任危机之余，我们也要清楚地认识到:国内重要行业的信息堪忧，信信息安全隐患比较严重。

“棱镜门”事件持续发酵

根据斯诺登的爆料，微软、雅虎、谷歌、Facebook、PaITalk、美国在线、Skype、YouTube、苹果等IT公司均参与到美国“棱镜”项目中，美国情报机构一直在这几家美国互联网公司中进行数据挖掘工作，从音视频、图片、邮件、文档以及相关信息中分析个人的联系方式与行动，窃取网络信息，全球网民的一举一动都在其监视之下，毫无隐私可言。同时这些公司涉嫌向美国国家安全局开放其服务器，使美国政府能轻而易举地监控全球上亿网民的邮件、即时通信及存取的数据。

这起有史以来最大的监控事件，背后透露出的安全危机让我们不寒而栗，让我们深感不安。在以互联网技术为代表的信息技术革命中，美国拔得头筹已是不争的事实，从思科的路由器、交换机到英特尔的处理器，从微软的操作系统到谷歌的搜索引擎等，美国拥有了一批IT巨头企业和主导产品，而这些企业的产品在世界贸易组织促进货物和服务贸易自由化、便利化的口号下，进入了国际垄断市场。

对于国内网络设备占有率和使用率最高的品牌——思科来说，作为全球最大的网络设备和方案提供商，它生产的路由器几乎覆盖了国内的通信、金融、海关、邮政、铁路、民航、医疗等要害部门。由于路由器是连接网络的重要关卡，从技术角度来说通过它不仅可以获取那些经过路由器的信息，甚至可以在短时间内让所有网络瘫痪。据有关部门统计，思科的路由器和核心交换机产品在中国电信、中国联通两大主干通信网络中占据了70%以上的市场份额，把持了所有超级核心节点。

虽然说目前大家都意识到这个问题的严重性，也做了一些工作，特别是去年中国联通组织的169骨干网江苏无锡节点的核心路由器迁移工程，很有可能是国内企业在核心网络产品上出于安全考虑所做的一个标志性事件，但是由于国内整个网络设备基数大，不可能在短时间内完成所有设备的迁移工作，必然会给网络安全埋下较大的隐患。

我国面临的信息安全威胁

相比世界信息化发展的突飞猛进，中国的网络与信息安全建设远未跟上步伐，甚至可以说是远远落后于当今世界信息发展的安全要求。欧洲安全与防务知名智库SDA公司2012年对23个国家的网络安全防御水平进行评级，中国的信息安全水平排名第16位，处于中下水平。今年7月11日，国家信息中心信息安全研究与服务中心联合瑞星公司发布了《2013年上半年中国信息安全综合报告》，对上半年的病毒、恶意网址、个人隐私、移动互联网及企业信息安全等五大方面进行了详细分析。该报告指出，伴随着虚拟化、云应用、BYOD及可穿戴智能设备的迅速广泛应用，这些新技术和新设备已经成为威胁我国企业信息安全甚至国家信息安全的重要因素，导致互联网全面泄密时代来临。

随着“棱镜门”事件的不断发酵，对我国的信息安全也产生了越来越深远的影响，当前国内政企信息安全意识匮乏、安全体系建设不完善、过度依赖国外电子类产品，导致在信息安全方面存在着巨大的隐患，企业网络时刻处于高危状态，企业的商业机密随时可能被黑客、竞争对手窃取，甚至一些关系到企业生死存亡的数据在不知不觉之间可能会被匿名的第三方组织窃取。这些后果轻则制约企业的生存发展，重则威胁国家安全。同时加上众多国内企业在信息安全体系建设方面也存在着诸多隐患，信息安全认知差、意识薄弱，信息安全问题事前无防备、事后弥补不及时，信息安全体系建设尚未开始，使得我国面临的信息安全威胁和隐患凸显。

隐患一:国内企业过分盲目选择国外电子产品。目前，国内政府和企业对外国品牌的电子产品、信息技术产品过分依赖。据媒体报道，涉及“棱镜门”的思科产品在国内163、169两大主干通信网络中占据了70%以上的市场份额，把持了所有超级核心节点。很多政企选择外国产品是出于高性能的考虑，然而不知不觉间，这些外国厂商的产品却成了企业信息安全的重大隐患。瑞星安全专家表示:“从技术角度来讲，任何电子信息类产品都有被植入后门、窃取用户情报的可能。厂商一旦受到来自国家或竞争对手的压力，就可能会铤而走险。”

