第七届中国CSO俱乐部年会暨2009中国信息安全大会

工业和信息化部信息安全协调司

–胡英68130909-1136
13701184267hu_ying@ccw.com.cn

–田梦68130909-1168
13810026325tian_meng@ccw.com.cn

专题策划：计世网安全频道

专题制作：贺锦虹

主持人：下面我宣布2009中国信息安全大会暨第七届中国CSO俱乐部大会正式开始！今天会议由我为大家主持，我是计算机世界报的助理总编胡英。非常高兴有机会大家汇聚一堂，共同探讨信息安全技术、经验，共同展望信息安全的未来。
    下面请允许我介绍到会的重要嘉宾，他们是工信部信息安全协调司周宝源司长、铁道部信息安全中心吴建中主任、华夏银行副首席信息官兼信息技术部总经理和大集中办公室张胜主任、EMC公司执行副总裁、EMC信息安全事业部RSA主席亚瑟·W·科维洛、EMC信息安全事业部RSA大中华区总经理江永清、北京银行信息技术总部总经理龚伟华、大连市政府网站管理中心副主任耿昭、东软集团股份有限公司副总裁/东软网络安全产品营销总经理贾彦生、北京市信息资源管理中心代表彭凯、广州市信息化办公室副主任王其民、中国移动通信集团公司网络部网络安全处经理周智，联想网御科技（北京）有限公司总裁兼总工程师毕学尧、北京天融信网络安全技术有限公司方案总监刘辉等。
    让我们以热烈的掌声欢迎他们的到来！同时我代表计算机世界报社对在座各位莅临会场表示热烈的欢迎。下面有请计算机世界传媒集团总裁陈梅女士致辞！
    
    陈梅：尊敬的周宝源司长、各位领导、各位专家，女士们、先生们大家上午好，首先请允许我代表计算机世界报社对各位白忙之中光临本届中国信息安全大会及中国CSO俱乐部大会表示热烈的欢迎和中心。感谢。在此，我们还要特别感谢工业和信息化部、信息信息安全协调司周宝源司长的大力支持，感谢全国各地，来自政府、金融机构、电信运营商、交通、制造等各个行业的CSO们和用户厂商代表们对计算机世界的大力支持，谢谢大家！
    大家知道，对于每一个人来说，身体健康是最重要的，而对于一个国家、一个单位、一个，安全是最重要的。处在当今这样一个信息化的时代，随着网络的迅猛发展，信息安全的重要性已经上升到国家战略层面，从大到军事安全，小到企业商业机密，以及每个人财产安全。而且信息安全的保证并不是单一的，是要通过技术的、管理的、行政的手段多方面的结合才能最终达成。也就是说我们现在讲的信息安全跟当初讲的信息技术是一样的，无处不在，正是对金融危机形势下，国际国内信息安全严峻形势的高度重视和对最新的信息技术产业政策、技术和管理迫切要求，使我们今天的大会嘉宾云集。由计算机世界报社发起主办的信息安全大会今年第七届了，在03年举办首届信息安全大会的时候，人们对信息安全的认识，大多还停留在我们的理论层面和技术层面，应该说大家说的多、做的少一些，很多单位和企业也没有信息安全的主管，当时的CSO就像现在说的十年以前的CIO一样非常稀少的。
    但是经过七年发展，我们发现，整个信息安全领域已经成为了一个巨大的产业，每个重要的行业用户，都设置了专门负责信息安全的部门，我们信息安全主管队伍也日益壮大起来。而信息安全技术也从当初的老三样发展到今天的安全综合管理，数据加密、流量控制、网页邮件过滤、员工上网管理等等，无论是政府还是企业，信息化应用程度越高，信息安全的挑战也就越大，用户希望抓住根本，所以我们今年的主题就定微信息安全、基础为本。
    我们还将颁发2009年度中国信息安全保障突出贡献奖和2009年度值得CSO信赖的品牌奖，在此我想说计算机世界作为中国IT领域最早也是最具影响力的媒体，经历了近30年的风雨历程，见证整个中国IT技术和信息产业的发展这其中离不开在座各位领导、专家、嘉宾和厂商朋友的恒久支持，我们坚信，未来我们将继续获得各位的关注和大家携手同行，为推动中国信息化和信息安全的发展作出我们最大的贡献。最后预祝大会圆满成功，也预祝各位嘉宾满载而归。谢谢！
    
    主持人：谢谢陈总，我们知道中国信息安全产业的发展离不开政府的大力支持，今天我们请到了工信部信息安全协调司司长周宝源，有请周司长致辞！
    
    周宝源：各位来宾、各位朋友，大家上午好，我本人非常高兴参加2009中国信息安全大会暨第七届中国CSO俱乐部大会我，谨代表工信部信息安全协调司对会议召开表示热烈祝贺。
    当前的信息安全已经成为国家安全的重要组成部分，已经成为我国全社会关注的重点话题，也已经成为世界各国重点关注的问题。在5月29号，美国总统奥巴马公布的网络安全评估报告就认为，来自网络空间的威胁已经成为美国面临的最严重的经济和军事威胁之一。在我们国内，比如不久前的5月19号发生断网闻（音译）的事件也说明这一点。我们信息安全保障任务还很严峻，给我们带来了很大的挑战。
    党中央、国务院对信息安全工作是高度重视的，2008年国务院机构改革，组建工业和信息化部，其中一项重要的职责就是协调和维护国家信息安全，六句话最后一句话是这句话。为了切实履行好这一重要的职责，工业和信息化部设立了信息安全协调司，主要是负责协调国家信息安全保障体系的建设，协调推进信息安全等级保护等基础性工作。指导监督政府部门、重点行业的重要信息系统与基础信息网络的安全保障工作。承担信息安全应急协调工作，协调处理重大事件。
    在信息安全协调司成立不到一年的时间里，我们积极贯彻落实党中央国务院的部署，认真履行协调和维护国家信息安全的职责。积极落实电子签名法、颁布了工信部一号令电子认证服务管理条例，加强对电子认证服务的指导和管理，积极做好信息系统安全的检查工作。组织起草的政府信息系统安全检查办法已经经过国务院的批准印发。按照国家信息安全标准化“十一五”规划要求，加快了信息安全国家标准的制订和宣传推广。积极组织研究起草信息安全条例，推动信息安全法制环境建设。探索基于互联网开展电子政务的信息安全保障模式，开展互联网信息安全保障的试点。此外我们还加强了对信息安全战略和相关重大问题的研究。面对国际国内新的信息安全形势，通过加强信息安全工作的指导、监督和协调。经过各部门的共同努力，我国信息安全工作取得了一定的成绩。
    总体上说，我们国家信息安全形势是基本良好的。基础信息网络和重要信息系统运行总体是平稳的。但在看到成绩的同时，我们还要清醒的认识到，我国面临的信息安全形势依然非常严峻，信息安全保障的任务依然非常艰巨。我们必须认真分析当前信息安全工作的实际需求，从维护经济社会稳定，维护国家安全和利益的高度，充分认识信息安全工作的重要意义。在今后一段时期，要进一步做好国家信息安全战略规划政策的研究和制定。做好个人信息安全保护制订的研究，保护合法权益，维护社会稳定，开展试点工作，积极开展应用，国产信息安全产品，加快信息安全标准定制定的进程。不断提高自主标准的质量和水平，做好信息安全的服务管理。通过制定相关政策，规范和推动信息安全服务行业健康有序的发展。
    制定信息安全系统灾难恢复体系建设指导意见，提高抵御灾难和处理突发事件的能力，减少灾难等重大事故造成的损失。确保重要信息系统的数据安全和作业持续性，从而保障社会的稳定。
    同志们朋友们，积极维护国家网络安全，维护网络秩序的稳定是我们每个公民义不容辞的历史使命。我们需要动员起社会，包括政府、企业、用户乃至个人力量，共同为做好我国的信息安全保障工作而努力。最后预祝今天的大会取得圆满成功，谢谢大家。
    
    主持人：今天我们有幸请到了亚瑟·W·科维洛先生，请他上台演讲！
    
    亚瑟·W·科维洛：谢谢，诸位上午好。我今天演讲的主题是有关如何简化法规遵从的框架，但在此之前我想先总结一下我在4月份RSA会上发言的主旨内容。首先在4月份的RSA大会上听众有5000人，参加这个大会的都属于信息安全信息安全业界的人士，但是在大会上我告诉他们，事实上还有另外一批人，人数远远超过了在座的5000人。这些人的数量我们可以以万来做单位去计算，而他们也是打造了自己一个非常高效的生态链。但是问题在于他们所打造的生态链是由欺诈犯、刑事犯构成的。这些人他们是有非常复杂的供应链，有专门做攻击设计的人，还有专门使用这些攻击的方法来收集他人信息的人。另外还有一批人是专门来去销售被窃取来的信息。
    所以我们所面临的问题就是什么呢？我们没有打造这样一个去反罪犯打造的生态链的链条。所以我在大会的主旨发言上呼吁整个业界、技术界，我们要携手去创造这样的生态链，从而来对抗、去打击另外一条黑色的生态链。其实刚才周司长已经在谈话中谈到了，其实信息安全是在IT基础设施中无所不在的。所以同样的，我们这些做信息安全技术的人士，我们这些厂商，我们之间的技术也要做到高效、有效，从而互相之间也可以实现互操作。只要安全技术真正做到内迁型的，所有厂家提供不同安全的工具和功能能够连接在一起，我相信在信息领域中这样的欺诈人员的工作就更加艰难。
    所以我向业界呼吁，所有做信息安全的厂商应该联手起来，所以在这里，我也正式向中国做信息安全的厂商伸出我的友谊和合作之手。今天上午我非常容幸在这里为大家做这次演讲！
    目前整个世界是陷入了大萧条以来最严重的一次经济危机，我们看到本次危机的起因是什么呢？就是有很多的机构在运营风险上过大了。我们知道在美国的这些金融服务机构是在二十世纪九十年代被政府放松了监管，我们看到这种政府的监管的放松发生了这样的背景是当时技术的进步非常迅猛。我们当时因为有了这样的技术，所以我们可以以更快的速度做更加规模巨大的，也是在金额上最大的数量交易。但不幸的是对运营风险管理的能力并没有提升上来和我们的技术的能力和当时政府放松监管的背景配套起来。现在我们所有的人都在承担这样的后果！
    在美国带来的后果之一就是政府推出以前更严格的、更多数量的管制，我们知道这是一件正确而且是必要的事情，但是毫无疑问这样做会带来我们并不想见到的结果。尽管这次金融危机并不是由中国金融机构所导致的，但是它们同样不可避免必须承担监管加强的效果。同时我们看到，互联网为我们业务的速度提速了，同时我们业务也具有巨大的开放性。同时意味着为了保护个人信息的安全，我们需要加强这方面的管制。而政府的工作、责任所在就是要提供这样的严格管理制度。
    所以我今天上午演讲主题就是随着这样监管制度、法规的不断出台，作为企业如何简化法规遵从的框架。不幸的是这种法规制度的加强，确实会带来我们不想出现的后果，其中一方面就是我们看到的，为了应对这样的法规政策很多公司必须所做的一些事情。我们首先来看一下，在美国已经出现了一些法规，内部监控的法规、合作伙伴法规、数据规范、巴塞尔协议等等。这些监管政策其实是触及到IT基础设施的各个部门，但不幸的是，并不是触及到整体，而是触及到某一个层次。比如说有的时候某个监管政策只是被应用到端点的部分或者应用到网络、应用本身。偶尔有的时候我们看到监管政策确实是涵盖整个IT基础设施，但是我们看到企业需要遵从的法规数量有多个。但是从企业自身的能力或者执行来说，他们是一次执行一个法令的遵从，所以这就形成了一种非常低效的孤岛式的遵从模式。在IT基础设施法规遵从方面它是一种冗余的方式，在不同点上进行控制。
    事实上有这样的一个统计，在法规遵从方面，由于企业采取了信息孤岛的方式执行，导致成本额外增加了150%。最为基本的起因就是因为我们其实本末倒置了。事实上我们并不需要让法规来告诉我们，我们要去做正确的事情应该是哪些。对于企业而言，他们应该对风险的管理、风险的治理以及相关的风险方面的法规有一个自己的清晰认识，从而打造一个企业自身的管理风险的框架。如果以正确的方式这样做，带来的结果就是企业有一个非常良好的风险管理的体制，有自己非常好的企业内部治理体制以及法规的制定。总体角度来说，企业最终能够实现法规遵从的目的。我们看到，整个工作过程都是在可控的环境之内，在企业自身的IT基础设施的基础之上来做的，而不是应对某一个特殊的政府法规、规章制度去做的。尽管它最终的目的是能够达到任何一种法规的要求。
    我们看到一家企业有了良好的公司治理、透彻的对风险的了解，就会为企业打造一个信息风险管理的框架，而这个框架可以进一步帮助企业减少、规避那些新的风险。我们看到了，正是企业对风险有一致的处理态度，这样的方法、态度是全面、完整的，从而能够使得企业应对风险做到成本降低，而且更加有效。
    下面我们来看一下，为了减少风险，我们需要设计一个什么样的信息安全框架，这个信息安全的框架中又包括哪些核心的组成部分呢。首先我们要做的第一步就是我们要分类出来，在企业中哪些是最关键的、最敏感的信息，也就是我们需要保护的数据根据这样的法规要求。还有一点我想补充的，对任何组织企业而言，不可能打造一个非常完美的安全的体系，所以它必须有这样一个界定，就是说哪些风险是在我们可以接受的范围之内。
    我们要建立这样一个可接受的风险程度，就必须考虑到三点。首先第一点就是充分的理解到信息的漏洞所在，以及这些漏洞被利用的概率，以及带来的实质性后果是什么。就是说企业经常犯的错误就是，他们在安全方面花费过多，但却没有对风险完整的认识。比如说你发现在自己企业中有一个重要数据漏洞存在，但是这个漏洞被利用的概率非常之小，这时候你也没有必要投资太多对这样的漏洞安全保护上。所以关键就在于，你必须很好的了解这样的公式。
    下面我为大家介绍的组件就可以帮助你了解这个公式。正如我谈到的，首先要找到关键信息，对它们进行分类。同时你要透彻的理解这些信息是贮存于你的IT基础设施的哪些部分，以及哪些人可以访问这些信息。然后你要去定义和实施这些控制，以及在整个过程中必须不断做的一些工作，就是要监控、管理与改进。我们说，良好的信息风险的管理以及安全控制，并不是说一次性的工作，是需要你不断循环去做的。它是这样的历程，也就是你要不断的了解最新发展的态势，你要不断的根据最新的情况进行对自己的风险以及安全管理策略进行完善。下面我为大家介绍一个案例，介绍完之后业介绍一下RSA公司用哪些方式解决这些问题。
    在这个案例中是一个非常规模大的电信企业，它首先去了解企业中所存在的重要信息。通常对一家电信企业来说，它希望能够保护的重要信息的类型是如幻灯片上所列出来的。接下来就需要打造一个安全控制的架构，其中包含了很多最佳实践，这个案例下架构是基于ISO  27002。其中包括了很多非常细致的对于最佳实践的描述。接下来你就要发现这样的重要数据在什么地方，去评估它们的风险，再有要前后一致不断的进行控制的执行。所以下面我们再来总结一下我们要做哪几个步骤，首先要找到哪些是重要的、敏感、需要保护的信息，然后我们选择一个框架，能够统一全局的方式，在整个IT基础设施架构中去保护这些信息安全。然后我们要找到这些信息都贮存于IT基础设施的哪一个部分，然后对它们各自的风险级别进行评估。最后为了降低风险，我们去执行相应的控制措施。
    但大家注意到没有，目前为止还没有谈到法规制度。但做到以上四步，自然而然就可以做到所有法规的遵从。事实上大家可以看到，我们是从信息入手开始做工作的，而不是像以前从法规开始做。如果从信息着手开始做，我们可以节约金钱、时间。其实不同的法规要执行的控制都是可以复制的。其实这也是我今天想为大家所传达的信息的精髓所在。RSA已经准备好帮助大家来打造这样一个框架。
    首先我们有咨询方面的服务提供给你们，让你们做数据、风险的评估。我们为你们提供产品解决方案，帮你们把框架建立起来。还是一个框架的主要组件以及向对应的方案。大家看到相对RSA产品方案帮你们做这样的组件。所以总结一下，如果你从框架的方法出发，来做法规遵从、信息安全的保护的话，它能够为你带来很多利益。它能为你降低成本，帮你简化法规遵从的工作，并且可以为你做到更好的信息安全的保障以及风险管理。
    非常不幸，今天我发言的时间非常短，但是我非常高兴今天有机会在这里为大家做这样一次发言。我本人还有RSA在中国的团队都非常期待有机会与诸位并肩工作，非常感谢！
    
    主持人：谢谢亚瑟·W·科维洛先生精采的演讲，我们知道现在要做信息安全必须要符合木桶原理，做综合解决方案。东软在这方面提出了很好的想法，提出了平台化的方案，下面听听东软网络安全产品营销中心技术总监曹鹏，为我们讲解新一代信息安全解决方案的平台化特点。
    
    曹鹏：讲一个小插曲，我在上星期完成这份PPT的时候，有一些相关市场人员悄悄告诉我说曹鹏，为什么今年的你的演讲主题起的这么土的名字，好象让大家看起来一点新意也没有，也不引人入胜，就是一个简单的平台化。我开玩笑说，有多少人真正理解在信息安全世界里的平台化，这个平台指是什么？今天我希望尽我所能把什么是平台化以及在中国信息系统建设和信息安全发展的基础之上，平台化到底能给我们带来哪些我个人认为革命级的信息安全体验。
    信息安全发展在过去，从整个历程上看有20年，我们国内经过了十年飞速发展，但发展水平或者发展到今天感觉如何。去年奥运会信息安全保障工作让我看到了一些很有意思的现象。去年为了奥运会安全保障工作我走访很多单位甚至包含国有大的银行企业。这些单位我发现为了保证奥运会期间信息安全不要出问题会怎么做？宁愿5月份开始就把各个分支机构互联网连接出口段掉，把业务停掉，甚至断网的方式保证安全。当时我跟大家开玩笑，如果我们有自信的话，根本不需要断网的方式保证安全。这恰巧是今天做信息安全的最有意思的情况，我们对信息安全每年投入不遗余力，但回顾总结我们单位的保护信息安全如何的时候很多人不够自信。
    我看了很多书，包括IT云计算让我恍然大悟，从每次生产革命来看，信息化的革命、信息安全发展最多不过20多年。用这20多年的时间，我们如果希望把信息安全这个东西彻底做明白、达到很高的水平，正常发展角度来看，是不太可能的。所以信息安全发展历程来看，我个人认为说，今天信息安全的发展历程还处于非常初级的阶段。
    但从另外一个角度来讲，我们国家有十多亿人口的国家，今天我们在互联网网民数量甚至超过很多国家的全国人口数量。而信息化要求我们去开放，这是互联网为公众服务的基础。我前端时间参加发改委的项目答辩，很多省一级公安系统都上报项目，什么项目？为了更好的为公众服务，要把行政数据、人口数据以及相关的业务数据等等全部开放出来。但我们想，如果要开放这些数据，如果没有信息安全做保证，这是难以想象的。
    所以我提出很有意思的观点，但被很多主管认可了。我们设计上线一套信息系统允许它失败，可能有人讲有点夸张，但事实上就是这样。回想一下过去我们做很多信息系统建设、信息系统的改革，但有很多信息系统到最后没有发挥我们所想象的那种效果。但是我们在任何环境下都不允许信息系统出现信息安全的问题，如果说我们把干部名单丢掉了，如果把信息系统核心数据丢掉了，这种事件是不允许的。所以系统建成、上线，允许失败，但信息安全事故是不允许发生的。
    我们自己做信息安全或者自己做信息系统发展一定有我们国家的特色。在过去几年时间里，信息化发展飞速，我们用三年到五年时间，我们就赶上了大部分发达国家的信息系统建设历程。今天在座各位用的软硬件我相信不次于任何发达国家，但信息安全可以看到，大部分软件系统、IT基础设施很少有中国人自己开发的。信息化在过去几年，我们国内有一个比较有意思的方向，就是数据大集中方向的发展，可以很好的把数据做集成式管理，这是一个好处。但很多人看到了，数据大集中发展带来信息安全最重要的问题，就是人才，信息安全背后要靠人才支撑的。但今天数据集中了，集中到省一级、国家一级，优秀人才就不会留到地市一级了，因为他感觉职业生涯没有成就。所以数据大集中之后人才上层流失，下层优秀人才越来越少。面对这种改革，信息安全要做相应的调整。
    再比如双网结构改造，前段时间我做了世界上最大的投资公司和资金管理公司，我们中国一家网络公司的管理系统。做完了之后美国摩根大通、新加坡的淡马锡也介绍他们的经验，因为都做资金投资公司，那些老外专家把网络情况、系统建设的情况拿过来讲，双方一交流，我说我们这边的网络是两套，一套外网、一套是内网，之间还有数据传输、各种隔离需求，我讲了一下网络实际环境。老外一听傻了，他说为什么还有内外、政策性要求、法规。他发现他的安全建设体系和网络搭建模型拿到我们特殊的中国式的信息系统搭建环境下，尤其是双网是难以适应的。这也是中国的信息安全发展的最有意思的地方。
    同时在我们国内非常强调上下级的概念，尤其是传统的管理，但今天信息安全管理又要有一套自己的管理模式。如果按照ISO这套管理模式来讲的话，你会发现你要设定一个信息安全主管，可能是技术人员出身，但他发布的很多指令、管理要求是要求从上到下所有人员遵从的。而这种管理模式在我们国内政府甚至其他单位来讲，这两种管理模式是难以融合的。就是为什么很多信息安全维护人员说技术好做，管理难行。
    今天中国在我们自己国内做信息安全有很多我们自己的特色，面对这些自己的特色的时候，我就引出另外一个话题，就引出种种博弈。如果各位回想一下在过去几年时间里，你参与的信息安全项目，做起来可能有点累，为什么？有时候可能有甲方跟乙方、厂商跟集成商、下属和领导等等，有众多人员好象互相不太配合，好象大家对很多问题看法角度不太一样，所以就产生很多博弈，信息安全的项目很多人感觉做起来很累。我们把表象深看一层，为什么做起来很累，是因为缺少评价。很多人说你的安全项目买了这么多产品，到底解决多少问题？你的安全系统强度到底能强壮多少？你拒绝、阻止多少次攻击行为？在信息安全建设中，是最为确实的，确实了这种评价体系，对信息安全产业发展是有一点小灾难的。正因为上了很多入侵检测系统，有多少人能够坚持，不要说每天了，不要提上下午了，一周把入侵检测系统报告好好看一遍，把隐患找出来杜绝后面的威胁，很少很少，因为信息量太大了。正因为不去看、不去找系统的问题，作为厂商来讲，产品发展在这一块就不会有很大的改善。因为我们的用户方，我们的乙方没有提出很多改进的意见，因为他们没有评价体系，所以产品、产业发展也是比较缓慢。
    如果再往深来看，信息安全发展的历程里面，我们缺少一个真正的工具，将人、技术、管理和运维思想融合起来，以前人是人，技术是技术，制度是制度，制度是写好了锁在机房机柜里。人是单独管理模式，技术是产品叠加。没有一套动力将这三者融合起来。如果融合在一起，就提出了我的一个想法，就是平台化。平台化第一个来讲，就像圆桌会议一样，在信息安全发展里，很多人听过专人专职，但信息安全专人专职，五年前说这句话有积极意义。
    但今天还强调的话，今天你们单位信息安全问题就是小王你的事，小王一看这么多事情，那么多告警，处理不过来。所以这样的时候你发现信息安全很难做，圆桌会议是将所有问题手机上来，摆在一个平台上，让大家都看到这个问题。遵循信息安全人人参与、共同维护。让问题摆开，所有人都看到，只有所有人都看到的时候，才能督促具体的责任人处理，为什么？如果以前这个问题是小王的事，如果到下面学习了，半个月都没回来，这就是他的事情，本来一个很严重的问题只有他自己知道，对其他人是不负责任的。但当大家都知道了，大家对这个问题有敏感度，督促小王解决，让责任人处理。将分析结果及时汇总报告，以前很多分析结果是自己分析完就停留在技术人员水平上了，没有得到上层决策层的重视。经常都是领导问我们，那个问题解决怎样了，做一份报告给我，下面没有手段将这些问题的结果定期分析跟汇总上去。如果我们把定期分析结果汇总上去下一步就很少实现了，用真实有效的数据指导未来安全规划和建设。
    我在好几年前看到很多人做信息安全规划的时候，他们说现在市面上有什么成熟产品了，这个产品怎样，我们是不是可以买一套啊？是以产品成熟化为自己的导向的，而没有注意到真正的信息安全风险发生的问题，所以很多投入是有所偏差的。一个平台可以让理论转化为实践，为什么？因为人、技术、运维，当三者更好的结合在一起的时候，我们就发现制度不再是单纯的制度了，制度可以变成一种计算机的语言，把人、技术拉进来，让它们真正的动起来。所以信息安全利用平台，就强调信息安全先动手，再动嘴，我们实践的方法是先解决问题，再上升到理论，两者没有很好的结合。
    把这两者结合在一起，东软开发储两套平台，一个是流量分析管理平台和信息安全管理运维平台。它也是我今天看到在很多按照运维体系中最为缺失、需要的两套平台。流量平台，今天越来越多的数据集中，还有流量出口也要集中了，我走访很多信息安全负责人员，他们说我们全省数据集中了，流量集中之后就开始面临一个问题，所有的工作压力都转到他的地方来了。以前下面管理人员可能会分担一下，但所有的汇总都到你那里去了，我下面有终端就没有任务了。而信息安全配备的人员却没有增加，跟系统增加是不成比例的。这个环节下，如果构建一个工具，这个工具不再是单纯帮助一个人的工具了，是帮助所有人的工具。如帮助所有人的工具，第一点尽可能多的收集网络流量，把收集到的流量分门别类的排序好。
    比如江西南昌建行，下面还有十几个地市，把分析结果、各种告警信息分布到下面的十三个不同的分行里去，不同地市的管理员手上去。我能够把收集到的数据平台化战线，让每个人都参与，帮助所有人在这个平台上看到自己想要看到的数据。平台如果用这种方法，我们用一个工具，强调的是把所有人拉进来，让更多人关注信息安全。以前这句话只停留在口头上，很少有哪个工具或者哪个平台化工具把所有人拉进来。今天信息安全产品也做了变革，把事件收集、把人拉进来一起处理。
    过去网络流量分析中我们常用SNIFFER等两种技术，今天在骨干网的网络流量分析下，是没有办法做长时间的网络分析的。而我们的平台可以看到有哪些目的、走了哪些目的，这些流量中正常的流量有哪些、不正常的流量有哪些，还包括病毒各种攻击流量，面对这些流量可以开放帐号，每个地市管理人员跟自己是相关的，这个平台大大节省网络中运维中日常的管理沟通时间，让大家很高效的将网络流量管理做好。
    网络流量管理介绍完之后介绍第二个重点，就是安全运维管理平台。因为过去这段时间我走访很多用户，网络中每天上传的安全事件可能有的是告警、有的是审计结果，审计结果每天超过一百万条。结果是什么？很简单，谁也不会去看，把这一百万条放在那个地方，根本不可能看过来。不要说一个人了，如果配备一个团队的话可能需要一百个人看一万条都是很难实现的。所以我们遇到很大的一个瓶颈，网络规模大、安全系统越来越细致，产生大量告警信息，架构上比较容易，但管理分析上最难的运维上是一片空白。
    利用安全运维平台化的产品可以解决哪些问题呢？第一不要让一个人在信息安全管理中承担过多的角色，还是避免专员专职。避免一个人成为安全事件处理的瓶颈，要实现大家一起参与，把大量事件收集好，展现给所有人。一个单位里有多少懂技术的运维人员呢？15个人差不多了，一万个事件给这15个人是处理不过来的。这种平台不是简单的收集、发放，应该是收集，利用高效关联技术将信息进行大量关联，每天只把重要的事情，最需要处理的事情展现出来，这就是平台第二个好处。第三能够将传统的模型运转起来，而不是像以前只停留在纸面上。利用这种安全运维管理平台，可以很好将网络资产、威胁、事件三者关联一起，进行非常直观的风险展示，按照不同风险推送给不同人员，让大家真正关注、了解信息安全的水平，后面通过丰富报表等等可以更好的把信息安全做好。
    在今天最后的结尾，我不用厂商的惯用的话结尾，我想讲去年一个非常难得的事件作为结尾。我做信息安全马上就做到第一个十年了，我过去走访很多单位，最近两年好了，头两年有很多人置疑我们，说中国人自己做信息安全怎样？是不是可以做过老外的产品。在过去几年，我一直特别缺乏有利的证据真正证明中国自己做信息安全做的非常出色，今天是09年，我讲08年奥运会，我个人来说是职业生涯中值得纪念和会议的。因为08年奥运会信息安全保障工作让全世界人看到了，可以高水平的做好自己的信息安全。我讲一个例外话题，整个奥运会的信息系统架构和集成工作中国人参与并不多，但出了一些小事件。
    比如说奥运的票，是先到先得，我们都可以想象的到，票务网是先到先得，所以瞬间宕机了。这些问题是有一些的，但奥运会的信息安全保障工作，大到安全监管、应急相应、渗透测试小到螺丝钉，都完全是中国人自己做的，这非常难得。后来伦敦学习北京的经验，他最后总结什么？没有说信息系统、票务网做的多么先进，他说，中国人自己做的奥运会的信息安全保障工作伦敦人非常羡慕，但很抱歉，我们英国人永远学不了，为什么？那个地方正在搞经济危机，没有哪些厂商愿意像中国厂商那么大的热情，甚至无偿的一起投入到里面来，投入那么多人力物力，帮助你们国家把信息安全做好。我们那个地方都要签合同的，我很羡慕你们中国人可以把信息安全做到这个程度。了不起吧，08年奥运会，总结我们成功经验的时候，是别人羡慕的，别人都学不了的，我真是非常高兴。
    08年奥运会很好的向世界证明了中国人有能力、信心把我们自己的信息安全做好。为什么做自己的？因为今天我们看到太多境外软件存有后门，我们更多注意到很多信息安全中，是有政治因素在里面的，如果有人了解都知道，香港、澳门回归中国之后有一些国家，把出口到香港、澳门的秘级向下调整了一级，使得中国人自己把自己的信息安全做好。我们坚持着做中国人自己的信息安全产品，我们希望在未来时间里，跟未来的更长的发展里，为我们的国家、用户提供更多、更优秀的带有中国人智慧的，我们自己的安全产品。
    
