“棱镜门”事件引发云安全思考

    2013年6月6日，媒体曝出美国国家安全局和联邦调查局有一个代号为“棱镜”的秘密项目，直接接入9家美国互联网公司中心服务器，挖掘数据以搜集情报，包括微软、雅虎、谷歌、苹果等在内的9家美国互联网公司被指参与该项目。爆料人是美国家安全局前雇员斯诺登，他向媒体提供的机密文件致使美国政府多个秘密情报监视项目曝光。“棱镜门”事件在美国社会及国际社会引起轩然大波，同时引起各方对大数据时代云计算网络安全问题的热议。

    “斯诺登事件”引发对网络及云安全的大讨论

    “棱镜”监控项目被曝光后，引起国际舆论和民众纷纷谴责的同时，也引发了全球网络空间安全问题的大讨论。在移动互联网快速发展的今天，我们每个人几乎每时每刻都在产生数据，这些数据不再存放于个人电脑中，而是在云服务提供商手中。美国国家安全局通过互联网获得个人信息，首先得归功于这个云计算时代。“棱镜”计划的曝光，使人们对数据尤其是云中数据的安全空前担忧。

    《华盛顿邮报》与皮尤研究中心的调查显示，此次事件将对发展得如火如荼的公有云行业带来深远影响。人们不禁要问：当一切数据都变得有价值时，隐私的边界何在？如何处理个人自由与国家安全之间的关系？因此，有媒体报道，有些国家已经考虑重提互联网自主化的问题。作为一种更加便捷且更低成本的技术，云计算无疑将是未来的方向所在。随着云计算、大数据以及移动互联网等技术的进一步发展，越来越多的数据将存储在互联网上、在云端。如何保护和适度利用这些数据，为用户提供一个有隐私的相对安全的网络环境，无疑是全球各国、产业界以及各大互联网企业需要深入思考的问题。

    加强大数据时代

    云计算安全须着力四点

    ——加强立法工作，成立国家级权威信息安全机构。目前，我国政府和重点行业部门在信息建设过程中所参照的法律，主要是2001年制定的《政府采购法》和《招标投标法》，其中的很多内容已经很难适应日新月异的网络时代了，而且这两部法律对政府采购国产化产品的界定比较模糊。除了立法上的因素，当前我们国家信息安全管理体制仍然处在多头管理、难以协调的状态。我国把信息安全分成两类，一是信息技术安全，主要归工信部管理；二是信息内容安全，主要归国务院信息办管理，主要关注意识形态方面的问题。但信息内容安全要比意识形态内容丰富得多，比如经济社会领域的各种数据等。从根本上解决中国信息安全令人担忧的局面，应该尽快成立国家级的权威信息安全部门，在信息安全管理上坚持一元化管理，坚持依法管理。

    ——借鉴他国经验，采取“数据过境流管理办法”等多种措施保障网络信息安全。专家普遍认为，基础网络和重要信息系统的安全必须尽快得到重视。基础网络包括电信、广播电视、电网，目前还是有自主可控安全保障能力不足的问题；而重要信息系统的安全，主要包括金融、保险、交通、能源等，认识也不足。国家信息中心专家委员会副主任宁家骏表示，我国在交通、能源等方面使用的软硬件大量都是国外的产品和服务，一旦发生对峙甚至战争，就会存在被他国直接破坏的可能性。现在很多外资银行掌握了很多我国优质客户的资源，但是目前外资银行在中国采集的数据是不设防地进出国门的。国外在对待此类问题时，都采用“数据过境流管理办法”，即在本国采集的数据是要经过管理和控制、报备和审查才能发送至他国。中国也可以参考采用类似办法，保障网络信息安全。

    ——加强信息技术创新，用国货逐步替代外国的产品和技术。这是目前的一个普遍观点。国家审计署计算机技术中心主任王智玉称，针对基础网络建设和信息化应用中的采购环节，为了避免信息泄露，政府行业的用户应该严格按照国家相关规定，优先采用本国研发和设计的产品。某科技公司总裁认为，在绝大多数情况下，中国企业的产品已经完全可以满足中国社会经济发展的需要，例如华为交换机卖到全球，曙光的超级计算机在全球排在前列。中国IT技术水平已经达到了国际先进水平，在一般情况下完全能够满足我国信息化建设的要求。国家信息中心专家委员会副主任宁家骏认为，应该做到疏堵结合，一方面坚持使用国货，另一方面筛选出国外安全的产品和技术，如果一些产品和设备确实无法实现国产化替代，那就要在使用和管理上严格规范。虽然经过多年发展，我国的信息技术已经取得了非常不俗的成绩，但是核心技术受制于人的局面没有完全摆脱，应在核心技术上进行持续创新。

    ——大数据云计算环境下须高度重视“微信息安全”。“棱镜门”把中国信息安全带到了一个更宏观层面，大数据和云计算背景下，要更加重视数据安全，过去只是对一个小的系统或者设备做风险评估。但是局部的风险一旦累加起来，通过零散信息可能会拼接出一个重要的信息。大数据时代，网络上流动的信息日渐主宰国家的运转和命脉，一些看似不相关的数据，在大数据的综合与深度挖掘下，可能会泄露出关系到国家的重要信息。在这样新的技术背景下，国家有关部门应该着手研究云计算的准入制度，让外国企业和本国一些企业只能在法律允许的范围内开展业务，确保大数据云计算环境下的微信息安全。