隐患二:企业信息安全体系建设基本为零。当前国际信息对抗日趋严重，同行业之间的竞争愈加激烈，然而目前国内很多企业对信息安全建设的概念仅仅停留在简单安装杀毒软件的层面，这是远远不够的。杀毒软件只能解决病毒的相关问题，却不能解决由系统管理不严、员工操作不当和黑客入侵引发的安全问题。只有有形的产品和无形的制度相互配合，才能避免核心机密被类似“棱镜”项目所窥视。

隐患三:新科技、新应用隐藏着巨大风险。近年来，新科技、新应用发展迅速，这也为企业的信息安全带来了很多未知风险。相关安全专家解释:举个最贴近生活的例子就是智能手机，黑客或企业内部人员可利用智能手机的摄像头和麦克风，全程监听企业内部的信息。同时作为移动终端设备，智能手机又能使用自己的网络，将监听到的信息随时上传至互联网，所以即使不接入企业内网，黑客、企业内部人员及竞争对手的情报部门都可能利用智能终端设备来获取企业的机密情报。

隐患四:云端服务器的风险不容忽视。在“棱镜”项目中，提到美国有九家互联网巨头向美国情报机构开放了服务器，以便监视个人、企业及他国的互联网行为。云计算技术以节省本地资源、运行速度快等特点受到了整个互联网行业的追捧，但是由于该技术需要企业将用户信息、办公系统甚至商业机密上传到云端数据库，以便在需要时随时调用，假如一旦云端服务器遭到黑客入侵，或服务器和云端系统供应商在系统中留有后门，企业的信息安全将成为一纸空谈。

“棱镜门”事件带来的警示

“棱镜门”事件的曝光至少给企业用户带来了三方面的警示:一是获取企业有价值的数据已成为各类攻击者最主要的目标；二是依赖传统的边界防护、计算平台防护和恶意软件识别手段已无法完全保护企业的数据安全；三是企业要认识到数据泄密事情不是没有发生，而是大部分的泄密事件根本没被发现。然而提升企业保护数据的意识是系统工作，要把泄密风险培训、数据安全制度及相关技术措施结合起来，企业应该抓住这次“棱镜门”事件，结合自身信息化现状进行宣传教育工作，提升企业员工特别是高层管理人员对机密数据的保护意识。

企业要做好数据安全保护工作，就必须要抓住四个关键点，这些关键点包括数据流程的梳理、全面数据安全风险分析模型建立、统一数据安全体系规划和数据安全分步实施计划。统一数据安全体系规划和数据安全分步实施计划是数据安全保护工作中的重要方面，数据安全必然将成为企业信息化的核心问题，这一方面要求企业有整体的数据安全建设目标和规划，才能实现真正的数据安全防护；另一方面因为数据安全建设关系到全员意识和流程的改变，为了避免全方位实施带来的项目失败风险，建议企业要制定可行的分步实施计划。

从国家战略高度应对信息安全威胁

随着国家信息化继续加快推进，以及云计算、物联网、移动互联网等新技术和新应用不断出现，维护网络与信息安全的需求也更加迫切。因而要从战略高度来应对当前的信息安全威胁，要加快制定相关的国家安全战略及其配套政策，在关键技术和重点防护手段等方面有所突破，构建自主可信的国家网络安全防护体系，走自主创新之路，才能彻底摆脱美国企业当前的技术垄断。

一是加强顶层设计。随着大众对网络的依赖度越来越高，网络空间的安全问题超越了专业技术层面，直接影响着国家的信息安全。因此，国内网络安全防护也迫切需要走出技术维护和配合的低层次运行水平，上升到统一筹划、综合防护的战略高度。首先应加快制定和颁布国家的网络与信息安全战略。目前世界上已有40多个国家公开颁布国家级网络空间安全战略，并且随着形势的变化不断出台和调整相关政策，因此我国也应加快制定相关的国家安全战略及其配套政策。其次要把战略管理的着力点放在“跨域融合”上，立足于国家安全和现代化建设的全局，平衡好利益冲突，融合好利益诉求，研究解决好信息化发展和管理中的那些跨部门、跨领域、超越局部利益和短期利益的瓶颈问题。