    主持人：下面让我们听听联想网御科技（北京）有限公司助理总裁马虔为我们做，以信息技术支撑法规遵循的演讲。
    
    马虔：尊敬的各位来宾上午好，我是联想网御马虔，很荣幸在这里向大家介绍沟通分享联想网御在信息安全领域所做的工作以及发展。
    今天我向各位汇报的主题是“以信息技术支撑法规遵循”，实际上主要介绍的是联想网御IT内控解决方案。这个支撑法规遵循除了一系列颁布的信息安全法规以外，今年由财政部、审计署等五个部委前头颁布的中国企业内控的基本规范。
    在我具体阐述汇报的内容之前，我想先谈两个跟这个并不是很相关的话题，各位可以看到目录里重点在讲内部控制，为什么强调内控？首先谈一个影片，名字叫《世界末日》，讲的是陨石将要撞击地球，而那个陨石之大，是地球通过核武器也不能摧毁的。最后一批天才派遣了两个石油钻探队，降落到陨石上，在内部钻两个大洞，把核武器放进去，从而使得陨石改变轨迹不会撞击到地球上来。这个影片反映出一个问题，很多东西从外部来看是坚不可摧的，但一旦找到内部的风险或者瑕疵，可以很轻易的瓦解它。
    换句话说，我们再来看一个影视剧作品，今年上半年问大家央视收视率最高的连续剧是什么，大家可能会毫无疑问讲出来《潜伏》，潜伏讲的是什么？是从组织架构上看内部有什么问题。当国民党和共产党做内战的时候，潜伏通过大量地下组织深入敌人内部中，从而有效的获取了大量的信息，找到敌人的致命弱点，可以说兵不血刃获取很多城市的解放。比如潜伏里天津站站长讲到长春、沈阳都很快失守，整个军、师装备不见了，总结出一句话，一定有人从内部策反。这从另一个角度阐述了内部组织架构或者制度方面如果存在致命缺陷，那比外部作战威胁大的多，轻易造成整个体系的瓦解。所以风险对于内部而言，更加重要、更加紧迫。这隐身了我们今天谈到的企业内控应该怎么做。
    今天是信息化大会，我们IT内控又如何实现，如何通过IT技术手段支撑法规遵循。我们先来看，要讲IT内控来看问题和挑战。中国在颁布基本规范的时候，相应的法律法规基本都是最开始是源自于国外，从92年美国的机构组织了一个机构，提交了一份报告，叫内部控制整体框架。这个报告在94年进行增补，明确定义了内部控制的基本内容和要素。
    它里面讲到主要关注的内部控制关注三个方面，第一企业的营运效果和效率，第二财务报表可靠性，第三相关法令的遵循。这个报告第一次明确了内部控制，目的是规范企业经营活动，确保你的经营合同合法、财务数据交易是可靠真实的。有了这样的法规依法管理是不是就天下太平了，恐怕不尽然。在94年增补完内容之后，我们来看2001年、2002年是令美国企业界难忘的一年，发生了一系列的重大案件，伴随着高官入狱以及顶尖企业的哄然倒塌。01年世通公司被曝财务舞弊，涉及金额110亿美元，这个通信巨头破产，总裁被判入狱25年。安然这个能源巨头又曝财务作假，最后也被迫破产，CEO被判入狱24年，负责对它做财务审计的安达信也最终被判罚。
    这影响了政府出台了更为严厉的萨班斯法案，目的有以下几个方面，重建公司信誉、培养公众信息。更加具体落实的是加强公司的监管、规范业务运作。第二增加财务报告与信息披露透明度。第三确保公司管理层从有效监控的系统中获取重要信息。以前报告主要面向会计的，但决策层拿不到准确的信息而导致他也受到牵连，导致整个公司决策事务，最后CEO、CFO都锒铛入狱了。
    刚刚讲的萨班斯法案都是国外的，那么今天五个部位联合颁布的内控基本规范被业界誉为中国萨班斯法案，在中国是不是同样有大公司的舞弊事件呢？当然存在。我们来看上市公司里，我相信在座各位有不少是股民。曾经有人讲最闹心的经济活动是什么？是投资股市，最最闹心的经济活动是什么？是投资中国股市。有人开这种玩笑，为什么有这种玩笑呢？我们有深刻的教训。以前大家记得“银广厦事件”，也是因为大量虚假数据造成了企业的轰然倒塌。可见这些东西不分国界，在国外有，在中国也会有。为什么？企业追求利润最大化会导致它不惜冒险，所以需要法规法令来约束这些企业的行为，仅仅靠道德是不够的，仅仅靠人也不够。
    所以我们国家在内控控制发展方面也起步很早，最早也是基于一系列的会计制度的角度出发，重点审查财务部门的问题。01年的时候财政部陆续发布内部会计制度规范，直到今年6月28号财政部、证监会、审计署、银监会、保监会发布了重要的企业内部控制基本规范。这个基本规范里表面看大量集中在会计上，但由于今天企业会计电算化的执行和信息化已经是密不可分了，所以这里一定重点考虑IT内控该怎么实现。如果IT内控实现不了，实现会计内控基本是不可行的，因为我们企业早期就实行了会计电算化执行。
    企业内控重要性从刚才的事件中不言而喻，反无比是加强内部控制的需求，财务舞弊对企业带来的是灭顶之灾。为什么做舞弊，因为市场经济越发展，企业追求利益的愿望更加迫切。这时候内控变得更为重要，核心是什么呢？是要规避风险，你只有加强风险管理才能实现安全运营，这是企业内部控制的重要性。
    我们来看基本规范里对IT内控的要求，整个企业内控包括财务、采购、成本、交付、子公司、工程项目等等一系列的方方面面的规则。由于中国企业有大量信息化支撑企业运营，包括各种应用系统、财务系统、ERP系统、客户管理系统等等。如果你想控制好这些系统的内控，必须先解决好IT内控，IT内控解决不光从技术上解决，还要从制度、从人等各个方面解决。所以要解决好计算机信息系统的IT内控，才有基础决定整个企业内控能不能做到位，这是我们理解IT内控对企业内控的核心价值。
    我们看中国企业在IT内控面临什么样的挑战？首先来看它从外部要求和内部需求来看，外部要求包括监管部门，如果是上市公司，中小股东、股民，这些外部要求需要公开、透明、合法的环境知道这个企业有没有价值让我安全的对你进行投资。从内部更需要规避，刚才案例里充分表明了，内部如果不控制好，最后受牵连的可能是你的CEO、CFO，包括牵引出一系列的人员问题。所以不管外部也好内部也好，都有强烈的要求说企业内部必须做好IT内控。
    IT内控要做什么？要做哪几个方面才能实现以上的目标呢？我们认为主要包括几个方面，第一权责的正确分配，第二IT基础设施可靠，第三保证财务系统安全以及审计监督。这里基础是IT基础设施，这是所有信息化的基础平台，包括网络设施、终端设施，在信息化平台之上运行的是什么，对应的是应用系统。像ERP系统、财务系统、CRM系统、生产系统这些都是应用系统是在信息化平台上跑的，保证应用系统的可靠。应用系统可靠除了应用组件的可靠之外还有一个关键问题是权责分配是不是合理？这在国内是很重要的问题，有很多东西是因为权责不当造成的致命缺陷，并不是信息化OK就合理了。
    这里看到有一些例子，比如说去年汶川大地震的时候央视搞的筹办善款晚会上，天津钢铁的一个老总，捐款5千万之后自己当场宣布追加投资5千万，这是一个善举，我们为之感动。但反过来想想，你的制度是不是存在问题，不管你是一把手还是创始人，你可以在没有经过任何流程监管中就追加5千万投资，是不是合乎规范要求？或许他有他的道理，但从内控的角度，这是一个风险点，一把手可以随意支出5千万投资啊。
    曾经也有一个能源公司一把手被抓了，原因也是很简单，他可以大笔一挥批出两个亿资金，这是什么？权责不当，缺少监督审计遭到的。所以我们总结来看会包括这几个方面要严格考虑。
    我们来看IT内控依据什么原理来做？要想搞IT内控要看企业内控有什么要求。从企业内控角度看，我们设计一个控制模型，控制类别有经营活动、财务报告、合法合规，合法合规是最低原则，就是说符合法律法规是最基准的。并不是表示你多先进了，如果这个做不到是不能在市场上生存的。然后这个基础之上，要有合法的经营活动、确保财务是真实有效、稳健的。
    要想对这三个类别把握住五个基本控制要素，内部监督、信息沟通、控制活动、风险评估、内部环境，五个要素决定了企业内控能否做到合法合规。对应下来，IT内控又怎么做呢？我们稍微划分一下，可以得出个主要IT资源类型，第一基础设施，这是你的基础，在这个基础平台上跑的各种应用系统对应你的业务流程、管理流程。第三部分，业务流程本身是否合理，业务流程过程是否安全决定你的业务运转是否正常，这是IT主要内控资源。打一个恰当的比喻，相当于高速公路、汽车和人，在这里面我们做IT内控这些资源达到什么要求？是要遵循IT内控要求的基本属性，包括稳定高效、法规符合、业务连续、安全可靠。
    如何才能达到这些属性呢？我们看控制哪几个关键点就可以达到这种要求，我们认为有五个方面，角色管理与授权审批这是权责分配。还有信息资源访问控制、系统开发变更维护、硬件基础设施、财务相关应用。这五个方面做好了，可以确保IT资产达到IT内控基本安全属性要求。
    我们把IT内控基本要素进行进一步的具体化，其中有IT基础设施、应用系统、业务流程，每一个对应的内容块里有一系列要控制的基本要素，比如IT基础设施主要针对硬件、系统开发这些方面，包括网络资源访问控制做IT内控。然后它对于角色管理、授权审批停留在低层次上的，比如准入控制，这是基于身份的控制。到了应用系统会更为关注系统开发的变更、维护以及财务的应用系统控制还有对这些应用资源、数据资源的访问受控，还有角色管理、财务审批。到了业务流程，还要考虑业务流程过程安全以及业务流程本身是否合理。
    我们明白了原理要求之后具体该怎么做呢，我们谈到了首先是角色管理与权限审批以及你可以访问什么样的资源，如果这个地方出现问题的话IT内控是谈不上的。在这里，我们提出权限管理安全解决方案。再往下是应用系统，系统开发、变更、维护以及财务系统控制，相对应的是关键应用解决方案。
    第三部分是硬件及其他配套基础设施，这是大家相对做的比较好的部分，采取必要的内控和防护。整个都好了是不是OK了？不是，还有整个过程的监督和审计，确保每个过程都是正常的，还有审计监督的解决方案。以上这四个方面构成了IT内控解决方案的要素。
    先看第一个权限管理，联想网御提出的权限管理，我们认为原来的权限管理更多基于身份，就是你是什么人可以做什么，但在今天IT内控要求里，其实要基于角色。打个比方，如果打联想的工牌可以进联想大厦，这表明我的身份，是一个准入控制。但我是不是能进研发中心、财务部门，要看我的角色，这就要有更细力度，所以联想网御全县管理解决方案是基于角色的。第一IT内控咨询服务，这里很多东西不是靠新技术可以支撑的，我这个人赋予什么权利、责任是组织分配给我的，并不是技术，所以要通过内控咨询服务了解你的机构层面、部门层面、组织架构、人员岗位、审批流程是否合理，由这些东西才决定了你能进入信息系统有什么权限。在这里把组织架构拉到第一位，有些人认为组织架构太虚了，其实这是制高点。打一个比喻，美国总统权力够大吧，还有国会制约他，这是组织架构赋予你的权利。所以组织架构是最重要的，是靠资源服务、人员、制度法规帮你梳理。当你完成了认为的权利之后，剩下靠信息技术支撑，要靠安全审计系统，我们的安全审计系统不仅仅有审计，还包括了准入权限的控制和应用权限的控制和审计的控制，帮我们实现更细力度的权限操作系统。在做所有准入权限操纵的时候还可以对过程进行监督，核心是基于角色的，要把它进行更细力度的权限绑定，而不是基于身份的。
    下一个是基础平台解决方案，这很容易，大量的做法都是对基础设施比较重视，网络安全怎么防护、信息系统平台怎么防护。这里我不想强调别的，联想网御的基础平台解决方案特点是强调主机、终端、网络安全了是不是基础平台安全了？最薄弱的地方是在衔接的地方，如果有一个地方是三不管的地带这个地方是治安最差的。衔接地区有没有考虑到这是一个短版，我们的解决方案里，除了入侵防御保护主机系统等等，我们还要强调内网的管理系统要和网管安全设备进行联动防护，把界限打破，不要形成三不管地带。
    第三个是关键应用解决方案，我们谈到安全防护的核心是我们的应用系统，因为它对应业务流程，在这个里头，我们强调的特点是除了做系统建立控制使用的时候，要做一系列的应用评估、安全巡检、应急监控等等之外，我们还要看怎么保护应用组件。传统上大家考虑应用的服务器安全不安全、中间件安全不安全等等，但忽略了一点，过程谁来监管？我们这里有一个应用安全监控，基于正常应用的模型，看你的应用过程是否跟模型一致，如果不一致就会报警，分析是哪个环节出现问题。比如奥运门户网站卖票服务器，发现所有组建正常，但响应时间变慢了，因为流量增加了，是过程出现了问题。正常应用模型可能一秒钟响应，但现实过程中是三秒钟才响应，这就给你提前预警，应用出现问题了。
    我们在源代码审计方面还要检查你的流程是否合理，是不是要经理这几个步骤、这几个部门，这是企业经常忽略的。东方刚才谈到的比如你做采购的时候，有甲方、乙方的冲突，有财务人员的冲突，他说缺乏评估机制。在这里我表达不一样意见，我认为是流程设计和权限分配上出现失误。因为你的权责没有分配到位，财务部门应该看哪部分，项目经理看哪部分。你的流程错了，不影响每个流程让落有人员参与进来，所以造成了冲突。除了应用组件，还要关心流程本身是否合理以及流程过程是否安全。
    最后一个是审计监督解决方案，这里除了日常谈到的日志管理和安全审计之外，我们强调的是把统一安全管理平台纳入进来。如果你不能通过集中平台搜集到各个信息系统组件的相关运转信息，你很难判断一个重大危机的关联。这个服务器占用率高了，为什么占用率高了，可能是某个服务器给你发起了攻击。
    好，我们接下来回顾一下我们IT内控解决方案包括四个方案，第一以角色为本的权限管理解决方案，第二强调关联防护避免安全孤岛的基础设施解决方案，第三强调应用过程流程是否合理的关键应用解决方案以及强调集中管理和审计向融合的安全审计解决方案。
    如果我们实现了这一切能带来什么？联想网御解决方案从基础设施到应用系统乃至整个业务流程三方面梳理，最终实现清晰的权责控制，稳健的基础设施，还有安全的财务系统第四是全面的审计监督，这样做才能基本上符合基本规范要求的IT内控的法规要求。这是我们这个方案能够帮助企业实现的最大价值。我的介绍就到这里，谢谢各位。
    
    主持人：大家都知道等级保护一直是长盛不衰的话题，下面请北京天融信网络安全技术有限公司方案总监杜旭辉先生为我们演讲。他主要讲的是整合提升能力、落实等保。
    
    杜旭辉：各位尊敬的领导、专家，大家上午好，非常容幸有这样的机会能够把天融信公司在近几年，安全建设、整个工作能力建设方面的想法，结合国家的等级保护相关政策要求的考虑跟大家做一个分享和交流。
    今天我演讲的题目是整合提升能力、落实等保，我们知道跟刚才主持人讲的，等级保护是这几年国家在信息安全建设方面长盛不衰的话题，大家都在讲等保。我们的用户也在讲等保，用户最关心什么问题呢？最关心等保怎么落地、怎么建设的问题。怎么去建设这是很复杂的话题，我今天不可能讲的很透彻，我们所讲的是什么呢？重点是天融信公司为了落实、实现等级保护的落地我们准备怎么做，我们现在在进行着什么储备。实际上我今天核心话题只有一个，就是“整合”两个字。
    说到整合两个字，我们来谈两个话题，我们为什么要谈整合，整合不仅仅在IT领域里，或者在各个领域里都谈到整合这个题目。我们说整合是大势所趋，第二个话题我们要谈的是到底如何整合。
    说大势所趋第一从安全状态来看，现在安全形势非常严峻，后果非常严重的。我们面临的挑战也是非常严酷的，既有外部攻击的威胁，也有内部攻击问题，还有内部操作、合规性问题，这一系列的问题都是非常复杂的，我们面临的环境是非常复杂的。我们分享几个案例，就是阿根廷总统个人税号被人窃取。第二个是政府丢失了公众保密资料，事件起因是因为公务员把光盘做了邮政处理，这个光盘有大量的涉及公众利益的，社保的光盘。反映的问题是什么呢，过失的操作行为引起的风险。还有希腊总统手机被监听等等事件，我们讲安全有威胁、有风险，安全的风险导致了用户资产的损失、用户民意损失，但这些案例可以看出，安全威胁影响社会个体到蔓延到社会整体甚至威胁到国家利益。
    从北京奥运的保障证明，信息安全的对抗是国家层面对抗，我们去年在奥运总结经验的时候领导讲，北京奥运信息安全保障成功是全民的成功，因为北京奥运信息安全保障是一场人民战争，信息安全对抗也就上升到国家层面了。对抗安全威胁从根本上来讲是安全能力的对抗，就是说不管是供给者更有能力还是防护者更有能力，根本是什么呢？根本要求的是安全能力的建设，我们要有这样的能力应对风险，我们有这样的能力进行内控、评价、分析、监控，这是能力的问题。正因为能力是安全建设最核心的问题，我们说怎么提升能力呢？从长商的层面来看，提升能力更多的体现在通过整合。
    我们再来看当前说有这么多问题，我们天融信认为，当前信息安全建设普遍存在这个问题，首先是经费问题，信息安全的规划、设计是一个长期的，但由于经费问题导致了是阶段性建设。但是信息技术和攻防技术以及对信息技术的理解又是不断发展变化的。可能三年前考虑的措施是过时的。另外正因为技术不断的发展，我们做一次规划做三年，三年之内不断变化，最好的变化只能是碰到问题解决问题是头痛医头、脚痛医脚。如果没有前瞻性的基于能力的规划、设计，以及前瞻性的说能力应该往哪方面走的情况下，我们怎么办呢？只能是体系化建设，落后于安全的新模式、新理念。归根到底还是一个，我们必须要提高对未来信息的预知，能力通过现在的方式来整合。
    从国家政策来看，在“十一五”里也提出8+2的要求，提出几个方面的问题。其实在国家政策里，我们可以看出，如何通过整合提升能力的影子。首先来看要进行全面的网络安全状态的知晓与控制，就是对网络活动进行有效的监控，对网络异常行为进行有效的评判，我要对异常行为进行有效的反映，这就意味着基于事件的整合，发现这些问题、对这些问题采取措施。第二基本安全机制体系的建立与互联互通，互联互通本身也是一种能力，这种能力怎么能达到互联互通呢？现在看到的技术有壁垒，如何大同互联互通呢，这需要整合技术，因为只有整合之后，才有可能做到技术与技术的互联互通。还有一套完整的工具作为支撑体系，这也意味着把这套完整的支撑体系作为网络安全保障的平台，这也意味着另外一个层面的整合，基础平台与网络防护体系、信息业务的整合。形成相对完整的安全服务应急队伍，应急队伍是提供服务的，也就是说通过服务来保障技术所不能达到的，或者技术在监控力度不足的，这也意味着要把人和事件、防护技术、防护措施整合。还有面对全面的安全监控体系自主的安全产业支撑，意味着更大层面的整合，意味着安全厂商跟国家主管部门的能力的整合，这也是一个整合。
    说到底，在国家政策上，它提出这些要求，我们怎么做到这些要求呢？通过充分的整合，一个是产业层面的整合，一个是技术层面的整合。我们说奥运经验给我们的启示有六点，第一花钱是解决问题不是买产品。建立安全保障体系是为了解决问题，是为了保障业务、应用。根据问题整合相关技术、服务，解决问题。第二管理和服务除了有技术，必须有管理手段、服务手段进行有效保障，另外还要有自主业务力量的支撑。因为奥运保障是人民的战争，是一场中国人做的信息安全保障的非常好的案例。还有一个企业能力和体系建设要具备可管理性，还有多视角、多企业的配合，因为面对大型赛事的时候，不可能一个厂商做事情，也不可能一直队伍做事情，是多渠道协调来打赢的战争。通过奥运我们说，对于天融信来讲，我们积累了经验，锻炼了队伍，支撑了产业，更重要的是我们看清了方向，就是整合方向。
    从等级保护来看，作为政策标准，给做信息安全保障建设提供了依据。这种依据需要广泛技术合作，随后所带来的就是产业联盟，这种产业联盟也就意味着产业之间的整合。通过产业合作、主管部门、技术支撑单位在等级保护的各个阶段的相互配合、协同、协作来完成等级保护要求各个环节的建设，成功实施等级保护，这需要产业层面的整合。接下来讲天融信是怎么考虑整合的，我们整合给用户带来什么价值。
    首先整合提升能力，我们知道能力很多，我们总结一下对安全方面的能力主要要求是三个方面，包括第一是防护能力，我们要防的住，就是不该进来的进不来，进来了拿不走，拿走了看不懂。第二监控能力，网络中所有活动都要有监控措施，包括内审内控、评价体系这都是监控层面的。第三个是保障能力，如果系统跨了，可以很好的恢复，可以很好的支撑我的业务，只要我的业务要求在多长时间内在遭受到打击之后多少时间内快速恢复。实际上整合是面向能力的整合，比如天融信公司最强的是防护能力，我们考虑的是三种能力并行的，而且在安全运行过程中是随着需求不断变化、随着信息化不断发展是有所变化的，我们如何提供真正的为用户解决问题的方案呢，肯定是整合这三大能力。等保提出这样的模型，根据业务重要程度，作为保障的系统有一个保障能力，它的保障强度要符合它的要求应达到的等级，我们看作为保障能力方面，我们肯定从策略、技术、运行、组织方面进行考虑。这种通盘考虑也是提出能力的要求，我们如何制订完善策略、如何在技术上进行有效保障，如何在运行阶段进行监控，如何在组织上搭建完善的组织体系，需要的是什么呢？需要的是能力，监控、防护、保障的能力。
    再来看整合，天融信在很久之前就已经在做整合，我们提出了作为防护能力最典型的技术防火墙技术和作为监控技术最典型的技术入侵监控技术是相互联动起来的，当我监控的时候跟防火墙联动，这是最早提出来的，当时不叫整合，叫联动。这是基础防护层整合，还有防病毒和防火墙的联动、审计跟放火墙联动，这种联动实现的是不同防护技术，相互之间通过通讯、相互的联动来达到配合协同作战的目的。
    我们知道每一个技术都有一个监控平台，防护有防护监控平台，加密有加密的监控平台。总体监管平台是以资产、安全事件、业务应用为核心。通过安全监控管理系统的更深层次的管理来实现安全保障层的整合，安全保障层的整合是以资产、业务、安全事件分析为对象的一个全面的深层次整合。进行关联分析之后告诉你这个网络里真正发生了什么安全风险、安全事件，到最后通过人的整合实现了等级保护的策略。
    所以说从这个角度来看，等级保护提出的是从上往下的，提出一个策略体系，分解到每个层面上，提出对这个层面的深度整合需求。用户需求角度来看，单一产品整合到管理平台整合，到监控技术的整合，到关联应用的整合。最终我们通过整合，形成了技术的整合，促进了、提升了整个信息系统防护能力。在技术整合基础上，又要做系统整合，促进了监控能力。另外我们希望促成一个产业链的整合，我们就提升了保障能力，从国家政策、用户需求拉动都要求这几个层次全面的整合。
    说完整合，整合是我们的方向、目标，我们天融信公司围绕整合提出了一系列的能力保障体系，我们把用户的网络环境分为用户、数据、基础网络。我们首先从用户的角度上实现了集中的认证、授权、访问控制。从数据的角度上着重以数据保护为核心，整合相关的数据存储、数据加密、数据完整性保障的技术，从计算环境角度上是动态立即结构化防护，整合相关的技术，还有行为控制、内容控制，有了这三方面用户层面、数据层面、计算环境方面的体系之后，紧接着在这个程度上提出了安全管理的平台。这个平台包括用户、网络计算环境、数据，通过各个阶段技术的整合，实现了以整合为核心的基于等保的整合方案。我们也提出了以整合为核心的安全体系架构、保障框架，保障框架包括有技术整合、管理整合，技术整合包括有鉴别认证、访问控制、监控审计、内容安全、冗余恢复，也包括管理的角度组织、策略等等。
    天融信通过一系列的整合，具备了这样的能力以后，用相应的能力为用户搭建这样一个体系，基于技术、管理的体系有效保障用户的信息安全。基于整合我们已经形成了一系列的解决方案，如果感兴趣会后也可以进行交流。因为要做安全，所以安全提出的是对能力的要求，我们如何提供这样的能力呢，天融信统过两个字，就是整合，谢谢大家！
    
    主持人：大家不知道在信息安全里面有唯一的一部法律是《电子签名法》经过4年的发展，我们也应用的很广泛了。下面有请中科院信息安全实验室副主任荆继武教授为我们讲演电子签名技术的应用与挑战。
    
    荆继武：非常感谢大会给我的机会。我讲这几个方面，刚才听了大家讲有很多收获和问题，比如联想提到基于角色的访问控制，在96年国际标准，现在中国推这个是不是和适宜。加上入侵检测系统那么多信息都是垃圾让我们看，现在是不是建立一个平台把这些垃圾发给全国人民让他们看看。
    我今天讲四点，第一个是讲电子签名，我们觉得很多地方为什么没有交流，我们的概念可能不一样，刚才说的都是对的，只不过我的概念跟你的概念可能不一样，我们谈到电子签名法的时候，什么是电子签名，这个电子签名定义是美国法律的定义，电子签名就是一个人愿意签一个记录，并使之生效被采纳的情况下，首先这个人有这个愿望。然后在一份电子记录或者合同上附加了一个声音符号或者一个过程，这个东西就是电子签名。所以电子签名很简单，举个例子，比如文件传真，把手写签名发出去就代表你签名了，电子传真是电子信号，走到网上就代表了你的签名。美国是一个信用社会，我们还不是，因为太能假冒了，所以中国的电子签名法里提出了四条要求，叫可靠的电子签名。第一叫电子签名制作数据用于电子签名时，属于电子签名人专有。第二条电子签名有一个制作数据，必须是你自己专有的，别人不能有。也就是说如果你签名给我，数据不能给我，只能把签名结果给我，这显然是比较复杂的过程。第二个要求签字的时候电子签名制作数据仅由电子签名人控制。就像笔是你控制的，别人控制住也不行。后面两个条件是说签字后对电子签名的任何改动都能够被发现，这个要求非常高，必须用完整性的保护，比如有密码的保护，你改一个比特都会被发现。另外签字后对数据电文内容的形式的任何改动都能被发现，文章内容的改动我也可以认证出来，这就要保证没有任何人可以伪造签名。
    我们说目前为止从理论上讲，唯一符合中国电子签名法可靠电子签名的技术只有一种，就是数字签名，数字签名是电子签名的一种。我们看看Midie网站，数字签名就是非对称的密码，包括三个步骤，第一生成两个密钥，第二是一个签名算法，另外叫验证算法。我想说起来可能比较复杂，这是一个图式，这就不介绍了，这是完成电子签名的示意图。我们说对数字签名有两个部分，左边是签名人的，右边的部分是验证者，可以把公钥给验证人。公钥可以推到私钥，但私钥不能推到公钥，这个理论简单解释是基于一个数学难题，单向陷门函数。最后效果就是让你知其然而不知其所以然。
    电子签名有很多应用，实际上是三个大用处，一个是身份鉴别，数字签名我知道你的公钥，久可以网上认证你是不是你。如果有人号称是你，就让你签个名，如果我验证是你那就行了。用电子签名的技术或者数字签名技术做网上身份认证。另外只有您有您的私钥，没有人能假冒您签名。有了数字签名还不能解决所有安全问题，举个例子，今天我把公钥给你，明天我告诉你那不是我的公钥，我签了我不承认。第二有人发了一个公钥给你，你怎么知道就是他的呢？在这样的环境下，有一个技术叫PKI技术，是解决公钥到底是谁的，主要是证明公钥是谁的，非常简单，证明方式怎么证明，就是电子认证，我也给你签个名说这个签名是张三的。这时候解决了大范围下的公钥信息交流问题，但你又问我，谁来告诉我CA的公钥呢？政府或者是上帝的推动力。这是PKI的证书申请流程。
    有人提这个问题给我，电子签名、数字签名和信息安全有什么关系，我们说信息安全是我们的需求，我们需要真实性、保密性、完整性、可用性、不可否认性。数字签名用技术手段，保证我们的真实性，你是不是你啊？发个信息给你，知道真的是你。我可以保证我的完整性和不可否认，电子签名只是信息安全很小的一种技术手段。那数字签名与PKI有什么关系？数字签名是PKI的一个功能，PKI是利用数字签名服务，加密、身份鉴别、完整性等等，还可以帮用户完成电子合同的签署、电子网站的辨认、电子代码安全下载、电子版权保护等等。
    我们说电子签名发展到今天，因为了有关了PKI的大力支持，所以才有上百万的Web服务器管理，另外也支持了上亿人的电子交易，SSL证书认证，另外还有上亿人网络身份认证和百万的网上银行。另外我们有上百万企业网络报税、交税都用了了电子签名的系统，微软所有的代码更新控制都用了PKI，还有上亿系统的代码更新控制和上亿系统的版权保护，电子签名依旧面临很多挑战。
    我举两个例子，本来我们支付300元，输入进去之后黑客给我改成了一万，送到USB签名，这时候我就签了1千块钱，这时候算不算有效的电子签名呢？另外我权威的发布一个信息，有一个黑客来了，直接把这个信息丢给用户。我们有了数字证书，假冒网站就不行啊，他们会用SSL认证，保证你不可能假冒我的网站，但黑客可以通过供给服务器，直接把服务器内容换掉，或者让你提交的信息是假信息，光有电子签名还不能解决问题，另外可以产生假文件，让你把它输进去，放到网上。技术和管理流程也会导致电子签名如同虚设，再看一个数字证书签发问题，一般情况下，数字签发非常严格，领导讨论统一，本局领导批准人事部批准，根据个人文化录入、审核、安全签发证书，如果来一个黑客，提交给你签名证书CA不就是假的证书吗？光靠数字签名还不行，我们还有很多挑战。
    但我们也有机遇，世界PKI水平都不高，包括韩国、日本、澳大利亚等国家，PKI水平很差很差。另外我们拥有巨大的市场，而且PKI是唯一合法的电子签名技术，也适合中国国情，所以我们会有很好的前景，我觉得我们在CA也逐步规范，对CA企业来说有很好的前景，谢谢大家。
    
    主持人：谢谢荆教授很风趣的演讲，现在到我们的高峰对话的环节，我们有请华夏银行副首席信息官兼信息技术部总经理和大集中办公室主任张胜、中国移动通信集团公司网络部网络安全处副经理周智、东软网络安全产品营销中心技术总监曹鹏、联想网御科技（北京）有限公司总裁兼总工程师毕学尧、北京天融信网络安全技术有限公司方案总监刘辉，RSA，EMC信息安全事业部大中华区总经理江永清。我把话筒较给我们的孙总编！
    
    孙定：欢迎各位嘉宾，其实在安全领域有趣的和大家关注的话题和问题还是相当多的。今天的对话是用户和厂商两方面高层都在。首先请问华夏银行张主任和中移动的周经理，你们都是我们国家重要的信息系统，关系到国民经济、国家安全、社会安全稳定，关系到很大经济体运作的。我问一个问题，你们最近对安全问题，结合你们的工作，你们都关注什么问题？你们觉得现在面对的安全方面最突出的挑战是什么？
        
