国内外信息安全现状

国内外信息安全现状

国外信息安全现状

信息化发展比较好的发达国家，特别是美国，非常重视国家信息安全的管理工作。美、

俄、日等国家都已经或正在制订自己的信息安全发展战略和发展计划，确保信息安全沿着正

确的方向发展。美国信息安全管理的最高权力机构是美国国土安全局，分担信息安全管理和

执行的机构有美国国家安全局、美国联邦调查局、美国国防部等，主要是根据相应的方针和

政策结合自己部门的情况实施信息安全保障工作。2000年初，美国出台了电脑空间安全计划，

旨在加强关键基础设施、计算机系统网络免受威胁的防御能力。2000年7月，日本信息技术战略本部及信息安全会议拟定了信息安全指导方针。2000年9月俄罗斯批准了《国家信息安全构想》，明确了保护信息安全的措施。

美、俄、日均以法律的形式规定和规范信息安全工作，对有效实施安全措施提供了有力

保证。2000年10月，美国的电子签名法案正式生效。2000年10月日美参议院通过了《互联网网络完备性及关键设备保护法案》。日本于2000年6月公布了旨在对付黑客的《信息网络

安全可靠性基准》的补充修改方案。2000年9月，俄罗斯实施了关于网络信息安全的法律。

国际信息安全管理已步入标准化与系统化管理时代。在20世纪90年代之前，信息安全主要依靠安全技术手段与不成体系的管理规章来实现。随着20世纪80年代ISO9000质量管理体系标准的出现及随后在全世界的推广应用，系统管理的思想在其他领域也被借鉴与采用，

信息安全管理也同样在20世纪90年代步入了标准化与系统化的管理时代。1995年英国率先推出了BS7799信息安全管理标准，该标准于2000年被国际标准化组织认可为国际标准

ISO/IEC 17799。现在该标准已引起许多国家与地区的重视，在一些国家已经被推广与应用。

组织贯彻实施该标准可以对信息安全风险进行安全系统的管理，从而实现组织信息安全。其

他国家及组织也提出了很多与信息安全管理相关的标准。

国内信息安全现状

我国已初步建成了国家信息安全组织保障体系。国务院信息办专门成立了网络与信息安

全领导小组，各省、市、自治州也设立了相应的管理机构。2003年7月，国务院信息化领导小组通过了《关于加强信息安全保障工作的意见》，同年9月，中央办公厅、国务院办公厅转发了《国家信息化领导小组关于加强信息安全保障工作的意见》，把信息安全提到了促进经济

发展、维护社会稳定、保障国家安全、加强精神文明建设的高度，并提出了“积极防御，综

合防范”的信息安全管理方针。2003年7月成立了国家计算机网络应急技术处理协调中心，

专门负责收集、汇总、核实、发布权威性的应急处理信息。2001年5月成立了中国信息安全产品测评认证中心和代表国家开展信息安全测评认证工作的职能机构，还建立了依据国家有

关产品质量认证和信息安全管理的法律法规管理和运行国家信息安全测评认证体系。

制定和引进了一批重要的信息安全管理标准。发布了国家标准《计算机信息系统安全保

护等级划分准则》（GB 17895-1999）、《信息系统安全等级 保护基本要求》等技术标准和《信息安全技术 信息系统安全管理要求》（GB/T 20269-2006）、《信息安全技术信息系统安全工程

管理要求》（GB/T 20282-2006）、《信息系统安全等级保护基本要求》等管理规范，并引进了

国际上著名的《ISO17799:2000:信息安全管理实施准则》、《BS7799-2:2000:信息安全管理体系实施规范》等信息安全管理标准。

制定了一系列必需的信息安全管理的法律法规。从20世纪90年代初起，为配合信息安全管理的需要，国家相关部门、行业和地方政府相继制定了《中华人民共和国计算机信息网络国

际联网管理暂行规定》、《商用密码管理条例》、《互联网信息服务管理办法》、《计算机信息网

络国际联网安全保护管理办法》、《电子签名法》等有关信息安全管理的法律法规文件。

信息安全风险评估工作已经开展。并成为信息安全管理的核心工作之一，由国家信息

中

心组织先后对四个地区(北京、广州、深圳和上海)，十几个行业的50 多家单位进行了深入细致的调查与研究，最终形成了《信息安全风险评估调查报告》、《信息安全风险评估研究报

告》和《关于加强信息安全风险评估工作的建议》。制定了《信息安全技术信息安全风险评估

规范》（GB/T 20984-2007）。

我国信息安全管理尚存在许多的问题：

1）信息安全管理现状比较混乱，缺乏一个国家层面上的整体策略，实际管理力度不够，

政策执行和监督力度也不够。

2）具有我国特点的、动态的和涵盖组织机构、文件、控制措施、操作过程和程序及相关

资源等要素的信息安全管理体系还未建立起来。

3）具有我国特点的信息安全风险评估标准体系还有待完善，信息安全的需求难以确

定，

缺乏系统、全面的信息安全风险评估和评价体系以及全面、完善的信息安全保障体系。

4）信息安全意识缺乏，普遍存在重产品、轻服务，重技术、轻管理的思想。

5）专项经费投入不足，管理人才极度缺乏，基础理论研究和关键技术薄弱，严重依靠国

外。

6）技术创新不够，信息安全管理产品水平和质量不高。

7）缺乏权威、统一、专门的组织、规划、管理和实施协调的立法管理机构，致使我国现

有的一些信息安全管理方面的法律法规层次不高。执法主体不明确，多头管理，规则冲突，

缺乏可操作性，执行难度较大，有法难依