鹰之旅 Falcon's Blog

       计算机软硬件基础平台及其技术都掌握在外人之手的客观事实，使得我们必须考虑如何在不可信的网络世界中，尽力提高对自己拥有所有权的信息系统与资源的使用权加强行为监管与控制的能力，来尽可能降低危及自己信息资源的风险。这也是“可信网络世界体系架构”这些年来一直强调需要对网络虚拟世界中主体行为的预期控制和可信监管的根本原因。我们对网络虚拟世界的信任，只能建立在我们自己对暴露在网络世界中的信息资源的掌控能力上。如果没有这个能力，在网络世界中就只能被任意欺凌。

      “微软黑屏事件”也许会极大地促进国内对网络行为监管能力的研究与建设，这也可能就是国内信息安全产业的又一个好的发展机会。

出处：北京市信息资源管理中心　      日期：2005-11-23

http://www.echinagov.com/echinagov/zixun/2005/11/23/5837.shtml

目     录

　　第一章  总体技术框架模型
　　第二章  网络基础设施 
　　一、网络结构
　　二、原则性意见
　　第三章  政府信息资源
　　一、政府信息资源构成
　　二、原则性意见
　　第四章  应用基础支撑平台
　　一、应用基础支撑平台结构
　　二、原则性意见
　　第五章  应用系统
　　一、应用系统分类
　　二、原则性意见
　　第六章  门户及访问渠道
　　一、门户分类
　　二、访问渠道
　　三、原则性意见
　　第七章  信息安全保障
　　一、信息安全保障体系
　　二、原则性意见

 
四、我国信息安全标准化存在的问题及对策建议
　　信息安全标准在国家信息安全保障体系中具有举足轻重的作用，没有安全标准，相应的产品、系统、工程就不能互联互通互操作，产品的一致性、可靠性和先进性就无法保证，尤其具有特殊意义的是，一个国家的安全标准，意味着这个国家在IT领域的技术主权，深刻制约着这个国家的安全产品的研发、生产、测评和使用。
 
4.1 存在的主要问题
　　我国目前在信息安全标准化方面存在以下十分突出的问题：
　　首先，我国的安全标准数量远远少于现行的产品品种。截至2003年底，我国仅有国家标准47个，其中，43个为框架性基础标准，具有方法论的指导作用，而不是可操作、可直接实现的标准。安全产品标准仅有4个，而由于技术的变化，这几个有限的产品标准几乎都已不可用了，同时为数不多的标准大部分是翻译国外标准。
　　其次，是标准研究的方法，至今还沿袭几十年一贯制的“计划经济体制”的方法：即国家定计划，以科研项目的方式下达、管理，由有关专家编制，同时经费相当少。这种体制导致的直接结果是：有技术含量的标准根本研究不出来，微薄的经费规模，连开一个评审会的经费都不够，更不用说大量原理性、应用性技术试验和标准验证试验的经费了。因此，我国安全标准数量相当少的现象是必然的。
　　其三，与上述标准研究的体制缺陷直接相关的是，还有一系列的认识和政策上的误区：
　　第一，认为标准是软课题，仅仅体现为“文本”。其实，一个有技术含量，可实现可用的标准，是在相关安全产品艰深原理的研究基础上，在对该产品进行各方面的安全试验取得真实数据的基础上，才能提出标准文本的具体内容、指标和参数，对标准文本中的所有技术指标、要求，还要进行验证试验。同时，安全标准文本所体现的内在技术结构，还需要将全面深入的安全体系技术理论、方法和相应产品本身的专业技术、开发生产与应用经验融合起来，才能形成。而我国目前有关方面进行的安全标准研究，都难以创造上述条件，其结果仍难跳出“软课题”的思路。
　　第二，认为只要有标准，企业、用户、社会就会采用，就能实现标准化了。其实，标准不是行政规章。行政规章一经编制出来，有关机关予以公布，社会相应领域就会照此执行。而标准则不同，标准是与产品和产品的市场覆盖面紧密联系的。如果一种产品、一种技术不被市场接受，不被社会装备、使用，即使国家、行业主管部门为之颁发了一个标准，也没有厂商和用户“照此办理”的，因为，不存在这个标准所规范的产品。比如，我国使用的所有骨干网上的产品，其标准是美国的全球性生产企业制订的，它是事实上的标准。而且，所有与之相关的产品都要按照它的性能、功能的接口要求制订标准，实施开发。事实上，我国现在颁布的大部分安全标准，都是直接翻译采用这类标准，如果我国要另行起草一个与正在广泛使用的产品标准不同的技术要求的标准文本，而这个文本又正是要规范同一种产品的，那么，这个新标准是没有人采用的。因为，这个新标准所规定的产品不存在。
　　第三，认为标准是政府的事，不是企业的事。其实，政府只管理标准的颁布，使之具有法律效力。标准的研究编制，正是企业的事，而且是那种产品的市场占有率很大，产业化规模很大的企业的事，只有这个企业的市场占有率和市场预期足够大的时候，企业就会积极为标准投入，才会从自身的战略利益出发去创造上述标准研究的所有物质和技术条件，才能进行真正意义上的“研究”和“试验”，也才可能产生技术含量高，可用可实现的“标准”，也才能体现出“得标准者得天下”的意义。所谓“天下”，就是占有市场，没有市场规模的产品，不需要标准，因为，没有人用它。我国要在信息化建设的进程中，大力推进标准化，如果不避开上述误区，不改革标准研发的体制，其结果必然是：国家和行业的安全标准将仍然是极其稀少，即使国家投巨资，集中大量专家写出众多标准文本，这种文本仍然不被业界应用，仍然只是具有软科学研究的性质。而市场上装备的产品，其依据的标准，仍然是那些事实上的标准——可能是外国的国家标准或企业标准。我国仍然没有通过标准这一途径获得“技术主权”。
　　信息安全标准要“化”起来，它的前提是：这个标准所规范代表的产品必须要在市场上“化”起来，只有这种情况，业界才会活跃起来，才会积极投入，国家才能真正实现安全标准的战略目标——控制国家的技术主权。

