国家密码管理委员会办公室研究员
中国工程院院士 蔡吉人
（根据录音记录记录整理，未经本人审阅。 2004 年 1 月 10 日）
各位领导、各位专家、同志们、大家好：
有机会来到古都西安与大家探讨信息安全的问题，感到非常高兴。随着信息和信息技术的发展，信息安全工作更加突出。中央领导对信息安全非常重视。锦涛同志、温家宝同志对信息安全都做过重要的指示。去年 7 月 22 日，国家信息化工作领导小组召开第三次会议，专门讨论了信息安全保障工作。当时在会上，通过了一个为加强保障信息安全的意见。这个意见经党中央、国务领导同意，以中办、国办名义进行转发。这就是中央中发 27 号文件。这个文件就信息安全的保障工作提出了 10 项任务。时隔不到半年的时间，也就是在 1 月 9 日的上午，国家信息化领导小组又主持了全国信息安全保障工作会议。各个省的领导和各个部门的领导都出席了这次会议。陕西省的领导和有关部门的同志也参加了这次会议。昨天（ 1 月 9 日）上午政治局常委黄菊同志（既是我们信息化领导小组的副组长，又是国家网络与信息化协调小组的组长）在会上做了一个重要的报告 , 他特别强调了信息安全的重要性。黄菊同志的报告要求要从促进经济发展、维护社会稳定、保障国家安全、加强精神文明建设的高度，充分认识进一步加强信息安全保障工作的极端重要性，增强做好这项工作的紧迫感、责任感和自觉性。所以，中央领导同志对信息安全工作是非常的关注和非常的重视。今天，陕西省的领导要我介绍一下信息安全问题。实际上黄菊同志也专门讲了，要求提高全民的信息安全意识。要进行广泛的信息安全的宣传。那么我
想，以这个宗旨来讲这个事。今天我讲的题目是，“提高信息安全保障能力，促进信息化建设的健康发展”，具体讲三个问题：一、 在现在条件下，信息安全是国家安全的重要组成部分；二、网络信息安全是个复杂的系统工程，要从整体上认识和处理网络信息安全问题信息提供完整的解决方案；三、贯彻落实中办发 [2003]27 号文件精神，全面提高信息安全保障能力。
一、 在现在条件下，信息安全是国家安全的重要组成部分
大家都知道，人类经历了农业革命、工业革命，现在已经进入到信息革命时代，信息化的大潮在全球涌动，信息和信息的技术正在改变着传统的生产方式、经济方式和生活方式，给人类生活和社会带来了高效率、高效益和高质量，当今的世界，信息化已成为经各国经济、社会发展竞争的制高点。
我国政府高度重视信息化，确定了以信息化带动工业化，发挥后发优势的发展战略，实现技术的跨越式发展，这个发展战略已经写入党的十六大文件中。江泽民同志在十六大工作报告中指出，信息化是我国加快实现工业化和现代化的必然选择，优先发展信息产
业，在经济和社会领域广泛应用信息技术。胡锦涛、温家宝同志对于信息化都有很多论
述，我这里不一一讲述。
下面我要讲的问题是另一个方面的问题。科学技术的发展就是一把双刃剑。我们都知道，化学、生物科学技术的发展给人类确实带来巨大的利益，但是，生物、化学技术的发展也会给人类投下了负面、不安全的因素 , 会带来负面的影响。就有人会利用生物的技
术、化学的技术，制造化学武器、生物武器。当然这不是科学技术发展本身的宗旨。 但
是，确实它会带来负面的影响。
网络技术很普遍，我们大家现在都在利用互联网了解世界的各地的情况，我们只要轻轻的一点鼠标，就可以了解世界每个角落的情况和发生的事情，这个信息是共享的，确实给我们带来了莫大的好处。但是，我们必须要看到信息和信息技术的发展同样也带来了负面的影响。今天，我想讲的也是这方面的问题。美国有一个密码学家，叫 Snowp, 他曾经说过“网络的好处在于互联，网络的麻烦也在于互联。计算机连成网络 , 开始进入到每一台计算机都可能被另外的计算机攻击的时期”。
那么现在我们来看一看，网络信息系统的安全威胁到底来自什么地方，到底会带来什么样的威胁。我就从三个方面来讲述网络信息安全问题。
首先，是网上信息被泄露、篡改和假冒，黑客入侵，计算机犯罪，计算机病毒的传播等等，对网络信息安全构成重大的威胁。我们知道，互联网是在以很快的速度向前发展，我们国家从 20 世纪 90 年代以来，信息网络的发展相当快的。据我们现在统计，到目前为止，我们国家互联网的上网用户人数已达到 7 千 8 百万，国内的中文网站也有 40 多万。互联网的广泛应用促进了我国经济、科学技术、文化教育的迅速发展。但是，随之而来的，信息网络的犯罪案件是急速的增加。据统计，我国的公安机关受理的信息网络犯罪案件 1998 年出现 1 百余起，到 1999 年 400 余起， 2000 年增加到 2700 余起， 2001 是 4500 余起， 2002 年是 6633 起， 2003 年第三季度统计是 7852 起。所以，增长速度是非常高的，可以说是成倍的往上增长。那么，这些仅仅是公安机关受理的案件，没有受理的案件应该大大超过这个数字。网络犯罪最初表现是有害信息的传播，盗用互联网的服务。 以后，随着互联网应用范围的拓宽，利用互联网危害国家安全，社会公共安全，及破坏社会主义市场经济秩序，侵犯公民的人身权利，以及经济犯罪大幅度地发生。可以
