贯彻落实等保关保指导意见 可信计算有望提供更多价值
2020-09-18
近日，为深入贯彻党中央有关文件精神和《中华人民共和国网络安全法》，指导重点行业、部门全面落实网络安全等级保护制度和关键信息基础设施安全保护制度，公安部制定出台了《贯彻落实网络安全等级保护制度和关键信息基础设施安全保护制度的指导意见》，进一步健全完善国家网络安全综合防控体系，有效防范网络安全威胁，有力处置重大网络安全事件，切实保障关键信息基础设施、重要网络和数据安全。
《指导意见》确定了基本原则和工作目标，提出了深入贯彻实施国家网络安全等级保护制度、建立并实施关键信息基础设施安全保护制度、加强网络安全保护工作协作配合、加强网络安全工作各项保障等具体内容。下面我们围绕国家新基建战略落实和信创产业推进，结合指导意见中可信计算相关内容进行分析。
主动防御
落实关键信息基础设施重点防护措施：
——积极利用新技术开展网络安全保护，构建以密码技术、可信计算、人工智能、大数据分析等为核心的网络安全保护体系，不断提升关键信息基础设施内生安全、主动免疫和主动防御能力。
加强重要数据和个人信息保护：
——运营者应建立并落实重要数据和个人信息安全保护制度，对关键信息基础设施中的重要网络和数据库进行容灾备份，采取身份鉴别、访问控制、密码保护、安全审计、安全隔离、可信验证等关键技术措施，切实保护重要数据全生命周期安全。
当前，国家正在大力推进“新基建”战略实施，涉及到信息基础设施、融合基础设施和创新基础设施。这些基础设施应用了云计算、大数据、人工智能、5G等创新技术，具有跨领域、跨行业、跨专业的特点，承载了大量的关键行业核心业务应用，储存了海量的企业数据和个人信息，因此应当按照《关键信息基础设施安全保护条例》要求，纳入关键信息基础设施范畴实施重点保护。
由于传统的网络安全技术和产品在应对高级持续威胁、新型木马病毒以及层出不穷的系统漏洞时力不从心，无法对关键信息基础设施实施全时全域保护，因此，需要利用可信计算、人工智能等技术，构建新型的网络安全保护体系，提升基础设施的内生安全和主动防御能力；同时，随着各种数据安全法律法规的陆续出台，无论是数据安全/隐私保护的实际要求，还是数据分析/资源利用的业务需要，都有必要应用密码保护、可信验证等关键技术措施，采取类似零信任安全架构身份认证及访问控制机制，保护重要数据和个人信息全生命周期安全。
目前，部分国内知名ICT企业已经应用相关技术构建了基础设施平台保障其业务应用的安全。如腾讯构建了可信计算与供应链安全保障体系，确保主机所有的硬件、固件、代码完全经过安全审核，全方位助力产业互联网安全升级；阿里构建了蚂蚁区块链摩斯安全计算平台，借助区块链、可信计算等技术，提供了一种全新的数据安全和隐私保护的数据合作方式。由此可见，可信计算在“新基建”战略实施过程中可望发挥重要的作用。
供应链安全
在“深入贯彻实施国家网络安全等级保护制度”章节，指导意见提出了加强供应链安全管理的具体要求：
——网络运营者应采购、使用符合国家法律法规和有关标准规范要求的网络产品及服务，第三级以上网络运营者应积极应用安全可信的网络产品及服务。
在“建立并实施关键信息基础设施安全保护制度”章节，指导意见提出了强化核心岗位人员和产品服务的安全管理的具体要求：
——要对关键信息基础设施设计、建设、运行、维护等服务实施安全管理，采购安全可信的网络产品和服务，确保供应链安全。
当前，我国面临的供应链安全形势极为严峻，不仅要经受漏洞后门、网络攻击等技术性威胁，还承受着美国“脱钩”讹诈、发达国家产业迁出等政策环境压力。因此，国家高度重视国内供应链安全体系建设，以有效抵御外来风险。在指导文件中，无论是关于网络安全等级保护的内容，还是涉及关键信息基础设施安全保护的内容，都要求在供应链方面采用安全可信的网络产品和服务。
目前，国家正在大力推进的信创产业就是保障供应链安全的重要举措。信创产业涵盖了IT基础硬件、基础软件、应用软件、信息安全四个层次，包含了从底层基础软硬件到上层应用软件的全产业链，涉及到党政、金融、石油、电力等关键领域。可以说，信创产业就是从宏观层面解决供应链的“安全可信”，众多网络安全企业就是从微观层面确保供应链的“安全可信”。
信创产业的蓬勃发展需要各种网络安全技术、产品和服务保驾护航，信创安全也面临着一些新的问题需要克服，正如部分网络安全专家所指出的那样：一方面是自身弱、对手强、动机多等严重挑战，另一方面是认知偏差、能力不足、积累不足、实战不足等实际情况。因此，信创安全需要新的发展思路，积极利用新技术、新手段开展网络安全保护。从指导意见来看，具备主动防御能力的可信计算显然是值得选择的技术之一，在信创产业推进过程中可望提供更多的价值。
可信计算价值凸显
2019年5月，国家市场监督管理总局发布的等保2.0标准中，充分强化了可信计算技术使用要求，把可信验证功能要求列入各个级别并逐级提出各个环节的具体要求，并指出“构建以可信计算技术为基础的等级保护核心技术体系”。2019年10月，工信部发布了《关于促进网络安全产业发展的指导意见(征求意见稿)》，提出了“积极探索拟态防御、可信计算、零信任安全等网络安全新理念、新架构，推动网络安全理论和技术创新”。
2020年以来，无论是中国人民银行发布的《金融分布式账本技术安全规范》，还是国家市场监督管理总局发布的《信息安全技术 远程人脸识别系统技术要求》，都对相关的业务运行环境提出了可信要求。从国家政策支持、标准推进以及此次指导意见的具体内容来看，可信计算的价值愈加凸显。因此，在新基建战略落实和信创产业全力推进背景下，在网络安全等级保护和关键信息基础设施安全保护推进工作中，可信计算应当起到更加重要的支撑作用。
大唐高鸿信安作为可信计算技术使能者，一方面积极投身信创产业，提供可信软件、可信适配方案和可信咨询服务，为合作伙伴产品可信化和合规化提供支撑；另一方面紧跟新基建战略，围绕5G、车联网、物联网、人工智能、区块链等应用场景，提供可信行业解决方案，为用户网络和信息系统注入内生安全能力并提供体系合规保障。
我们希望携手同行，密切配合公安机关和各行业主管部门，围绕指导意见具体要求，不断加强可信计算核心技术攻关和应用创新，持续推进可信计算产品示范推广和服务保障，全力协助国家网络安全等级保护制度的深入贯彻实施和关键信息基础设施安全保护制度的建立实施，共同提升国家网络安全监测预警和应急处置能力，努力促成网络安全综合防控体系的基本实现，为数字中国建设保驾护航！