最近接触标准方面的工作比较多，就对如何展开标准工作作了些初步的思考，本想写一篇讨论性文章与大家交流，但因近期工作繁忙，就只好给出一些观点概要放在这里，敬请大家指正。

       关于技术标准我们搞技术的都会经常涉及：国际标准、国家标准、行业标准等等。这些标准可能是某一强势利益集团在某一技术领域的事实标准，也可能是多个利益集团互相妥协的结果。但是究竟什么可以作为“技术标准”来供大家共同遵循，这里给出个人的一些看法，供讨论：

       1、系统的体系结构框架可以作为通用标准

       这类标准用于从系统的、全局的角度界定系统的组成、系统内各子系统（或功能模块之间的关联关系，从而提供一个能够得到广泛共识的系统体系结构的标准。

       比如：PC机的体系结构基本上还是在遵循IBM当年的PC机体系结构标准，基本上还是由主板（含CPU、内存）、硬盘、显示器以及键盘等子系统（或部件）组成，而且也给出了各子系统之间的关联关系。

        2、系统（子系统或系统功能部件）之间的互联、互通、互操作的接口规范与互联互通协议可以是通用标准

        这类标准用于实现多个系统（子系统或系统功能部件）的关联关系，通过提供共性的接口规范以及互联协议来实现复杂系统的构建，这类标准可以在复杂系统的体系结构框架标准的指导下来制定，体系结构框架标准可以帮助我们确定那些子系统或功能部件之间存在关联关系，需要制定相应的接口规范或互联互通互操作的协议。

        这类标准中比较典型的，诸如PC机的总线标准、鼠标、键盘、硬盘等接口规范与标准，以及用于计算机网络互联的TCP/IP标准等。

        在制定技术标准的工作中，最主要的应该是考虑如上的两类标准，至于系统产品（或系统功能部件）的功能性实现细节不应作为标准限定，关于产品的功能应该是允许差异化的，这是提供同类产品的厂商之间体现产品差异化或竞争力的地方。其功能性的具体实现可以通过技术专利等知识产权的方式来保护。

        显然，如果技术标准工作是在一个大的系统框架下，重点考虑产品之间的互联互通互操作问题，那么对于标准参与各方才是一个“双赢”或“多赢”的局面，制定的相关标准或技术规范才能够真正地发挥作用。