    周智：应该说中国移动作为电信运营企业三家之一，长期以来在安全方面投入大量精力，无论是管理层还是具体的操作层面来说，我是从操作层面来的。上午几位嘉宾都讲到几个问题，对我们来讲深切感受，第一作为挑战是国家政策层面现在要求越来越严格，包括出现的各种合规的要求。另外来讲，中科院的教授提到一个问题，中国黑客太多，实际上我理解可能不完全，补充一下除了黑客就是经济利益链条确实太庞大。这里形成一个完整的利益链条，对运营企业、用户来讲都产生了极大的冲击，这是我最大的挑战。另外电信运营企业相对一般的厂家来说有几个特点，网络规模大、人员多，中国移动几十万员工，这里很多人都跟安全有关系，怎么贯彻下去是很难的工作，再有长期投入方面还面临巨大的挑战。
    总的解决方案来说，我理解就是中国移动有一个运维方面总的集化原则，集中化、标准化、信息化，还有经营化。集中化的原则就是网络规模大要解决问题不能采用传统的分系统建设的模式。标准化为了统一步调，几十万员工做好安全必须统一标准。信息化可能理解不一样，但是理论上是一致的。就是安全管理工作需要手段支撑，因为员工很多，所以要有手段支撑。经营化是建立一支安全队伍，但别指望着十几年之内很多人都懂，我们需要找一部分人员把他们的知识抽取下来形成工具，作为后台无声的支撑，达到全网协调的工作机制。
    
    张胜：我们感觉我们面临的安全压力越来越大，来自于几个方面。第一方面我认为是国产化的问题，第二是标准化的问题，第三才是制度认识的问题。从制度和认识的问题来讲，我感觉华夏银行这几年全员对安全的认识逐年提升，这个提升我举个例子，就像过去，说在二十年前开汽车，轮胎不爆破的时候肯定不换，现在规定6万公里轮胎就要进行更换。我们现在感觉这是认识的问题，是全员的。第二制度的碰撞，法律法规在我们日常的应用相结合过程中，有很多制度与制度之间的碰撞，我感觉越来越严重。从基础做起，有许多基础工作从源头抓起，从基础建设、完整方案、策略部署完成整个安全体系建设。从自身面临的还有一个问题，就是我们从计算机本身的平台，从数据库到网络网控设备，来自于国外的产品，这种产品我感觉存在信息安全比较大的风险，但作为金融来讲，你买IBM的认为我买了他的产品，从基础平台建设来看，我是一个拖着的感觉，应用也是这样的，从数据库开始，自己尝试性的做了大量国产数据库的应用，有专家问我，你们金融为什么敢用大量国产数据库投入到系统当中，我感觉实际上我今天规避了一个风险，来自于国外厂家垄断性的风险，今天我看到很多民族厂家纷纷崛起，我们的安全产品也是民族产品在风云崛起，谢谢大家。
    
    孙定：两位把现在面对的安全压力做了一些介绍，下面就安全领域比较突出的问题，比如合规的问题、犯罪生态链、生态环境问题、中国特色的安全诉求，我们厂商应该从哪些角度考虑，来给用户提供帮助？怎么来提出我们的解决方案，对用户共同面对这样的挑战，先有请江总。
    
    江永清：谢谢，其实我个人感到很自豪，我们中国的信息产业在15年到20年蓬勃发展，我个人在美国工作10年，回中国工作15年，我亲身经历了这15年发展，全球化是比较难避免的话题。我记得我们总裁今年4月份旧金山开的会议上引用了一句非洲的谚语，如果你要走的块一个人走，如果你要走的远要携起手来走。
    第一像遵循法规这个问题来说，不是一个国家的问题，随着全球化、经济制度的全球化，尤其是华夏银行的老总有亲身的体会。另外从生态链上来讲，我们这边做到这里可以说我们是红客，外面还有黑客，比我们大无数倍。在这个生态链当中我们怎么跟国内的厂商、集成商、应用开发商和客户形成一个虚拟的团队，我们谁都不是替代谁，而是怎么合作好、协同好，把安全做好。
    最后对中国特色的地方是我们关注的，毕竟我们是国外的厂商，我们的观点和态度并不是说我的东西特别好，比你棒，而是说我们持虚心的态度。另外国外的行业里，有些行业规模已经不如中国大了，但行业的运营经验还是蛮多的，由于运营经验丰富，使用IT的成熟程度不一样。这样我们可以更好的大家携手起来，为中国信息安全建设，大家组成虚拟的团队，走的更远。
    
    刘辉：安全性面临这个问题仍然很严峻，我们可以放长远看安全的问题还会刺激我们。从我们的思考，天融信做了14年了，我们经历了安全的逐步发展。我们看信息化和安全问题是这样想，过去人类的发展是靠消耗生物资源，吃饭是基本需求，工业时代消耗矿物资源，未来我们社会肯定是强调虚拟的信息化里产生的经济新的动力。既然新的经济动力来自信息化，所以背后的价值就知道，从信息化挖掘出价值来，所以黑客的背后产业链，我们看到这个问题是说跟前几年攻击发生有一个变化，过去攻击不一定是有组织的，现在宿主性更强，可能背后是一个人也可能是一个组织，也可能未来上升到政治团队的组织，危害国家安全。
    这个情况下我们在做安全防护的时候，考虑关注点是一个恶意代码、还是一个漏洞，主要的是跟后面的宿主能不能对抗。第一产品技术上，客户用了那么多信息化的设备、买了很多安全产品，天融信有四万多用户，我们经常跟客户交流，买了这么多设备，但突然一个事故到来，使我们措手不及。所以我们强调监控，通过产品整合感知出来。第二个是组织内部的整合，考虑跨区域、上下级的整合，包括部门之间。内部我们想打造内部的整合，才能把建设效率跟外部的黑客组织进行竞争。第三个是从政府、企业跨体系的合作，包括我们提出联盟合作，周司长也提到发挥个人、企业、政府才能做好。
    
    曹鹏：各位尊敬的来宾都讲了一些自己的看法，我就跳出这个话题，站在另外的角度谈谈我的理解。有位老师谈到，中国黑客特别多，信用体系极差，大家有没有想过，中国黑客为什么这么多。从我过去十年来看，是政府的责任，在01年中美黑客大战的时候，我们国家政府没有意识到黑客大战是攻击和破坏的行为，经过媒体抬高成为了民族英雄的行为，所以一直到04上半年，国内黑客是放任的态度，只是局部控制。正因为不太正确的舆论导向和政府监督力度上来看，国内黑客经历了非常长的黄金时代发展。
    06、07年我们才发现这不成，太可怕了。有用户抱怨，现在政府、国家要求力度越来越严了，我说为什么越来越严？要把过去几年走的不太好的方法严格的管控才能在很短的时间里监控起来，我看过很多标准，很多确实比较严格，甚至有点过了，但在座各位有没有理解为什么国内的信息安全管理制度的要求甚至有一点过，如果不那么严，大概做不到我们想到的程度。我们国家对信息安全严之又严，是真的想做好。信息安全到今天我们碰到最大的对抗卡在什么地方？说白了就是人才的对抗，就是黑客职业犯罪者。安全防护者我们的人才跟不上它，所以很多信息中心主任说，找不到人看明白，更不要说做一些更有智慧的东西了。所以我们网络应用系统并没有因为信息安全人才跟不上停下来，应用系统建设一直大跑步的前进，而我们的信息安全人才越来越缓慢。
    所以这个基础之上，今天我们这种厂商往下一步的发展，一方面传统安全还要持续投入。但我们也要看到中国信息化发展的特色，做出自己特有的安全产品，就是我讲的平台化产品。就五个人，不要指望他们参加一些培训就能成为一顶一的高手，这不可能。我们做出一些不可能的产品，利用平台化产品让大家参与到，把一个人的智慧或者多个人的智慧做成语句、计算机的判断逻辑式，打赢敌众我寡的战争，做出一些适用于中国特色的信息安全产品，这是我的看法。
    
    毕学尧：大家好，我讲一点具体的问题，大家知道联想网御是传统的防火墙厂商，现在随着信息系统的建设，更多的应用和数据安全防护的需求将成为下一阶段的主流，这是我们的基本判断，所以我们认为应用和数据安全将成为信息安全保障的重点。在这个阶段当中，在服务器端、客户端都有这方面的威胁在，我们认为有几个方向，从外围关系、访问控制限制访问行为，中国我们要看攻击，在各种开放的通道当中发生异常行为，阻断这些异常行为，最后是数据安全防护。对服务器端的应用防护，在管理比较有典型的代表产品是安全接入产品，可以作为应用安全快速安全部署的接入差别。在抗攻击方面，IPS产品是具有典型的代表产品，安全数据交换方面安全隔离网闸是一个代表产品。在双网结构环境下，对于业务应用快速重复使用起到基础性的防护作用。
    更重要的是目前安全威胁已经转向了对终端和移动介质的威胁，有一种说法是你黑掉一个企业的服务器还不如黑掉CEO的笔记本，所以终端方面威胁也很大。相应的在管理上要有终端管理工具支撑，对主流应用比如IE浏览器，它的安全威胁也有相应工具保障。最后是对信息系统里的文档的安全、防泄密也是要进行重点防护的对象。大量安全事件基本上没有网站被黑，大部分是重要资料泄露了，这种威胁对我们来说也是根本性的。在终端防护方面也是这三个方向，管理、防攻击、数据安全保障这方面。
    在下一阶段安全防护当中，我们认为在应用和数据安全保障方面是重点，我们也愿意和用户、其他厂商共同努力，解决这个问题。
    
    孙定：各位嘉宾都谈的很透彻，时间已经到了我总结两句，计算机世界明年三十年了，安全从单机病毒一路看过来，我个人感觉，安全这场斗争从捣乱分子做斗争到跟犯罪分子做斗争了。再有从各个公司各自为战走向法制性轨道，依法建立安全系统、依法进行安全防护，走向这么一个发展的阶段了，因为中国快速发展，中国信息化面临的一些问题是全球、全人类不曾遇到过的困难。比如银行系统、电信系统、医保系统这些电子政务系统都是非常严峻的课题。计算机世界呼吁一下，将来面对问题我们呼吁中外厂商携起手来，集成换人类的智慧解决问题，让我们中国发展的更好、更平稳、更快，谢谢大家。
    
    主持人：下面，我们将首先揭晓获得“2009年度中国信息安全保障突出贡献奖”的嘉宾，请听到名字的获奖嘉宾上台领奖，按字母顺序排序，他们分别是：
    1、龚伟华，北京银行信息技术总部总经理，在他的带领下，北京银行高度重视信息安全工作，不断加强信息风险管理，建立起以组织机构为核心、管理制度为保障、安全技术为支撑的全面信息安全体系。
    2、耿昭，大连市政府网站管理中心副主任、市政府电子政务建设领导小组办公室成员，负责规划、建设和管理的大连市政府门户网站，以及电子政务外网，为电子政务外网的安全建设作出了贡献，“中国大连”多次获得国家级荣誉。
    3、何良生，国家商用密码应用技术体系研究总体工作组组长，他组织了国家商用密码应用技术体系框架和国家商用密码标准体系的研究和设计工作，在信息安全保障领域有很深的造诣，特别是在发挥密码技术在信息安全保障中的基础和核心作用方面做出了重大贡献。
    4、黄澄清，国家计算机网络应急技术处理协调中心（CNCERT/CC）主任、中国互联网协会副理事长兼秘书长，带领业界开展互联网规制研究、推行行业自律、促进业界交流与协作、建设相关技术平台和举报平台，特别是在提升我国互联网网络安全整体水平、反垃圾邮件，以及整治恶意软件等方面做出了卓著的贡献。
    5、江永清，EMC信息安全事业部RSA大中华区总经理，在他的带领下，2008年RSA中国的整体业绩增长率达到两位数，尤其在金融安全防护方面以及消费者身份安全方面，做出了巨大的贡献。
    6、贾彦生，东软集团股份有限公司副总裁\东软网络安全产品营销中心总经理，在2008年北京奥运期间，他亲自带队成立东软奥运网络安全应急保障工作组，为奥运网络安保作出突出贡献。
    7、彭凯，代表北京市信息资源管理中心。负责承担北京市“政务空间地理信息共享服务系统”、“政务信息资源共享交换平台系统”、“领导决策服务系统”和“公务员门户”等四个北京市重要信息系统的建设和运维保障工作，有效保障了四大系统安全、稳定、可靠地运行。
    8、齐舰，联想网御科技有限公司董事长兼CEO，全面整合了联想网御的信息安全业务，完善了联想网御在应用于数据安全领域的布局，提出了信息安全蓝海战略。
    9、王其民，广州市信息化办公室副主任，先后承担广州市电子政务网络信任体系、党政内网平台安全与应用支撑平台、互联网出口安全改造、大社保公共网络平台、大社保安全和容灾备份系统等信息安全类项目建设，为广州市电子政务安全建设做出了贡献。
    10、吴建中，铁道部信息技术中心主任，在他的带领下，铁道部信息技术中心作为全国铁路信息化建设的主力军，承担铁路信息系统运行保障、工程设计、软件开发、系统集成、网络安全等业务工作，有利的保障了铁路枢纽的畅通。
    11、张胜，华夏银行副首席信息官兼信息技术部总经理和大集中办公室主任，他负责华夏银行信息安全体系的建设，目前已初步建立起以人为本、以管理为核心、以技术为依托的银行信息安全体系。
    12、周智，中国移动通信集团公司网部网络安全处副经理，中国通信标准化协会网络与信息安全技术工作委员会副主席，参与建立了中国移动安全体系，创造性地将国际最佳实践与中国移动复杂网络环境和庞大组织架构形式相结合。
    请工业和信息化部信息安全协调司司长周宝源、计算机世界传媒集团总裁为获奖嘉宾颁奖。
    请获奖嘉宾合影留念。
    请获奖嘉宾台下就座。
    
    下面，将揭晓“2009年度值得CSO信赖的品牌奖”，请相关的企业代表上台领奖，他们分别是：
    东软NetEye网络流量分析语响应系统（NTARS）
    RSA  SecurID身份认证
    RSA  enVision安全和信息事件管理解决方案
    联想网御金刚万兆安全网关
    WoSign品牌SSL证书和代码签名证书
    英赛虎电子文档安全管理系统
    Websense  Web安全网关
    广东省电子商务认证有限公司“网证通电子政务安全解决方案”
    北京天融信公司等级保护解决方案
    
    请计算机世界传媒集团副总裁秦超、计算机世界报社总编孙定为获奖嘉宾颁奖。
    请获奖嘉宾合影留念
    请获奖嘉宾台下就座。
    好的，今天上午的会议到此结束，今天下午还有三场更加精彩的分论坛，分别是：电子签名和电子认证分论坛、内外网安全分论坛、数据安全分论坛，请各位嘉宾不要错过。
    谢谢各位。

主持人：各位来宾下午的电子签名与电子认证证书论坛现在正式开始。上午很多嘉宾都听到了上午的演讲，都是信息安全整体方面的技术和趋势方面的介绍。
    下午我们主要讲电子签名与电子认证，这是信息安全里面是一个稍微比较窄的领域，但又非常重要。在互联网人们怎么通过身份认证、不可更改，不可否认那几项原则，来保证电子交易的原则，这也是热了多年，国家四年前发布了电子签名法就是保证电子交易安全唯一的一部法律。在这四年当中，很多人并不清楚这部法能给我们带来什么？所以在这种情况下，作为《电子签名法》制定的电子签名的主管部门，工业和信息化部信息安全协调司是非常重视电子签名技术和应用的推广。所以特此我们在工业和信息化部的领导下、指导下做了这么一个分论坛。
    主要介绍电子签名技术和《电子签名法》怎么在未来生活当中指导人们的工作。这次会议我们也是请了很多重要的嘉宾：其中有工业和信息化部信息安全协调司王宏（音）处长、工业和信息化部政策法规司的李长喜博士、广州市信息化办公室副主任王其民、北京地税信息科技处副处长孙致远、中科院的董峰博士和工业和信息化部技术专家詹榜华博士，所以这几位重要的嘉宾将会给我们发表演讲的嘉宾，他们都是来自信息化实践的第一线，讲的都是在实际当中应用电子签名的经验，相信各位会从中得到一些启发。
    下面有请工业和信息化部信息安全协调司王宏处长给我们致辞。
    
    王宏：尊敬的各位领导、各位专家大家下午好。本是欧阳司长来致辞，但他下午有一个会见，委托我来说两句。
    我想首先还是感谢大家能够参加分论坛，李博士也是我们政策法规处的李处长。咱们各界的朋友都知道《电子签名法》到今年为止有五年多了。工信部根据新的情况修改了电子签名法，总的来说《电子签名法》在规范电子推动应用商务和电子政务方面都发挥了比较重要的作用。
    但是我们感觉从《电子签名法》赋予我们司的服务管理职责，以及我们应该推动行业发展的角度来说还存在很多需要做的东西。另外大家对《电子签名法》的认识方面需要更进一步的加深，另外相比在互联网的发展，相比电子认证服务的市场的发展速度比较慢，空间还是比较大。另外随着国家信息化的推进，电子认证服务业的发展我们也面临一些新的问题，比如第三方电子认证内涵，电子认证服务法律的保证，电子认证在重点行业领域应用的示范。如何运用，服务质量如何要求，还有包括进一步提高自身的安全运营水平等等还需要大家来做出共同的努力。
    这次我们的论坛也邀请了政府主管部门和政府的应用部门，和我们业内、行内的专家来共同探讨，来发表高见。对如何电子认证服务工作做的更好，电子签名应用的更好，献计献策。另外在这里也要感谢计算机世界报社的承办方，感谢他们对这个论坛作出的努力，最后预祝会议取得成功，谢谢！
    
    主持人：下面我们有请工业和信息化部政策法规司李长喜处长给我们解读“工信部一号令”，有请李处长！
    
    李长喜：很高兴有这么一个机会，跟业内的专家学习电子认证服务的有关管理制度。原来电子认证服务管理办法是在《电子签名法》颁布以后，由信息产业部制定颁布实施的。当时我是信息产业部负责法规处的工作，后来随着管理工作的需要，成立了新的工业和信息化部，这个办法也随着实践的要求进行了相应的修改，我们也就对电子认证管理办法进行了修改。
    今天我想结合这个办法修改的情况，介绍一下国内电子认证服务在法律规范层面的一些制度和要求供大家参考。因为我知道今天在座的各位，有很多都是业内的专家，我们可能更多是从规范的层面上，因此从内容上讲比较浅一些。但是如果中间有什么问题咱们可以一块探讨。
    今天我想主要从下面四个方面简单介绍一下，咱们国内的电子认证服务管理的法律制度。一个方面是我国的电子认证服务管理办法的体系，修订过程，第二是电子认证服务法律制度。第三《电子认证服务管理办法》协定内容，第四电子认证服务法律制度。
    我国的电子商务的法律体系相对于国外来说是比较简单的，这可能与我国的电子商务发展相对来说，比发达国家来说处于一个相对滞后的阶段有一定的关系。我们也知道法律是调整社会关系的，如果社会关系提出了要求，法律上就应该有相应的规范。比如说欧美国家来说，我们的电子商务有了发展，但比发达国家来说我们还是处于落后位置上。因此我们在电子商务法律制度方面，相对于这些来说还是简单的，当然我们比一些经济上更不发达，电子商务更加落后的国家来说，我们已经建立了相对完善的法律制度。
    此前有人大代表和政协委员们呼吁我们制定电子商务法，今年也有人大的预案提出要建立和制定我们的电子商务制度，制定我们的《电子商务法》。从我国的实际情况看，我们现在目前的法律，主要是解决了当前电子商务发展过程中最主要的问题。我们在2004年出台了《电子签名法》，这个是对于我国电子商务的发展是至关重要的，为什么这么说呢？电子商务活动最重要的环节，也就是说使买方和卖方交易双方，产生一种交易安全的保障，怎么确认呢？很大的程度上就是来自于电子签名的安全性问题。我们在2004年的时候我们通过了《电子签名法》，这个是我们目前为止规范电子商务领域里面效率等级最高，也是最专门的一部法律。
    在这个基础上，原来信息产业部根据《电子签名法》的授权，对电子认证服务活动进行了规范。其中发布了35号令，对于我们电子认证服务活动进行了规范。这个办法到目前为止在规范电子认证服务提供者方面是最权威、最全面，调整的最具体一部法律规范，是一个部门规章。
    还有一个办法是《电子认证服务密码管理办法》，这个办法是国家密码管理局2005年3月31日发布的。我们在电子认证提供过程中涉及到密码管理的问题，这个问题不仅仅涉及到交易安全性的问题，从大的方面讲还会涉及到国家安全、信息网络安全的问题。因此在所有推进电子商务的国家里面，对于密码的管理都是非常重要的一个环节。
    第四个办法叫《商用密码管理条例》，这个条例是99年国务院出台的。这个条例是对商用密管理进行了规范，它跟上面的《电子认证服务密码管理办法》一样，对密码的安全性、密码的使用规则进行了规范。从目前的法律层面讲，我们有四个法律文件对电子认证服务活动、电子商务活动进行规范。除此之外，实际上我们国家有关部门，包括国务院的文件也提出了对电子商务发展的一些规范和要求。比如说2005年2月份国办发了一个，关于推进电子商务发展的若干意见，这是以国办文件的方式发布的。这个文件对我们电子商务发展规范、要求、指导原则提出了一些具体的规定。
    在此基础上，我们商务部这几年也制定了有一些规则。通过了一些部文件的规定对电子商务进行了规范，主要还是从政策文件指导的方式对电子商务活动进行规范。
    我想讲的第二个方面是电子认证服务管理办法的修订过程。我们知道原来的35号令是2005年3月31日实施的，实施的时间并不长，我们在短短的时间内进行了修改。实际上我们提出修改的要求主要的原因是来自于国务院的一个文件，国务院提出要求各部门对自己部门制定或者执行的行政法规进行清理，也就是2007年12号文件，他提出来如果你这个法里面存在与现实不适应的地方要及时进行清理。我们在规章法规清理的过程中，为什么把35号令纳入到清理的范围呢？当时我们考虑的一个问题，就这个电子认证服务管理办法对电子认证服务提供者的注册资本金的限额高出了公司法的限额。
    根据公司法的限额，开办一个公司你的注册资本金3万就够了，如果超过3万就应该根据法律规定。我们原来在电子认证服务管理办法对提供者的资本金有指定的限额，根据国办的要求我们是不是进行一个清理。我们从这个角度上把他们纳入了清理的范围，同时还有一个要求，是依法行政的要求，因为根据2003年实施以来，要求我们对于行政许可，你可以实施监督检查，但这个监督检查应该有一些相关的要求，但这些要求应该以公章等形式公布出来。我们的电子认证管理服务办法在这里面，存在不符合依法行政要求的一些内容。我们实际上在修改过程中进行了增补，使这个规章更加完善。这就是我们为什么修改《电子认证服务管理办法》。具体的修改过程，我们一直是坚持开门立法的原则，这跟信息安全协调司从起草到定稿，我们一直采取了开门立法的原则。
    在座各位很多都是业内人士，在此办法的修改过程中，我们都征求他们意见。咱们有很多业内的人士，也已经看到了在我们在发布之前的办法。我们在充分听取各方面的意见的时候，对它进行了修改，这是实际上一个花絮。按照我们的设计，原本我们不想作为1号令出来的，我们还有一部综合性的立法。想这个作为1号令，按照我们当时的想法，至少从我这里是从5号令签的，根据我们规章的一个排列顺序可能是5号令的形式。但是按照这个程序我们签完之后，应该是相关司局签完了之后回到我们这提交到部领导签，签的时间是最先的，所以成为工信部的1号令，按我们的安排原来是5号令。这是《电子认证服务管理办法》的起草过程。这个办法是今年2月4日，经工信部6次审议通过的，2月28日公布，生效时间是3月31日。
    第三，关于这个办法的修订主要内容，主要体现在三个方面上，一个是保留了关于注册资本金限额的规定，第二是规范了行政机关的行政行为，第三个完善了相关管理制度。
    具体修订内容主要体现在这么几个方面，第一是在电子认证服务机构的许可条件中，增加了对人员“应该符合岗位技能要求”规定。从我们日常的电子认证服务提供活动中，我们原来的办法是对人事上有一定的要求，但对岗位技能没有什么特别要求。对想成为电子认证服务提供者的主体，他在提交许可的材料的时候没有对这方面人员的要求，有一些人数上可能已经够了，但对于保障我们电子认证服务能力，提高我们电子认证服务水平所必须的一些技术人员的比例，由于缺乏相应的要求，使得这个这个在一定程度不符合电子认证的服务要求。后来我们增加了对人员应该符合岗位技能要求的规定。
    第二、修订了有关年度检查的规定，规范了监督检查行为。这是按照国务院推进依法行政工作的要求，我们对行政机关行为进行规范的形式。我们通过调研也发现，其实企业比较烦的是，政府通过这个门槛不让你进来，已经进入这个门槛烦的是政府经常说，有一些单位无休止的进行不定期的检查方式，影响企业的运营行为和服务提供者的服务行为。结合这一点，国务院对规范行政机关的行为提出来比较高的要求，特别是行政许可法，他规定你必须你不应该说年检不过，你没有参加年检我就吊销你的许可，这是法律不授权的。另外收取年检费，行政许可法出来以后，行政机关可以进行检查，有一个前提，这个费用应该来自于你的行政费用，不能让企业交一些年检费。从这个方面，我们结合国务院的要求，我们在这一块做了一个着力的完善。
    比如说我们规定工业和信息化部，可以对电子认证服务机构进行定期或者不定期的检查，但是你内容上有要求，你监督的内容主要包括法律法规复合型，安全运营管理、风险管理等等。不能是超出这个以外管理，你的利润怎么分配的，你员工的工资怎么样，这是不可以的。我们检查仅仅限于你运营活动本身，这是关于内容方面的要求。
    在形式方面也有要求，我们对电子认证服务机构实行监督检查的时候，应当把检查情况和处理结果予以记录，避免随意性，由监督检查人员签字后归档，并且公众有权查阅监督检查记录。从形式方面有这个要求，我们还有一个要求，工业和信息化部对电子认证服务机构实行监督检查，不得妨碍电子认证服务机构正常的生产经营活动不予收取任何费用。我们通过这个许可的办法使我们这个制度更加明确，也有利于行政相对人对行政机关的监督，这体现了依法行政的理念和要求。
    第三、增加了有关重大事项报告的要求。我们增加了这么个要求，电子认证服务机构有下列情况之一的，应当及时向工业和信息化部报告四种情况：一个是你重大系统、关键设备事故。你出现事故以后，这个电子认证服务活动终止了，这会影响第三方的利益，为了保证他们的利益，我们规定你出现这种情况你要及时向监管部门报告，他将会根据报告的情况提出相应的不久，第二重大财产损失，第三重大法律诉讼，第四关键岗位人员变动。之所以提出这四个方面的要求，是为了保证电子认证的活动保质保量的进行，防止出现服务终端，降低服务质量，影响第三方利益的一些活动和行为。
    第四个方面是在“罚则”上增加了对公司变更却不进行报告的行政处罚措施。我们是为了保证行政机关，可以及时的了解一些行政处罚措施。我们工业和信息化部同时也在负责通信业的监管，在很多增值业务提供者当中我们就发现一些这样的情况。比如说一个省这个增值业务提供者是30家，这个数字是举例子，实际上一个省都是几万家甚至更大的数字。很多增值服务提供者备案完了，领回许可以后就改变了地址和联系方式，还有一些改变了服务检测的指标，使得监管部门没有办法联系到他，没有办法及时对他服务活动进行监督，我们为了避免这种情况，增加了一个报告制度。
    第五个方面根据《电子签名法》的规定，删除了对不遵守电子认证业务规则给予警告或者处一万元以下处罚的措施。这是原来《电子签名法》有规定，我们是在原来35号令里面作出规定，跟《电子签名法》的规定存在不完全一致的地方。我们为了保证上位法和下位法相衔接做出这么一套规范制度。    
    第四是电子认证服务法律制度，主要制度来源是《电子签名法》和《电子服务管理办法》的一些规定。开展电子认证服务过程中，应该怎么去进行，应该坚持什么样的制度，我做了一个初步的梳理。
    电子认证服务法律制度主要有这么几项制度，第一电子认证服务市场准入制度，第二电子认证服务管理制度，第三电子认证服务提供者的法定业务，第四监管机构的职责。我想从这四个方面总体，介绍一下我国电子认证服务法律制度。我要提供电子认证服务怎么去做，如果我是电子认证服务提供者，应该遵守什么义务，对用户和监管机构有什么样的责任？我作为电子认证监管机构，应该承担什么样的监督管理职责。我想主要从这么几个方面梳理一下，咱们国内的电子认证服务法律制度。
    首先看一下电子认证服务市场准入制度，从我掌握的知识看，我从01年开始关注电子商务的法律规范。对于电子认证服务机构，什么样的主体才能够提供电子认证服务活动，这在每个国家规定是不一样的，有的国家是通过第三方的认证确立这种机制，有的是通过行政管理的是确立这种机制，通过行政管理的是确认电子认证服务市场准入制度的有两种形式，一种是许可的方式。你必须经过我主管部门的同意或者批准，你才可以从事这项活动。
    还有一种情况报告制度，我认为我已经符合了提供电子认证服务法的条件和机制，我向政府提供一个报告我就可以开展我的活动。在不同的国家管理制度不一样，一般来说在市场经济比较发达的国家，像欧美国家，他们采用的是市场手段的解决方式比较多，第三方认证，自我认证、登记、报告这些制度比较多。市场经济相对来说落后一些，诚信机制稍微欠缺一些的国家的许可制度比较多。我国是结合我们的具体情况在《电子签名法》提供电子认证活动必须经过批准，这是一种许可，没有经过许可不可以从事这种活动。
    根据我国相关法律的规定，设立电子认证服务机构应该具备下面几个条件。目前我们规定有六个方面的具体条件。
    一个具有独立的企业法人资格，这个我想说一个前提。当时我们在制定电子认证服务办法的时候就这个问题讨论过，申请者是一个法人，还是提供服务者是法人。这个我们经过多次的讨论，后来确立了一个规则，你申请者可以不是法人，但你要成为一个服务提供者最好成为一个法人，经过批准以后按照法人设立的方式设立法人，才可以对外设置这种电子认证服务的活动。
    第二关于人员的要求，我们规定从事电子认证服务活动的专业技术人员、运营管理人员、安全管理人员和客户服务人员不少于30人。并且我们在此基础上增加了一些要求，你这些人应当符合相应岗位技能要求，或者从事这种工作的能力。从事运营管理的工作人员，应该具有运营管理这方面的技能和要求。
    第三注册资金不少于人民币3000万元，我曾经也提到过，当时之所以对35号令进行修改，很重要的原因就是讨论这是不是合法和合理？我们对电子认证服务提供者提出高于公司法工资限额的资本金要求是不是合法和合理的，在《电子签名法》里有一个授权，他要求从事电子认证服务活动应当具有相适应的资金，这个资金我们理解我们可以在注册资本金作出一个要求。另外从合理性方面，电子认证服务活动的服务行为是对第三方产生影响的活动，你对它的自治把握不严，可能会妨碍第三方的利益。这个例子跟电话公司提供电话服务一样，实际上影响的是用户的利益，他提供服务质量水平不高可能会造成通话质量的下降，影响通信正常的要求。电子认证服务活动也是一样，他为第三方提供的行为，我们认为为了保障第三方的利益，应该对它的自治提出一个从严的要求。如果说是注册资本金的限制太低，就会导致大量的人进入这个市场，实际上会直接损害电子签名制造方的利益，我们是从这个角度提出电子认证服务活动，基于这些应当有注册资本金的要求。
    第四具有固定的经营场所和满足电子认证服务要求的物理环境。比如说服务器的架设，我们在这块跟一般公司不一样，提出更进一步的要求。
    第五，具有符合国家有关安全标准的技术和设备，这为了提供电子认证服务过程中可以正常的提供服务，保障第三方利益。
    第六，具有国家密码管理机构同意使用密码的证明文件。也就是说这个密码的使用，我们在提供电子认证服务过程中要使用密码，加密、解密，这个密码国家是有规范的。无论是商用密码和非商用密码都有一定技术要求，刚才我也提到国家密码办有一个规章，也有一个条例对它的使用行为进行规范。因为它涉及到对国家的安全，所以我们国家对它进行严格的使用，包括你在商用、使用过程中。
    第七是法律行政法规规定的其他条件。这说明我们在设立电子认证服务机构有一定的门槛，你必须符合这些条件，经过这些电子认证服务管理机构的批准才可以进行这项活动。
    申请设立电子认证服务机构的程序是什么？主要是这么几个环节。一是你准备从事这个服务的主体，不一定是公司，你应该向工业和信息化部提出申请。
    第二环节是审查环节，工业和信息化部按照你提供的材料我们进行审查，首先决定在五个工作日内确定是不是受理你的申请。如果五个工作日内同意或者没有表示反对就是受理了，受理之后我们再按照受理的许可程序进行实质性的审查。符合实质审查的许可，我们最后作出许可决定。在此之前如果涉及到其他部门的，我们还有征求其他相关部门意见的流程，安全《电子签名法》的规定，最后由工业和信息化部作出许可的决定。作出决定以后，我们是给你一个许可的许可证，申请主体再拿这个许可证办理一个工商登记的手续。
    下面我讲一下电子认证服务几项管理制度，一个是许可制度。你只有获得管理部门的批准，才可以从事这样的活动。第二变更备案制度，你有一些信息，比如说你的法人代表，你的服务地点等等，有一些信息发生变更你要及时向主管部门进行报备，以便于主管部门及时了解服务提供者的相关信息，便于进行相关的制度检查。
    第三是信息公布制度，这个信息公布制度，你电子认证服务机构你应该把你相关的信息，自身的信息，比如你服务能力、认证规则、服务规则等等这些信息你应该进行公布，这是一项法律义务。
    第四是服务保证制度，我们在这个办法里面规定，你提供这种服务的话，你应该保证按照你原来的承诺，或者你业务规则确认的内容要求确定服务。
    第五是保密制度，你提供的服务实际涉及到第三方的利益。你对于第三方的信息，就是你的用户的信息你应该予以保密，你不应该用这个信息进行其他活动，或者非法向第三方提供。比如我们今年315晚会，也披露中国移动有的公司去买卖用户信息的行为。这种行为从法律角度来讲是违法的，我们在电子认证服务机构出现这种行为，一个是违反我们电子认证服务的法律规定，另外一个现在刑法对这个进行了规定。我们有专门对用户信息的保证做出一个规定，如果违反这些规定就有可能受到刑事责任的追究。
    再一个是密码管理制度，主要是这么几个方面的内容，一个是管理主体。管理主体是国家密码管理局对电子认证服务活动使用的密码实施监督管理，你要接受他监督的管理。第二方面是密码的科研，商用密码的科研任务由国家密码单位机构指定的单位承担。商约密码制定科研单位必须具有相应的技术力量和设备，能够采用先进的编码理论和技术，能够采用先进的编码理论和技术，编制的商用密码算法具有较高的保密强度和抗攻击能力。作出这个规定是为了保证密码在提供服务的过程中，它的功能不会丧失，从这个角度上作出科研主体以及使用规则的要求。
    第三是密码的生产，商用密码产品由国家密码管理机构指定的单位生产未经制定，任何单位或者个人不得生产商用密码产品。
    第四是密码产品的检测，在这方面，我们生产的商用密码的产品你必须经过国家密码管理机构指定的机构进行检测。经检查合格之后你才可以进入商用领域。
    第五是密码的销售，商用密码产品由国家密码管理机构许可的单位销售。未经许可，任何单位或者个人不得销售商用密码产品。
    第六是密码的使用，提供电子认证服务，应当依法取得《电子认证服务使用密码许可证》。也是比较核心的一个服务，所以国家对密码的管理作出了比较多的规定，那么你提供电子认证服务活动。首先应该接受这些规定和要求，按照国家的有关规定去使用密码。
    下面是电子认证服务提供者的义务，我说的这个义务是对三方所赋予的义务。一个是对你的用户，一个是对监管机构，第三是对社会。我梳理了一下，作为一个电子认证服务提供者，你在提供服务的过程中应该有许可经营的义务。经过《电子认证法》只有经过许可的主体你才能对公众提供电子认证服务活动。第二是依法经营的服务，电子认证服务机构按照规定的规则依法提供各项服务。我们要求电子认证服务提供者，首先提供一个业务规则，把你的范围、方式以及各种要求提供出来，我们要求在提供服务的时候要按照这种规则来进行。
    第三是服务信息公布义务，你要提供服务，你应该在网上公布你的名称、许可证号码有关信息等。这些相关信息，要变更有关信息也要进行及时的公布。
    第四是制定电子认证业务规则的义务，你提供服务首先要制定一个规则，这是你的一项法定义务。
    第五是签发电子认证证书的义务，你为签名人用户提供这个服务，要向签名人签发这个证书，而且这个证书应该是准确无误的。
    第六是保存电子认证证书的义务，服务提供者应保证电子认证证书在有效期内你保存的信息应该是完整、准确的。
    第七业余善后承接的业务。比如你经营不下去了，或者其他原因你不想从事这个了，你要停止服务，我们有一些要求，你应当与其他服务提供者就业务承接问题进行协商。
    第八、承接业务的义务，如果说监管部门要求你承接电子认证服务机构的义务。比如说甲停止服务了，监管部门要求你乙承担甲原来的服务，继续提供服务，那你乙有法定义务承担电子认证服务提供者原来的服务活动。
   第九，业务中（终）止通知义务。你如果要终止业务的应当在一定的期限内，我们法律规定90天以前就业务承接事项通知有关各方。
    第十，业务终止或者终止报告的义务，你想停一段或者最后完全不再做电子认证服务活动了，你要和各方有一个报告的义务。
    第十一保存认证相关信息的业务，第十二接受监管的义务这是一般性的要求；第十三是有一个保密义务，电子认证服务机构允当遵守国家的有关规定，建立完善的保密制度。对用户来说电子认证服务机构对电子签名人和电子签名依赖方有保密的义务，有特殊的要求。
    第十四，备案的义务，你的法人代表，名称等等有关信息向工业和信息化部向主管部门报告，建立这项制度便于主管机构提供一些相关的信息。
    最后一个方面我说一下监管机构的职责。监管机构从法律规定讲赋有监管的义务。实际上一保存认证相关信息的业务，服务活动出现了问题，与电子认证服务监管机构也有一定的关系。从权责一致的要求，对监管机构的职责、职能进行了规范，主要有这么几个职责，一个是确认电子认证机构合法地位的义务，你的主管部门对于符合条件的认证服务申请者应当给予许可，你许可之后你应当确认他就是合法的服务提供者。我们往往是通过这两种方式，一种是对服务提供者发放许可的方式，第二是哪一些机构受理认为是合法的一些机构。
    在这个义务下面还有一些解决和处理电子认证服务认证中的一些职责。包括现在电子认证服务管理办法，和电子认证服务承接管理办法，这都是政府应当履行的政策，完善相关的制度。
    第三是制定《电子认证业务规则》，有一个我们通用的规则是由主管部门来制定的。第四是对认证机构实施监督管理，比如说接受认证服务业务规则的备案，确定电子认证证书的具体内容，处理认证服务的业务承接问题，对电子认证服务机构进行年度检查。
    第五是核准境外电子签名认证证书，根据电子签名法的规定，我们采取对顶的原则，在国外电子认证服务提供者已经合法的电子签名是合乎要求的电子签名，我们按照对等的要求有一些核准的义务。
   今天我就简单用半个小时的时间，给大家介绍一下国内相关的制度，我在工业和信息化部负责法规处的工作。如果有相关工业、通信业、信息化方面的法律制度问题，特别是制度建设的问题我们希望有更多的机会进行交流，谢谢各位！
    