说，现实生活中的违法犯罪类型都在网上找到反映，都会映射到网上。从网上黑客入侵事件，我们可以看到黑客的攻击越来越频繁，现在全世界有黑客站点二十多万个，黑客的攻击手段上千种，在网上都可以找到。 2001 年初，我们都知道，由于黑客的作乱，美国许多著名的网站包括雅虎，亚马逊等等遭到了破坏，很多系统瘫痪了几个小时，网站的损失 12 亿美元，破坏的电脑系统包括国家的经济系统，基础设施，比如电力系统，交通运输设施等等，还有国防系统 , 很多领域都面临黑客的入侵和潜在的威胁。我们在报告里面可以看到，英国就有一个少年就利用了网络，用计算机连接到网上，入侵到美国五角大楼的计算机，窃取了里面的机密，篡改了里面的机密；苏联一个前克格勃成员，利用了网络，就进入了层层设防的美国花旗银行，取走了 1600 万美元。像这样的黑客入侵网络的事件，数不可数。黑客攻击的手段技术是多种多样的。另外一点就是计算机病毒的蔓延，这个大家用计算机都会感觉到病毒的问题。据统计，到 2000 年底，全球的计算机病毒有 6 万
多种，我们国家有专门的机关来收集这些病毒，建立一个病毒库，记录这些病毒。 1991 年，全球的病毒数量还不到 500 种， 1997 年全球的病毒数量一下就增加到 1 万种， 1999 年到 2000 年期间，病毒的数量猛增，累计突破了上万种。进入新世纪，病毒发展的速度更加迅猛，预计今后病毒的数量将以每年 2 万种的数量增长，病毒的传播速度现在越来越快，破坏力越来越强。红色代码病毒出现 9 个小时 , 在全世界就有 20 千万台计算机被感染病毒，冲击波病毒统计现在至少已经感染了 50 万电脑，造成了严重的损失。我们国家《 计算机用户 》做了个调查， 2001 年感染病毒的数量占被调查人数的 73 ％，造成损失的占 43 ％。到 2002 年感染病毒的数量占调查人数的 83.9 ％，其中造成损失的占 64 ％，有的是一次感染，有的是二次感染，多次感染。所以这些问题（黑客入侵、计算机病毒的泛滥、计算机网上有害信息的传播等等），都对信息网络造成了重大的威
胁，这是第一个方面。
信息网络安全的第二个威胁主要是与信息作为一个重要的战略资源 , 国际上为了围绕信息的获取、使用和控制的斗争，愈演愈烈。我们知道在信息化和信息技术上，各个国家并不是站在同一个起跑线上，站在起跑线前面的是以美国为代表的发达国家，美国正在利用他们的信息技术的优势，极力推进信息的发展。一方面美国正向其他国家大肆倾销他们的信息的产品，夺取别国的财富。同时他用夺取的财富又在全世界招募技术专家，进一步开发研究，进一步研究新的产品，进一步去获取更大利润，这是一个方面。还有另一个方面，他们出口的信息系统中间，可能放进了陷井，我们叫它后门。他可以利用这些后门，利用这些陷井来控制、来破坏、来获取别国的信息，这个在报道中间也有所透露。当前，我们都知道，我们国家所使用的计算机，大量的都是从国外进口的，计算机里面的核心软件，我们知道叫操作系统，是微软的，他们这些硬件芯片也都是美国英特公司的。所以我们所用的计算机的核心的软件和硬件都控制在美国的手里，对我们来说他是一个黑盒子，我们并不了解里面有什么东西。苏联、俄罗斯他们有一种说法，就是在这个里面可能装一个多余的零件，这个多余是对我们来说的，那么到关键的时候，这个关键的多余的零件就可能发生作用，就会把你计算机里面的信息发送到大洋的彼岸。俄罗斯对此保持了非常高的警惕，所以俄罗斯的政策里面他们是尽量采用国产的自己的产品，尽管俄罗斯他的核心部分尽管他的技术水平不如人家，但是他也不干，还是用自己国产的产品，那么我们国家大量的计算机所包括一些核心部门使用的计算机，还是采用的主要是来自美国的，所以这个问题不能不引起我们的重视。现在国家已经重视到这方面的问题，在操作系统上，在一些核心部门我们已经开始采用原代码开发的 LINUX 系统，可以在里面进行自己定制，这样避免的一些后门的问题。另外我们国家芯片的研制也取得了一些突破，龙芯一号、方舟一号，还有什么超智等有好几个芯片陆续地出台，是我们国家自主研究的具有自主产权的芯片，那么这样可能避免人家里面设计的陷井和后门。当然我们看到就是我们自己开发的东西和国际间先进的东西还有很大的差距，应该说我们这种信息受控于人，受限于人，受制于人的局面在短时期内是很难彻底的改变，需要一段时间。对这个事情的我们要有充分的认识，要加强我们管理，这是我讲的第二个方面的问题。
第三方面，值得注意的是，以美国为代表的国家正在积极准备信息战。美国一个著名的专家，他曾经说过电脑网络的建设与普及将彻底根本改变人类生存和生活的模式，而控制、掌握网络的人就是人类未来命运的主宰，谁掌握和控制了网络，谁就将拥有这个世
