360杜跃进谈信创安全：自主可控不等于绝对安全

“信创用户大多是我国党政军，交通、能源等关键基础设施单位，关系国家安全和国计民生，却也最容易成为攻击者的首选目标。为此，亟需一种基于攻防视角、整体思维、统一调度、开放运营以及能力驱动的信创安全体系应对当前面临的严峻挑战。”信创安全技术委员会主任、360集团副总裁兼首席安全官杜跃进在第九届互联网安全大会“信创安全创新发展峰会”上表示。
7月28日，以“聚力安全·共筑发展”为主题的“信创安全创新发展峰会”在北京国家会议中心召开。该会议也是第九届互联网安全大会（简称ISC 2021）的九大峰会之一，来自政府、产业、高校、研究机构和信创用户机构的一流专家齐聚一堂，共话信创安全能力建设。
自主可控不等于绝对安全
大力促进信息技术应用创新产业(行情300832,诊股)发展，是为了解决核心技术的“卡脖子”、“受制于人”等问题，而制定的一项国家战略。信创产业作为“数字中国”建设的重要抓手，同步做好信创安全保障变得尤为重要。正如杜跃进博士所言：“自主可控不等于绝对安全，软硬件设计缺陷导致的安全漏洞无法避免。”
据权威统计数据显示，每千行代码中就有4-6个漏洞。由于信创产品大量基于开源软件构建，其供应链、生态中软硬件后门不可杜绝。此外，大量使用未经大范围安全考验的开源软件，同样使得大部分信创产品自身安全性非常脆弱。
此外，杜跃进表示，APT攻击将成为信创安全面临的最大挑战。攻击者已经从最早的没有特定动机和目标的“白开心”，到被经济利益驱使以逐利为目标的“小毛贼”，再到具有复杂动机的围绕政治、经济和军事等国家安全目标的“大玩家” 。眼下，具有国家背景的APT组织正日益猖獗，由于APT攻击具有极强的隐蔽性，通常以窃取国家敏感信息和机密信息为目标，其攻击危害不容忽视。
更值得注意的是，信创用户大多是我国党政军，交通、能源、金融、医疗、公共卫生等关键基础设施单位，这些单位的业务系统具有极高价值，关系国家安全和国计民生。杜跃进说道：“由于信创用户的特殊性，使得其极易成为攻击者的首选攻击目标。对手具备足够的动机对我们实施攻击。”
“信创安全具体挑战包括时间紧、范围大、对手强、积累少、协调难。”杜跃进博士总结道。信创安全应该从最底层的IT基础设施到最高层的业务应用，同步全面进行设计与实施。然而信创已经开始超大规模的系统更替与应用，加上国际形势复杂与恶化、信创厂商安全意识和能力普遍不足、人才等领域缺乏积累、信创安全工作涉及部门多且分工机制不完善等情况，信创安全正面临着严峻的挑战。
信创安全需要体系化、系统化设计
杜跃进认为，在特殊时代、特殊情况下，信创安全也亟待体系化、系统化的设计。具体而言，这一设计思想包含攻防视角、整体思维、统一调度、开放运营、能力驱动五大方面。
其中，攻防视角意味着要抓住安全的本质，从攻防对抗的视角设计一切；整体思维意味着，要从局部环节了解风险、整体高度进行分析、评估和应对；统一调度，指向了有组织、有策略的多部门大范围协同联动；开放运营，表明需要尽量调动各方面最优资源；能力驱动，则是以能力建设和持续升级为目标、实践能力衡量为指标。
在五大思想的指导下，杜跃进还从产品安全、运行安全和业务安全角度，提出了基于“可信性”、“安全性”、“可控性”、“对抗性”和“可存活性”的五层信创安全内容。
其中，产品安全涉及可信性和安全性，最底层可信性是一切安全的基础，减少软硬件、数据和人员被仿冒的可能性。但是软硬件产品本身会存在不可避免的安全缺陷或安全漏洞，这就属于安全性问题。