    主持人：谢谢李处长，通过李处长的演讲使我们知道政府对电子认证服务市场是有一定力度的，我们也对电子认证服务市场有一定的信心了。下面有请广州市信息化办公室副主任王其民做演讲。有请！
    
    王其民：我是广州市信息化办公室的副主任，在我们广州市信息化办公室我主要分管网络与信息安全工作，与我们综合办公室的工作。网络信任的工作是我住抓的业务之一，今天就网络信息建设于电子政务的应用，我将我们广州市的如何开展证书这项工作，向大家做一个简单的汇报，请大家批评指正。
    我向大家汇报的内容有几个，一个是广州市发展的概况，一个是总体框架，第三是我们应用成效，第四是我们的一些建议和想法。
    我们广州市从2003年就开始启动电子政务网络信息体系建设工作，到如今已经近6年的时间。我们证书的发放情况和使用情况是这样的，可持续运营的企业数字证书超过了10万，为什么将可持续运营呢？因为就广州省来讲，他们发的证书大大超过了这个数字。但是可持续运营的呢？只有10万张左右，可持续运营的个人数字证书超过了1万张。我们使用的覆盖涵盖了广州的税务、工商、质监、社保，我们的财政局，我们的政府采购，包括药检、法院、人事等等相关部门。
    这是我们广州市业务推广的一个总体框架，为了搞好这项业务工作，我们广州市专门成立一个数字证书应用推广管理的机构。然后我们与广东省的两家公司，一个是电子政务信息，一个是电子商务中心，在我们广州市建立了一个RA，然后在广州市各个行业设立了一定的受理点。就广州是网上版税这个业务来讲，举个例子广州市国税，从08年统计来看，全市通过数字证书进行网上进行办税将近65万家。其中一般纳税人有45.2万户，在网上办税有90%的业务是在网上办的。还有网上发表认证，有70%多是从网上认证的，达到852张。网上交税连续5年超过了30%多。一个是政府倡导，大力扶持，二是互联互通，一证多用，三是应用为跟，服务为本，四是创造价值，多方共赢。
    从政府倡导，大力扶持来讲，我们也认为信息安全是我们国家安全的重要部分。也是当今最大的一个威胁。安全的信息体系，又是国家信息安全的一个重要基础，也就是安全信息体系首先要建立人与人之间的相互信任，公民与公民之间的相互信任，所以我们国家信息安全工作的一个重要基础。
    再一个数字证书的应用，又是安全信任体系当中的一个重要组成部分。也就是说目前我们所从事的数字证书这项工作，涉及到国家的安全这么一重要项。既然是涉及到国家的安全这么重要，作为政府的相关部门来讲，理所当然牵头和推动这项工作的开展。
    从当前的情况来看，数字证书的推广和应用，如果没有政府牵头，没有政府推广的话，没有政府来带头使用，他推广难度是很大的。我想今天下午在座的大部分来参加研讨会的是来自我们的主要用户。所以说政府的推动对数字证书的推动有至关重要的作用。鉴于这样一个情况，我们广州市为了更好的开展这项工作，我们首先在广州成立了数字证书的应用推广这么一个服务的机构。协助和指导帮助广东省的两家CA在广州市开展这一项工作。
    我们成立了数字证书服务中心以后，我们也做了不小的工作，我们主要做了一是统一管理广州的CA工作。不管是哪家CA，不管是电子政务还是电子商务，只要是在广州向政府、向企业、个人发放在外网上使用的证书都要纳入广州市的数字证书的统一协调之下。因为我们数字证书的使用是为了安全才出了数字证书，才推广数字证书的应用，同时也加强我们的管理。
    目前是为了保障广州市的使用数字证书的企业，口袋里面装有一张证书到广州市所有需要使用数字证书的企业去办税。目前我们国家已经批准这样第三方认证机构，就我们广州市加深圳已经有3家，如果各家都要到广州市去发这个证书，每个企业口袋里装很多证书，这也造成了负担，也为我们证书带来一个不好的影响，所以说我们认为广州市统一来协调这个事。
    为了打造我们广州市的企业有一张证书，就能一卡打天下的信心。我们和相关单位一起研发了一个中间件，类似与我们商场银联使用的刷卡机。也就是不管是哪家发的证书到我们这个应用单位来使用，就像我们工商银行发的卡、建设银行的卡都可以用，我们这个证件就是确认某年某月某时某分，无论是谁是用哪家的证书到这来办过事，这是一个记录，这是我们做的第二项工作。
    第三我们制定了广州市数字证书一些标准和规范，是在国家制定有关管理办法的指导下。第四是制定了在物价局批准的价格范围之内，相对统一的收费标准。因为数字证书到目前为止我们推动的不够理想。全国几十家数字证书企业生活的并不十分美满，都在艰难的生存。为什么？本来这个物价局批这个数字，买一张证书是200块钱，往往数字证书在投标的时候打价格战。有得报出低于成本价的价格来，作为用户来讲当时是占了一个便宜，但是由于用户服务的企业没有得到一定的利润，最后使用户得不到应有的服务。所以我们相对的统一了一下收费标准，首先从政府使用证书这个角度来。
    比如广州市的制度建设是这样，市政府要政府投资信息化的建设。首先在今年的上半年就报明年各单位的需求，报上来以后我们信息办在今年第三季度就进行批复。批复完了以后各单位根据批复的数额和技术方案然后进行进一步的设计。最后在第四季度报上来，由信息办进行最后的把关，然后才能得到2010年的信息化建设的经费。
    我们为了推动和促进我们数字证书这项工作的开展，我们积极的鼓励首先是政府内部带头使用数字证书。我们负责的是在外网向企业、我们的市民提供服务，我们政府凡是买的数字证书，买一张200块钱，一个应用100块钱，每增加一个应用增加100块钱，这也是和广州市政府达成一个协议，这就防止在价格上面的相互残杀。
    第五是在广州市我们这么做的，只要是工业和信息化部批准的第三方认证机构。不管你叫什么名字，不管你是叫电子政务，还是叫电子商务认证中心往往这两家在打架，我是这个行业里面的，你就不能来，但是现在这就没有这么规定。在电子政务内网上使用的证书统一，和地方政府的纪要部门来负责。在外网统一要第三方机构来批准认可，所以我们的数字证书推广数字中心对广州市的两家，不管你叫电子商务还是电子政务统一都可以在广州市，无论是企业和个人发放在外网使用的数字证书。
    我们认为第三方认证机构现在处在一个很尴尬的地步，为什么？我认为我们国家第三方的认证机构他目前来讲还是一个弱势群体。因为全部是一个公司，有的是国营的，有的私营的。数字证书认证这项工作还没有得到相关部门的足够重视。所以我们就建议也提倡，我们第三方认证机构的同行们，因为我分管这项工作，我们是一个绳子拴的蚂蚱，我们之间一定要相互团结。尤其是认证机构之间，甲方千万不要到用户那去说乙方，乙方到用户那里去说甲方，这样就容易让用户感觉到第三方机构互相不信任这个行业。所以我们共同要把这个业务推动好，千千万万不要像我刚才提到的互相残杀。
    既然涉及到国家的工程，作为政府来讲投一定的资金，建好在外网使用的数字证书。所以我们是走了一个安全性体系也好，数字证书也好，集约化建设之路，也符合当今国家对信息化建设这方面的要求。假如广州市家家都办GSI的话，那国家的投入相对来讲就更大，我们广州市统一建立两家CA。我们广州市先后投资了有2千多万块钱，一个是把我们的基础平台建好，第二是投入钱给政府买密码机、中间件和使用的终端，扶持企业在我们广州市更好的推广下去。
    再一个广州市从政策上要鼓励我们的企业，我们的市民网上办税。在网上找政府，为了使我们的企业在网上办税安全，就提倡他使用数字证书，使用数字证书可以减少我们来往坐车的次数。针对广无线城市来讲的，我们可以讲这个使命是用了安全的信息技术，就减少了出行，减少了道路上行使的汽车。我们信息化的高速公路就给我们信息化的公路制造了很大的方便，也使我们的交通更加的便捷，这也是广州市的政府领导对我们所提出的要求。
    再一个我们牵头制定互联互通的一证多用的信息，还有我们研制类似于银联刷卡机的中间件，这些都降低了数字证书的使用成本。使我们企业有一张证书就可以到广州市办任何事，每家证书的每年的使用费一年那么大，这样让真正使用证书的人，一是得到的安全，二是减少了麻烦。三是开支也减少了，所以说我们互联互通一证多用，也带来了很大的好处。
    再一个应用为根，服务为本。我们发放只是开通，我们服务跟不上去，大家也没有使用好数字证书的信心。我记得我们在国税局发放数字证书的时候，我们几百人参加就办了几十场，真正的手把手的教。也感谢我们广州市的CA在这方面做了很大的工作，我们在这方面牵头做研究，来确保我们使用证书的人能感到方便，这样的话我们的服务才能够跟上去，包括我们证书的管理，申请统统我们做了一个管理平台，数字证书网上管理平台。使大家一登上我的网站就能够办成他的业务，包括申请、注销等等业务都可以。而且两家CA证书都纳入这个管理平台之下。而且整个广州市有多少数字证书，我们心里面是清清楚楚明明白白的。
    最后一个创造价值，多方共赢。你把证书卖出去了，服务提供了，如果没有创造价值，那企业得不到利润，用户得不到方便。我们这个事情再往前走就走不好，走不下去。我们数字证书的业务量这是一个联想，从推广应用到客户服务到监督等等这是一个链条。但是我们的认证产生一个产业链，无论是我们的服务机构，还是我们第三方的服务机构，这里面为什么出现两个服务机构。一个是我们工业和信息化部批准的第三方数字证书应用机构，还有必须要和认证系统结合好，跟我们用户开发认证的公司要做好这项工作。另外还有专门的厂商，行业的应用部门，一定要配合好。
    我们数字证书的推广应用，如果想用好光我们从事信息化的同志，和信息安全工作的同志去推是远远不够的。必须和用户的业务管理部门进行密谋的合作。比如我们和国税局推，就是和国税局的首席监管处和国税局的CA，再加上我们广州市的两家CA来共同推数字证书的持续运营。我记得最多一天有上千万的证书，有的最多是2千万，我们现在正在策划广州市的小额纳税人的证书应用。
    我们不光往上报税，还要到办税厅来使用数字证书。比如一个企业要到办税厅来办理，首先要填一个表，国税局就可以从那里调出来，所以非常的方便，足不出户就可以办好所要办的事。所以我们必须把这个产业链建立起来，双方共赢。只有我们和相关部门积极配合好了，我们这个数字证书市场前景还是非常大的。
    刚才讲广州市关于数字证书的推广和应用向各位专家和领导做了一个简要的汇报，当然我们我们的在数字证书方面的做法还不够多，不够理想。但是随着国税局小额纳税人推广以后，我们将在明年上半年我们广州市的数字证书有可能突破2千万张。谢谢大家！
    
    主持人：下面有请北京地税信息科技处副处长孙致远先生给我们演讲依托电子签名法实现税收申报无纸化。有请！
    
    孙致远：各位来宾、各位专家大家下午好。下面我向各位介绍一下我们局依托电子签名法实现税收申报无纸化这么一个工作的情况。
    我的介绍分三个部分，第一是申报无纸化的进程，第二具体实现方式，第三是预期的效果。
    首先在进程方面正好跟刚才的工业和信息化部的李司长说的内容非常的吻合。也就是说新的技术出现以后，产生一种新的社会生产经营方式，运行一段时间之后我们有相关的法律条文来规范它。再经过一段时间运行又有新的经营运营，又要确立新的方式。在我们申请无纸化的过程中有非常明显的规律在里面。
    随着互联网技术的广泛的应用，我们局在99年的时候开始了网上申报。当时有一种方式是用户名口令的方式。这种方式用了2年多的时间，到01年应该说国家的《中华人民共和国税收征收管理法》有关法律里面明确的规定了，第一是允许纳税人或者扣缴义务人可以直接到税务机关办理纳税申报。实际上包括北京地区在内的税务机关通过网上申报之后，国家出台了允许这种方式。
    第二在征管法这个法律里面留了一个尾巴，纳税人采取电子方式办理纳税申报的，应当按照税务机关规定的期限和要求保存有关资料，并定期书面保送主管税务机关。为什么会有这样的规定？我们理解这也是正确的，这是纳税人双方权利义务的保障。
    第一个用户真实的身份难以验证，当时有一句话大家都不知道在互联网的那一端可以两个小动物是谁。第二在申报信息在网上传输保密性很差，容易受到攻击。作为税务机关不能很好的履行征管法，税务机关应当依法为纳税人、扣缴义务人的情况保密的规定。国外的纳税人对自己隐私的保密性要求会高一些，在我们国内很多部门推广的网上办税也好看起来没什么问题，都是有很大的隐患的。
    同时责任无法区分，下面的例子，纳税人申办的100万，最后变成200万了，他不知道原来有人给他改了，作为税务机关也不知道应该是多少，他看到是200万，就认为是200万，所以这个信息是无法保障的。如果出现你错误的税种，比如你想划10个，最后变成了100万，这怎么办？是不是纳税人弄错了，这是解决不了这个问题的。
    还有一个是纸质资料事后补交，但出现了新的问题。补了之后如果电子数据和纸质数据不一致怎么办？按照原来的法律是以纸质的为准。如果我每一个都审核了我需要大量的人力物力来审核，比如北京接近80万的纳税人，如果我使用80万的申报资料跟我电子数据对的话及我估计税务局不干别的了，就干这个了。
    还有一个问题，这个纸质资料收回来滞后、归档、保存、查阅，我们有一个档案馆主要是存储这些档案的。我们每年档案是2000多万份的纸质资料，这种情况下怎么解决问题。我们再往下看，通过数字证书方式网上申报，再加上应用电子签名及传输加密的技术，我们解决了前面的问题，身份认证问题和安全问题。
    到2007年的时候，行业的主管部门关于两个减负提出来了，对于已经具有电子认证身份的纳税人，在使用电子申报方式保送涉税资料后，省税务机关可以选择条件成熟的地区进行取消纸质资料保送方式的试点。在09年的1号文要积极推出无纸化的审批。
    从这个看出，作为北京地税来讲到09年我们终于看到了我们的网上业务，真正办到让用户足不出户办理业务，解决了他们所面临的问题。
    原来纸质资料到底有什么作用？我们认为有两个作用，第一是证明了纳税人履行了申报义务，传统方式要求纳税人要对税务机关提交纸质申报表，这是纳税人履行了申报义务的证据。第二出现纠纷时作为证据，由于纸质申报表盖有纳税人的印章，纳税机关反馈给纳税人的一栏具有税务机关的业务章，具有法律效力，当出现业务纠纷时可作为证据使用。实际上纠纷的时候可以更好的保护纳税人的权益。
    基于这样的情况，我觉得作为无纸化的申报业务核心是电子申报的数据应该上门申报的纸质申报表具有同等的法律效力。《电子签名法》指出了满足电子签名法的数据电文要求：具有书面形式效力，具有原件效力，满足文件保存要求，具有证据效力。这样才能真正实现申报无纸化。那怎么解决呢？我们是利用数字证书、签名加密技术改造业务系统，实现了在电子税收关键业务环节能够声称符合《电子签名法》的电子证据，可谓征纳双方提供安全信任服务，避免产生责任纠纷。
    具体是这样的，第一，利用符合信产部统一给反的政务数字证书和第三方认证机构，有效的解决网上申报中征纳双方网上身份的真实可靠的，建立责任认定机制。
    第二是对纳税申报系统的网上业务数据处理各环节，产出，传输和查询进行全面改造，使他符合“电子签名法对数据点文和可靠电子签名的要求。第三是结合数字签名技术，实现电子回执的生成、下载、查询和第三方验证，为建立起网上申报纠纷解决机制提供可靠的技术基础。
    总的结构是这样的，我们和北京CA的合作，非常幸运的是经过8年的北京CA还存在，并且在发展中。如果我们没有的话，我们很多的事情都要推导重来。北京CA是证书的发放机构，他要发给纳税人、政府，包括税务机关相关的证书。同时他会把纳税人证书的相关信息传输给北京地税，这是通过CRL列表等等基础的信息。
    同时对于身份认证还有申报信息的签名来保证数据的可靠和不可篡改。具体的流程是这样的，实际上纳税人使用证书的方式来登录提交，这个时候作为税务局来讲首先验证证书是不是合法有效的身份，经过身份确认之后，纳税人可以登录到申报系统来填写他相关的申报信息，填写完了之后在提交的时候生成一个签名，验证他的签名是否有效，对于合法有效的数据写到我的业务系统中，同时把纳税人申报的原文存早我的数据库里面来。
    下一步，我的服务器会进行再一次的签名，把这个电子数据再反馈给纳税人，这样的话，整个过程就是纳税人申报的数据我收到了，他收到了我有签名数据的数据包，相当于我给了他一个盖章申报的一个回执，这样整个申报过程就完成了。
    实现三个目标，地区是基于数字证书的强身份认证方式，第二可靠的电子签名，防止被篡改或抵赖。我觉得这句话始终是有问题，如果被篡改了，我能够发现，我觉得这样说更准确一些。第三是可以给纳税人一个电子回执申报。为什么说《电子签名法》是等同纸质的效应呢？第一点是能够可靠地保证自最终形成时起，内容保持完整、未被更改。如果被篡改了我会拒绝接受，纳税人是使用自己的证书私钥进行签名的，这是一个过程。
    准确表现原来生成、发送或者接受的内容，我们是通过一个SML文件生成的，这个规定我们是确定好的，通过还原之后我们可以看到这里面的业务，看到证书的序列号是多少，通过还原可以准确的发现，在这个过程中，我是增加内容所以说承载的内容是不变的。
    我们这个项目是05年开始启动的，一直到06年8月份，项目通过了过国信办、信产部、和市信息办多部门专家的联合评测，当时专家们一致认定这个系统我们一致按照《电子签名法》的要求，设定了法律对数据电文的规范要求。经过漫长的等待，从07年到今年，我们国家终于通过了无纸化了，也正在发文件了。
    首先给大家介绍一下简单的操作过程，首先是纳税人通过证书方式登录到网上的系统。这实现了身份认证，下一步他来办理自己的申报业务，在这个过程中通过他的签名我们保证这个数据是可靠的。再往后如果可以目前划款信息由纳税人发起，这个传统的方式可以要跑三四趟，在网上申报的话，你在家都可以办了。
    这里面是税务机关可以证明划款机关是纳税人发的，还有回执。这是我们的一个保存的界面，还有一个保存的是一个文本文件，包括他申报的一些全部的信息都在上面。第二部分是纳税人证书的信息，再往后是纳税人的签名，然后是税务局的信息和税务局签名，基本是这么几个部分组成的。
    刚才的文件实际上作为我们收到纳税人纸质申报资料是等同的，也等于他拿回去的那张纸。纳税人可以在网上来查询，目前大家看到这个下拉菜单的部分，是我们支持用证书方式来支持无纸化的内容。看到的红点部分我们目前在网上除了网上申报之外，我们有一些网上变更登记的内容，这是可以通过证书方式来办理也可以声成电子原件，不用通过纸质的方式来办理了。
    纳税人可以在网上发票告诉我授权，不需要在税务机关来授权，有一些发票的功能也可以在网上来做。这个界面是还原了原件的系统演示。然后我们还提供一个功能是对电子回执的验证，这个是你拿到了回执之后是不是有这样一个申报的依据，第一是在税务机关的申报大厅进行验证。第二是依托第三方机构验证，或者司法取证。如果出现了严重的纠纷，纳税人不信任我们机关，我们可以依托第三方机构进行验证。
    所以这个电子回执有两个作用，第一是纳税人旅行纳税义务的电子凭证，第二对于解决双方的权益作用比较大。
   我要介绍第三个方面，申报无纸化的应用效果。目前对我们来讲是一个展望，因为我们虽然是06年基本具备这个技术条件，但受一些政策的限制，我们目前还没有实施。延长了申报的时间，但是没有最终解决问题。从今年7月1日开始，我们就根本解决了这个问题，对纳税人来说就可以足不出户办理网上业务。因为电子数据没有法律效力这个怎么办，所以我们一定要解决这个问题，才能真正做到无纸化。
    第二就是电子回执是法律保障，通过第三方验证是公平公正的。对于税务机关来讲，为纳税人提供安全、便捷的网上服务，依法履行纳税人所提供的信息进行保密的义务，并且通过为纳税人提供纳税的依据，明确了双方的责任，也促进了双方的和谐。取消纸质申报表，既能有效提高税务资料的收集、归档和利用，又能节约纳税人的纳税成本和税务机关的征收成本。
    我们原来税务局在96、97年收这张表的时候要排一两个小时的队很正常，最后我归档，如果按照收报档案我存15年，一年2000万份，几亿份的档案存那，会很浪费空间。最后总结实际上通过实现申报无纸化，有利于建设安全便捷、规范和谐、高效节约的税收环境。有助于提高税务机关的纳税服务水平。    
    
    主持人：谢谢孙处长，刚才工业和信息化部政策法规司的欧阳伍（音译）来了我们的会场，待会会给我们做一个会议总结。下一位演讲的嘉宾是中科院的董峰（音），为我们演讲。有请！
    