界。这是一个未来学家的说法。美国的前总统克林顿也讲过这个，那么今后的时代控制世界的国家不是靠军事，而是信息技术能力走在前面的国家。克林顿还讲，到 21 世纪，美国已将占领空间扩展到信虚拟空间，所谓虚拟空间就是我们讲的电脑的空间或者网络的空间。所以美国从 1995 年开始就组建信息战的执行委员会，而且组建了世界第一支信息化军队，之后美国的陆海空三军都相继成立信息战指挥中心。大家都知道 1990 年的海湾战争，当时就是世界上首次的信息战，美国就是将带有计算机病毒的芯片装在伊拉克从法国购买的用于防空系统的新型打印机中间，到关键的时候伊拉克的指挥中心就无法指挥，这就充分的看出在现代高技术下信息控制权的重要性。后来在科索沃战争、伊拉克战争中再次证明信息网络已经成为高技术战争重要的对抗领域。今后的军事对抗，首先是信息对
抗。美国的总参谋长和总参谋部联席会议主席希尔顿曾经说“我可以说在科索沃战争期
间，我们曾经使用了一部分电脑系统，当时采取的行动，是有带攻击性的，我不方便具体透露当时采取的行动”。他说明了他绝对是用电脑作为攻击型的武器。所以我们从上面几个方面三个方面我们可以看得出来，信息安全信息网络面临着重大的威胁，这一点我们必须要充分地认识。对信息网络的攻击，有的是来自个人的，属于经济犯罪；也有集团性
的，更有是国家情报部门组织的攻击。我们讲网络世界和现实世界他们是互相影射的，现实世界中的各种安全问题都会反映到网络当中，当然网络世界和我们传统地所讲的安全问题还有独特的特点。这个特点就是无边界性、突发性、漫延性、隐蔽性和攻防非对称性。所谓无边界性，大家都可以理解我们对一个国家来说，他的陆海空他都有他自己的边界，这个边界是靠军队来保卫的，对于网络我们现在所讲的英特网，那么他的边界在什么那
里。我们知道所有的英特网都联到了美国，美国可以从网络上获取所有从网络上通过的所有的信息，那么什么是边界，这就非常模糊，他可以站在美国国土上，通过英特网获取你的信息，所以这是无边界性。突发性、漫延性、隐蔽性这个都比较好理解。计算机网络所受到的攻击都是突发的，没有先兆，他是连着计算机通过网络进行传播，迅速地漫延，而且它有隐蔽的特点。另外一个叫攻防非对称性，就是对计算机的这个攻和防是不对称的，应该说是易攻难防，你防守当你知道它有一个漏洞你可能很好地防守，那么对已知的漏
洞，不管它有多少，我们都可以防守，但是你不知道漏洞在什么地方，也不知道人家怎么攻击你，你怎么进行防守，所以守是很难的，攻击的人，黑客也好，他只要找到了你一个漏洞他随时攻击，你作为防守的方面，你不知道攻击来自什么地方，这就是说攻防是不对称的。正因为有了这些特点，使网络安全、信息安全问题更具有复杂性。
那么根据上面的讲述可以看出来，在现代的条件下，网络信息安全已成为国家安全重要的组成部分，成为影响社会稳定和经济发展的全局性问题，网络信息安全不但是发挥信息革命带来高效力、高效率、高效益有力的保证，而且是对抗信息霸权主义、抵御信息侵略的一个重要的屏障，一个国家的信息的获取能力和信息安全保障能力，这两个能力，应该说是 21 世纪综合国力、经济竞争能力和生存能力的重要组成部分。面对复杂多变的国际形势，江泽民同志曾经指出“对信息网络化的问题，我们的基本方针是积极发展、加强管理、趋利避害、为我所用，努力在研究信息网络的发展占主要地位”，江泽民同志提出的十六字方针，揭示了发展与安全的统一。我们刚才讲了信息安全确实存在很多问题，但是我们不能因为存在那么多的问题就不搞信息化，我们还是应该发展我们的信息化，按照我们国家的战略方针发展，加快信息化的发展，所以我们不能因噎废食，这只会在信息革命中间进一步加大与世界发达国家的距离，应该说这样是没有出路的。所以建设信息化，用信息化带动工业化，是我们的战略方针，这是最基本的。但是另一方面，我们不能因为发展信息化而不重视信息安全问题，对信息安全的问题熟视无睹，没有信息安全的保障，信息化是很难健康发展的。我们知道我们建了很多的网络，包括我们现在开始启动的电子政务的网络，以后还有电子商务等等，这里面没有信息安全的保障，是不可能健康发展
的。另外一个如果没有信息安全的保障，可能给敌方以可乘之机。所以我们应该坚持一手抓信息化的建设，信息化的发展，另一手要抓信息安全保障，两手抓。黄菊同志也讲到我们必须两手抓，这个实际上是处理信息化建设与信息安全关系的一个非常重要的原则，所以江泽民同志讲的十六字方针，是我们国家发展信息化的一个指导方针。
二、网络信息安全是个复杂的系统工程，要从整体上认识和处理网络信息安全问题信息提供完整的解决方案
那么网络信息安全主要解决什么问题呢？就是在覆盖计算机和通信领域的存储、传输和处理的这几个过程中间，要维护信息资源的保密性、完整性、可用性、可控制性和抗抵赖性，我们叫信息安全的“五性”，这个“五性”是得到国际上的公认的，大家都将信息安全叫做 “五性”。这“五性”并不是一开始就形成的，这个概念是一个不断发展的、预设、预定的过程。
