国内外信息安全研究现状及发展趋势(10)

- - 26 -

应急响应和灾难恢复技术随着新出现的具体情况需要不断更新和完善。因此，可以说，该两方面的研究还“任重而道远”，而且我国在这一领域与国外存在较大差距。未来相关研究的发展趋势是从定性分析、定量分析、泄漏分析、方案分析等几个方面研究通用性强的系统安全风险分析和评估方法，并开发相应软件，研究故障分析诊断技术、攻击避免与故障隔离技术、系统快速恢复技术等。 4.安全体系

信息安全涉及到技术、管理等诸多方面，是一个人、网、环境相结合的复杂大系统。针对这样的复杂系统，研究其安全体系比较困难，但却非常必要。其对规划具体安全措施具有指导、检验作用。信息安全体系研究涉及安全体系结构和系统模型研究、安全策略和机制研究、检验和评估系统安全性的方法和规则的建立。目前，国内外都很重视这方面的研究，我国863计划已将其作为重要研究课题。

1983年，美国国防部颁布了第一个将保密性作为安全重点的计算机安全测评标准――TCSEC，用以指导信息安全产品的制造和应用。在此基础上，1991年，英、法、德、荷等西欧四国提出了信息技术安全评价准则――ITSEC。与TCSEC相比，ITSEC并不把保密措施直接与计算机功能相联系，而是只叙述技术安全的要求，把保密作为安全增强功能，并首次提出了信息安全的保密性、完整性、可用性概念，但是该准则并没有给出综合解决安全问题的理论模型和方案。1999年，国际标准化组织ISO在综合国际上已有的测评准则和技术标准的基础上，提出了信息技术安全评价通用准则――CC。该准则对安全的内容和级别做了更完整的规范，为用户对安全需求的选取提供了充分的灵活性，但它仍然缺少综合解决信息多种安全属性的理论模型依据。此外，1997年美国国家安全局、国防部和加拿大通信安全局还联合提出了系统安全工程能力成熟模型――SSE－CMM。该模型既可用于对一个工程队伍能力的评定，又可用于一个工程队伍能力的自我改善，还可对一个安全系统或安全产品信任度进行测量和改善。然而，过程能力成熟性评定不能完全取代安全系统或产品的测试和认证。我国1999年10月发布了“计算机信息系统安全保护等级划分准则”，该准则为我国安全产品的研制提供了技术支持，也为安全系统的建设和管理提供了技术指导，但相关研究与先进国家和地区仍存在很大差距，有待于进一步深化。未来在安全体系方面，各国仍将加强制定测评系统安全性的完善的科学方法和准则，研究科学的综合满足安全需要的安全体系结构模型，以及研究清晰的、完整的安全策略和机制。

三、加强我国信息安全工作的政策建议

信息安全与我国的经济安全，社会安全和国家安全紧密相连，是我国信息化进程中具有重大战略意义的课题。近年来，信息安全已受到我国政府的高度重视，党和国家领导人多次强调加强信息安全工作的重要性。国家自然科学基金、973、863等计划已将信息安全列为重要研究方向，许多科研机构及企业也开展了相关研究，并取得一定成果。然而与发达国家相比尚存在不小差距，相关产业的发展也比较落后。目前存在的主要问题是：低水平分散、重复研究，整体技术创新能力不足，信息安全产业规模相对较小且缺乏联合和集中，一些关键软硬件系统还不能自主研制生产等等。为了推动我国信息安全工作的发展，应采取如下政策措施： 1.加强信息安全管理