    董峰：各位嘉宾，下午好！前面的领导和嘉宾介绍了一下，就是说咱们电子签名的一些法律法规，然后前面的有些嘉宾介绍了电子签名在电子政务的一些应用。刚才广州信息办的主任也讲了，电子签名一定要用的好一定要有政府来牵头，否则的话一般应用起来非常困难。
    实际上从我们真正的电子签名的实践来看，如果我们找好了一个好的应用，电子签名能够跟应用结合的比较紧密的话，我们靠应用也能够把这个电子签名应用的很好。
    下面我给大家分享一下，我们在银行里面怎么应用电子签名的技术？我主要分几个方面讲，第一电子认证保障网银的交易，第二个电子签章实现业务创新，第三电子证据保障用户的权益。这块按照时间的顺序，银行是分这三个阶段来做三个典型的应用。
    从电子签名应用由浅入深的顺序也正好是这三个顺序。网银的安全需求这块我也不想多讲了，主要是有下面个四个方面，第一方面如何保证网银用户的身份真实性，第二如何保障网银帐号、交易数额等敏感信息不被篡改和窃取，第三数据的完整性，支付金额和转帐的信息不被篡改。第四不可抵赖性，如何保证用户提供的交易信息，事后不可否认。
    那么从目前来看，从信息安全整体角度来看，其实从身份认证也好，信息安全也好。身份认证也几个方面，有动态密码，还有加密的一些产品。还有我们现在讲的比较多的电子签名法律唯一的认证的数字证书。
    前面介绍的这些方式，在身份认证的级别来讲，他都能达到一个很好的效果。但是说如果身份认证、机密性、完整性、抗抵赖来保证信息安全，这些全面的东西都要用一个认证手段来全部解决的话，现在目前来看数字证书是一个全面的解决方案。我们讲通过这些的认证手段的比较之后，最后选择数字证书这个方案，这个类型首先是在网银的网站上面要标识网站的身份，对于这种交易的服务器来说使用了服务器的证书对于企业和个人用户发放个人证书和企业证书。
    这是网银证书应用的一个方案，大体上看我们用户首先是要到银行的柜面有一个CA系统。在银行方面没有技术性很强的CA系统。但是有一个柜面系统是融合在一起的，没有一个CA系统，他在这里面可以去填一些审评表，交一些证书或者介质的费用。用户在自己的家里，或者在自己的办公场所通过终端来登录网银的时候，走的是SSL安全的通道，这里面可以认证网站是不是被假冒了。同时在登录的时候做出一些关键的交易，也包括事后的一些信息。具体的流程的东西就不在此细讲了。实际上银行的这些系统他的网银只是一个渠道，那么证书在早期应用的时候，还只是解决一个渠道登录的真正的初步要求。
    真正在网银交易完了之后，这个钱要产生转帐这种效率的话，实际上是由后台的核心系统去做。核心系统跟网银之间，在后面还有证书。为什么我们很多用户就一直很纳闷，我及时用了数字证书还要输入交易密码、转帐密码、银行密码，密码很多，为什么？主要是电子签名技术在早期的网银应用里面，其实他仅仅解决了前面这一部分，这个渠道的安全，并没有真正的从后面的业务系统进行深层次的改造。
    假如核心系统最后只认交易密码或者是资金密码，你证书带过去的话后台根本就不认。这就是为什么用了数字证书还有资金密码，这是需要解释的。在网银中的作用，第一可以实现身份认证。保证网站的真实性，现在有很多的网银主要是网站被假冒了。包括证券公司也有被假冒的网站，这一块从几点来说，SSL证书可以保障网站的真实性。
    第一，个人和用户通过使用数字证书登录网银系统，实现安全可靠的身份真实性验证，防范帐户被盗用。
    第二是交易有效性，在网银系统进行转帐等重要交易时，通过电子签名使网上交易的数据篡改，保证数据完整性和有效性，保证了交易的有效性。
    第三是责任认定，通过身份认证、通过电子签名产生不可抵赖的电子交易证据，可以进行责任认定，防范用户对自己的行为抵赖，保障网银业务的有序开展。
    实际上的情况就是说，成交行他不相目前有些大行，可能还用的自检的方式，他用的是第三方的服务提供商。在证书应用范围有个人网银，企业网银，银企系统，商户系统。个人网银发的是个人证书，企业发的是企业证书，银企发的是服务器证书，商户既有服务器证书，也有商户本身的证书。
    从2001年网银业务开始发展的时候，发了大量的文件证书。后来一个网银的客户端的安全没有得到保障，用户中了木马很容易文件证书被盗了。前期新闻媒体大量报道，不要去开通网银，很不安全，实际上媒体把这个文件证书的危害把整个电子签名的有些东西都受到了影响。其实07年之后城市商业银行就不再发网银证书了，现在基本上发的就是KEY证书，无论是个人也好，企业也好都是。
    目前的证书用户保有量，哪些用户发起来可能很多。但是有的用户不再用了，也有的用户丢失了。目前个人的用户差不多是7.8万张，企业证书用户是3万张。而且目前业务基本上是飞跃式的发展。银行的任意一个分理处都是证书注册受理点，可以直接为用户办理证书业务。下一步正在考虑推出高级key，在这么多方面也发生了安全的问题，在用了那么多年以后也发现了很多问题，不是发现key有很多漏洞。但是客户端银行说自己没有责任，现在出现了安全内容以后，被媒体报道了以后很影响银行的声誉。这时候银行也慢慢帮助用户怎么改变客户端的安全，这块银行考虑一些的高级key，比如说带确认键，或者说带显示屏。你转帐的关键信息可以让客户看的到，而不像原来在调的时候用户一点感受都没有，现在有用户的参与可以有效的防止木马。
    电子签章，前面将很多东西用户没有感受。用户经常会问我们到底怎么做签名，我们签名的内容是什么？其实你看的是一种乱码。现在就是说如果把电子签名能够形象化一点，让用户体验更好一点。我们可以把电子签章技术也引入银行系统里来。其二网银的应用都离不开银行系统，用户其实感觉很不好，我离开系统什么事也干不了。类似于电子签名也好，数字证书也好，是我们网络中间一个章的话，或者是一个身份的话，我应该离开服务器也可以去做一些事情。就针对这些东西我们的电子签章可以让用户自己能真正控制的，这块银行第二步考虑签字签章的管理系统。
    这块从银行的业务部门来说，是能够增强影响高端客户的一个手段，提高效率。电子银行和票据中心就IT创新推动业务重新，可以实现全过程的电子化。而不是原来你做了一个事情，还要到台面上去签字。现在的话你这种电子化的票据可以直接丢到网银系统，网银系统自动把资金的划拨做完，而不需要让银行的工作人员参与。但是现在电子签章系统实现不了跨行，在行里面各个支行可以做。如果是全国运营的话，可以从一个地方到另一个地方，主要是用户自己签的这种票据是可以实现这种功能的。
    那么电子签章制作和使用这种控制，或者说审计这是业务开展的一个关键。我们很多银行，比如工行，他也有电子回执是作为一个参考，用户可以作为参考，最后的数据以网银的数据为准。但是城商银行是一个业务系统，我代表一个企业签一个票据，说白了电子签章只是对企业用户来开放，如果用的好用户个人也可以用电子支票。
    这是电子票据系统的一个总体架构图，这里有一个核心的东西有一个电子签章系统。就是他的电子签章的生成、使用包括最后的归档，这里面做了一个全生命周期的管理，不在是一个图片，用户感觉是一个形象化是一个真正的章。  
    流程就是企业用户在访问企业网银的时候，先验证证书和用户身份。第二在用户对电子票据进行签章时会连接到电子签章管理系统验证用户签章权限，如用户具备相应签章权限，则允许用户获取签章的图片进行签章，反之拒绝。
    银行电子签章管理管理员可以通过电子签章管理系统对签章进行统一制作、生成、废除等生命周期管理。并且可以通过签章管理系统对用户的签章动作进行审计。
    但是银行的业务部门，一些支票也好，银行只认你在他那流程的一些章。你自己制作，或者通过第三方制作的章没有在他备案的话，银行系统是不认的。这是实现了一个商业汇兑的票据，这个系统是08年8月开发的，08年11月正式上线，安全实现商业汇票通过网上银行和票据系统完成签发、承兑、交付、托管、贴现、委托收款等业务功能等，人民银行在牵头做这种跨行的票据。
    前面讲都已经实行而且做的已经非常好的。但是第三电子证据保障用户权益，如果我们保障用户在电子商务也好，在网上的合法权益也好，那么电子商务永远只是一个技术手段。他不是他的一个核心价值所在，真正的电子签名要用起来能够保证用户的权利才是真正的生命力。
    第三个项目是银行正在实施的，还没有实施完。这是一个电子签名技术应用的新阶段，他是从技术保障走向了一个法律保障。也可以说是从一个身份认证的技术手段走向一个权益保障阶段。
    这块的需求刚才税务之间的需求很类似，我们在现实生活中我们做任何事情。包括传统银行的业务，除了银行自己流程纸质的凭证之外，他会撕一个小票给你，这块用户签字，银行盖章。一定出现交易纠纷，对不上帐的话，你可以凭回执可以打官司，不需要找坚定机构来进行鉴定。在网上交易里面，用户的权益还是得不到保障，什么原因？是用户没有手持的凭据，在网落买一个东西成功了把电脑一关，什么都没有，那如果出现了问题用户怎么进行举证，怎样打官司。你去告银行，那么你得举证，用户手上什么都没有，这是网络世界一个情况，就是我们做这种东西从3·15报道以后，很多用户对网银产生了信任危机。包括一些记者也在说你千万不要随便开通网银很不安全等等。
    实际上是不是这样，我们有没有方法让用户比较有信心用网上银行的。这块是我们电子签名可以保障的。目前电子签名在网银上中的应用不足，在证据生成上，数字签名使用简单化，不考虑业务语义信息，不满足《电子签名法》可信数据电文的要求。第二在证据展现上，达到不到原件内容效果，不具有直接证据效力。你可能请了一个非常好的律师，他业务的经验非常好，他的这些法文条例的解读，就可能打赢。但是请的一个比较差的律师这个官司可能就打输了，原因就是他不是一个原件，只能作为一个中间的证据，不能作为直接的证据。
    应用的目的，通过提供电子证据的生成、存储、查询，展现、验证、下载、删除等一系列电子证据生命周期管理服务，从而为网上银行系统建立起交易纠纷解决，责任认定机制提供可靠的权益责任化解网上银行的风险。
    实现合法电子证据的生成，根据《电子签名法》和相关法法规的要求，为网上银行业务电子证据的产生提供可靠的技术功能实现，使得电子证据达到如书面形式、原件效力、文件保存，证据效率等法律的要求，从而确保所产生的电子证据真正能达到如纸质的要求。
    实现电子证据的维护管理，提供对网上业务中所产生的合法电子证据进行全面的维护管理，包括电子证据的导入、到处、保存、查询、展现及验证等功能。也可以委托第三方的机构，一旦出现纠纷司法机构需要举证的时候可以提供证据。
    最后讲一下电子签名在应用的中的一些心得，首先要遵循国家的法律法规的政策。只有做到首先你是在法律法规上面，遵循国家的政策之后你做的这些技术手段才能达到效果。假如你这个前提都没有，你这个技术再怎么好充其量也是一个技术手段，不具备法律效率，从目前的实践来看我们把他作为第一个。
    安全和易用需要平衡，保证安全同时兼顾效率。保证安全同时兼顾效率，在电子商务这块，其实在银行支付等等金融机构用得很好。唯独在交易实践性比较高的，证券这块他用就不好，他这块易用性比传统的要差。那么PKI你用不用，你电子产品再怎么好不用什么也保证不了。我们在真正使用过程中，不考虑他的感受、应用的也是很难的。
    第三，电子签名法的实施贯彻还有配套设施应该要跟上，用户对这种安全的重要性或者是价值是体现不足的，用户也不愿意为这种安全的增加投入。在我们的银行里面很多人都不知道这个IA系统反过来可以推动银行的业务创新。作为一个技术支持，或者法律保障的话，这些业务是没有办法去开展的，靠手工操作是不可能做到。比如说银行的票据业务还有像高级Key，手机银行，手机可以使用证书，这些创新可以加大电子签名的应用程度。
    最后一个技术必须和管理结合，电子签名技术不是万能，很多用户就因为电子签名比如在使用过程中，出现了这样那样的问题之后而否定这个电子签名技术的权威性，这块也是不对的。但是从我们的实践者的角度，还是辅助一些措施，这样我们的电子签名技术才会应用的更好。我的汇报就是这些，谢谢大家！
    
    主持人：好，谢谢董峰，下面有请工业和信息化部技术专家詹榜华，给我们介绍一下电子签名的技术支撑环境。有请！
    
    詹榜华：各位嘉宾大家下午好，今天讲的这个题目怎么来的？我先讲讲这个题目的来源。在座的大家到这个地方来，一个是我们的从业人员，电子政务和电子签名的，我们一直受到一个困惑，《电子签名法》一个技术应用有一部法律支撑呢？我们做生意的人觉得生意做的太小，没做够，发展不好。用户觉得应该有一部法律给我保障，你们一堆人做也没给我提供什么很好的服务。
    目前通过《电子签名法》的出台以后，但是跟大家对于这个行业的期望差的很远。我们应该能够发挥得作用差的很远，鉴于这样的情况，工业和信息化部政策法规司就组织了一批人从技术上研究这个运用。我们在技术上还缺什么，我们要落实《电子签名法》，要按照《电子签名法》所有的条文条款的本意，要落实到实实在在的现实生活中去。其实这个情况从我们应用当中介绍的情况都看到这种现象，大家一直去讨论有这样的一些技术问题，所以需要去确立电子签名服务，究竟他的技术环境是什么？我们这个从业人员在这个行业里面所有人的责任，把这个技术环境构造起来、打造起来，这样才能推进我们电子签名真正在我们的现实生活中发挥作用。
    所以我想讲三个方面的内容，第一是网络诚信危机与电子签名服务的需求。第二是电子签名服务技术框架与关键技术。其实我们前期讨论的这些内容，这些是只供大家参考，大家可以继续提供更多的建议。第三当前可信数据电文的应用实践，反过来我们看到点点滴滴的一些应用，像三个用户单位讲到的跟我们展现的一些事情，我们也相当与看到了曙光，未来我们往这个方向努力。
    首先我讲关于信息化应用的诚信危机。第一是“保单门”，我们去年、前年炒的很热的事情，就是关于电子保单的问题。有很多很多的电子保单，我们买了，但这些保单不是保险公司出的，是那些代理机构随便自己画了一个保单的样子打印给你你就付20块钱给他。如果遇到法航的事有一个人算起来要赔960万。
    第二个问题我们再看网上彩票，07年的时候财政部国家体育总局专门发了一份文件，不准在网上卖彩票。其实网上卖彩票是非常方便、非常适合彩民的需要的。我们曾经做过一个事情，上一届也就是2006年世界杯的时候，就在网上卖彩票，很多网上彩民都是学生、各种各样的散户，你说你要都集中到卖彩票的店去很难。其实通过互联网的销售彩票是非常好的，可以推进这个业务，我们国家下一个政策就是几个部委联合法文，把这个业务停掉，我们不挣这笔钱了，这也是一个很痛苦的事。
    为什么？实际上就是私彩的问题，当时网上有500万，新浪、搜狐都有彩票频道，你可以直接花钱买彩票，结果发现互联网上卖彩票的站点特别多，你买的彩票都没到体彩中心去，他根本就没收到，这个就是自己做一张单子就发给你了。其他的业务都都因此受到了影响，不仅仅是出现了纠纷，一方面作为凭证，在网上没有了。所以我们在现实中握在手中的是真实的凭据，数字化后变成真正的空口无凭。这样的话，以前我们有购物小票、汇款回执所有东西都有一个凭证，到网上就没有了，这个凭证就阻碍了很多非常有价值业务的开展。其实这件事情我们国家为什么要拟《电子签名法》，其实是为了让我们在构建一个诚信的网上社会，能够为我们业务开展构建一个诚信的环境。
    所以在《电子签名法》里面去规范对电子数字电文可靠的电子签名和手写签名，数字电文不能仅仅因为它是电子的而拒绝它价值的存在。在这方面提出了很多要求，这些要求在我们的方法里面又实施的怎么样呢？我们也在反思，这次讨论的时候大家也在反思这个问题。我们说《电子签名法》出来之前我们都做了电子签名，类似于前面董峰的演讲里面，大家看到了这张表单，我们把这个数据写出来进行签名。
    那个角上画红的地方和上面表单直接的差距，我把那个单价和数据位置进行了交换，做IT都知道无非就是一个表单的模板。我就只交换了这样两件事情，同样钱买的东西全部变了，那边是单价30元，我可以买40把雨伞，我花1200块钱。最后出现纠纷以后，这个数据还是这个客户签署的数据提交上来了，他把模板换掉了，我们以前没有对这个模板进行鉴定，出来的效果是你只能买到30把雨伞，同样是1200块钱，当出现纠纷的时候，这个争议没有人可以解决。通过这个问题，在《电子签名法》里面为什么要花那么多的章节去讲数字电文，去讲什么是符合法律法规所要求的书面形式，文件的保存形式，原件的保存形式，相关的提出了很多的要求。
    所以我们要重新的领会《电子签名法》的整体意思，我们应该开展哪方面的工作。推动电子签名服务发展，运用电子签名做这些事情，把前面业务开展过程中碰到的问题都解决了。这个地方我们提出来一个关于电子签名服务。我们是一个服务提供商，我们提供什么样的服务？千万不要认为我们的职责就是发个证书，收他200块钱或者是怎么样，其实我们就是提供电子签名服务。
    电子签名服务是什么呢？既是一种信任的服务也是一种安全服务。它是以合法电子认证服务为支撑，电子签名服务仅仅是我们电子签名服务里面的一个要素，以可靠的电子签名技术为手段。因为刚才那一串技术不能改了，我们的密码技术非常可靠。运用现在的密码技术来做电子签名，这真的是可靠电子签名。这个技术还不够，要通过建立可靠的数字电文形成有效的法律证据，从而提供可靠的身份认证，这是电子签名服务应该提供的东西，应该为我们信息化发展提供有利的支撑和工具。
    在这里，我们提到了什么是可信数据电文。就是符合《电子签名法》中关于书面形式、原件效力、文件保存和可靠的电子签名等方面的要求，实现来源的真实可靠性和内容，形式的完整性的数据电文。
    通过这些业务的发展，需要我们在电子签名实施、电子签名服务需要做这样的事情。围绕按照这样的一种思路，我们研究我们的技术体系。我们整个实施电子签名的技术体系是什么？我们介绍一下我们的认识。一个是技术框架，我们说电子签名在司法的实践过程中，很关键的一个内容是讲证据。我们说一个取证的时候，把一个东西作为一个证据的时候，我们特别关心他证据来源的可信。
    就是说你这个证据是来自于可信的，而不是本身证据来源就是假的，就不可靠。还有证据生成的合法性，证据在生成的过程中，法律所要求的各个方面你有没有？你做没做到？还有证据验证规范性，你是按照什么样的程序去验证和证明。其实我们在打官司的时候是跟法官证明一个事情，你是不断的跟他讲一步一步演示给他看，拿出不同的实物，不同的证据来进行证明，我所主张是对的。这样一个证明过程，很多时候你让法官人为的判断很困难，特别是说到现在信息化这样一个状态，高技术的情况下，他要人为的判断非常困难。
    所以通过这些方面的分析，我们需要什么样的东西呢？我们说电子签名服务你需要密码技术。我们刚才提到了可靠的电子签名，我们其实很大一块内容在今天的技术环境，我们做了一个分析，像指纹认证等等。但我们按照可靠电子签名的要求去评价的时候，我们觉得当前比较完整、完善的技术，应该还是我们的密码技术。在这个技术之上应该有可靠的电子签名服务，按可信数据电文服务去保证它的生成证据的合法性和可信性，以及相关的可靠的电子签名技术，基于KPI的电子签名。
    以前我们大家走到这个地方了，在这个环节，我们目前存在了很多的技术，不是说完全已经完善的很好了。应该说这方面还有很多工具和手段供我们使用。我们往上看，法律法规所要求的书面形式的要求，法律法规所要求原件的效应，后面我会讲这几条的要求。我们不知道用什么技术去做，我们抽象出来叫可信数据电文技术。你离开了可靠的电子签名是没用的，皮之不存，毛将焉附。签名人的真实意图是通过数据电文来表达的，我们需要有一套可信数字电文来解决整个应用过程中最后一公里的问题。
    质量评估与验证技术，所有你这些东西，你说他好，我说他好，为什么他好？你好的理由是什么？你符合法律法规的理由是什么？这些需要用标准，技术性强的东西最好用标准。这种复杂的事情变成一个专业机构的测试、评估来拿出来证明它，我们要让大家有信心。为什么我们在推广的时候，别人会问你们评什么保证，我们有工信部给我们发了证，我们很厉害，这是一个方面，其实还需要我们很多时候有这种技术标准，一二三我符合国家的某某标准，有公信力的证明过程更好。
    目前整体来看，在这样一个技术框架里面，我们说有三个方面，密码技术、可靠电子签名技术、可信电子认证服务这块都是等等有的基本上成熟了。可信数据电文技术，可靠电子签名技术等等，我们今天很多用户谈到你们有30多个认证机构，这些认证机构怎么样？服务水平如何？哪个CA不好，不好在什么地方，没有指标和方式去评估它，也没有一个可靠的人员告诉大家。
    所以我们要增强电子签名的信息，必须有一个公平公正的机构，目前质量评估与验证技术是我们所欠缺的一个内容。按照这样的框槛，大家提出来了，一个是可信数据电文技术的研究。究竟如何去解决好可信数据电文技术？以前提供给用户就是一个FPI，怎么样进行管理？加密怎么做？应该构建怎么样的参数？我现在说你应该再往前走一步，跟应用连接解决最后一公里的问题，所以要解决可信数据电文的技术演讲，这影响证据生成合法性的几个方面：一个是与《电子签名法》相关要求的复合型，第二与具体的业务相关法律法规要求的复合性，你整个过程是怎么样的。04年《电子签名法》出台以后，他们就去研究，研究完了还去跟税收监管法去兑，这个方面的研究也是非常值得去做的。
    主要研究内容是：书面形式、原件形式、文件保存形式等，在关键业务应用领域的相关法律法规要求的实现技术研究，如评剧法、合同法、民事证据法。《电子签名法》的相关要求，关于书面形式的要求是能够有形的表现所载内容，并可以随时调取查用的数据电文。我不知在座的清不清楚，我们有没有一个统一的规范说法。
    第二关于原件形式的要求，不但能够可靠的保证自最终形成时起，内容保持完整，未被更改。但是在数据电文上增加倍背书数据交换、储存和显示过程中发生的形式。关于文件保存的要求，还有影响数据电文作为证据的真实性的因素，生成、储存或者传递数据电文方法的可靠性，保持内容完整性的方法的可靠性等等。
    这些内容，核心的关于可靠的很重要一点，可靠的电子签名手段的要求也是应该关注的。所以我们从电子签名对一个数据电文能够被法律所采信，提出这么多的要求。不是做一个简单的电子签名就符合要求，这是我们从业者应该去深刻的理会这个精神。
    第二，相关业务领域这些法律法规的要求，《票据法》、《合同法民事证据法》、《民事诉讼法》、《行政诉讼法》都为司法实践提供技术支撑，这也我们要去做的。围绕数据电文生命周期开展研究，我讲一下关键信息的采集，有一个问题在《电子签名法》里面讲关于电子签名定义的时候，讲了很重要的概念，要真实能表达签名人的真实意图。所以你采集来对它进行签名的数据是不是采购的，是不是真实的表达意思都采到了。只是把数据采到了，没有说明他真实的采纳意图，你必须把详细的内容都采到。
    这是当初最早的时候对电子签章最早的供给，这是我们采集信息的时候，来做电子签名的时候没有关注颜色这个信息。其实这个文档的颜色的信息对表达这个意图是有影响的，结果我们没采集够，结果前期验证的时候是对的，但实际上本来是1000块钱，结果看到的是100块钱。所以这是关于采集这块如何把信息采准，这是当前做电子签章目前面临的非常重要的挑战。
    还有满足法律法规生成技术，关于可靠电子签章里面关于生成的技术的要求，能够把保证生成的东西一定是表达的真实的意图。这些过程以及对关键性信息的提取与符合性验证技术，我们在讲到传输的时候也有相关传输的要求，这些方面应该开展研究，应该做事情，怎么去做？还需要靠大家沟通渠努力，共同去做事情。
    重点的话，当前紧迫的是解决这三类数据。因为这三类数据使用非常广泛，而且经常是作为证据来使用。像凭证，我们刚才看到的银行的票据，税务的报表这种类型都是属于凭证的，它是完全的结构化，像证券的保单、彩票都是属于结构化。还有一类数据就像电子记录这些数据，比如说病人的病例，一个人的档案，包括学籍档案等各种各样的档案，这种数据有一定的结构，你必须要保存，但这种结构没有那么固定，而且这利民的数据不停在变，长期处在一个持续变化的过程中。你这次填完了，下一次填另一个数据，这样如何保证符合书面形的要求原件的要求不一样，还有很多工作要做。
    还有一个是合同，它也有它的特点，合同的签署过程，保证合同在签约过程中的有效性和真实性，这是很重要的。在这三方面提出来，希望大家重点在这方面尽快为我们紧迫要用的东西去解决这三方面的东西。比如说电子记录，你看起来你应用好集成，跟应用系统有效的集成，有这么一个有效中间件，形成一个记录的管理。在这个过程中怎么保证前进的数据跟相关的结构之间的关联关系，怎么有效的整合到一起，我想这些方面都有很多事情。
    在这方面在解决可信数据电文这几类技术，凭证的背书，是根据原来原件之间的信任关系怎么处理，你用什么样的技术保障它。凭证业务规则你怎么保证数据和模板之间的关系，如何去相互适应这种关系。凭证的可靠打印技术，凭单大家打出来如何去做，还处于虚拟化阶段和现实之间的连接，还有电子记录变更轨迹签名及验证技术，电子记录动态组合及验证技术，公平数字签名技术。
    另外还有一个技术是用标准来去证明，我们通过研究我们感觉到，一个要充分利用已有的标准。我们看到了我们所依赖的技术都有很多密码的标准、电子信息的标准很多，国际国内都，我们要充分采用这些标准。还有技术规范的研究，一份可信数据电文要达到一些要求，达到必要的要素是什么。这些要素之间应该形成什么样的关系，这样的格式是什么？电文的管理就查询、保存、传输相应的关系，我们叫做电子签名服务基础规范。在这三个可信数据电文规范基础之上，我们使用广泛的凭证记录合同，我们有一些相应的规范。
    接下来就是电子签名服务质量指标体系和评估规范，评价一个电子认证服务质量指标体系，你从哪个方面评估？有没有30个人，有没有3、4千万的资金，这只是一些硬的，比如说你系统的环境指标。我们说服务的内涵还很多，服务过程影响的要素还很多。这些指标的模型，电子认证服务质量的评估规范，我们用什么指标来评估，达到什么规范，怎么去做？这个是跟标准的符合性的测试阶段。我觉得在技术方面，我们应该围绕这几个方面去做。
    具体到质量评估这方面，有电子认证服合法性和可靠性的评估。我们希望这个评估，我拿到一个证据来了以后，我希望有人给我评估、评价，评估我们在服务过程中的一些要素环节，对这些服务商服务质量研究，根据服务报告去选择、寻找。认证机构的合法性，数字证书是否规范，是否按照发布的业务操作规范开展服务。这个东西怎么评价，目前这方面的技术，我们说我们每一家CA都发布了我们电子认证业务规则，究竟这个业务规则跟我们的实际操作是什么样的？王处长不可能天天看着我们，想看也看不过来，我们要有手段、技术客观的评价。
    认证服务的运行是否存在违规行为，认证服务开展是否存在潜在风险。我简单的列了一些方面，应该还不完全，这是我们需要做的一些技术。电子签名的可靠性验证，数据电文可信性验证，这些方面的评估验证方面都需要我们去做。在这方面我们希望通过这些评估做完之后，整个对电子签名服务的评估，这样我们的用户就拿到一个证据，我们未来建议工业和信息化部能够在工信部的网站上放一个这样的测评，就像放一个公平秤一样，谁得到一个数据电文就可以去测评。
    用了我们的技术就可以去操作，反而司法鉴定机构有一套标准的手段去进行鉴定，他愿意用《电子签名法》的要求去提供我们给用户的服务。所以我想质量评估和验证也是一个重大的研究方向，需要大家花很大精力去做。我们这段时间我跟协调司的领导讨论、形成了这样的认识。真的是仅仅是一个认识，一个完善的技术体系，一个完善的技术框架是什么，还需要大家做更多的努力，今天我想谈的内容就这么多，不对的内容希望大家批评指正，也希望跟大家做更多的交流，谢谢！
    
    主持人：谢谢詹博士，今天的演讲就到此结束了，如果各位嘉宾有什么问题可以在底下交流。下面有请工信部协调信息安全司欧阳伍副司长为大家发言！
    
    欧阳伍：各位专家、各位与会代表非常高兴有这么一个机会跟大家交流。因为我是新到信息安全司，因为去年下半年的时候才接手管理CA这个行业。接触一段时间以后感觉《电子签名法》为我们打开了一个很巨大的一个市场，也为我们的信息化的应用奠定了一个坚实的法律基础的。
    经过一段时间我们发现电子签名用的不是很好，尤其是用户对电子签名的效率和可靠性持有怀疑的态度。更多的是看不见、摸不着也没人会说清楚，所以使用的时候普遍的不接受。当然我们在今天的发言里面我们也发现，实际上我们很多应用是应用非常好的，它能够满足用户以及一些应用单位的一些需要，而且还能给我们带来很大的方便。
    这中间究竟问题究竟在哪？实际上我们半年多来，一直在考虑这些问题，究竟问题出在哪？利用这个机会听了前面专家的介绍，我想谈三点体会，浅浅作为一些总结。实际上我想讲的话，刚才一些专家和应用单位的代表都已经讲了，讲的非常好、非常透，我主要把他们讲的做一个归纳，让大家有一个更加简洁、清晰的认识。
    第一是电子签名和手写签名的关系，我们在生活当中随时随地遇到，我们在办理很多业务的时候都会留下自己的手写签名。就是为了事后如果产生争议的话有一个证据，或者说有一个凭证可以证明你对某一个文件的认可和对某一个行为认可。那么到了电子、网络的环境下，这个签名就不可能像我们现实生活中手写签名那样，因为我们签署的对象是一个电子的文件。怎么确保我们网上的行为，和电子文件的内容是认可的，这时候法律给我们提供了一个手段，可以用可靠的电子签名的数字电文进行签名，这样就具有同等的法律效力。
    电子签名和手写签名最大的区别在什么地方？手写签名非常直观，非常简洁，手写签名签的书面文件非常好保管、好验证。但如果转到网上以后，由于技术的复杂性，很多人不理解，保存也麻烦，很容易灭失。你存到计算机里面，病毒来了你很多东西就没了，怎么去验证比较困难，怎么验证，很多用户不了解这个过程。
    实际上这两者之间电子签名和手写签名，在法律上有一个很重要的结论，如果可以达到同等的功能，就具有手写签名同等的效用。实际上我们在电子签名的实际应用当中会发现很多人在业务过程当中，就把手写签名应该签名的环节给省掉了。我举个例子，在网络银行的过程中，银行去办一个储蓄业务，你把钱交出去以后，银行就会给你一个回执，会盖一个银行的章，证明你存了多少钱。可是我们网上银行的时候，银行就把这个回执的过程给免了，很多网络银行不给客户提供电子回单，我们的用户在网上存了一笔钱之后，怎么证明银行把钱收到了呢？实际上电子签名并没有达到手写签名功能等同的作用，实际上法律是要求他具有功能等同的，这个我们就认为你只做身份认证，不做可靠电子签名，那么这就不应该具有手写签名同等的法律地位。这是关于电子签名和手写签名关系的问题，电子签名一定要和手写签名具有功能等同的效率。手写签名必须签的话在网上也必须签，不能把这个过程给省了。按照案例介绍某家银行的电子回单，包括税务部门介绍的，这是对法律更好的理解。
    关于验证的复杂性和验证的困难需要有一个专业的机构来提供这样的服务。比如就拿医院看病举个例子，实际上医院有很多仪器，现在相当于我们有很多电子签名的技术系统，但从仪器到检测报告，最后根据检测报告开出药方把病治好。对于普通老百姓来讲，不明白跟多技术原理、操作过程让他理解很困难，这就需要一个专业化的服务机构，我们认为就是CA。
    它应该给用户提供一个关于电子签名，全过程的一个可靠的服务。让用户不用对电子签名技术过程有非常详细的了解，但他信任它。他说了这是可靠的就应该可靠，实际上电子签名服务是由CA机构来提供，CA机构又提供哪些服务呢？要提供一个可靠的电子签名技术，第二要进行可靠身份认证，第三他应该提供可靠的验证服务和可靠的保存服务。当然这些服务可能由CA来提供，或者是其他的第三方机构来提供。
    另外签名服务里面还有一个叫证据的证明。就是电子签名的鉴定服务和可信数字电文的鉴定服务。这个鉴定服务应该得到法院法官的认可，就是今后电子签名的机构也应该具备司法认可鉴定中心的职能。
    第三想跟大家分享一下，签名服务如何完成刚才说的过程。刚才张博士也跟大家介绍了，这半年来我们一直组织很多专家在讨论。而且目前我们很高兴得得到了科技部的支持，准备就整个电子签名服务体系建设做一些工作。就把刚才提到的一些关于可靠的电子签名技术的服务，可信的数字电文的技术标准以及验证服务，保存的服务，从刚才谈到的一些概念落实变成一种技术，变成可提供的一种服务，这样用户就免除很多的理解上、操作上的麻烦，直接享受到电子签名的服务，这样《电子签名法》就可以得到很好的应用。
    我就这些体会，算是对今天大会交流的一个小小总结，实际上很不全面，谢谢大家！
    