在早期的通信保密的时代，这个时候信息安全就是一个通信的保密，就是解决在数据传输过程中，别人不能获取我的信息，不能在通讯线路上获取我的信息。那么，通讯保密主要靠什么技术来解决呢 ? 靠密码技术 , 就是通过加密。大家都知道 , 电视电影中的加密，对信息进行加密处理，那么你就是截取了我的信息 , 你也读不懂，你也读不了，对你也是没用的。加密技术很早就有了，如果要追溯的话，用密码进行加密是在公元以前开始就有 , 当然那个时候的加密技术与现在的有线通讯、无限通讯还没联系起来 ， 递送东西是通过加了密送过来 , 加了密再送出去，是靠人工的。现在与通信结合了 , 在网络上传输这种通信加密技术 , 在第一次世界大战 , 第二次世界大战表现的特别明显。大家在电视电影里面都看到了 , 第二次世界大战中密码的保密和破译的斗争非常的激烈。很多电影都反映了，包括山本五十六之死 , 等等都是密码的斗争。一个是保密一个是解密 , 靠的技术是什么呢 ? 当时主要的手段就是靠保住用密码加密的东西。密码用来干什么呢？就是用来加密，就是把信息加密 , 别人就看不懂，这是第一点。
到了后来，我们有了个人计算机 , 就出现了计算机安全的问题 , 就要防止计算机被人非法使用。就是计算机是我的 , 里面存储的是我的信息 , 我要防止别人获取我的信息 , 非法的利用我的计算机。还要防止计算机被传播恶意的代码或者叫恶意的程序来破坏
你的计算机正常的工作 , 这个是要防止的 , 所以这个时候 , 除了保密性以外就要求一个可控。就是我自己可以控制 , 不能被别人非法利用的。后来就出现可用性 , 我的计算机要可用被种了恶意的代码或者叫恶意的程序 , 被破坏了 , 我没法用 , 这就是可用性。这就是保密性 , 可控性 , 可用性的问题。这是第二。
从个人计算机进入网络时代，就是计算机联网了，那么网络信息的安全除了保密性 , 可控性 , 可用性以外，还要求网络信息要防止被非法的篡改，就是网络通信之间传输的是一个完整的信息，不能被别人篡改，这叫完整性。怎么样防止别人篡改呢，就是完整性。后来随着网络信息的发展 , 在网上可以进行交易，我们可以在网上签订合同，也可以进行网上供货等等，那么又提出一个新问题就是抗抵赖性。就是我们两个人在网上签订了一个合同，那么，过后我一看我的合同对我不利了 , 我可以否认我这个合同。为什么呢 , 我可以说这个合同不是我签的 , 他可以抵赖 , 也可以说是别人冒充我的名字签的 , 你没办法 , 网上是谁也看不见谁 ,这是在网上交易上另一个必须解决的问题，就是怎么防抵赖 , 你签的就是你签的 , 你是赖不掉的，这就是抗抵赖的问题。这就是保密性 , 完整性 , 可控性 , 可用性 , 抗抵赖性五性。当然这是一个现在的词 , 过一段时间就会出现六性 , 七性这也不好说 , 现在说是五性。现在对信息安全的概念 , 全世界还在探讨 , 美国现在提出了一种概念叫信息保障。我们刚才说的信息安全 , 他们提出的信息保障 , 美国安全局是美国负责密码编制、密码的破译的最核心的情报机构 , 他出了一本叫做信息保障技术框架 , 这本框架一方面肯定了刚才提到信息安全的五性 , 另一方面它因为单层的 , 静态的保护已经不能适应今天的需要。就是讲到五性的同时讲到静态的保护发展到动态的保
护 , 所以信息安全 , 也就是信息保障框架指出了保障信息安全必须的四个环节，防护、检测、反映、恢复。它是把信息安全看成是一个动态的过程，首先你的信息系统必须要解决防护的问题，要有防护的措施，另一方面你的信息系统要有检测，检测谁攻击你了，要有检测。第三，检测可能还要受到攻击，系统要有反映，人家的系统出现了问题要很快有所反映，另外反映以后遭到了破坏以后要能够很快地恢复，这样的话把损失降到最低点。美国也承认这个信息安全系统太复杂，绝对地百分之百的安全是不可能，是很困难的。发生了问题我能把我的损失降低到最低限度就可以了。所以这样的话，整个信息安全是一个动态的过程，防护、检测、反应到恢复，它并没有终止，恢复还要反馈回来，进一步提高防护措施，一个不断上升的不断发展的动态过程，这个看法还是符合客观实际的，你不能把安全问题看成一个静态去贯彻，而应该把它看成一个动态去贯彻。
那么网络信息安全的目标主要是什么呢？在有效利用网络先进技术的前提下，非授权者不能进入系统窃取、伪造、破坏信息，授权者要按授权访问系统，不能越权，政府能有效地监控和管理。按授权的权限访问系统，我们很多在政府部门工作的同志都知道，很多系统里面有各种样的程式，你科长看什么系统，处长看什么，都是不一样的，他是有权限的，只能进入授权的访问系统。另外，能够有效地监控和管理。有的人通俗地讲非法者进不来，不让你进这个系统，进来以后 也看不懂，拿不走，你也搞不乱，最后一点赖不掉。他是一个审计的系统，都有记录，你赖不掉。因此，网络信息安全系统是一个多因素、多层次、多目标的动态变化的复杂的系统。我们解决信息安全的策略是什么呢？我们必须从解决网络信息安全的策略进行综合治理，技术、管理和法制并举，形成一种合力，当然还需要情报知识、谋略的融合，技术管理和法制形成合力，它不是简单靠某一个措施就能够解决。