新闻动态

思智新闻业界视点

信息安全谨防“越狱” 交钥匙工程需良性循环
EPC为Engineering Procurement and Construction或Engineer，Procure and Construct的缩写，可译为“设计—采购—施工”项目合同，中文的通俗意思就是“交钥匙工程”。 ????????从《越狱》想到的 ????????看完《越狱》之后，不禁反思一个问题：主人公为什么能从层层设防、监控严密的监狱中成功越狱？是他的“越狱”小团队组织建设得非常好，还是监狱的管理者太笨？答案其实就在一点：他曾经是这个监狱建设项目（应该是个EPC工程）中的首席结构工程师，掌握这个监狱全部物理结构、保安设施的所有信息。 ????????这个故事对我们信息安全建设有什么启示呢？ ????????前面提到了EPC这个专业词汇，EPC为Engineering Procurement and Construction或Engineer，Procure and Construct的缩写，可译为“设计—采购—施工”项目合同，中文的通俗意思就是“交钥匙工程”。曾几何时，这个词汇在很多行业、特别是网络数据通信建设领域中非常流行。“交钥匙工程”是指承包商实施所有的设计、采购和建造工作，完全负责项目的设备和施工，雇主基本不参与工作，在“交钥匙”时，由承包商提供一个配套完整、可以运行的设施。 ????????为什么“交钥匙工程”能够在中国大行其道？我们来看看其特点就知道了。简而言之，交钥匙工程对于项目甲方来说有三个优点： ????????1)合同关系简单，组织协调工作量小; ????????2)缩短建设周期; ????????3)利于投资控制。 ????????有了这三个典型特点，建设单位可以用之来规避建设风险，回避建设经验及管理经验不足的问题，可以在一定意义上省些事端。 ????????近年来，随着网络应用的发展以及信息安全事件的增多，国内网络应用建设发展较快的行业如电信、电力、金融等在新的系统、工程上马的时候，也非常注重同步考虑信息安全建设。但在项目实际操作中往往还采用传统的“交钥匙工程“模式，即选择一家较大的系统集成商来总承包，安全规划建设也仅仅是大合同中的一部分，由系统集成商面对安全厂商来统一完成。这种模式是否能够实现客户最初的安全建设目标和期望？以笔者在安全行业的实践经验来看，事实上很难做到，通常的结果是事与愿违。 ????????不能“交钥匙” ????????很多人会问，为什么在其他行业甚至相近的IT网络、应用系统建设中普遍采用的“交钥匙工程”，会不适用于信息安全建设，难道信息安全建设有什么特殊性？不错，信息安全建设确实有其特殊性。安全是自己的事情，信息安全亦是如此，这是安全的本源。对于IT网络、应用建设可以采用“交钥匙工程”，是因为无论网络建设还是应用建设，最后都可以进行很好的竣工验收。信息安全建设验收工作却不容易在一个短的时间段中进行有效度量。安全建设的最大绩效是不出事，然而，一出事就是大事。而且出了安全事故，如何界定是否是系统集成商的问题，这也是一个难点。 ????????同时，信息安全是一个非常注重专业化、系统化的领域。在系统集成商眼里，网络组成就如同积木，无非是根据用户的要求怎么搭，已经形成模式化了，它们采用的是“脆弱性安全”理念，开出的方子是“头痛医头、脚痛医脚”，根本无法保证长远利益。而真正的信息安全厂商要用结构化的思维来设计结构性的安全，从人员管理到后期维护，方方面面都要涉及到，安全才可能有持续性的保障。 ????????最后还有一点，也是承接“交钥匙工程”系统集成商不愿意说明的:从用户总投资来看，安全只是其整体工程的一小部分。同时，由于系统集成商已经有规模化供应链做保证（如网络设备、服务器等），所以网络、应用建设搞的越复杂，投入比例越高，其商业利润就越高。 ????????回到《越狱》的启示来看，整个网络结构、应用系统管理和安全措施都高度集中，而系统集成商的人员流动性比较大，如果一旦由于“交钥匙工程”的核心人员泄密或内控措施没有做好，就如同把鸡蛋放到一个篮子中，其风险可想而知。事实上，许多安全事件都因此而发生。所以说，信息安全建设不可以采用“交钥匙工程”，因为信息安全的钥匙根本不在系统集成商手中。 ????????信息安全的良性建设思路 ????????信息安全建设对于客户关键网络、关键系统来说，不妨采用“婚姻模式”。双方可以形成长期的战略合作伙伴关系，客户站在专业化信息安全厂商角度来思考其利益，而专业化信息安全厂商也站在长远的客户利益角度来考虑。网络、应用建设依然可以采用“交钥匙工程”给系统集成商，而安全从整个工程中独立出来，三方也可以形成一个制衡的稳态关系。具体步骤如下： ????????在项目规划时期，作为信息安全厂商的专业人员就要参与其中，和客户需求方、系统集成顾问一起讨论整体规划思路，充分沟通后达成一致，保证信息系统建设和安全建设的统一性、完整性。 ????????在项目招投标时期，可以分别发出集成包和安全包，吸引有实力的信息安全产品提供商或者服务商参与，而且系统集成商和信息安全厂商在这个时候为了保证项目的中标成功率，可以自主选择联合作战，形成多元化、创新性、完整的商务、技术方案，实现良性竞争，择优录用。 ????????在项目工程实施和验收时期，在客户协调和合同约束下，中标的系统集成商和信息安全厂商可以互相监督、分清责任，以后有问题可以很清楚地区分是系统维护问题还是安全建设不足问题。
信息安全内患突显防止泄密刻不容缓
随着计算机网络技术的快速发展和应用，电子商务、网络管理、网络通信等已经成为国家和社会正常运转，企业正常运营的必要环境。正当我们越来越依赖信息技术的同时，伴随的信息安全问题越来越紧迫，有一句话让我们触目惊心：外部网络的入侵就像一个人被打了脸；而对内部网络的成功入侵，就像一个人被伤及了五脏六腑……，事实给我们敲醒了警钟。内网安全隐患突显内部重要文档自由使用造成泄密。即使是加密文档一旦被授限打开，使用者就拥有了对文档进行操作的所有权力，并且无法对重要文档使用过程进行控制、追踪和审计。这个安全漏洞成为不法分子的可趁之机。某省政府办公厅原助理调研员，被境外情报机构收买，通过个多月的时间，多次利用省政府某些部门保密工作和内部管理存在的漏洞，获取近百份秘密文件和内部材料，提供给境外间谍分子，从中获得美元4300元、台币14万元、人民币6600元情报酬金及其他酬物。他的行为，给国家的安全和利益造成极大危害。离职、辞职人员带走内部机密资料造成严重损失。制度在一定程度上能够约束泄密行为的发生，但是当面临巨大的利益诱惑时，就显得微弱无力，如果不通过技术手段防止泄密，制度就成为纸上谈兵。国家某军工基地3名技术骨干集体辞职。12月，另两名技术骨干失踪。厂方在清理资料时发现，这5人不仅带走了历年的工作笔记本、工作手册、草稿本，还带走一块120M硬盘和104张软盘，其中不少技术资料事关国家机密。5人离开才几天，工厂的一条生产线突然发生随机故障，经检查，系人为破坏所致，因此，一批急需的军品未能按时交货，造成了严重的损失。
信息安全谁来保险
作者:记者欧阳出处:计算机世界责任编辑：zhaohb 倘使我是保险公司，我一定开设一个新险种，叫做“病毒险”。这样，保险公司就可以和病毒制造者、微软、杀毒软件公司还有用户就形成了一个真正完整的产业链。今天的用户和杀毒产业都太需要买一个保险了。病毒不断在新的思路上升级破坏性，而杀毒厂商却不断在旧有的思路上升级财富s。用户已经对杀毒软件的“病毒特征码”库升级形成了依赖，可悲的是，这种依赖已经越来越不可靠。问题就在于，在“捕获、分析、升级”这个杀毒产业赖以生存的旧有模式上，最基础的“捕获”这一环节出了问题，目前还无法解决和规避的问题。面对机器里已经造成损害的病毒，或许懂礼貌的杀毒公司会送上安慰的话，但最重要的是将病毒样本“捕获”走去丰富他们的病毒库，他们的紧锁眉头下掩藏不住生财有道的喜悦。这种建立在既有用户损害基础上的病毒“捕获”，作为杀毒市场的基础，曾经是适用的，并且起到了很大的作用，但是随着病毒种类的增加，这种“捕获”背后的牺牲者会越来越多，更不可容忍的是，一定会有很多“定制”出来的病毒永远都无法“捕获”。因为病毒量的飞速递增，这后面的损失无可估量。
信息网络安全世人关注