    主持人：谢谢欧司的总结，给我们的论坛划上了圆满的句号。下面是抽奖环节，在座的各位都有机会。
    （抽奖）
    —完—

主持人：在这里感谢大家在午餐之后回到我们的会场，在这里做个自我介绍，我是计算机世界的记者田梦，欢迎大家来到我们内网安全的论坛。
    首先非常荣幸地介绍一下到会的三位嘉宾，他们是东软网络安全营销中心产品策划部部长王军民先生，Websense中国区技术经理陈纲先生，还有一位是国航信息管理部技术管理办公室高级副经理李宗琦先生，他现在还在路上，我们一会儿他会有演讲和最后的高峰论坛跟大家有互动的交流。
    首先我们请到东软网络安全营销中心产品策划部部长王军民先生，他会给大家介绍一下流控安全方面的内容，演讲的题目是“技术创新助力企业安全建设”，有请。
    
    王军民：感谢大家给我这次机会，跟大家介绍一下我们东软方面的情况。
    上午我也听我们国家相关政府的领导和同行讲了网络安全的内容，其中提到了一点，美国现在奥巴马政府非常关注网络安全的问题，也要组建网络安全的司令部。这些在美国从2005年的时候网络安全事件2008年是4千多起，到2008年剧增在7.2万起这样的数量。所以在一些发达国家他们受网络安全攻击威胁要大一些，因为他们的网络要发达一些，同时他们受到的损失也是很大的。
    网络安全的范畴里是永恒的话题，我国也在不断地关注网络安全的建设。今天，我主要是在一个大的安全的范畴中抽取一部分，针对于流量，针对于我们如何关注于企业的流量。
    流量的问题相对于来讲是一个棘手的问题，因为我们以前有一些客户，保护电信运营商和金融用户也好，他们跟我们讨论的时候会说他们的网络每年都在扩容，带宽每年都在增加，但是始终是发现它的带宽资源不够用。假如说我第一年租了一个百兆带宽，第二年我必须再增加100兆，甚至是更多的带宽。其中的原因是带宽资源是合理的利用的呢？其中有一些类似于P2P视频异常的流量在干扰着它正常的带宽资源。所以，我们希望通过技术创新能够给企业，给政府提供更好一点的解决流量问题的思路。这个也是我国十七大以来我国政府也在倡导构建这种创新型的国家，东软也是在一直基于这种自主研发，不断地向国际的一些合作伙伴来学习、创新，希望我们的创新给企业用户带来一些价值。
    在我们的网络里，这是第三方的统计，据统计正常的业务、正常的流量只占了网络中大概10%的情况，而更多的资源是被在非法滥用掉了。这在管理学上有一个叫做冰山原理，在网络安全上也有这样的冰山管理，在带宽资源中真正能够用的很少，更多的资源被无形中浪费了，被其它的非法资源占用了。
    我们看看当前的网络里到底有哪些东西在干扰我们，首先我们会看到Youtube视频的网站，这个2007年的视频流量就已经达到了2000年我们互联网的总流量。DDoS2006年为2.5G的流量，2007年为24G的流量，而2008年达到了40G流量。它会通过僵尸主机来占用大量的流量。还有我们的BT下载，占用了比较大的网络流量，现在视频是占有网络容量最大的，BT已经居为第二。
    针对流量有另外的问题，假如80端口我们可以通过工具来限制，像我们的BT下载可以把端口改为80端口，同样在浪费资源。所以，通过端口带宽的限制，也无法解决网络滥用的情况。我们统计在互联网里面通过80端口的流量应该是最大的流量。这也给我们带来了投资的损失，如果能保持网络现有的资源不去扩容，这对我们企业是资源的节省。如果要做到这一点，就需要我们不断地对内网的流量进行检测，并且把异常的流量过滤掉。
    可以看到，在我们的网络中，有很多的正常的业务流量，同时还有非法的流量。我们要对于流量进行检测的时候，要分清楚哪些是正常的业务流量，哪些是不应该发生的流量，这都需要我们正常的手段来进行过滤。
    过去我们有防火墙、QoS的设备，这有局限性，每个防火墙和QoS只能是在一个节点控制流量，无法对全面的流量进行控制。东软在全国有八个大区，在全国我们是广域的网络，如果我想对全国的东软的网络进行管理，通过一台或者几台QoS设备的管理是无法做到的。另外，对空气对象上，对DDoS、应用层协议滥用等进行约束，这没有办法实现动态的控制。假如我们正常办公的时候工作的8小时内必须要保证我的正常的流量，8小时之外我可以允许员工去下载别的东西。这个时候少量的视频可以允许，动态的流量在QoS里面是很难做到的，我们可以通过人工智能的方式来自动地调整网络带宽里面的资源。针对于性能，我是定心的运营商，我们网络里动不动有几十G的力量，我们怎么控制，把QoS串联进去这显然是不现实的，所以我们必须要想办法对它进行控制。
       我们对流量的检测和解决方案，我们根本的目的是当关键业务的流量受到伤害的时候，要确保我通过解决方案企业的流量业务的带宽不断增加，异常的流量不断减少，这是我企业想要达到的目的。
    下面是我们针对流量控制的方案，我们的定位是分位几个不同的层次。首先，运营商更关注的是他的带宽因为是上百G的带宽，只要保证带宽可用抵御DDoS的攻击就可以了。像针对于IDC的需求，行业、企业的网络它希望能实现动态的净化，这是不同的用户需求也是不同的。我们方案的目标是分层检测，通过DFI、DPI来进行检测。我们通过DFI进行全网的检测，通过DPI进行深层包的流量的检测来进行有效的网络的隔离。
    这是我们整体的思路，当互联网的流量到达企业网络的时候，企业内网的流量要往外走的时候，首先要通过我们NTARS这很陌生的流量，不一定是DFI的攻击，最后我会允许正常的流量通过。
    大家可以看这个方案图，首先最上面的层面是NTARS来进行管控的层面，会通过DPI、SNMP、DFI来检测网络中是不是有异常的流量，如果有它会把异常的流量牵引到专用的过滤净化的设备来。这个设备可以是矩阵也可以是单台的设备，这主要是取决于我们网络中带宽资源的情况。
    NTARS是网络流量分析与响应系统，这个系统好处是以旁路的方式部署在网络中。我们的网络不管是什么都可以通过NTARS对流量进行很好的监控，对它进行监控、分析，然后通过NTPG流量净化与管理的网关来进行流量异常的检测。
    针对于我们的企业针对于大的广域的网络，我们可以给用户提供增值的服务，比如说华为、东软大的公司我们租用了电信的带宽，我想知道我们的带宽利用率是多少，华为也想知道他们的带宽利用率是多少。但是我东软上去不能看到华为的流量，华为上去看到东软的流量，这是不允许的。这里我们提供了类似于虚拟的技术，可以保证东软上到NTARS的系统里面，我可以看到自己的流量，但看不到别人的。华为也是这样，通过这套东西可以提供流量分析的工具和手段，对电信运营商来讲是给他们提供了增值的服务。
    在企业内部也是一样的，以我们公司为例八个大区可以自己每个区域看自己公司的流量，我们对公司定期有流量的排名，每个区域去管理自己的流量，我根据分区提供依据。
    这是我们对流量分析的介绍，流量可以针对于流量的内容，流量的流向以及流量中到底是什么时间是正常，什么时间是异常的，对它进行全面的分析。
    在这里，我们有一个自我学习的机制，这种技术采用人工智能的方式，我们可以将NTARS的设备放在网络里，我们不需要人工地去干预，让它自己去学习，让它以一种曲线的方式来学习我们企业里白天8点的时候是多少，8.01的时候是多少，这样形成曲线，这样会接近于我们日常企业对带宽的利用。循环利用之后作为我们的基线，忽然有一天企业发生变化了，不按照基线来走了，这个时候网络流量肯定是有问题了。
    基于这种NTARS，我们网络分析与响应系统，我们可以复合地检测出多种数据源，我们对数据的定位到物理的层面或者是量的层面，我们可以分析出是哪个接口，我们也可以对全网的流量进行统筹的分析。像医院一样医生给病人看病无法确定的话，可能会有专家的会诊，而NTARS会采用这种方式，采用多种来确定到底是合法的还是异常的。我们的手段有DPI的，有路由的波动等等一些手段。
    NTARS不仅仅是在旁路的侧来分析，最关键的是可以提到响应的作用。ICA机制是我们正在申请专利的技术，这种机制可以看到这个图，实际上当一个网络中流量产生的时候，NTARS会对它进行检测。当它发现这个网络里如果这些带宽流量异常的时候，会通过等等一些手段将网络中他认为异常的流量牵引到过滤的网关中，这可以是嗯NTPG也可以是其它应用层的检测设备。通过这种过滤，我们可以确保正常的流量通过我们的流量，异常的通过NTPG进行过滤掉。
    针对于NetEye流量管理方式，我们总结它的技术优点，包括全局的角度来掌握网络的状况，它关注的是面的问题，NTARS不仅仅是局限于某个节点，会从企业的全网来监控，看哪些流量是正常的，哪些流量是异常的。我发现了DDoS攻击的时候如何处理，当我发现了网络中流量下载视频的时候如何去处理。通过这样的方案使得企业内部整体的流量得到很好的管理，而不是管理某个节点的流量，这个方案有优点，是从平台上去管理。我们设置了Collector，通过多层次的收集我们可以收集到网络里所有的异常的流量。
    另外给用户提供附加的异常的模式，可以保证我们的用户提供增值的服务。另外，DFI和DPI双重机制使得我们在检测上很准确，同时在过滤上会做得很细致。ICA响应机制我们不仅仅是去分析、发现，更重要的是我们要采取一定的动作去响应。
    在我们的应用场景里，刚才讲了多层次、分布式的部署，我们可以看到我们的组成，NTARS的组成可以是Console、Collector、Controller。这几个可以集成在一起也可以分散。可以看到在这个网络里是分级的网络结构，不可能每个地方都部署一个NTARS，这是不现实的。通过几个节点，我们部署Collector，将它的数据流量进行收集。举个例子，在政府的网络里，在省、市、县来部署我的Collector，事实来讲答案是肯定的，只会占用一点点，不会占用大量的带宽资源，其原因是对数据包的状态的信息进行收集，他会把一个包中占有流量最大的部分Data部分给丢掉。所以，其它的信息发到我们的设备占用的资源是非常少的。这也通过我们的解决电信运营商上百个G的流量来进行有效的管理和分析。
    另外，在权限控制上，刚才讲了可以制定多种权限，把它进行分离、进行虚拟。每个部门有一个自己虚拟的帐号，登上来之后，只能看到自己的区域和部门流量的情况，通过分析，我们让每个子部门关心自己的网络流量到了什么状态上。通过内网管理可以进行检测，到底是受到冲击了还在下载。这样把我们整个管理的平台集成在一起，进行平台化的建设好处是响应速度非常快，当我发现有异常流量的时候，会迅速地定位源在哪里，大概的范围在哪里，我会进行分析，在一个局域网里面到底是哪台机器，通过终端和管理器来检测到底是哪里发生了变化。这些都是能通过我们的解决方案给用户、企业带来了好处。
    下面是我们校园骨干网区域的场景，这个NTARS是在旁路部署的，不会对我们的网络造成任何的影响，不会使我们的网络延时变大，不会使我们的网络技术上网太慢。这样的技术创新，能够确保我们的企业在两年之内、三年之内不需要扩充我们的带宽，不需要扩充带宽而额外地去投资。我们希望这种解决方案，通过我们的创新，切切实实能给企业带来一些相关的好处。
    在这种校园网里面，大家可以看到NTARS通过旁路的部署，可以有效地确定到底在校园网里到底是哪个宿舍发异常的流量、下载视频等等，就可以缓解我们校园网的压力。以前我们实施的很多项目中，会发现用防火墙、QoS的设备，校园网几个G很难对他进行控制。如果我们检测校园网里面的异常流量，通过上面讲的几种机制，把它牵引到其它的机制中，把P2P视频的下载过滤掉，这样的话使我们的网络得到很大的净化。我们的网络不需要每年额外地去投资。
    这是我们在大型商业化的IDC机构中所做的案例，我们知道IDC出口流量很大，对IDC  DDoS的供给也是很大的，所以针对于IDC我们也需要有比较好的检测手段。针对旁路就是我们DPI深度的包的检测相结合，能够有效地将一些异常的流量过滤出去，确保我们的IDC机房能够给用户提供好的优质的服务。
    以上就是我们对东软整体流量解决方案的介绍，会后大家有问题可以跟我一起来讨论，谢谢大家。
    
    主持人：谢谢王部长，现在可能对企业内网安全已经没有问题了，流控是可以很好的解决安全，包括提高对现有的承载能力的解决方案。现在的CSO已经越来越关注内网安全出现的所引发的安全问题，下面有请Websense中国区技术经理陈纲先生，他带来的演讲是《化解“挂马”危机，保障内网安全》。
    
    陈纲：很高兴今天有这个机会给大家做一个简短的报告，我是Websense中国区的技术经理陈纲，今天我主要的话题会围绕在大家看到的关于“挂马”的危机。
    “挂马”这个名词不陌生了，大家听了很多年了，我们会看到“挂马”给企业带来的是什么，危害在哪里，我们围绕哪些方面进行防范。
    首先谈安全大家觉得威胁是什么，或者是整体的趋势是什么，我围绕这个方面给大家做一个简短的介绍，有一些新的案例。同时也有一些冲击，同时对内网如何防止“挂马”，以及企业核心是什么，资产、数据，你数据的安全怎么样防范与保护，防止他离散你的企业，防止跑到你的竞争对手的手里。围绕这几个方面，今天给大家做个简短的介绍。
    几个新鲜的案例，恐怕这个事件的发生只有短短两到三个月的时间。我们发现包括中国政网、中华网、搜狐都出现过“挂马”的问题，具体的月份我记不清楚了。我们甚至看到了很多的学校，华东师范大学、学术学院、廉洁社会研究中心的网站都出现过“挂马”的问题，这虽然不出名，但是对企业的影响是难以估量的。最终这些木马或者是恶意代码进入到企业之后会给企业带来什么样的问题，很多人都在想。
    随着“挂马”的问题我们曾经也看到了新闻报道，有的网络太过发达了，很多会说是员工把信息泄露。这是股民的信息外泄，这样的例子非常多了。甚至前两天的新闻国家在讲为了计划这个网络，我们所有终端计算机上需要考虑过滤的系统和过滤的技术，通过软件去细化我们的网络，避免终端用户遭到各种各样的影响。既然国家已经在为每个计算机使用者考虑这样的问题，企业应该做什么样的准备呢？这是典型的互联网的状况。
    同时，我们关注到最新的技术Web2.0，看世界的话出现了新的变化。所谓的Web2.0是我们的博客，包括社交的论坛，这都是Web2.0的网站。这可以很快地发布信息，我们还可以防范这个网上出现的问题吗？Web2.0给了大家新的平台，大家可以任意地把需要发表的信息，需要跟大家分享的信息进行发布与共享。黑客也可以利用它，一方面社交网络和整个社会学的攻击会越来越流行。社交网络大家可以知道更多的信息，可以知道人与人之间有什么样的关联，这个人与那个人在公司之间是什么样的关系，彼此之间的关联。在国外做过调查，很高比例的人，在社交网络上所使用的用户名密码和他在企业自己内部使用的用户名和密码完全一样，这样我去猜测的话单单不可以获取社交网络的信息，还可以入侵企业，长期可以做木马或者是“挂马”散布到企业信息之内，去收集这些信息。现在大家看到Web2.0的网站看到了垃圾回帖，去年的YouTebu反复地上传一些网络诈骗形式的录像，这样的目的很简单，最终是吸引大家把这些东西下载回去。
    Websense做了一个简单的总结，我们看到就目前的垃圾邮件，差不多有超过90%都含有URL，大家会觉得现在木马和病毒不会通过E-mail的形式去传输，大家知道这里面有程序不会打开。假如给你一个链接呢？假如说去调一个Web的页面呢？所以这是利用了URL去传播我们想传播的东西。
    同样，东软也谈到了HTTP或者是端口80是目前最可怕的，我们可以看到就HTTP而言有什么样的状况。去年短短一年恶意网站成长比例高达46%，而全世界大概有77%的合法网站曾经被挂入一些恶意代码，或者是很多人去利用合法网站的特性去传播恶意代码。目前全世界知名的网站里面或者是我们简单地做罗列，像Google、Facebook里面这些大概有70%感染过木马，大部分的企业说现在木马进入到机器没有反映了，不像以前是破坏机器为目的，现在黑客是以商业为目的，想办法想把信息偷过来。现在的黑客有39%的网页都是为了窃取你的信息。现在随着开放的接口，大家任意员工、任何人员访问你的页面，企业会开放E-mail越来越多的代码会通过这样的渠道进入到企业的内部。同样，我们关注到其它内容的时候，员工会做什么？他会尝试去发布一些东西，发布的东西有没有企业的机密，或者是员工发布的东西是不是企业所允许的。当我们企业开放这么多互联网通道的时候，企业应该怎么样在这方面做出防范的手段，去控制到底员工能去什么地方，或者是到底应该通过什么样的控制，能够降低企业，感染这些“挂马”或者是恶意代码的风险。这不得不让企业去想通过什么样的手段去控制它，进行风险的降低。
    我们看看内网的安全应该怎么去做，现在内网而言有很多的技术去解决很多的问题。Websense拥有一项被称为ThreatSeeker  Network的技术，我们分析遍布全球的网络，分析网站是不是有恶意的代码和不恰当的形式出现。通过分析我们把所有的东西分析出来，形成URL的数据库，帮大家做好分类，以及做好控制。当然这远远不够，我们借助于云端的技术和中间端共享的技术，我们把我们ThreatSeeker  Network形成，保证用户在URL进行网站的访问之外，给大家实实在在的技术，在网关层面进行过滤。最左侧有奇怪的图标，这个名字很陌生，Defensio，国外很多的知名的Web2.0的网站都会被自动地送到Defensio的引擎中间进行分类，也就是说为了确保更强的中心和更强大的措施。Websense利用这些技术保证在信息提交的第一时间可以得到，并且对它进行分析，确认这些恶意代码是不是问题。利用所有收集的信息帮助广大的企业去看，到底每个用户、每个员工访问的外部世界是不是安全的。
    就企业内部的保护而言，Websense安全网关像一个缓存和代理服务器的形式，在企业的边缘帮助你做流量的分析。任何员工、任何的企业内网的技术人员去访问相关互联网信息的时候，我们都会通过实时信息的技术帮助我们去区分到底有没有恶意代码。到底访问的对象是什么，都是什么样的类型的。甚至现在越来越风行的SSL，加密的情况下怎么风行是什么？举个例子，法轮功都是采用SSL代理，你知道你的企业没有人在访问法轮功的网站吗？就目前而言很难区分和了解，只能说在HTTPS里面很大部分的访问，Websense的安全网关可以帮助我们看到所有的代理信息和代理的网络当中到底有没有基于HTTPS绕过企业的安界、国家的安界访问别的内容。甚至，我们可以区分这里面有没有人利用SSL通道在传输一些东西，现在的木马也很聪明，希望用HTTPS绕过一些东西，去想办法得到旁路的措施。Websense安全网关可以帮助我们在多个层面进行访问，以及我们提供高效的服务器去做好整个外部世界的控制。
    利用实施的恶意代码和恶意软件扫描技术。当你的员工去进行访问互联网的时候，我们会进行匹配，到底哪些东西是已经得知的有害内容应该被有效的阻止。如果遇到最新的网站和最新的页面是Websense没有经历过的，我们会实施分析这个网页有没有“挂马”的情况发生，这样的话我们可以有效地把信息阻止在企业之外。现在有越来越多的倾向于网络攻击和网络犯罪，有了这样的措施，可以保证我们企业自身的安全性。
    随着外部事件的变化越来越快，我们不知道网站是怎么样的分类。大家区别所有的网站说这是论坛，可能是新闻类的网站，像CNN所有人会说是新闻的网站。也有人说有一些网站是做游戏或者是娱乐的，Web2.0出现了，这些Blug你怎么区分是新闻、娱乐、还是安全，或者是一些技术你怎么区别。我们没有办法知道下一秒广大的网民会发布什么帖子，而发布的文章是什么样的话题。Websense针对Web2.0动态技术帮助我们把所有的网站、相关的页面没有进行分类的进行分类，告诉我们相应的文章属于什么类别。很多企业会把流媒体和工作无关的网站屏蔽掉，但是不能把Blug的网站屏蔽掉，如果你用到流媒体的技术，如果这篇文章是跟娱乐相关，这个人的访问是会被严格限制。如果这个工具包所有的都是计算机的常识你可以发布，当我们遇到法轮功的时候同样可以用安全的网关去限制掉。
    针对SSL加密的问题越来越多的网站，包括邮箱的网站都提供了SSL登陆，绕过邮箱的检查关键字等等。像SSL我们淘宝的网站等等，可以保证我们加密的内容是安全的，另外一方面是SSL可以被误用，如果真正的交易网站被“挂马”之后会怎么样，不要认为小锁当前的链接是安全的，所有的交易都是安全的，黑客同样可以利用这样的小锁去做事情。怎么样解决这样的问题，Websense的安全网关会提供一个组建帮助我们去做SSL的代理，帮助我们去看SSL渠道中间传输的是什么，准确地将它进行定义和主导。后面我们会讲到企业有可能利用SSL出现信息泄露，他会怎么去做，下面会谈到。大家看到SSL怎么样帮助我们防护企业的内部信息向外泄露。
    从Web2.0来讲，安全网关是目前针对Web2.0最有效的方案。现在Websense是唯一一个真正有效的应对外部传播的恶意代码，我们谈外部传播的恶意代码，而不是传统的。大家都有这样的意识，现在有很多防弊的软件，很多木马的程序，很多“挂马”的软件都发现不了。没有关系，Websense可以帮助我们站在企业的边缘去主导员工触碰这些有恶意代码的网站，避免这些有恶意的内容，所以效果是明显的。
    Websense没有舍弃传统的技术或者是原来所做的技术。Websense从1994年开始一直在做外部分析、外部过滤的技术。早期的员工行为上网名字这样的概念，应该是Websense在九几年一直在全球宣传的概念。我们一直为员工提供上网管理行为的系统，供广大的网民使用。随着2004年几个关键点的发生，我们的事业发生了转变，我们把事业更多地瞄准现在所谓的安全的问题。
    随着安全方面的增强，Websense同时在原有的Websense安全的一些技术和整合，使得我们用户利用Websense最新的，完全基于Web员工上网行为系统，结合Websense安全网关将会为企业做到对传统员工生产效率的考虑，以及避免员工、避免企业内网感染恶意代码。Websense的家族将会为企业提供非常完备的企业所期待的功能，包括简化的管理、统一的报告系统，出色的报道平台，包括非常灵活、非常优秀的策略配置。我们可以任意地根据企业的要求，根据你的人员、根据你的部门，根据你希望的目标对外部控制进行有效地防范。同时将需要的制度系统进行完美的体系。位置防止外部的“挂马”的这些进入到内部，Websense提供了很多手段帮助大家解决问题。
    回头看企业的内部，最终企业最宝贵、核心的是什么，企业的内心数据。很多人说我企业最核心的是自己的数据，一方面要防范外部的恶意代码进入到企业内部。更重要的是企业在谈的是保护我的数据不被偷走，无论是员工、恶意代码还是一些程序等等。我们如何防范内部数据向外泄露的问题，这可能会给我们带来更多的思考。
    企业网络真的很复杂，我们去任何的企业里面会发现网络里面存在着各种各样的系统，遍布在企业的任何位置。根据业务不同可能有划分，这是做这件事情，那做那件事情。我们的员工每天在从不同的平台查询或者是查询，或者是生成报告或者是生成数据。数据怎么泄露，我们有可能从服务器上直接偷走吗？往往边缘的防护措施设计了数据只有一个途径，比如说863端口或者是其它的手段才能获得你的数据。往往大量的泄露是出现在从终端开始到泄露的位置。终端怎么办，通过USB拷出去，这是大家第一个想到的。还有别的吗？E-mail那么发达、网络那么发达，大家可以随意把这些信息传出去。假如两个开发人员在聊天，很简单地在说自己的研究成果，通过MSN传过去了。企业是最核心的知识产权，你的核心代码被无意识地拿走了。我们如何围绕终端无论是网络还是终端自己所出现的泄露问题进行有效的避免和防范，来避免企业的内部数据外泄，这往往也是很多企业在不断地考虑的。应该说DOP信息泄露保护无论是在中国还是在全球都是非常热门的话题，给大家带来了无限的思考。
    我们有什么办法把网络的渠道或者是终端访问的渠道进行有效的防范。谈到DOP或者是数据泄露，全世界的方案很多。最常见的大家会说干脆我把设备控制住。最早的时候，华为说我要把所有的开发人员、研发人员的网络进行有限的控制，要把终端的USB和整个计算机上各种设备都进行有限的控制，从而出现了泄露的行为。现在随着网络越来越发达、终端也越来越发达，我们很难对设备本身进行有限的控制，还能像以前杜绝USB的使用吗？如果真的都关掉的话，会给日常的应用带来很多的麻烦。也有人想到我对一些核心的技术做一些权限的管理，只有授权的核心人员才能打开数据、访问数据。无形之中给核心的人员带来了工作的分担，他会去想什么样的数据我应该去控制，我应该进行什么样的权限的界定等等。最常见，大家最开始说利用加密的技术，这是最简单的，大家想通过密码、数字证书也好通过USB也好，帮助我们对某些核心的数据进行加密处理。从而保证就算有人把数据拿走也不用担心了。还有什么办法？面对企业越来越多、越来越繁杂的数据，我们需要考虑通用型的技术，把各种数据可能出现的泄露行为统一地去考虑一下。
    我们所看到的Websense会通过一种数字指纹技术，来对企业的敏感信息来进行指纹化的分析。当发现这些敏感数据和机密数据在网络进行传播的时候，或者是在终端进行数据复制、访问的时候我们将对它有所处理。为什么我谈通用型的泄密，企业的核心资产会有很多，开发来讲知识产权或者是核心代码是他最有价值的信息。如果看看企业这么庞大的机构还有什么信息？如果去问人力资源部，他会跟你讲所有人员的名单，他的工资待遇这是一个。如果财务的话，他会说企业的运营数据是机密。如果问IT部门、法律部门，或者你去问市场、销售，每个部门的数据、要求都是不一样的。这种通用型数据安全怎么去考虑，这种数据型的通用泄露怎么去防范。
    利用Websense的PreciseID我们可以去进行判断，看有没有泄露的数据和泄露的行为在网上发生，或者是在主机上进行恶意的操作。Websense防信息泄露的产品，可以帮助我们从根本上去探测企业网络上有没有出现一些无意识的信息关系。最简单的情况，大家同属开发小组或者是财务部门，我处于方便的目的，我把某些报告直接通过共享的形式开放给对方，对方拷完了之后什么也没有说就走了。这会出现什么？通过扫描会发生什么？早在2001年的时候，日本的安全专家在住的酒店简单地扫描一下就拿到了很多的信息，我们帮助你企业在网络中间做简单的扫描，看看有没有无意识和日常的随意性的信息有没有可能发生。我们可以去监测网络，在所有监测终端的数据连输，最终的目标，Websense数据防泄露的产品目的是为了帮助企业做好保护。也就是说，避免企业的敏感数据离开你的网络，或者是离开你企业的边缘。我们在某一家银行做了一个当时的测试，真的让大家很意外。完全是无心的，有人发了一个Excel的文件，给了银行的第三方机构，这个银行跟他们是有合作的，这个发送邮件的人员做了一件不应该的事情，中间两列是与信用卡号有关的信息，他隐藏了。他在稳当发送的同时，把所有的信用卡号给了对方。这完全不知道，这对银行来讲，一旦暴露给新闻媒体银行会大大受影响。类似于这样的事情层出不穷，我们要考虑什么样的方法去保护企业的内网，避免一些信息通过渠道外泄，或者是员工有意无意的外泄，我们都应该去考虑。一旦发生、发现了这些行为，我们都会去找到，并且把信息提炼出来，当我们发现这样的事件去发现一些问题。
    刚才说了SSL给大家带来了什么，除了被黑客利用、传播一些机密信息之外，还有可能是不是会有员工利用E-mail，利用SSL加密的情况下发送一些信息呢？我们曾经发现在一个企业，Gmail很简单，通过Gmail把今天晚上要做的事情带回家去做，他带回去的东西是企业非常关注的开发密码。怎么避免大家通过SSL的通道传输企业的敏感信息？如何把SSL的防护安全的产品和Web安全网关去结合。我们利用Web安全网关去看SSL的通道里面传输的是什么，利用Websense的产品去分析中间传输的数据是不是企业敏感的数据。通过这两者结合，可以帮助我们很有效地看到有没有人利用SSL把企业的机密信息向外拖走。这种结合手段会给我们带来全新的认识，去发现内网可能出现的相关的威胁状况。
    看看Websense，Websense在全球最早来讲是做Web方面的过滤和Web安全的事故。现在的Websense同时围绕Web、邮件、数据三大部分，为企业的有效数据提供了安全的保护。Websense在2006年成立了超过200名研发人员的研发中心，可以帮助我们企业有效地做好安全防范。
    Websense围绕着数据安全、数据防泄密、反垃圾邮件三个方面围绕安全的信息为用户提供安全的保护，无论数据是从外向内，还是从内向外。从外向内是防止恶意代码的信息，从内向外是防止企业的机密信息向外泄露。这是全面的多方的考虑，帮助大家组合而成去完成有效的考虑。
    无论是在Websense的市场还是在Web安全的市场，这可以看到2009年Q2  5月份发布的报告。Websense是处于第一的位置，我们提供最优秀的Web安全的解决方案，同时，我们有数据安全的技术去帮助大家做好内网信息泄露方面的东西。
    今天我的演讲就到这里，谢谢大家。
    
    主持人：感谢陈总的精彩演讲，这是两位厂家的精彩演讲，接下来的是用户。对于航空公司来讲，飞行安全是最大的问题，现在越来越重视信息安全，并在中国航空业率先通过了ISO27001认证，在最近两三年前国航的信息系统的建设是非常被动的，国航何以在这么短时间内来了一个180度的大转弯呢？下面有请国航信息管理部技术管理办公室高级副经理李宗琦先生。
    大家听了三位演讲的嘉宾之后，一会儿有高峰对话的环节，大家可以把问题提出来，一会儿跟几位嘉宾交流。
    