当然我们讲信息安全攻防是一个高技术、高科技的对抗，所以必须从技术层面解决信息安全问题，研究防护的技术和措施。但是光靠这个是不够的，信息安全技术要真正转化成信息安全保障能力，要靠管理。所以必须将技术和管理相结合，特别在今天我们技术措施还不可能做到能够完全防范的情况下，我们更要强调管理。今天很多部门的同志都来了，目前我们很大部分是要靠管理来实现，在操作、人员管理这一方面，还有问题，是非常重要的。这也是我们国家在一方面的优势，这种优势我们要发扬。下面我从从技术层面讲一下这个问题，这方面的技术是很多的，有密码的技术、有访问控制的技术，有网络监控的技术，防病毒技术，电磁泄露技术等，特别密码技术在解决网络信息安全中发挥了特殊的基础的作用。昨天黄菊同志的报告里面讲了当前信息安全要着力抓好的几件工作，其中特别强调要加强以密码技术为基础的信息保护和网络信任体系的建设，就是强调发挥密码在信息安全中基础的、不可替代的作用。密码在我们国家，在革命战争年代，老一辈的革命家对密码高度的重视，革命战争时期我们的密码工作是周恩来亲自掌管的，密码工作被称为咽喉命脉，就是离不开啊，在战火中通讯怎么指挥啊，你不加密行吗？密码技术确实在革命战争年代发挥了重要的作用。那么到了现代化建设时期，我们中央的国务院的重要的指示怎么传达呢？各省重要的经济数据怎么上报呢？还是要经过一个秘密的渠道，就是密码传输的渠道，这个渠道从中央到县一级都有，传输这些秘密的信息。所以我们中央领导将这个密码工作称为生命线，保障线，指挥线，三线，密码工作发挥这样一个作用。就在现代化建设时期发挥这么一个作用。那么今天我们又面临一个新的情况，这个信息技术已经扩大到整个社会，就叫社会的信息化，我们每个人手里都有计算机，我们每个人都和信息打交道，那么这个密码技术能不能保护个人的信息安全呢？应该说是可以的。所以现在给密码工作提出了一个重要问题，也是一个挑战。你过去是保护一些秘密，核心部门的秘密传输，没有问题，但是今天密码工作范围要大大的拓宽，不光是应用性信息，商业性信息、个人的信息也要使用密码技术的保护，这是一个大气候。大家想到现在很多地方采用的卡，有的是社保卡，有的叫市民卡，我们现在个人手里面还有信用卡，那么这些技术里面都有密码技术来支持，要不然就很可能造成经济犯罪。另外一方面，我们人大已经通过了我们即将实现二代身分证，我们现在所使用的身份证是很容易被人家来伪造的，一个人可以搞到很多几十张伪造的身份证，那么我们现在第二代身份证的技术是什么呢？第二代身份证技术就是采用密码技术，那么这种身份证，今后可以说要能破开密码的话，是很难伪造的！这个已经在深圳、上海很多地方即将使用！而且全国要推广。现在初步统计有 9 亿张身份证，而且随着 16 岁人员的不断增长，还在不断扩大。密码技术应用上面很宽，密码技术本身用来保护信息发挥应有的作用。我们不光用来保护我们的科技秘密的传输，更要用来保护设计到整个社会信息，包括个人信息的保护，这就是目前密码技术面临的一个新的形势和任务。这个在中央的 27 号文件里已经明确提出来。要保护电子政务，电子商务，和包括个人公民信息的安全，用密码技术。所以对我们来说，特别是密码技术工作者，密码工作部门来说，这是一个挑战，这个问题必须解决！所以我们信息和技术的一些发展，在密码工作领域正发生一个深刻的变化。这个变化主要体现在密码主要应用政府，军事，外交等领域，现在已经渗透涉及到经济，商务等领域，应用范围不断扩大。还可以举个例子，就是密码技术用于增值税发票的防伪，大家都知道，增值税的发票防伪非常复杂，假发票很多。假发票可以抵扣， 1 万块钱可以抵扣 1700 块钱，抵扣率 17 ％。所以增值税发票后来采用密码技术解决防伪的问题，我们也看到，每年我们国家的增值税和我们的税收都是几百亿的增长，这里面和我们采用密码技术解决的安全问题是有关的，在为经济建设服务作出贡献。所以密码在大家的概念里面非常的神秘，很多人不知道，就电影里看到了密电码，比如永不消失的电波 , 但是今天来说，这件神秘的外衣已经脱掉
了，都深入到每个人的手里，这就是一个很大的变化。另外一个变化就是密码就专门的机构的研究，也走向了大专院校科研院所，企事业单位，这个现在很多地方院校研究所也都在密码技术。过去我们国家只是限制在国家指定个别单位来研究，现在都在研究。密码技术是一门科学，密码学是一门新兴的科学，广泛的研究推动了密码技术的发展。所以我们过去传统的密码已经进入到现代的密码重大变革里面，把密码、通信和计算机结合，那么实现信息的保密和信息的认证结合起来，另外密码的体制和功能是单一，经过多元化的发展阶段，现代叫做技术窗口。密码技术解决了很多问题，也解决了信任问题，身份认证的问题，保密的问题、加密的问题，完整性的问题、抗抵赖性的问题，那么这些问题怎样解决的？今后的发展趋势就是一个芯片，密码的芯片把这些功能都解决了，非常简单，进行积累，这样就可以真正地为大家所使用，为我们广大的公民所使用，我们看到不可能一大堆密码，就是一张卡，里面就灌输了密码，可能就是一个电子钥匙，具有 USB 接口钥匙，所以我们讲密码理论、密码技术发展速度和密码技术应用的范围都是空前的。这里不细讲了。现在的密码和大家息息相关，解决信息安全问题非常重要。
