“自主可控”移动信息化系统保障“数据安全”

移动信息化系统的“风险”

随着移动互联网的快速发展，越来越多的移动设备应用于政企的业务创新与拓展之中，组织需要搭建移动信息化系统来降低移动设备应用的风险，提高移动信息化能力。然而，众多国外品牌的移动信息化系统却无法实现安全可信、自主可控的要求，这给移动信息化系统内的重要信息带来了重大的风险。

首先，风险来在于移动信息泄密风险。由于政企移动业务的发展，移动信息化系统内存储着大量的机密信息，这些信息一旦从不可控的服务器中泄露到外界，将带来重大损失。而且，无法满足自主可控需求的移动信息化系统，可能暗藏着大量的漏洞与后门，攻击者很容易通过系统的“缺口”来盗取信息。

其次，移动信息化系统开始成为政企信息化整体部署的重要组成部分。其连接包括组织服务器、PC等信息终端，攻击者很有可能以移动终端设备作为跳板，对组织的其它信息化设备进行攻击，散播木马、病毒等安全威胁。更大的威胁在于，攻击者很可能会针对重要的移动目标实施高级可持续性攻击，窃取或破坏组织信息。非自主可控的移动信息化系统更可能被特定组织或是国家利用，这提高了企业遭受APT攻击的危险性。

有些政企认为，虽然自己采用的是国外的移动信息化系统，但是其技术是安全可信的，因此就没有问题。这其实是混淆了两个概念：第一个概念是可信的安全感觉，第二个是可信的技术。这是两个不同层面的问题，如果操作系统或者安全设备来自于西方国家，其在技术上实现了安全可信的标准，那么其对于西方国家是安全的，但是对于中国是不安全的，这是信任感，也就是信息系统控制权在谁手中的问题。

保障移动信息化系统“自主可控”

要保证移动信息化系统的自主可控，需要从政策的顶层设计与组织的信息化建设实践两方面入手。从顶层设计来看，保证移动信息化系统的自主可控对于数据的安全非常重要，推进关键领域与重要部门的移动信息化系统国产化，也被纳入到国家的网络安全整体规划之中。

从政策来看，目前国家已经显著加大了对国产化设备替代的政策支持。有关部门正在着手准备调研并起草“信息安全装备国产化”专项扶持方案，以保障信息安全，实现核心软硬件国产化自主可控。来自国家互联网信息办公室的消息称，为维护国家网络安全、保障中国用户合法利益，我国即将推出网络安全审查制度，该项制度规定关系国家安全和公共利益的系统使用的重要技术产品和服务，应通过网络安全审查。

在具体措施上，国家对国产化的推动更是紧锣密鼓。工信部就明确要求关键软硬件采购在标书中明确安全需求。在近期，中央政府采购网还取消了所有国外安全供应商资质，只保留了国产安全供应商，这证明信息设备尤其是信息安全设备的国产化，已经被提到了战略高度。由于移动信息化系统涵盖了移动设备安全管理、移动应用安全分发等重要的信息安全子系统，因此移动信息化的国产化同样在国家推动的范围之内。

从部署实践来看，要实现移动信息体系架构的整体把控。如果要实现自主可控的移动信息系统部署，各组织应该自主设计并建立起软硬件架构体系，着力研究体系中各个系统端到端的整体设计。在不同环节应用不同技术，合理进行技术组合，实现对体系架构整体的自主可控，进而在信息系统的整体防护体系架构设计和各个系统端到端整体设计的过程中，实现可管理、可监控和过程可审计。

对于政企组织来说，移动信息化体系的建设主要涉及到移动设备、移动应用、移动信息化系统这三个部分，而建设重点则是自主可控移动信息化系统的建立，这既是其在移动信息化体系中关键角色的体现，也是基于移动互联网应用现状而考量。

目前组织内的移动设备种类繁多，在品牌、操作系统、硬件配置上存在着巨大的异构性，很难做到统一，实现完全的国产化替代还有赖于国产终端厂商的长期努力。但是换个角度来看，既然现在还无法在所有的环节实现国产化替代，那么我们可以先从可控的角度入手，来通过“自主可控”的移动信息化系统来管理这些移动设备。

除了信息安全上的考量之外，移动信息化系统国产化的一个充分条件在于，国产的移动信息化系统无论是从技术上，还是从生态系统的构建上都已经比肩国际先进水平。启迪国信等国内企业在产品研发上并不逊色于IBM等国外企业，其产品完全能够保障移动信息化战略的顺利实施。

故此，金融、国防等事关国计民生的行业需要在国家政策的引导下，率先行动起来，推动移动信息化系统的国产化进程，并在移动信息化系统的选型中，将安全可信、自主可控作为系统选型的一个关键标准及原则。

（来源：中国信息主管网）