    李宗琦：大家好，非常高兴在这个平台上能够和各位同仁一起交流关于信息安全建设的经验。
    今天国航来的人除了我之外还有我的老板，CSO吴国华（音译）先生以及我们的同事。确实，国航在CSO信息安全方面有一些自己的经验，但是要把这件事情做好，更多地是需要和行业里面和用户单位一起来分享建设的经验。今天我们的PPT内容很简单，在这里作为抛砖引玉，希望大家利用这个平台进行深入的探讨。
    今天交流的题目是“在路上，国航信息安全建设回顾与展望”。内容分成三个方面，一个是建设历程，第二个是成果，第三是我们要做的事情。
    首先，在国航来讲要做一件事情，我们都要做一个愿景，大家知道愿景是引导我们做事情的动力，也是我们要做事情的目标。对于国航来讲，在国航的发展战略里面，应该是信息系统它的地位是越来越重要了，我们国航的所有的现在飞行、运行以及商务很多的业务需要信息系统来支撑。信息安全也占据了越来越重要的位置，信息业务和所有的信息安全相关，特别是涉及到客户的信息、财务的信息，运行、机务保障等信息都是非常重要的。
    在这样的前提下，由我们的业务愿景引导出我们的信息安全愿景。业务愿景是竞争实力世界前列，发展能力持续增强，第三是客户体验完美独特，第四是相关利益稳步提升。在国航的愿景之下，我们引导出了信息安全的愿景目标。国航的信息安全到底要干什么？要建立起一个成熟的具备国际水平的信息安全保障体系，重点保障三个方面，一个是核心的业务不中断，这是我们认为最重要的一点。我们在做信息安全的时候，我觉得大家一定要想清楚，信息安全的事情可大可小，而且投入是无限的。作为我们的客户来讲，我们到底是在干什么，干之前要想清楚。
    对于国航，我们想第一重要的事情是保证核心的业务系统能正常运转。国航的业务系统哪个一停造成的影响都是非常巨大。大家知道前面像民航出现了订座系统出现了问题，大家没有办法买票和登机了。国航内部的运行系统一旦出问题，所有在天上飞的飞机都没有办法指挥了。所以对我们来讲核心业务不中断是最重要的。
    第二，核心的系统不被攻击，我系统里面的数据不能被人任意篡改，这样的影响也是非常大。我客户的信息、金卡、银卡会员的信息，大家都是国航的里程会员，兑换里程一下子里面都没有了，肯定会受到很大的投诉，影响了国航的声誉。我们客户体验美好实现就无法实现了。
    第三，客户信息不泄露，这也很重要，国航有很多的客户信息系统，这有很大的管理。如果泄露的话，第一对我们的业务有很大的影响的。基于业务的考虑，我们认为这三点是最重要的，这也几乎对应了我们的信息安全，大家知道保密性、完整性、可用性，对应了信息安全的三个要素。
    我们也是要通过我们信息安全的建设，来为国航整个业务目标的达成保驾护航，这是我们在做事情之前所想到的。
    下面的片子讲讲所谓的国航信息安全之旅。第一步我们是起步的建设，刚才的主持人也说了2006年之前我们是这样的阶段。那个时候国航的整个信息系统对业务的支撑力度是比较有限的，比如说是零散的系统，有的系统也是局部的、部门的。在这样的情况下国航外围的威胁感觉不到很大的威胁，我们的信息安全建设很零散、很被动。可能是这个地方买一个防火墙，那个地方布置一个杀病毒的软件，大概是这样建设的方式。
    回头来看这也是正常的，在座的可能各个企业不一样，如果企业的信息系统没有到这样的地步，也没有上很重要的信息安全的系统，系统瘫了也无所谓，一定要看成本投入和产出，2006年前我们是这样的，没有太大的问题。
    第二个阶段是2007年开始，为什么我们开始重视了，因为国航几个大的核心系统在逐步地建设投产，这些系统都是7×24小时的系统，对业务的支撑能力也非常强了。有直接的原因是2008年奥运会，国航也是奥运合作伙伴，也是重点的央企，受到的一些风险、外来的威胁都比较多。在这样的情况下，我们启动了第二步的建设，这称之为重点系统的建设。针对我们的重点比较薄弱的领域，通过一些技术手段，主要是解决一个防病毒、防攻击，这些重点领域进行防护，确保我们的核心系统能够得到比较有效的保护，大概是这样的阶段。
    在做的过程中，稍微比这个迟一点，从2008年我们启动了所谓的信息安全管理体系的建设。为什么做这件事情？这也是国航的各级领导，国航做事有一个特点，首先是从管理上去考虑问题，我们觉得所有的问题最终发现是管理的问题，信息安全也是这样。所以，大家会知道，可能今天某个厂家会说这个网页篡改很重要，那天那个人会说防攻击或者是做IPS、IDS很重要。作为用户来讲我觉得深刻的体会是，我们发现我们要保护的东西太多了，我的网站要保护、系统要保护、数据要保护，前端也要保护，我到底要干什么？怎么样建立一张网才能把它们都保护起来，这是我们的认识。
    基于这样的认识，我们的各级领导觉得必须要参照国际的标准，建立一套完整的信息安全的管理体系。这个体系是什么目的，首先大家要让整个安全团队知道，我们未来至少要建成什么样，我的安全要包括什么样的组件，要达到什么样的标准这个网才是健全的。不能今天一下子明天一下子就干了，我必须要知道整个是什么样的，然后去建设。基于这样的想法我们2008年启动了信息安全的项目，参照了ISO27001国际上的标准，来建立国航的信息安全管理体系。
    为什么是全面规划，这是第四个阶段，我们在管理体系的后期，除了知道我要做什么之外，我除了知道管理体系缺了什么之后，我知道整个未来三到五年的技术平台要做什么。到2009年我们整个规划出了未来三到五年国航要上哪些产品，要建哪些信息安全的系统，为我们未来三到五年安全的建设制定了规划。到目前我们获得了27001这是作为里程碑的事件，不多讲了。
    简单地介绍一下管理体系建设的过程。我们从2008年5月份开始，首先有一个启动，启动了之后对国航当时整个风险的系统现状，根据27001里面133个控制点，有一些调查问卷，了解我们现在所有的问题做评估。做完了之后在10月份的时候我们做信息安全的规划，在去年10月份的时候，让整个系统管理起来，运行到10月份的时候，我们请了DVN，这是全球最大的认证公司，请他们来给我们做审核。今年初正式把27001的认证发给了我们。
    下面我谈一下我们通过这几年的建设，建设了什么样的东西，在这里共享。在谈成果之前，我想大家都知道，在这里简单说一下我们认为信息安全体系的组成。我这是从咨询公司学来的一些东西，我们的信息安全首先是要构建有效的安全翘翘板。什么是翘翘板，大家可以看到我们的IT是有基础架构的，基础架构是翘翘板的板。在这个板上有三方面组件是安全领域都不可缺少的，一个是技术，昨天有制度流程、组织和人员。这三方面，大家可能任何在参加信息安全的会议里面大家谈得比较多的是技术，技术往往都比较认可它。但是实际上这个翘翘板要稳定必须要有组织人员和制度流程，这样这个翘翘板的两边才比较均衡。这是我们需要去执行。
    下面很重要，业务逻辑，执行这些东西，你要使它真正得到有效，你是一定要和你的业务挂钩的。大家可能会觉得奇怪，安全是技术的问题，为什么和业务扯上关系，这非常有关系，你保护的对象，保护的目的凭什么觉得重要，是因为你的业务的需要，你的风险来自于哪里也得看业务的需要。所以，所有的安全风险评估也好，保护的手段、等级划分也好和业务逻辑密不可分。因此，在这里面几个要素通过我们自身这一段时间的建设我认为这是很重要的。
    下面我就这几个方面做介绍，这里我简单讲一下我们对27001的理解给大家做分享。27001年是一个管理体系，这个管理体系它是由11个域来组成的，11个域就是11个方面。最重要的是首先有安全的方针，这大家对27001不了解，大家对9000了解，这都是属于是ISO一套的标准，很多方式是比较相近的。都是首先要有方针，9000里面是质量方针，27001里面首先是安全方针。有了安全方针之后，接下来要解决什么问题，有了方针之后要有组织，你要有什么样的组织去执行这些方针？有了组织之后，第三个很重要的事情，大概一个基础，这是资产的管理。因为如果你本身企业连自己到底有什么东西都搞不清楚，何谈安全，因为你保护的东西都不清楚，你有多少的东西都不清楚没有办法去保护。你的东西都扔到一边去被人偷走了都不知道，首先要知道有什么自己的东西。
    有了这三项之后，这里提了几点，一个是人员的安全，一部分是人身的安全，更重要的是讲的对人的控制、人员的管理等方面。第五是指物理和环境的安全，这主要是指像机房方面的，以及我们设备的环境，这些方面。第六，通信和操作的管理，这是指比如说我们的网络上划分的安全域，以及网络的授权的这些管理，以及刚才讲的SSL加密、通信加密、VPN等都涵盖在通信和操作管理这部分。第七，访问控制，这大家都好理解，用户的管理和用户权限的管理。第八，信息系统的获取、开发和维护。这是讲安全，大家讲安全是运维的概念，已有的系统运行的时候要安全，如果你的系统要安全，实际上是要在建设的时候就进行各方面的控制，这样才能保证交付的系统漏洞更少。只有他自身强健，才能在后面的安全防护中更容易。所以，27001里面专门有一个域来管理这方面。
    第九，信息安全的事件管理，这大家很好理解，有安全事件调查、跟踪、改进的机制。第十，业务的持续性管理，这和灾备和灾难恢复这一块相关。有一点要明白，我的安全没有绝对，大家都知道。我的系统无论你怎么保护都有可能宕掉，都有可能被黑掉。我被宕掉的时候怎么办，把外界的攻击影响降到最低程度，这也是信息安全非常重要的一点。所以，27001年专门有域来解决业务连续性，你的域宕掉不害怕，至少你的业务没有停止就不会有太大的影响。最后一点是符合性，这是一个不是单列的，是看你每一块和现实的相符程度。
    我们根据27001的11个管理域，大家可以看到，这张图我们制定的规章和流程。针对每个域我们都有相应的规章，我们做到了二级的文档。也就是说每个部门在每个管理上要承担什么责任，要做哪些事情，我们都明确了，这是根据27001做出来。每个规定覆盖了刚才说了管理域里面的哪些方面自己要明确，我们有一张表，这些规章涵盖了第一个管理域里面多少个点，27001一定是133个点，有的域多一些，有的域少一些，但是都得覆盖掉。通过做这些工作，我们自己也有评测，27001有一个对自己打分的机制。133个控制点，有一些表格，这些表格要去打分，比如说这一块他会问你，你的机房的某些点是不是达到了，你去看是不是达到了，如果没有达到这项不会得分，根据机制最后算出总分来。今年最新的我们自己打的分大概是27.1分，模型很怪，10分是最好的，越高越不好。我们做了折算，折算成百分比的话我们是43分，这是现在的水平，还是比较低。但是我们每个域是没有最差的了，没有红色的了。
    我们在去年自己在评价的时候，还有三个领域都是红色的，整个的分值更差。当时打出来按百分来说的话只有25分，很差。我们有一个对比，通过这个管理体系的建设，我们每个领域都有一个进步，这张图也是表达了这样的变化。
    下面，我谈谈我们对于重点领域建设技术平台这一块。当时我们建设国航认为重点的领域首先看需求，我们看哪些地方最薄弱，我们发现了四个方面。第一个是网络架构不清晰，这是最重要的东西，如果网络架构不清晰没有划分安全域的话买什么设备都没有用，挡了这里那里会出问题，这太零乱了。另外，我们发现互联网的威胁日益增加，我们自身防护能力偏弱。第三，用户行为控制存在漏洞，大家装不合法的软件、宕什么东西这都是没有关系的。第四，一些重要系统的服务器，补丁管理、病毒管理这有一些问题。
    针对这个我们也做了一些处理，一个是划分了网络的安全域，把我们整个网络划分成核心区、核心业务区、安管区、安全发布区、接入区、互联网接入区，这样进行划分，只要在不同的区域之间设立防火墙，通过一个端口可以把整个设备控制住了。另外针对互联网的威胁，我们加了抗DOS设备，另外加了万兆级的防火墙，加了设备之后，我对互联网的接口比较简单了，防护起来可以加设备了。第三，对于重点的用户单位，我们引入了终端的安全管理，这上面都要安装一些前端的控制软件、桌面管理软件，对他的行为有一定的控制。针对服务器这一块，我们主要是做了弱点扫描。当然，还有一些别的手段，所有的系统没有经过安全的评估都不能投入运行。
    整体的架构图就不用再讲了，下面我讲讲组织和人员方面。国航在公司层面成立了信息安全管理委员会，在27001里面，有对组织的最佳实践。上面有信息安全管理委员会，下面有信息安全管控中心，这是一个实体，来对信息安全进行管理。这一块国航因为组织机构已经定型了，我们不能再去重新成立这样的一个组织。但是，我们把组织的功能我们进行了分化，我们把信息安全管控中心的策略的层面的一些管理工作，放在了我现在的部门，是信息管理部下面的二级部门，做侧面的工作。把执行的层面放在我们的其它各个分部和各个部门去做，这样的话把工作切分开。有人管策略、管标准、管政策，有的人按照这样的标准、政策去执行。
    我们在推动这些事情就采取每年定期审核的方式，我的标准和政策我发布之后，我每年要让这些下面的生产部门他要去检测执行，而且他要把他对我的哪些规定进行明确要反馈给管理部门。我们每半年要做这样的审核，确保我们的规章制度得到落实。
    下面的PPT主要是讲我们对人员的培训，加大人员的培训也很重要，我们自己内部培养了兼职的质量安全员，这对我们来讲是培训了几百人，分散到各个生产线去，所有的环节都有安全员去协助他们把关。左边是我们贴的信息安全的海报，在相关的走廊上都有这样的宣传，加大大家的安全意识。
    花一点时间简单地分享一下我们还要做什么事情。第一，可能要进一步地细化我们规章的各种细节。另外，国航每个人在事情里面拥有多大的权限，拥有多大的岗位，能决定他有多大的邮箱上多大的网站，他有哪些系统使用的权限，把这件事情是未来要做的一件大事。
    另外，有一件事情分享的是作为国航我们想细化信息安全管理的成熟度，我们想建立一个成熟度的模型。为什么讲这个，刚才有一点没有讲，27001里面133个控制点，如果去搞东西的话会发现大致的问题。你做到什么程度，他没有特别明确的东西，可以说成我符合不符合，可以分成我符合、基本符合，这中间有很大的模糊。我们觉得这样做还不是特别精确，我们想下一步针对这些所有的域，我们要定义出很明确的等级划分。要算达到什么程度是最高，什么程度是最不好。未来我们划分成六个大等级，我们认为最好的是你的管理不但要有流程，要有制度，更重要的是你要通过进行手段把这些流程、制度要植入到你的管理系统中。这样的话执行力就达到了百分之百，这我们认为是最好的。从这个过程中我们有六个等级去划分，这件事情处于做的过程中，我们要把整个27001的体系都做成等级划分的，这样的话可以每次很快得出我们到底处于什么样的水平上，到底还差多少，这样指导我们下一步的建设。
    我简单讲一下技术平台后续要做的一些工作。这是针对五个安全服务的五个方面，用户的身份与信任凭证管理、信息流的管理、访问控制等五个方面要实现的，做完了之后我们有这样的架构。我们会花三年左右的时间把这些东西都建设好。
    我们组织和人员方面的后期建设，一方面是培养自己的人员。另外一方面很重要的事情，这当然各个企业不一样，整个国航是安全文化，有飞行安全的，有机务安全的，下一步我们把整个信息安全管理体系纳入到整个国航整体安全运行标准体系，使国航机务、飞行是安全的，这样形成国航完整的安全保障体系。有的时候做信息做IT的人感觉被边缘化，搞的东西跟公司的主业不相关。我们把这个标准体系和公司的标准体系结合在一起之后，就使信息安全成为了公司的主流部分。IT经常被边缘化，要让公司的人觉得IT是公司不可缺少的一部分，是整个公司标准体系里面很重要的一环。原来在这之前我们整个推动是靠信息管理部来做，因为我们是IT的信息管理部门，下一步我们和人力部门和总裁办公室加深合作，在身份证认证和信息保密等方面做管控措施。
    这里讲身份认证的事情，IT部门绝对做不好，一定要和人力部门在一起，他才有完整的信息。今后的终极目标是任何的人由IT进入到系统之后，使用的系统都是通过后台进去的，在座的有N个帐号，有的自己都记不住了，用户一清理起来就特别麻烦。一到奥运会什么的我们要清用户，这是很大的浪费，一定要把用户身份认证管理起来，要跟人力部门配合起来，人员调走了都不告诉你，怎么能把这个帐户管理好。跟总裁办还要跟法律部门结合起来，信息安全很多是跟法律部门相关的，这两个一个人力和法律，作为用户来讲你一定要和公司的这两个部门结合起来做，你信息安全才有可能做得更好。
    我今天介绍的就是这些内容，也希望能得到更多宝贵的经验，谢谢大家。
    
    主持人：请上刚才的两位演讲嘉宾，会后会有高峰讨论的环节，台下的听众有什么问题的话，也可以交给我们的工作人员提一下。
    我这边现提一个问题，前两天一位同事跟我讲了一件事情，我们报社信息部的员工给他打了一个电话，非常委婉地问了他一个问题说，你的电脑是不是中毒了，他说没有啊。接着又问你的电脑是借给了别人了吗？他说也没有了。那边说我们监测到你的网络流量异常，占了一个电影那么大的流量。委婉地说你是不是在公司工作的时候下了电影，他说没有，他很奇怪，就马上跟大家分享了这件事情。这造成了反感，员工流量的控制和管理在很大层面在员工这里都受到了抵制，很多用户接触中都知道了这样的问题，第一个问题我想问问国航对于用户在信息监测的过程中，尤其是业务部门的员工，他们有没有抵触的情绪，不合作的态度。像身份认证和人力资源部、业务部门都结合得很紧密，请您回答一下。
    
    李宗琦：这个问题在国航也遇到过，在早期这个问题很突出，因为大家不是很理解。而且很多人都自由散漫惯了，大家都要说我要最好的电脑，大家都不关心上什么应用系统，都关心电脑是最好的，电脑拿来上网、打游戏，大家感觉很Hi，这个东西没有人管理大家觉得形成是自然的，有人管反而认为不自然了。原来我的同事，刚开始我们做的桌面前端管理的软件，我们的同事偷偷摸摸地去装，又被用户发现了，有的用户也是发烧友，还投诉我们，你们装了什么东西，监测我们的使用，侵犯隐私了，很生气。回来我跟我的同事讲你们这事没有做对，因为你干的是正常的事，你本来是占道理的，但是你用了不对的方法。要用正确的方法去做正确的事情。
    国航的吴总也来了，我们的领导到现在，我觉得作为技术人员首先要做领导的工作，要让你公司的领导认识到信息安全多么的重要。现在国航在这个问题上已经解决了，公司的领导非常关注到这一块，从公司总裁、副总裁这些他们都非常关心，我们现在再要去做流量控制，我们是直接今天要去跟市场部门装这个东西，直接发文告诉市场部的领导，我们要给你装这个你必须要装，没有任何的领导敢说不，要走正常的渠道，这管理是必须的。如果公司这样的执行力都没有这个企业就有问题，我是这样看的。当然，国航现在已经不存在这个问题了。
    
    主持人：我们也请两位来自厂商的技术专家，我们在给用户实施的过程中是不是遇到了这样的问题，在内网保护安全的时候，管理和技术的应用也很重要，我们这方面有没有什么方面的经验分享给大家。
    
    王军民：东软是做的网络安全的设备，我们公司内部是如何来做如何来执行的。带宽资源对任何企业来讲是宝贵的隐性的资源。我们公司在2000年的时候大家上网很自由，我那个时候在公司沈阳总部那边，完了我们下载电影什么的占用了很多的资源。我们的出口经常被阻断掉，信息部门没有安全方面的措施。后来我们公司加强了这方面的建设，我们从公司的集团往下推，任何的主管部门必须要让员工去装我们的客户端，不装是不行的，强制性的要求。
    一个企业要保证你的业务正常运转，必须要强制性地压下来，这样才能保证内网的员工不敢去非法地做一些下载、视频的应用，这确实是非常必要的，必须要走正规的途径。我完全忍痛。
    
    陈纲：东软一方面是厂商，同时也是Websense的客户，我们跟很多企业打交道的时候会跟老总谈问题。很多老总在自己的业务和损失，以及相应的业务性方面做权衡。当他真正把业务看得重的话，他认为这样的控制是必须的，这样才能保证业务正常地运行。自然而然企业会根据这方面去考虑，怎么样做权重比，怎么样去做划分，做这样的控制去达到最终的目的。应该说大的企业老总会去做全面的考虑。
    
    李宗琦：我补充一个想法，其实有的时候业务部门喜欢拿我的业务也需要上网或者是做什么，拿这个做幌子。大家可以变动一下，你可以上，我可以记录，我有手段记录你都上了什么网，都干了什么我是记录下来的。拿到这样的数据，我可以跟业务部门的平级的领导沟通，如果这个沟通不行我就把数据报给公司的领导。这些人都要这些资源来干什么？
    当然，这种方法大家斟酌来使用，确实有的时候你手里掌握了技术，拿着技术可以把数据摆出来，拿数据来说话。
    
    主持人：第二个问题是，在今天上午的大会嘉宾演讲提了这样的话：现在去攻击企业的服务器，不如去攻击企业CEO的笔记本，这种客户端已经成为了内网安全的重中之重了。请三位都谈谈这个问题，我们怎么去管理企业的客户端去建立更可信的内网环境？
    
    王军民：作为企业内部的管理，安全管理首先要划分明确的安全域像刚才讲的这样。我们的企业由我们核心研发的源代码，这是企业的价值，如果它们丢了我们企业的损失也会很大。在我们内部有严格的域的划分，源代码的域的区域划分。我们任何的研发人员他自己的代码都必须由一个服务器来统一管理，是不允许直接把这个代码带走的。所以，企业在这方面的管理首先要划安全域，根据不同的安全域制定不同的策略。核心的安全域像服务器等等必须要加强终端的管理，防止信息的泄露。我们内部的其他研发人员所使用的开发环境，也必须要安装客户端，这样的话才能最大限度地保证。
    另外在我们企业实施也是有一些监控的，每个月会有统计，哪个部门谁上网流量最大，上哪个网站了做哪些事情。这些严格的管控能够使得我们目前来讲内部的整体业务流量可以正常运行。以前我们会发生什么，开视频会议的时候中间总是抖动、中断，现在这个问题基本上解决了，没有这样的问题。
    
    陈纲：应该说笔记本这个东西又好又不好，我们现在看到的是很多的企业开始转向移动计算机。笔记本在接终端或者是笔记本上会有很多问题，大家考虑安全的时候在想网络也要想，终端也要想，同时从多个地方着手才能把问题真正解决掉。东软也谈了开发环境和企业核心的部门，他笔记本的使用到底能不能带走，到底能怎么使用，这些都受到企业的监管。我们需要有效的监管措施防止信息的泄密，尤其是这些老总。
    前两天跟东软IT总监谈论这样的问题，他们在关心什么，老板的信息千万不能丢，丢了之后损失太大了。所以，我们需要有技术的措施，无论从网络、终端着手去比应用安全的措施避免信息的泄露。另外也做更多的物理方面的控制，保证这些对象不容易或者是不遭到这些方面的影响。
    
    李宗琦：国航现在是这样的，前端我们这件事情还没有完全做完，但是还在做。以后所有国航的机器有接入控制，必须要信息管理部跟他开了端口能接进来，不然接到国航的网是没有用的。凡是接进来的我们要跟他做桌面相应的软件和病毒的更新，现在能做的就是这两项，有了这两项基本上控制了。关键是首先要控制住，原来我们一直的情况是谁接在我们的局域网上我们都不知道，这个问题需要彻底的改变。第二，国航的老总自己都不用笔记本，我们的老总是秘书在用。所以，对老总的前端跟一般人员我们都是一样的，只要我把接入控制做好了，我们认为应该没有太大的问题，我们认为应该是这样来做。
    
   主持人：我这里有最后的问题，今天大会的主题是“信息安全、基础为本”，我们发现越来越多的信息化主管已经看到，信息安全不仅仅是信息安全专业厂商的事，也不是安全管理的事，而是贯彻在整个IT建设中，把信息安全贯彻进去。我想问问国航整个在做信息安全规划的时候就已经把安全考虑进去了？
    
    李宗琦：如果是信息系统规划的时候，安全信息系统的规划和信息系统的规划是相对独立的，但是，你是要有一套质量安全的控制规范，来达到在建设的过程中实现了这些安全的标准。我们现在在技术方案的阶段，我们又有一个评审。我们内部的评审，像27001里面必须要达到哪些要求，或者是我们的内部用哪些软件，我在技术方案的时候要进行扫描评估，如果没有通过的话是不上线的。安全和资产管理，一定要说安全，现在很多企业像CMND（音译）才刚刚出来，很多企业都不知道，特别是大企业没有一个完整的信息，我的系统有哪个系统，系统用了什么配置，以及相关的配套、参数、零件是什么，很多安全相关的参数大家没有统一的一张信息，这就是基础的工作，必须要去做。这个工作没有做的话，安全的手段再好都没有用，因为你不知道是一个底。这很重要。
    
    主持人：请两位厂家也说一下和信息厂商有没有上游的合作，在基础上阻断信息安全的威胁。
    
    王军民：信息安全现在美国已经准备要把信息安全纳入到网络建设当中来，现在很多的国内企业是先有网络再建安全，这样有可能是中国国情的情况比别人晚了一步。现在意识到在整个网络建设初期要考虑到整个网络和系统的安全，目前我们跟很多用户在做一些方案，这些方案其中就包括了刚才提到的，做安全评估、首先要了解到这个企业里面当前哪些路由器、交换机上存在着哪些漏洞，业务系统上存在着哪些漏洞。因为我们的很多开发者在开发应用系统的时候并没有考虑到安全的问题。很多漏洞他开发完了，他不会去管有哪些漏洞，这些会不会被其他的黑客获知，这样的话对业务系统造成的威胁是非常大的。在现在网络业务系统建设的初期要启动安全的评估，先评估网络的安全性，还需要评估业务系统的安全性、流程的安全性等等。最终，需要建设这样的一个综合、安全的平台性的安全管理系统，这是需要把各类的安全技术纳入进来，同时需要跟管理制度、人相结合在一起。刚才我讲的像流量管理，首先说先判断这个企业在流量上是不是有大的变化，大的变化就意味着有DDoS的攻击。再细一点我们看终端是不是有泄密的行为，或者是外网对内网有攻击的行为。最终把爆发的事件进行统一的归并，通过我们综合的安管平台，展现给我们的管理员和信息系统的负责人这里，大家会发现这个网络安全事件存在，大家一起来关注这件事，我想对企业未来的网络安全建设起到很好的保障作用。
    
    陈纲：关于基础为本，我想主要有两个理解。第一是网络的基础，既然大家所看到了无论在做哪个方面的安全考虑的时候，很多企业已经慢慢将安全纳入到基础设施项目建设当中或者是项目规划当中。作为Websense而言，我们在技术上一直为大家提供这样的保证，像Web安全。Websense从九几年开始，和全球几乎所有的边缘设备和所有的厂商设备是有合作的，像思科等大的厂商。我们一直围绕的是在基础怎么样帮助大家做控制与过滤方面的技术，更多的是围绕在安全的技术。信息安全没有说有完整的解决方案解决掉你所有的问题。某些方面来讲我们一步一步从最根本的来做事情，不断地强化它，做企业需要做的事情，最终把方案不断地完善，达到理想的目标。
    
    主持人：下面看看台下有没有什么问题。
    
    提问：上午讲话关于内网、外网的问题，国外是不是不分外网、内网，就我国分？上午听说我们国家分内网、外网有点发晕，内网这个词是不是我国独有的？我提给Websense的嘉宾。
    
    陈纲：内网、外网在国内提得多一些，国外也有内网之分。只不过在国外大部分的企业没有明确的界限所谓内网与外网，就像我们看到的很多外资银行进入中国，很多外资银行谈中国的银行生产网必须和互联网隔离，网上的营业厅业务怎么看到。从这样的角度可以看到内外网可以分，但是没有明确的界限而已。无论网络怎么划分、名词怎么提，企业的控制是很必要的，所谓的分级的概念是有必要强调的。
    
    提问：国外有的是内部安全，不叫内网安全，我翻译了很多外国的文章里面找不到内网安全的词，叫内部安全。它可能也包括了内网安全的东西在里面，但是词本身来讲，因为我翻译了很多俄罗斯的文章，他们全部是讲内部安全比较多，没有找到内网安全。内网我国有两种情况，一个企业里面计算机一个是物理隔离的，内网归内网，外网去搞企业的网吧，去接受邮件、发邮件都那里去。还有一种情况，就那台计算机，工作也是他，上外网也是他。内外网物理隔离从安全性上是不是好一些。再有USB分成内网USB、外网USB分成两个严格控制它，内网的USB不能上外网，外网的USB中间通过摆渡机，这能起到多大的作用？
    
    陈纲：我们看到很多文献上谈内部安全多一些，这不单单指网络，包括企业自身的建设各个方面都在内。的确，从极致安全角度来讲，我们希望看到所有的纯内网和纯外网，随着互联网的发展这种界限越来越模糊。我们希望极致安全可以给我们带来更安全、更有效的保护，但是围绕着信息安全和信息传递的问题上，往往会遇到这些方面的限制，如何做到信息传递和信息共享更便捷的情况下，同时做到更好的网络安全。这是企业在考虑。这是为什么以前我们看到越来越多的所谓的纯内网和纯外网的划分，尤其是在一些银行，由于央行的限制，大家会看到越来越多地所谓单一的上网的网吧的计算机和内网的计算机的划分。以后，随着网络的发展、包括业务的发展慢慢会有一些新的改变。
    
    李宗琦：这个问题我想补充一下，我同意陈先生刚才讲的，企业往后面你一定是不可能真正做你刚才说的内外网的划分，除非是真的央企、国营企业有保密的信息，你作为几台独立的计算机就可以了，其它的都不需要做隔离。现在你企业的发展程度、安全的手段不够，暂时采取了所谓的土办法可以做，但是这绝对不是以后发展的方向。我们看到了IBM、德勤我们的合作伙伴，他们的人员是虚拟的VPN，他国外大量的VPN来做事情。这些从商业机密的角度来讲，大公司绝对比国内的企业更重视这样的东西。他们都能这样做，我们在这方面可以完全参照这样的模式去做。我国自己的涉及到国家机密的部分，是有必要进行隔离，我的建议是这样的。
    
    提问：我想哪位专家能不能给一个案例，由于信息安全受到损害，遭受重大损失的案例，国际、国内也好。东软的专家能不能给个案例。
    
    王军民：美国在前几年有一次Visa信用卡泄露的案例。他Visa信用卡用户泄露了，导致了他们损失了具体的数字我记不清了，好象是有几千万还是几个亿的数字，这样的损失很严重。另外，我国在2007年的水门事件，税务局当时有一个信息的副主管，他觉得在内网装终端管理的软件像杀毒软件没有什么用，他在集中管理器的位置把这些卸载掉了。结果不长时间内网就中毒了，上网可以查到，这个人也因为这件事情获刑。所以，网络安全事件一旦要是爆发了影响是很大的。
    
    提问：我想问一下关于防“挂马”的事情，我们知道网页“挂马”不单单是在网页里面是在数据库里面，这样“挂马”的话我们怎么防御？
    
    陈纲：应该说无论木马在哪里，从防护的角度或者是从访问的角度来讲，最终的对象是可以通过IE或者是客户端的访问获取掉的。
    
    提问：比如所有的网站都有CONT.的文件，它的木马能放到文件里面来，这能防护住吗？
    
    陈纲：不管你的木马在哪里，我们只在意你客户访问时会不会利用你的IE让你感染掉。
    
    提问：因为我们做项目也碰到过一个木马，针对的不是IE，包含的大多数是第三方软件，比如说迅雷、暴风影音、千千静听等等，这可以防护吗？
    
    陈纲：这完全可以，我今天的案例没有谈到是涉及到国内最高层的部门，你可以上Websense的网站6月2日刚刚公布的。这里可以看到这里的漏洞利用的是迅雷的。
    
    提问：这是去年的吗？
    
    陈纲：这个案例是中间利用迅雷所做的事情，我们同样发现出来并且公告给客户。Websense想说的事情是不是在服务器上帮你怎么去查看或者是发现恶意代码，我的目的是找到含有恶意代码的网站，避免广大的用户和员工去访问你的内容，而不是如何避免你的网站感染木马。
    