下来讲一下公钥基础设施 PKI ，叫 CA 证书，就是密码技术的应用了。信息与网络技术的发展，今后电子商务的应用已经被人们接受，网上交易，网上购物，网上谈判，国外每年在几百亿，我们国家在这方面还很不够。但是电子商务的发展是个必然的趋势，很多国家非常重视电子商务的发展，特别是很多中小企业都非常看好电子商务的发展。对于中小企业来说，他要推广他的产品、他要全世界去交易，他只有在网上是最方便的，他不可能派出大量的人员到全世界各地去进行交易，所以网络对中小企业的发展提供了一个非常有力的条件。电子商务的发展中必须解决身份认证的问题 , 安全传输的问题 , 抗抵赖的问题 , 数据完整性的问题 , 你不解决这些问题。在网上不知道谁是谁 . 我就可以抵赖 , 我也不知道是某一个人 , 并不能确认是谁 , 所以必须要解决。在国内网上购物为什么发展不起来 , 其中原因是很多的 , 当然里面最终要的问题是防假的问题 , 但是网上不安全是一个重要的因素 , 调查结果表明三分之一多的人认为网上交易不安全。现在搞的公钥基础设施利用一种公用密码技术 , 来建立一个信息安全的基础设施 , 为网络用户提供身份的认证 , 加密 , 数字签名（就是抗抵赖） , 还有等等的安全服务。用密码技术给每一个网上的用户发一张数字证书 , 他可以放在卡里面 , 也可能用一个电子钥匙存起来，这样的话一上网 , 就可以证明他的身份 , 就不可能冒名。就在网络的条件下 , 建立一种信任的体系 , 我可以相信谁就是谁 , 这就是公钥基础设施。他主要是靠一个可信的叫做数字证书认证中心 ,CA 发放的证书 , 然后利用这个证书可以解决上面讲到的身份认证、加密传输、数字签名等问题。所以这是一个非常重要的基础设施。我也知道陕西省已经建立了一个公钥密码基础设施 , 叫做自己的 CA, 已经通过了专门机关的技术鉴定 , 应该说这个 CA 的建设对于我们今后的电子政务外网和电子商务 , 电子海关 , 电子证券 , 电子税务等等都构筑了安全支撑平台 , 利用这个平台可以为这些业务提供安全的服务。所以说这是一个非常好的基础设施 , 现在已经通过了安全性审查 , 很快就要进行技术鉴定，这个 CA 建立起来以后 , 能够为各个部门应用提供了一个非常好的平台 , 当然这里面关键还在应用。 CA 给每个用户发证书 , 那么谁愿意用这个证书呢 ? 要靠政府的引导 , 各个有关部门的支持。发了证书不应用就没有意义。福建省建立了一个 CA 系统 , 现在已经发放了 9 万张证书 , 还在不断的扩大。那么现在很多人愿意用这种证书 , 比如说解决政府采购的招标问题、网上交税的问题、网上炒股的问题 , 都可以去做 , 提供了非常方便的条件 , 所以 500 元一张证书 , 对他来说是一个产业 , 几千万的产业 , 还可以扩大对外发放。除了建立 CA 以外 , 还要靠政府的引导和各个部门的支持 , 来帮助他。关键还要好用 , 有好的服务 , 我也到广东去过 , 广东南海大家都知道 , 他们的电子商务搞起来了，他们的 CA 也都搞起来了 ,CA 系统也都建立起来了 , 非常方便 , 很多应用都在上面。过去有些网络不敢用啊 , 现在 CA 给他提供了安全保障 , 他就敢用了 ! 比如说他要申请一张卫生证 , 她就不用去跑了 , 在网上就可以申请 , 过去没有安全 , 她就不敢用啊 , 也不敢审批 , 不知道谁是谁啊 ! 现在这套系统就可以保证谁就是谁 , 保证了他的安全 , 所以这是非常方便的基础设施 , 大家都可以用这个基础平台 , 所以我想这个 CA 建立起来以后 , 应该在政府引导下扩大他的应用 , 给大家提供更方便的服务 , 这是我想讲的第二个问题。
三、贯彻落实中办发 [2003]27 号文件精神，全面提高信息安全保障能力
中办发 [2003]27 号文件就是国家信息化工作领导小组“关于国家加强信息安全保障工作的意见” , 这是中办、国办转发的 , 是经过国家 1 几个部委一起起草的形成的 , 花了近一年的时间。 27 号文件对于我们来说 , 是一个非常重要的文件。所以我想讲一下贯彻落实中办发 [2003]27 号文件精神，全面提高信息安全保障能力的问题。现在我们看一下我国信息安全的现状是什么？应该说在党中央 , 国务院的领导下 , 我国信息安全保障工作取得了明显的成效 , 这几年中央对信息安全更加关注 , 刚才我在前面已经讲到 , 包括出台的文件 , 召开的会议 , 领导的指示 , 都非常重视，反映了这方面的情况。另一方面 , 我们建设了一批信息安全的基础设施 , 刚才我们讲的陕西的 CA, 这是一个信息安全基础设施。国家也加大了信息安全的投入 , 这一次黄菊同志又专门讲了要加强对信息安全的投入 , 因为现在我们知道很多信息系统的投入 , 对于安全的投入不够 , 他往往用钱花在建网 , 买设备 , 对于安全这方面关注不够 , 其中有个原因，受到经费的限制。按照美国这些国家，他们有个比例，建一个信息系统你的安全投入，应该占整个系统的 10% 以上。而我们国家，大部分地方在这方面的投入非常可怜，这也是讲到问题严重的方面。所以现在国家要加大对信息安全的投入，另外也加强了对互联网安全的管理，研究开发了一批有自主知识产权的信息安全产品，基本满足了各方面的需求，但根本满足是不可能的。
