對(duì)于即將到來(lái)的物聯(lián)網(wǎng)時(shí)代，社會(huì)各界都面臨著各種挑戰(zhàn)。作為我國(guó)重要的網(wǎng)絡(luò)安全技術(shù)自主創(chuàng)新企業(yè)，安天很早就承擔(dān)起國(guó)家級(jí)網(wǎng)絡(luò)安全應(yīng)急服務(wù)支撐單位工作，安天依托獲得國(guó)際權(quán)威獎(jiǎng)項(xiàng)的下一代威脅檢測(cè)引擎核心技術(shù)，為國(guó)家相關(guān)部委和行業(yè)提供了高級(jí)威脅檢測(cè)產(chǎn)品解決方案，并先后分析曝光了白象、方程式等境外組織對(duì)我國(guó)的APT攻擊事件，引發(fā)國(guó)內(nèi)外關(guān)注。習(xí)近平總書記視察了安天總部。在2016世界物聯(lián)網(wǎng)博覽會(huì)安全論壇期間筆者徐倩專訪了安天創(chuàng)始人、首席技術(shù)架構(gòu)師肖新光。

　　物聯(lián)網(wǎng)時(shí)代催生安全隱患

　　問(wèn)：您如何看待物聯(lián)網(wǎng)時(shí)代？

　　肖新光：物聯(lián)網(wǎng)時(shí)代是人類信息化發(fā)展的一次重要的變革，其大大提升了對(duì)信息的采集能力和再造再加工能力，以及加快了信息傳遞的速度，增大了信息化的覆蓋面積。如果說(shuō)計(jì)算機(jī)延展了人的腦力，那么物聯(lián)網(wǎng)時(shí)代就延展了人類的感知能力，物聯(lián)網(wǎng)時(shí)代會(huì)進(jìn)一步加快生產(chǎn)力發(fā)展，提升人類的生活品質(zhì)。但物聯(lián)網(wǎng)時(shí)代也擴(kuò)大了網(wǎng)絡(luò)威脅影響的范圍，給網(wǎng)絡(luò)安全工作者提出了更高的挑戰(zhàn)。

　　從全局看待基礎(chǔ)設(shè)施安全

　　問(wèn)：我國(guó)政府應(yīng)該如何應(yīng)對(duì)全球工業(yè)安全威脅，如何安全有效防護(hù)信息的泄露？

　　肖新光：習(xí)近平總書記在4.19網(wǎng)信工作會(huì)議講話中指出“關(guān)鍵信息基礎(chǔ)設(shè)施是經(jīng)濟(jì)社會(huì)運(yùn)行的神經(jīng)中樞，是網(wǎng)絡(luò)安全的重中之重，也是可能遭到重點(diǎn)攻擊的目標(biāo)?！币笪覀儭凹涌鞓?gòu)建關(guān)鍵信息基礎(chǔ)設(shè)施安全保障體系?！彼晕覀円⒁庖稽c(diǎn)，我們不要以偏概全、不能把關(guān)鍵基礎(chǔ)設(shè)施安全窄帶化為工控安全或者工業(yè)系統(tǒng)的安全，而是要站在“總體安全觀的”的角度來(lái)全局看待關(guān)鍵基礎(chǔ)設(shè)施安全。

　　超級(jí)大國(guó)、地緣利益競(jìng)合國(guó)家和地區(qū)和一些非政府攻擊者，可能覬覦我關(guān)鍵基礎(chǔ)設(shè)施，試圖進(jìn)行數(shù)據(jù)竊取、技術(shù)成果竊密、干擾破壞，以及進(jìn)行長(zhǎng)期持久化以達(dá)成后續(xù)行動(dòng)便利等行動(dòng)，我方當(dāng)前面臨的威脅是多層次和多邊的。

　　因此保障關(guān)鍵基礎(chǔ)設(shè)施安全，全面避免片面的從“孤立”、“靜態(tài)”、“封閉”的角度看待，而是要從“供應(yīng)鏈”、“信息流動(dòng)”的大場(chǎng)景來(lái)看待，即要通過(guò)突破信息基礎(chǔ)技術(shù)、工業(yè)關(guān)鍵技術(shù)，掌握供應(yīng)鏈的優(yōu)勢(shì)；通過(guò)實(shí)現(xiàn)產(chǎn)業(yè)和服務(wù)全球化進(jìn)取，達(dá)成信息流動(dòng)的優(yōu)勢(shì)；要切實(shí)推動(dòng)網(wǎng)絡(luò)安全產(chǎn)業(yè)的成長(zhǎng)，推動(dòng)網(wǎng)絡(luò)安全產(chǎn)業(yè)和關(guān)鍵基礎(chǔ)設(shè)施的能力對(duì)接；從防御能力和威懾能力的角度完善國(guó)家能力準(zhǔn)備。

　　保障政府采購(gòu)體系安全

　　問(wèn)：對(duì)政府采購(gòu)體系的安全有哪些建議？

　　肖新光：政府采購(gòu)體系是我們社會(huì)的基礎(chǔ)經(jīng)濟(jì)運(yùn)行體系的重要支撐環(huán)節(jié)，其安全非常關(guān)鍵。但信息系統(tǒng)的安全是復(fù)雜關(guān)聯(lián)的，很難簡(jiǎn)單說(shuō)清楚。總體上來(lái)看，其涉及到通過(guò)安全補(bǔ)丁加固、惡意代碼檢測(cè)和主動(dòng)防御機(jī)制保證服務(wù)器節(jié)點(diǎn)的安全性；引入反APT級(jí)別的安全防護(hù)產(chǎn)品保證政府采購(gòu)相關(guān)部門機(jī)構(gòu)的內(nèi)網(wǎng)安全；進(jìn)行有效的應(yīng)用層防護(hù)，對(duì)抗SQL注入等應(yīng)用漏洞；推廣賬戶和密碼安全機(jī)制、實(shí)現(xiàn)關(guān)鍵數(shù)據(jù)字段的強(qiáng)加密，遏制撞庫(kù)、脫庫(kù)等攻擊；貫徹安全開(kāi)發(fā)方法和有效代碼審查，減少應(yīng)用層漏洞；強(qiáng)制使用HTTPS，避免通訊內(nèi)容被從信道側(cè)獲取、實(shí)行更強(qiáng)有力的內(nèi)審和監(jiān)控機(jī)制，避免內(nèi)鬼作案等等。同時(shí)，更要聯(lián)合公安執(zhí)法部門，對(duì)于攻擊政府采購(gòu)體系，惡意竊密牟利的違法犯罪活動(dòng)予以高壓打擊，形成有效威懾。