    提问：我的网页被感染代码之后会被禁止访问？
    
    陈纲：不是您的网站被别人禁止访问，如果是Websense客户。
    
    提问：对方是我的OA，登陆的页面被感染了之后我的用户是不是会打不开？
    
    陈纲：如果你使用了Websense的话，我可以知道你感染了恶意代码没有？如果你的企业有这样的恶意代码感染的话，你的业务部门已经早有东西。
    
    提问：因为OA是SA权限，轻而易举地就控制了。在OA的管理员的登录页面和普通员工登录页面挂了两个页面，被我清理之后还是有这样的问题。
    
    陈纲：无论是感染木马是什么样的，或者是什么权限的人受到影响，只要他受到这样的感染，如果用Websense的网关我可以帮助你去找到他，我帮助你去避免其他人受到这些木马的危害。也许当你发现的时候，当时几分钟之内这个OA是被禁止访问的，随之而来你的IT部门会去对它做动作去解决相应的问题。另外，你发现OA上有安全木马的话，同时也得加强你自己的安全建设。
    
    提问：像一些OA不是在外部，是在内部，他利用了一些工具，像网上流行的注入工具、注射工具，去注射自己的网站，这产生了针对性的“挂马”，这怎么防御？
    
    陈纲：我们不控制自己的员工向网上做木马的注入和传播，我们这里谈的是围绕互联网、围绕世界，围绕你大部分产生的资源可能产生的危害如何去控制。
    
    提问：因为我们的OA办公的时候有的时候是在外地，从外地可能要登录。
    
    陈纲：一会儿我们单独再来讨论这个技术问题。
    
    主持人：还有其他的问题吗？如果没有问题的话，高峰对话的环节就结束了，下面有什么问题还可以继续交流。
    最后有一个抽奖的环节，请国航的CSO吴总来进行抽奖，我们有一个奥运纪念的火炬U盘。
    
    （抽奖）
    
    主持人：感谢大家下午的时间，谢谢大家。

主持人：我是计算机报的记者，本次论坛由我主持，首先我代表主办方感谢大家的光临。我希望这次论坛大家不虚此行，差不多两小时的时间大家有所收获。现在进入大会第一个议程，有请演讲嘉宾中国计算机用户协会常务理事、深圳市沃通电子商务服务有限公司CTO王高华先生，有请！
    
    王高华：大家下午好，我相信大家通过我的演讲，一定会有收获的。我演讲的题目是如何保证数据在传输中的安全，这很重要，但是我们考虑到有些同志可能要串场，我们新给个答案，很简单，但说也可以说一天。如何保证呢？技术十五年以前就有了，就是为网站部署一个SSL证书，就是从电脑浏览器到服务器已经加密了，任何网管都可以实现。但是它确实很重要。
    第一数字证书在信息安全领域的重要作用，第二是数字证书简介，第三讲一下SSL证书在国外和国内的部署情况，第四讲如何保证数据的传输安全，第四部署SSL证书应该注意哪些重要问题。最后是数字证书其他应用，和WoSign品牌产品的介绍。
    数字证书最重要的作用是加密和身份认证，信息安全领域最重要的部分也是加密和身份认证，这是基础。只有加密才能确保机密信息在网络传输过程中不会被非法窃取和非法篡改。身份认证确保所声称的身份的真实性。简单说一下证书有哪几种，一种是SSL证书，服务器端的，没有别的技术，十五年以前就有了。从服务器到浏览器的自动加密防止非法篡改和非法窃取。QQ号为什么被盗号，就是没有SSL，任何设备都知道你输入的密码。所以网商银行都有SSL证书，它可以保证自动加密、自动传输。第二块是代码签名，所有软件下载的时候，是必须数字签名才不会被篡改，还有手机签名这块。以及客户端这三种。
    所以我们说最重要的是SSL证书这块，支持HTP、FTP的国际标准，已经十五年了，我们中国应用比较晚。第二点也很重要，有价值的SSL证书一定是浏览器有一个“收信人的跟证书颁发机构在认证服务器身份后颁发的。因为自己做证书浏览器不能做识别，是欺诈网站，建议你不要浏览。所有SSL证书只要服务器装好，改用https访问就可以了。
    总结一下有五个用途，第一个用途如果你没有SSL证书，登陆密码一定会北道。外国统计，如果部署了SSL证书，找回密码的成本可以降低80%。不用担心输密码把过程中被别人接获走，当然除了你电脑里有木马，SSL证书只是管传输这块。第三很重要，不光是加密，为什么？因为我们上的欺诈网站域名很像真的，所以SSL证书很重要的就是服务器认证。如果上网看到有证书，点开那把锁，点开O字段，如果是工商银行就没问题，如果是一个其他的域名这个网站肯定不是工商银行的，就算有SSL也没用。下面还有法规遵从问题，国外为什么99%的网站登陆都有SSL证书呢？因为国外有欧美有影视保护法，遵从法规就要有SSL证书。只有部署SSL证书证书，才能保证你的机密信息传输安全，只有这个技术办法。
    这里是对比，国外网站只要用户名输入的都有SSL证书。我们国内是反的，几乎都没有，目前统计不到10%，而且很多是国外公司的要求必须有。很多人大委员都在呼吁这个问题，我们有一些美国上市公司的相关员工或者信息主管，我要提醒一下，如果你们公司网站没有SSL证书赶紧部署，为什么？因为在美国法律是一定要有的，如果查到你就毁了公司前程了。国内这块目前应用情况是这样，一个是认识问题，为什么我来讲这个也是因为这个道理，确实相差很悬殊，也是法律缺失的问题，互联网设计的时候竟是明文传输，打1就是1，打2就是2。这个时代已经不行了，打1一定要加密变成乱码。
    这里看一下SSL证书怎么回事儿，如果浏览器输入https，浏览器发给服务器，服务器会把证书共钥发给客户端，这样双方之间把密钥约定好传输就自动加密了。大家不用考虑它怎么加密的，很简单的事。SSL证书证书解决了互联网匿名的问题，如果是很有名的网站，可能不是那家公司的，为什么？因为拷贝一个网站很容易的事。如果部署了SSL证书，看证书中的公司名称，就是那家公司的话才是真的。因为发证书的时候一定会验证身份的。第二解决了互联网明文传输的问题，紧密信息太了多，所以有一个标准的SSL证书协议在里面就解决了这个问题。
    那SSL证书是什么样子呢？大家看上面有一把锁，如果没有看到这把锁的话，宁愿放弃不要用了，因为你们可能是局域网、家里的宽带，大家都可以看到。如果有SSL证书可以放心提交，不光保证个人在线安全，保证公司信息安全都是很有用的。现在有些网站没有SSL证书那你还刷卡的话，你的信用卡第二天可能就被别人用了。最重要一点就是，浏览器是全球标准的技术，有效的SSL证书必须是浏览器中受信任的跟证书颁发机构”所颁发的。点那把锁的话可以看到颁发给谁，颁发者是谁，证书里有使用者，O字段就是公司名称。光看一把锁没用，要看是不是发给这家公司的。如果说SSL证书是自己做的，那仅供测试用的，会有提示警告。这家公司可能用了证书不是浏览器信任的，并且它认为是欺诈网站，因为只有欺诈网站才自己做证书。第二个如果吊销了，浏览器也可以帮助你查出来。第三步查证书是不是过期了，因为证书是有有效期的。如果没过期第四步查这个证书是不是发给这个网站的，因为证书是绑定域名的，如果不是也会有警告。第五查是不是假冒网站，IE6有一个假冒网站的黑名单。这个是Google的假冒网站，后面跟Google差一点点，如果点连接的话，就把你的信用卡泄密了。只有通过上面五项检查之后，才开始检查网页的内容，因为网页里有很多Flash、Java  Scnpt，浏览器提示你含有不安全内容，只有过了这六关，部署了SSL证书网页有些地方是需要改造的，因为有一些弹出别的网页之类的需要做一些小修改。
    是正常的以后，我们还要睁大眼睛，SSL证书有很多种，全球有很多家提供这个产品，我们部署什么证书才有效，才是浏览器支持的。这里要点开那把锁，就可以看到证书里常规的内容。mail是明文传输，什么机密信息不要写，因为发什么对方收的是什么。很多大公司企业mail系统已经开始部署证书了。右边如果点常规出来，又点详细信息，下面有一个使用者，可以现实这个网站确实是某某单位的。并不是所有证书都是安全的，为什么呢？因为浏览器跟服务器中间自动握手，如果你的是低版本的浏览器那是没用的，40位几天就破了。为了照顾低版本浏览器用户，必须支持SGC技术，可以强制实行128位加密。所以所有网络银行都是用这种证书的。如果保证企业内部用IE6、IE7也可以，那都是支持128位的。打开关于，有一个密钥长度，IE8已经升级到258位了。打开浏览器看一下IE5只有56位，技术一两天就破了，至少128位才是安全的。这里看一下中国银联，下面有一个“O”字段，中国银联，中文的公司名称。第三是超快SSL，很便宜，不现实单位名称的，只验证域名所有权，只有加密作用，没有身份认证，没有O字段。
    2008年才出来EV  SSL，浏览器地址栏变成了绿色的了。全世界有几十家都可以卖SSL证书，各家标准不一样，这样就有问题了，全球市场很乱，所以几大证书颁发机构包括浏览器一起，07年底制定了统一标准，严格身份认证，这个公司是实体的。国内有好几家银行升级成了EV  SSL，所以电子商务网站如果想取得客户信任，赶紧部署EV  SSL证书，领先一步，因为EV是绿色的、可信，很重要。没有通过严格的身份认证是买不到的。
    总结一下，如果你觉得你的电子商务网站有机密信息，就部署SSL证书，只有这个选择。但你发现一些问题，你要注意四个问题，这样就不会走弯路花冤枉钱。第一一定部署支持浏览器的SSL证书，如果跟谁买证书，是不是浏览器可以识别的，这是基本条件。最低要求要问浏览器能不能识别、是不是支持，否认就可能白花钱。第二根据业务要求选品牌，我们认为要支持国内品牌WoSign，提供很好的技术支持。第三注意一下客户群他会用什么浏览器，要考虑所有用户都能用的话一定要买SGC的。第四电子商务网站我们推荐EV  SSL证书，让你的客户更信任。网上最重要的就是信任，浏览器帮你信任。
    后面补充一下数字证书的其他应用，还有我们痛恨流氓软件，如果没有数字签名的软件不要下载软件。如果有签名，那绝对不会被篡改。事实上这个论坛有一个主题，如何防止网络身份被盗用，我的意见就是采用数字证书技术实现强身份认证。如何防止机密信息从企业泄露，我们建议的解决方案就是把机密文件加密签名，佛到服务器上他拿走了没用，必须用证书才能打开。
    介绍一下我们的品牌，有十大优势，第一全国通用，支持所有浏览器和服务器，另外价格最便宜，有创新认证的方法降低成本，提供支持SGC强制128位加密技术。而且还支持多域名SSL证书，不用每个域名都买证书了。个性化定制等等都是小意思了。WoSign的SSL证书在中国市场占有50%以上，代码签名证书市场占有90%的市场份额。
    
    提问：介绍一下SSL证书V3。
    
    王高华：我们有一个鉴定病毒软件，如果知道这个网站有SSL证书，那传输的是机密信息，所以在没有交给SSL证书传输之前给你盗取了，不要理解SSL证书被破了。SSL证书是从浏览器提交到服务器之间传输的安全，但输入的时候，电脑有木马的话你传走他也会知道的。不能光有SSL证书或者光有防火墙，那是没用的。所以很多网络银行大众版输密码的地方，有一个软件，你输入密码的时候他获得键盘控制权，我把密码记下来再通过SSL证书传走。所以一般买SSL证书同时买一个代码器证书，这个软件就是获得键盘的控制权。
    
    主持人：对普通用户来讲找谁买这些东西？
    
    王高华：全球国外品牌有很多，我们WoSign也是一个品牌，当然我们希望都买WoSign的。
    
    主持人：谢谢王先生，有请下一位演讲嘉宾，来自RSA，EMC信息安全事业部大中华区高级系统架构师司马丽维女士。
    
    司马丽维：大家好，我是RSC的司马丽维，对RSC公司不详细介绍了，今天上午全球总裁都和大家见过面，我利用这个技术代表公司谢谢大家对RSC的支持，这次CSO大会上我们RSC获得两块奖牌。我们希望利用这次机会跟大家回顾一下RSC比较辉煌的历史，在去年年底的时间，RSC的全球总裁来过中国访华，RSC的发展策略是对中国市场非常重视，说明我们在中国市场得到了用户对我们的支持，所以总裁频繁的访华。RSC在这二十几年，在安全领域做的最早的厂商，像加密技术、身份认证技术都是从RSC开始的。RSC一共保护了全球3400多个组织和企业，到目前为止一共关闭了全球13万多欺诈网站。有2亿个在线用户得到了RSC几乎保护，另外有10亿应用产品用RSC加密技术，另外RSC每年大会是全球最著名的安全大会，在09年的RSC全球大会里，RSC免费公布了一个加密技术，RSC想和国内、国际、全球的业界同仁和用户一块建立起安全的生态系统，所以把低层开发包免费公布了。
    今天是CSO大会，所以看一下CSO眼里的安全世界，在座是安全主观、专家，每个人眼里安全事件是不一样的，从最早的安全生产到网络安全、信息技术安全，把安全升华从风险控制的角度来谈，这个过程中形成了各种各样的框架和安全组织架构的理解，比如常见的ISO27002这些，有很多角度可以讲安全。今天我们讲的是技术和人员，在安全领域的充分体现。大家可以看到比较新的一点，技术分出IT基础架构和信息这两块，这种分法在国际上大家可以忍痛安全框架的划分，在技术领域，IT架构可以分成IT基础设施或者IT基础架构，另外是信息，为什么分开来讲呢？因为信息可能在IT架构里，也可能离开你的IT架构。今天上午跟大家交流的，各个厂商经常提到几个概念，“内控”这块和IT基础架构紧密相连。为什么把信息独立出来呢？因为大家意识到信息泄露、丢失的隐患，所以信息可以在安全架构里，也可以不在IT基础设施里，这两块只有合在一起才能保证信息一个完整的不丢失、不泄露的情况，所以我们这种分类一种人员、IT基础设施和信息三大块，为大家提供比较完整的安全架构。
    针对人员、IT基础架构和信息这三点，相对于安全，比如针对人员，最重要的是考虑人员身份，比如授权、身份验证、权限关系。IT基础架构这块，比如从IT服务器到网络、应用、后台存储整个IT基础设施这块都是IT基础架构里的安全。信息这块有对数据本身加密，也有很多同仁提到的怎么防止信息从企业内部泄露到外部，从内部有更多的权限获得这些信息，不管有意无意的，都可以把信息泄露，防止企业内部信息向外泄露和丢失，这叫防止数据丢失这块领域。人员基础设施和信息形成了IT领域基本的安全构架。最下面就成了安全管理，这三块做好了怎么知道基础设施、信息、人员是不是做好了，是通过审计、监控、报告显示IT架构是不是做好了。
    今天从RSC在这三个领域给大家提供一个什么解决方案，介绍一下RSC的产品。因为我们上午有很多同仁，比如动人、联想都从比较高的纬度介绍了信息安全，下午会偏产品细节一些的东西。中间是RSC提供的产品，在身份安全、人员安全RSC最主要的产品有令牌卡技术，有防钓鱼、防欺诈等服务，这是对身份管理这块。在中间基础架构这块，有做安全运维管理、安全审计、内控的产品，还有权限管理产品。大家很多人用到虚拟技术，我们在这快也有针对虚拟技术的安全。第三块信息安全，最重要的是除了加密技术之外，防止数据丢失、泄露这块技术，是DLP防止信息泄露技术。今天讲的数据安全保护，把信息和基础架构合在一块提供服务，跟大家交流一下。
    这张图不是很陌生，今天上午RSC总裁介绍过，RSC的框架是什么样子的，从总开始的风险评估，下面是制定安全策略和信息分配，因为不同信息需要不同程度的安全，根据信息分类基础上制定相应的各种各样的安全策略、制度、流程。再往下，当有了企业整体风险评估和安全策略，通过这些发现企业内部有哪些安全隐患、漏洞，再往下实现安全控制，最后进行监控和评估、管理。右边是RSC的解决方案，我们不细讲。
    讲到enVision，RSC定位在内控、安全审计、风险监控这块的产品，主要有什么特点呢。这个产品背景，大家每天会收到大量信息，有些企业可能一天几十万条的日志信息，怎么才能转化成对企业有用处、分析出每个日志发生的情况，转换成企业可用的。另外大家做安全会有一个共的感觉，安全的权利不够大，但责任很重大，做好的时候不是很容易看出你做的安全的工作。所以我们这款产品可以评估你工作做的很好的一个平台。enVision我们叫做3合1管理平台，首先是安全管理，做实时预警，告诉你事故流程。第二大功能是合规性和审计性，针对内控来讲很有意义的功能，enVision这个产品是把业界所有常见的IT合规标准定义在产品里，比如萨班斯法案，可以一条一条的审核，这是合规性方面做的非常突出的功能。第三块功能是优化IT和网络运行，资产识别帮风险管理起了很多的作用，我们会出一些机械比较，比如IT系统每年出现15个重大事故，可以定义一些极限。另外还可以做关联分析，每个IT事件不是孤立的，成为对企业非常有价值的智能信息。从事件管理这块，我们有一个事件取证，比如有人非法入侵进来，我们可以跟踪事件取证和统一管理。哪些企业可以用这个产品呢，基本上能有一个比较完整的IT架构或者有规模的IT系统的，肯定都会需要这种产品进行综合管理。比如银行、政权行业，很多用户用这个产品做合规性产品，在日志管理上，满足巴塞尔法案需求做合规性管理。在电信这种领域有4A标准，合规性这块可以使用到这款产品。移动电信里有安全运维平台，这块用这个产品会对安全事故管理有很好的评价和管理流程。
    这是enVision简单的界面，可以看到enVision产品可以通过图形或者界面方式把公司运营情况一见了然的显示出来，比如这几天有哪些人非法进入系统、哪些人更改了密码。使大家对自己IT系统有非常清楚的了解。左下角是图形的方式显示，一旦发生安全事故可以看到在哪个地方，比如在北京市某某公司某个机房里发生一个事故，可以用图形方式定义到某个IP地址。右边是巴塞尔的例子，逐条的定义，比如对计算机帐户控制、财务控制，我们会逐条显示出来。我们做过合规、审计有个经验，一定要拿出证明满足了合规性需求，通过enVision可以自动的把证据取出来，大大简化合规性需要做的工作。这是enVision在合规性和审计方面的使用，基本上国际上流行的合规性的法案要求都定义在enVision的报表里，除了合规性还有主机设备类的审计工作，网络设备、存储设备、安全设备。这些合在一块，对审计、合规工作有一个很好的帮助，简化了工作，不需要人工提供证据。
    下面enVision这个产品在安全运行整个运维平台的流程，也是enVision这个产品在事件管理流程里基本的管理过程，最左边是enVision的存储数据库，会从低下不管系统日志、网络日志搜集进来，在上面可以做各种预警、事故评估、报表的情况，通过数据库信息来获取。当一旦发现有一个事故之后，会通过右边工单系统，告诉这个事故严重级别多少，分配给谁调查这件任务。还有对资产管理、漏洞管理，RSC把业界的漏洞库，把漏洞信息集成到enVision里，发生安全事故之后，会知道有什么漏洞、对IT系统有什么影响。举个例子，我在enVision里报了一台机器，有人非法入侵，会和资产库、漏洞库联系起来，就知道这个系统有什么漏洞，如果有一些不该开的口子打开了，这个风险肯定很高。当资产苦联系起来的时候，知道这个资产本身价值有多高，比如企业金融信息或者高级主管信息在里面，这些信息在一起的时候会对事故性做评估，同时分配到资深的安全管理，调查这件事情，对事后做整体的取证。这是对安全运维整体的管理功能。
    这是enVision在全世界的用户，有1500多个用户，RSC的enVision作为安全管理平台，是在技术性、市场性做的最好的产品，不管是金融的、电信的、政府的等等企业都用这种产品，有IT架构需要对IT架构管理很好的都可以用到这个产品。
    第二个产品是如何防止数据从企业内部丢失掉、篡改，有一句话说不怕被贼偷，怕被贼惦记者。数据偷了反而不害怕，如果自己不知道它丢了风险更高一些。还有命名知道数据丢了，但不知道丢的信息里包含什么，有哪些是敏感的，有哪些对企业有危险的信息，也不知道丢哪怕乐观，这是最可怕的。RSC数据遗失防护解决方案可以告诉你丢到了哪里、造成了什么影响等等。这是数据的一天，有可能在网络层，也可能跑到终端，把数据在的几个地方发生什么隐患找出来。另外数据闲置的时候是一种状态，进入网络层肯定数据在流动，最后在终端这块是数据被使用，这三点都会有风险，这三个地方怎么保护它。RSC  DLP技术通过三个模块，在这之上有对风险控制比较经验的人，帮助用户分析企业里有哪些数据。最近这两年有很多厂商出DLP产品，自动帮助我们定位敏感信息在哪里，帮我们做很多咨询服务，RSC  DLP帮助大家分析敏感信息怎么分类，分析之后会用三个模块。RSC  DLP第一模块可以发现信息在哪里，第二模块DLP要观察数据流向哪里，第三块是执行，对它进行控制，这三个模块合在一块，对应数据丢失的三个方向进行控制。
    这是第一模块，在下面不管文件类型还是数据库里，或者在笔记本、服务器里，这些都是RSC  DLP支持的各种文件类型，知道你的敏感信息在哪里。下面是监控，在考虑数据移动过程中，数据想从企业流出的时候的监控，不管对E-mail系统还是在线聊天系统或者通过Web方式都可以监控数据从哪流失的，流失向哪里，这是重要的一块。最后一步，监控到了也知道流失数据是不是敏感数据，最后一步就是执行，一旦比较重要的数据离开公司，执行采取个各种方式，比如彻底不让它走了，或者这个信息必须加密之后才可以出去，或者我也可以让它走也不加密，但通知我的管理员有一些信息走了，看看会不会有什么风险。
    下面这块是把enVision和DLP集成的方案，IT框架里的人员、IT基础设施和信息，把enVision和RSC结合起来，把IT基础设施和信息安全合在一起，基础设施相当于信息的容器，信息本身安全了，容器安全了，合在一起信息才真正安全。RSC现在的发展战略是把这两个产品继承到一起，给企业带来最大的投资回报率，DLP丢失什么数据，在enVision界面里会立刻告警出来。加冕看看一个领域，把基础色食安全和信息安全合在一起有什么好处，这个例子是说DLP产品发现一个信息，我们想知道它对我们造成什么损失。我们在enVision里看到，这个信息有哪些人访问了，经过哪些路径出去，这些信息资产是评估到什么位置，DLP告诉你丢失的数据是不是重要的，加密级别是什么。这样你知道你的数据丢失了，也知道你丢失的数据是不是敏感的，而且也可以看到被丢失的数据有谁访问了它，也可以知道数据丢失本身还会造成其他什么损失，这些信息在哪些系统里存储过，给我们综合的平台，让我们知道安全事故到底出在哪里。
    下一个场景是说比如有一个员工，跳槽换一个单位，如果离开这个公司，到了你的竞争对手那里，通过DLP这个产品大家知道这个员工带了什么数据，这些数据是不是很敏感、很重要的数据，enVision里可以做取证分析。
    这是把enVision和DLP合在一起做一个总结，我们刚才讲也提到了，最关键这两个产品合在一起告诉我们关键信息在哪里，谁访问了这些信息、信息流向哪里，给我们带来什么风险，采取沉淀办法缓冲这些风险，这两个产品起到了很好的结合。而且DLP不仅仅RSC有，还有其他厂商在做，enVision也有其他厂商在做，而RSC把它们结合在一起，让大家对安全评估有一个比较完整的视图和管理。下面是说DLP的一个例子，微软使用DLP不仅仅作为一个产品，微软在自己的产品系列和架构里，对微软有了一个很好的保护，微软自己知道了敏感信息在哪里，信息丢失到哪里去，怎么保护信息。而且对使用微软产品的用户也有很好的保护作用。
    介绍一下RSC的完整产品线，这在三大框架里，可以把RSC的产品放进去，SecurID这个产品今天也获奖了，不仅仅作为双因素认证的产品，获奖是因为很多银行用户端有用。另外担心行业做增值服务，可以做到增值业务里，保护自己的产品，而且也可以作为服务卖给用户。还有后面加密的产品大家如果感兴趣可以会后交流。
    
    主持人：下面我们有请Cisco  IronPort中国区技术顾问的吕鹂啸先生！
    
    吕鹂啸：大家好，我是来自思科的吕鹂啸，前面两位嘉宾讲数据安全非常精采，而且在数据本身的安全上，比如加密、策略管理等等非常专业，在这里关于数据安全其实我们认为他们非常专业，我们在思科的角度对数据如何进行安全也有另外的看法，大家会看到我们的一些方式可能跟他们不一样，但本身大家都是针对数据安全给大家提供的解决方案。
    我在今天下午讲到社会型攻击，通过互联网对社会造成的影响是什么样子的，做一个案例分析。再有对传统威胁的管理会遇到哪些挑战，这是Cisco  IronPort有哪些独到的地方。下面是一个社会型攻击的例子，比如一个员工打开电脑看邮件，看到一封新的邮件，是Cisco  CEO发的，对他来说肯定非常重要的，这个邮件有了很多连接，这时候打开连接出来，其实这个网站后端是俄罗斯黑客的一个伪造的前端。他做了哪些事情呢，把员工敏感数据盗取走了，通过网站的脚本。对于我们来说，思科是做网络出身，数据安全本身有很多层面的，不是我们考核范围。我们认为网络层面有可能泄密的数据，主要是两个层面，一个是E-mail，再有Web上网、下载等等。这是说目前全球垃圾邮件、恶意程序的威胁趋势是增长率非常高的。很多社交网站，比如U2B，如果我是一个黑客，可以找到你的U2B，知道你的人脉关系，谁是你的朋友、老板，都可以查到。他知道社会关系就可以伪造一些信息欺骗你，所以社交性网站、广告连接，这些东西越来越多。比如还有播放器插件，有谁来考核这个新的插件是否含有木马的，没有人考核。这时候我们认为是非常大的安全漏洞。
    对于我们来说，互联网本身是一个互联互通的开放交流平台，如果不允许你干这个、干那个那互联网就失去了意义。比如说这种攻击，可能是直接冒充你的主管名字，所写的事件可能是真实的东西，你很容易中圈套。不像以前，黑客就把你的服务器、网络搞瘫，现在是基于目的性的窃取你的信息、密码。现在垃圾邮件什么样子？05年之前垃圾邮件都是文本的，现在垃圾邮件是什么？这是MP3的垃圾，不断的提升技术是因为后端有利益驱使的。另外很多黑客把脚本植入到防护比较弱的网站里，比如某网站可能是前端服务器保护的很弱，黑客可以直接在页面中植入代码，被他利用作为连接。对于普通用户可能访问这个网站，把木把程序下载下来加载到你的电脑中。所以现在的攻击我们称之为混合攻击，比如说这个，通过僵尸网络把邮件发出来，这是有目的性的，不通过他的电脑发出来。一旦点了这个邮件，会有一些植入的流氓软件、木马。通过DES加载关键日志，比如他对你键盘的监控，上传到他的服务器，通过DNS出去，因为所有企业都把DNS放开的。这是目前混合型威胁的方式上，比例不断的变化规律。
    在这里主要讲一下什么是僵尸网络，以前僵尸网络是很初级的，现在已经伪造在很多大型的好的网络中，比如某个著名网站本身可能就是僵尸网络的一部分。比如某个视频网站有几十台服务器，本身被黑客植入了一些东西，它已经变成僵尸网络一部分了。这些IP本身还要提供正常服务，本身还在发布僵尸木马那你怎么办？隐蔽性越来越大了。他可能对我们安全上的威胁最早期的DDoS攻击了，现在已经成为身份窃取、垃圾邮件、虚假点击率等等。黑客现在利用合法网站来植入东西窃取你的数据，不是把你的服务器搞瘫。另外通过僵尸网络发送垃圾邮件，就不多说了。这个大家很少能看到，这是一个黑客的后端总控程序，如果我是黑客，这就是我的管理截面，会看到是哪个国家、哪些服务器被我控制了，这是俄罗斯黑客组织，30美金、50美金买到它，告诉你怎么产生一个木马，开发API开发包。这是中国的股票，有些股票已经被人操控来获利。这是一个网站，你表面看访问它没有问题的，但被黑客植入了一个代码。
    针对这些，从网络层面的这些窃取你数据信息的时候怎么防护呢。我们的解决方案是做SensorBase，对IP行为进行监控，曾经发送过什么东西，是否被投诉、黑客利用过。比如有第三方合作、部署探针、我们设备本身也可以反馈，这些数据被上传上来进行综合分析。这是SensorBase后端监控截面，看到实时的反馈，好象黑客帝国里很大的房间里，会看到哪个国家哪些IP发送一个威胁出来、怎么传播的。我们叫TCO中心。本身SensorBase是一个自动化的体系，大家知道防毒领域，比如防毒厂商在全球甚至在中国每个省找合作伙伴，作为反馈源，最新的病毒爆发之后就可以拿到最新病毒样本，我们这个概念框架上是一样的，只不过我们监控的是IP信息、域名信息、垃圾样本等等，监控的更多而已。在这里TOC本身最关键是什么呢？是多语种，比如一个中国的黑客跟俄罗斯的黑客，网站绝对是不一样的，凭什么俄罗斯网站是黑客呢？必须要有懂俄罗斯文的人看、审计才知道他是黑客。所以我们看到有32种语言，这个框架本身只是一个框架，而最关键的是这些人是不是懂这些东西。我们在上海建立了监控中心，数据安全是一种服务，所以要看它有没有在中国投入服务中心。
    对我们来说安全是长期的斗争，窃取我们的数据的人，我们就是一个城堡，你可以加城墙等等，这是不可或缺的，也是非常重要的，但思科认为我们要主动攻出去，要知道攻击来自于哪里，为什么要窃取我们的东西，通过什么方式窃取的。这通过监控中心来实现，这是我们对数据安全不同的理解。它的关键是服务体系和监控体系，监控体系思科有很多网络产品，以前思科很多安全都是被动安全，不同产品之间不通信，现在有了监控中心，任何一个点受到供给的时候，都会及时反应到数据库上。
    我们给用户提供比如威胁内容防护、数据丢失保护、互联网安全、行为管理等等。我们产品本身有E-mail等等，最核心的是SensorBase，还有防火墙等等。你会看到思科有很多产品，内容安全是在这里，放在数据中心、运营商等等也可以放在某个企业总部、分支机构也可以用，对我们来说，现在思科的产品很多，无论是网络层还是内容层的，还是主机层的、终端层的，目前都会生成一个整体，这个层面受到攻击马上会互相起来，互相是最关键的，有一点泄露所有设备互动起来，而且我们认为这是下一代网络最关键的核心。
    另外我们思科自身的优势，现在一个产品可以支持所有功能，以前文件丢失要查很多日志才能查到，现在用我们一个设备就可以做。这是为什么信任Cisco  IronPort，并不是我技术上有很多前端的技术等等，这是我们通过数据来证明的，有哪些用户有我们的东西，来反映确实有一些高端用户是信任我们的，比如全球G2000、F500、银行等等都用Cisco  IronPort产品。这是08年Gartner的排名，我们排名是第一的。这是装机量和销售额指标中，我们占到37%，这是08年8月份的数据，现在09年2月份数据是占到60%。这是中国的高端企业，各个领域，运营商、金融、企业等等。
    
    主持人：现在大家都在谈语音安全，您看思科这边怎么看这个问题？
    
    吕鹂啸：我们有另外的部门来做，不是我擅长的地方。
    
    主持人：如果有什么问题可以私下跟嘉宾沟通，最后有一个小小的抽奖，回馈在座的各位！（抽奖环节）。