另外国内已经开始重视信息安全人材的培养，很多学校都成立了信息安全专业（最早的是武汉大学，你们西安电子科技大学也有），加强了人才培养的力度。但是我们也应该看到，我们信息安全保障工作急需解决的问题还不少，总的来说，有这几个方面：
信息安全网络安全防护问题总的来说还是很弱的。许多应用系统处于不设防的状态，存在极大的风险性和危险性。当然这跟投入有关系，你没有那么多信息安全的投入，怎么能把信息安全系统做起来呢？
另外呢，我们刚才讲，安全技术与发达国家差距很大，很多信息技术的设备是靠国外引进的，而这些设备又缺乏安全的管理和监控，存在着安全的隐患。当然，这些隐患什么时候发作，我们不好说。
第三个方面，信息安全管理和技术人才缺乏。尤其是缺乏懂得网络信息安全、管理和法律的复合型人才。尽管我们现在加大了这方面人才的培养力度，但是据我们统计，现在我国从事信息安全的人才是 3500 人，相对于我们这样一个大的国家，这么多信息系统，确实是太可怜了！所以我们要加大这方面人才的培养。昨天黄菊同志专门讲了：“很多院校要设立信息安全专业，培养信息安全人才。”
另外就是全社会的信息安全意识不强，信息安全管理薄弱。有很多人只知道应用，不知道安全，不知道网络信息存在着那么多威胁，所以要进行宣传，要提高网络信息安全的意识。
另外一个信息安全的法律、法规和标准不完善，所以要看到我国信息的安全面临的形势是严峻的。随着网络技术的发展，随着我们对网络依赖程度的提高，网络的安全问题越来越突出。就象美国，他很重视信息安全，但是反过来，我们也知道，美国对于网络的依赖程度也很高，所以，带来的风险也是很大的。所以美国特别在 9.11 以后，对于信息安全给于了更多的关注，采取了一系列措施来加强信息安全工作。
国家信息化领导小组《关于加强信息安全保障工作的意见》是新形势下加强信息安全保障工作的纲领性文件，这个意见就是极大的提高我国国信息安全的能力和水平。促进我国信息化建设的健康发展。
《国家信息化领导小组关于加强信息安全保障工作的意见》在总结信息安全实践经验的基础上 , 以辩证唯物主义的思想为指导，阐述并确立了一系列信息安全的基本观点。这些基本观念包括：
- 在发展和前进过程中解决信息安全问题。提出了以安全促发展，在发展中求安全。不能因为信息安全存在很多问题，不能因噎废食，也不能对信息安全问题熟视无
睹。要辨正地处理这些问题。
- 对信息安全的认识来源于实践。以信息安全需求作为前提，所以今后我们在建设我们的信息系统安全系统的时候，我们必须首先明确我们的信息安全的需求是什么，必须把需求搞清楚，然后自己能够制定正确的一些措施，采取哪些安全技术去解
决， 以信息安全需求为前提。
- 信息安全是个动态变化的过程，他是与不断发展的网络来一起发展。因此，它既是一项紧迫的任务，又是一项长期的工作。信息安全不是靠我们今天一劳永逸能解决的。我们必须从现在开始抓住信息安全的问题不放。
- 信息安全是一个复杂的系统。需要综合的措施，我刚才讲了，技术，管理，法制并
举，不是靠一项单独的措施能奏效的。
- 信息安全要建立积极防御，终身防范的方针。 27 号文件明确地讲，这个方针叫积极防御，积极防御不是消极的防御，它是主动地防御，要以积极防御的态度。要终身地防御，终身地防御不是单一的防御，应该是多方面配合的一种防御。包括，技术，管理，法制多个方面的综合防范。在黄菊的报告里又重申了这个方针。
- 信息安全保障工作要统筹规划，突出重点，强化基础性工作。现在国家的银行、电
力、交通运输都是一些重大的信息系统它要一出问题，就会对国民经济都要造成重大的损失，给人民在使用上带来很多的问题，网络一停电一停，现在电力调度都是靠网络指挥，你只要网络一出问题整个电力就会出问题。象美国大停电，造成的损失就很大，所以要抓住重点的 。就象小小的咸阳事件，民航因为电路发生故障几个小时，结果几百个航班延误，意见很，大搞不好会引起社会稳定的问题，所以这个要突出重点。
- 不同的信息系统安全需求是有差别的，信息安全要综合平衡安全成份和风险。就是我们不同的信息系统从中央到基层，从国家的一些信息安全到个人的信息安全的需求是不一样的。我们不能一刀切，不能用一种安全措施去解决所有的问题，必须要以一种等级，信息等级保护的观念，这次专门讲信息等级保护，要分等级的保护，这样才能够把安全和投入作个比较好的平衡。你统统把安全等级提的很高投入很大没有必要性，所以要有信息安全等级的观念，采用不同的安全措施去解决问题，把安全和安全的投入取得一个一致，取得一个平衡。
