CCBN高峰论坛：三网融合下的信息安全与运营(7)

主持人：王总给出了一个未来我们可能能解决目前很多困扰问题的方案，就是可信计算，在我们的硬件和我们的软件，以及我们的业务层面都充分的利用可信计算这样一个体系。

沈总，捷成世纪参加的总局的等级保护白皮书的撰写工作，也参加了中央电视台和天津电视台信息安全的设计规划以及实施的工作，你现在怎么看待下一步面临这样的机遇和挑战的时候，我们应该怎么样做？

沈传宝：实际上我们对各个电视台、电台做安全解决方案的建设过程中，我们也积累了一些经验或者是建议。从安全规划师的角度来讲，我们一般认为需求有两个来源。第一个来源，我们面临着各种各样的安全分享和互联互通的问题、三网融合的问题，所有业务安全保障的问题等等。总体来讲我们称为需求的分享问题。有了这些风险我们才可能会做这些事。另外一个层面，大家都提到了国家的要求或者标准化，其实这两个层面含义是一样的，所有监管的需求，或者是说我们标准要求的驱动，这两个方面。在整个解决方案的建设过程之中，我们基本上遵循着这两个原则，一个是我们所有的安全建设必须遵照着风险需求、业务需求来做。第二，我们一定要满足国家或者是我们的行业对我们这个业务相关的需求。这是我们的两个需求源。

具体怎么做安全建设，或者怎么做三网融合环境下的安全体系？刚才大家也谈了很多，我们总结出来有三个步骤，第一关于信息安全等级保护的问题，信息安全等级保护基本上是我们广电制播必须遵循的国家标准，这是一个必须遵循的标准，第一步，关于等级保护里面针对的信息系统我们的安全级别的确定，也就是说定级要准确。为什么定级准确？因为我们在信息等级保护里对各个级别的业务系统会有相关的安全要求和业务要求。所以，一定要定级准确。只有定级准确，我们未来的安全建设才可能是一个理想的、代价是均衡的。第二步，关于系统定级完了之后该怎么建，这个问题其实刚才包括总局也好，中央电视台也好，天津电视台也好，其实都提到了技术体系和管理体系都非常重要。实际上我们在等级保护制度里面也会对这一块有要求，一级有一级的要求，二级有二级的要求，第二步的保护一定是全方位、成体系对我们的业务进行建设。所以，我们在包括做安全等级保护白皮书的时候，以及中央电视台、中央电视台新台址安全设计的时候，我们都遵循了管理与技术并重。第三步，你的系统建设完成以后，按照相关的制度要求也好，等级保护的要求也好，或者我们的业务需求也好，完成了以后还有一步是如何做好未来的信息系统的维护和发展。我们知道安全建设是一个完整的过程，缺一不可，不是一开始就建得非常完美。即使在等级保护制度里面我们也会面临着一个测评的要求、改建的要求。所以，在整个体系建设过程当中，还需要下一步如何逐步发展和完善整个信息安全体系。

这是整个建设的思路。

在具体的细节方面，刚才各位老师也提了很多，包括刚才提到的可信计算等等，这都是在安全建设里面必须要考虑的一个因素。因为涉及到的信息系统的业务不同，所以它可能采取的技术手段也不同。比如说我们在中央电视台里就会面临这样的问题，可能我的边界应该怎么防护，我们在内部应该怎么防护，但是真正到市场上找成熟的解决方案的时候，我们往往会面临着一种困惑。这种困惑是什么呢？因为过去对于这一类安全控制的手段、技术更多是比较通用化。比如刚才提到的金融、电信，相对而言它具有自己的特色，但是更多是基于这个解决方案。而广电的大容量、大媒体、全高清，这种情况下文件化播出，很可能一个文件就是几十个G、上百G，这种情况下怎么做好终端的安全，怎么做好边界传输的安全，其实量是很大的。我们在中央台做整个储流测试的时候，如果我们照搬其它的解决方案，肯定不适用于广电行业的现状。这也是总局为什么要把国家标准到总局这块再来做一次定制化、适应化的工作，也就是我们为什么在很多电视台或者是其它解决方案提供的时候，我们为什么要把测试的工作作为一个非常重要的工作环节，也是非常关键的。最关键的是我们在三网融合的大容量视音频解决方案的环境下，跟我们传统的解决方案还是有很多不同的地方。我们要针对于这个行业的特点，制定我们行业的解决方案和行业最终的产品和技术支撑。(责任编辑：融合网)