来源：中国计算机安全人类社会在感受信息网络传递快捷、资源共享、平等相处等魅力的同时，也感受到它给国家安全、经济发展、社会稳定和军事斗争大局带来的种种隐患。一场不见刀光剑影却关乎胜负存亡的网络安全较量，在全球范围悄然展开—— 网络安全范围急剧扩展国家安全与网络安全。信息时代，国家安全观发生了明显变化。信息成为国家的重要战略资源。首先，网络安全体现国家信息文明。人类社会越文明，科学技术越发达，信息安全就越重要。历史经过工业时代进入信息时代后，信息、物质、能源三者成为了人类社会赖以生存和发展的三大基本要素。网络安全关乎政治、经济、军事、科技和文化等国家信息安全。目前世界各国都不惜巨资，招集最优秀人才，利用最先进技术，打造最可靠的网络。其次，网络安全决定国家信息主权。信息时代，强国推行信息强权和信息垄断，依仗信息优势控制弱国的信息技术。一旦信息弱国却步，又缺乏自主创新的网络安全策略和手段，国家的信息主权就有可能完全被葬送。正如美国未来学家托尔勒所说：“谁掌握了信息，谁控制了网络，谁就将拥有整个世界。”再次，网络安全主导国家信息安全。知识经济时代，竞争首先表现为科技竞争，科技竞争的重点是对信息技术这一制高点的争夺。信息、资本、人才和商品的流向逐渐呈现出以信息为中心的竞争新格局。网络安全成为左右国家政治命脉、经济发展、军事强弱和文化复兴的关键因素。
信用卡克隆器网上热卖万元额度复制一张1800元
出处：国脉金融服务网发布日期：2009-07-01 “复制器15000一套、万元额度复制卡1800一张，你想要那一种？我们的产品全都是电子工厂、银行卡专业人员参与制作，货到付款，专业制作，保证有效！” 这是网络上非法银行卡及其复制器的叫卖广告，虽然让人难以置信，但证券时报记者通过多日调查发现，一些非法分子的确在网络上兜售假冒银行卡的产供销“一条龙”服务。盗卡器“热卖” “本公司拥有自制研究的银行卡复制先进设备。实力雄厚,货源充足,长期批发。提供的设备有：银行磁卡复制读写器;银行卡专业制作软件。超薄隐形采集片，无线纽扣式摄像存储设备，空白卡。有意者可以网络视频看货。”
须防信息安全的“猪流感”
来源：IT专家网不得不承认人类正在改变着地球，而这些改变的背后却引发了良性质变和危险隐患。随着时间的迁移，我们今天发现在医学领域有了许多新的疾病和名词，“禽流感”、“猪流感”、“非典”这些看似陌生却又如此熟悉的病菌像一阵飓风骤然降临，当我们感叹医学领域缺乏有效的免疫体系时，您是否想过假如信息安全同样遭遇“流感”侵袭又会是何种境况？ ?正如民以食为天一样，如今信息化时代，网络已成为日常生活工作中不可或缺的一部分。然而随着基于网络的应用不断增加，网络正在变得越发复杂。我们已经看到各种各样的新式恶意软件和攻击行为正在通过各种途径威胁着我们的网络。有意思的是网络中威胁的产生，和现实生活中新病菌的产生存在几分相似：首先，它们都是以我们生活工作最为紧密的个体作为宿主；其次，它们都是瞬间爆发，并迅速借助于其相关联的个体扩散到其他区域；再其次，为了防止疫情的扩散，我们都需要从源头去找寻病根。由此可见，当安全“流感”来袭，我们面对的挑战是相当巨大的。
央行：中国金融信息安全面临挑战应加强监控
来源：中国新闻网作者：贾靖峰中国人民银行25日称，中国金融业信息安全相关六部门近期召开会议警示，中国金融信息安全工作仍面临挑战，金融机构信息安全问题依然存在，信息安全事件时有发生，要求加强对薄弱环节的监控，确保金融信息系统安全运行。中国人民银行党委委员、行长助理李东荣在会上说，近年来人民银行通过现场检查、风险评估、等级测评、规范管理等工作，不断提高金融信息安全风险防范能力，建立了应急管理机制，促进灾备中心建设，并积极与工信部、公安部、电监会跨部门协调，加大金融机构信息安全工作力度。

首页上一页 11/13下一页尾页

咨询电话：400-008-3771

总部电话：010-57030611

客服邮箱：service@sagetech.com.cn

产品服务

思智ECM产品

企业核心数据安全管理系统产品

思智ERM产品

思智人脸识别系统

思智防火墙系统

思智网站预警系统服务

思智内控堡垒主机

思智无人机产品

解决方案

成功案例

新闻动态

渠道合作

关于思智

联系我们

京ICP备2023030570号京公网安备110108007939号　 © 2001-2014 Sagetech, Inc. All rights reserved.