- 信息安全产品研发要自主创新，引进的信息安全产品要安全可控。就像刚才讲的首先要创新，还有我们有些产品象引进国外产品的时候我们要了解它、要自主、要可控，这些都是 27 号文件里没有的，我把它总结成一些重要的思想。这些思想都是实践中总结出来的。能够防止我们的信息工作的盲目性，片面性。增强我们工作的自觉性，科学性。这些观点对指导我们信息安全的保障工作都有十分重要的意义。
下面我再说一下贯彻 27 号文件，要做的事情很多，涉及的面很宽。那么，我想当前信息安全工作首先要以电子政务作为突破口，解决电子政务当中的安全问题。因为我们知道，在国家发展信息化中间，政府的信息化是关键。政府信息化要先行，通过政府和政府之间，政府和企业之间，政府和工人之间的互动，能够带动整个国民经济和社会的信息
化。所以， 2000 年的 3 月，国家信息化领导小组做出决定，把电子政务作为今后一个时期我国信息安全的一个重点，并且出台了对我国电子政务的指导意见。因为电子政务是全球的发展趋势，它是一个不可逆转的发展趋势，各国政府都在加强电子政务的建设。电子政务不是过去的办公自动化，是办公自动化的提升，不仅是将现有的政府业务电子化，更重要的是对现在政府进行信息化的改造。据联合国科教组织对六十几个国家的了解，正在进行电子政务建设的占到百分之八十九，其中有发达的国家也有不发达国家，有些国家发展的比较快，象加拿大。他们的电子政务和我们的不太一样，我国从计划经济过来的，很多东西还带着计划管理的东西，国外的电子政务主要是为公众服务，就是实现网上政府办公给公众服务，提供很多方便。我们现在的管理还不太一样。今后我们也应该逐步向这个方向发展，更多的为公民网上提供方便。那么，在搞电子政务中间，我们在座的很多都是搞自动化的，积累了很多经验，但是，我们也要注意，现在有一股风，都在搞电子政务，盲目性比较大。就是对电子政务解决什么问题不是特别清楚。对电子政务的科学性，合理性，严谨性注意不够，因此，往往会带来很多风险。电子政务建起来了用不上，投入了，用不好。所以我们说， 应该谋定后而动，认真考虑我们的需求，来保障电子政务的健康发展。我了解到，陕西省也建立了自己的电子政务网，并且发展的很快。现在已经建立了电子政务内网和公众信息网两个平台，应该说为互联互通，为信息共享创造良好的条件。但是今天我要强调一下在电子政务内网的建设中间，我们要注意建立相应的网络信息安全的保障体系。没有网络信息安全保障体系，电子政务是不可能健康地、有序地发展起来的。这一点，黄菊同志在昨天的报告中明确指出“信息系统的建设，信息安全保障体系的建
设，必须同步规划、同步建设、同步发展。”这就是三个同步，所以，这一点要引起各方面的重视。过去在南海的时候，我也参加了当地的一些工作，可是网络建设搞好了，宽带网也进入了用户的家庭，非常方便，但他们就是没法用，就是因为安全问题没有解决。因为网上上网的人不知道谁是谁，我怎么敢用，他没办法。后来他们意识到了这一点，他们就专门投入建立信息安全保障体系，建立了 CA 系统。现在有很好的网上应用，有 18 个应用系统都在网上运行。所以一定要考虑安全问题，为公众服务也有安全问题，就是信任体系的建设。在建设安全保障体系的中间要综合运用密码技术，访问控制的技术，网络监控的技术，防病毒的技术，应急灾备技术。银行不仅有备份，而且还要有异地备份。现在的中办、国办系统的建设都要考虑到这个问题。密码技术是安全技术的核心，中办 27 号文件讲要充分发挥密码技术在保障电子政务、电子商务和个人信息方面的作用。电子政务内网是实名网，上面有很多重要数据在运行，所以安全问题更要引起关注，中办领导在信息安全会议上第一条讲要信息安全，没有信息安全保障你就别搞。中央文件在网上一定要有安全保障，密码工作部门就提出了要求。要充分调研安全电子政务需求，提出省内电子政务密码保障方案，要和省内信息部门联合，要启动陕西省的政务网络的信任体系的建
设，构建地区性的密钥管理中心，为电子政务提供安全的支撑，所以密码管理部门面临的任务很艰巨，应该积极地参预进去做好，我们的工作。昨天黄菊同志还专门讲了，如果一个信息系统没有考虑安全保障，有关部门可以不予批准系统运行，因为涉及到国家的安全问题。信息安全保障是国家的大事，贯彻落实中办 27 号文件是各级党委，政府的一项重要的工作，在信息化建设中间要同步考虑信息安全的问题，始终坚持一手抓信息化发展，一手抓信息安全保障工作。政府要从政策的引导、监督、管理、人才的培养、增强意识、基础设施建设、技术的研究开发方面加强安全保障的工作，同时，政府要鼓励社会力量参与信息安全的建设，广大的企业，科研机构应该成为信息安全技术研发、产业发展的主
体，为政府和社会的信息建设做出应有的积极的贡献。
