|
物联网、云计算、新一代通信技术以及大数据的应用，使得智慧城市建设面临考验：在智慧城市给人们生活带来更多便利的同时，近年来国内外一连串的信息、数据安全泄密事件的发生也给社会造成一些隐忧。作为新一代城市生活形态，信息安全已成为智慧城市建设中不容忽视的问题。 对于智慧城市这个城市级的信息化系统来说，其不同的部分、不同环境存在不同安全隐患。一般而言，智慧城市可能面临的新型安全隐患包括基础设施安全、终端接入安全、核心技术安全、民生领域信息安全和城市大数据安全。 智慧城市面临 新型信息安全隐患 ——信息基础设施安全脆弱性加大 由于物联网、云计算等新兴技术的信息安全保障技术还不成熟，因此智慧城市的建设中会存在许多的脆弱性。对智慧城市而言，云端数据资源的高度共享性，使得云平台在恶意软件作用下，产生数据丢失、IP和身份窃取、金融欺诈和盗窃等隐患。此外，分布式拒绝服务攻击（DDoS）也具有快速摧毁整个云基础架构的潜力，并且当云平台受到攻击时，所有相关账户也将牵涉其中，导致该平台服务的千万用户受到不可估量的损失。如2010年的蠕虫病毒震网（stuxnet）感染了全球超过45000个网络，给各国的电力部门带来了巨大的威胁和破坏。目前，技术供应商不断强调事前加密、安全监控等手段，加强对云服务的安全保障，但信息基础设施安全保障体系仍需要通过长期的应用和发展慢慢完善。 ——终端接入聚集信息安全威胁 智慧城市将大量的智能终端设备和传感器接入智慧网络，由此产生复杂的接入环境、多样化的接入方式、数量庞大的智能接入终端，带来更复杂的信息安全问题。 随着新型智能软件的不断研发和嵌入，移动智能终端将成为人们参与智慧生活的首要工具，其面临的安全威胁也更加严峻。一方面，移动终端系统存在巨大的信息安全隐患；另一方面，移动终端应用中也存在各种安全问题，如iOS前50款免费应用软件中，有60%会追踪用户位置，有54%会访问用户联系人列表，有60%会与广告或分析公司分享数据，造成个人数据泄露，从而带来严重的社会问题。 ——智慧城市信息核心技术缺失 目前，我国智慧城市建设信息核心技术依赖于国外。IBM、Oracle和EMC公司在智慧城市建设领域特别是业务信息系统、数据库管理和业务解决方案市场占据主导地位，产生“IOE”依赖症。这些新技术本身就存在各种脆弱性，还有可能存在一些不可控制的隐蔽信道和后门。在这种情况下，我国数以十亿计的用户信息都存在巨大安全隐患，甚至威胁国家安全。如2011年谷歌公司将存储在其云端服务器的欧洲资料中心的信息交给美国情报机构，对欧洲的信息安全造成了重大的潜在威胁。因此，如何使我国的信息核心技术更好地保障智慧城市信息安全的需求，增强核心技术的自主可控性，是我们在智慧城市建设中应当重视的问题。 ——民生领域信息安全风险加剧 智慧城市整合了政府、金融机构、医院、运营商、企业等多方面资源，从智能安防到智能电网，从二维码普及到移动支付，智慧城市民生服务领域不断扩大，与此同时，信息安全侵害的领域也在不断扩大。随着居民生活对智能网络依赖性的增长，个人、家庭的生活信息通过物联网全方位暴露，使得个人信息泄露风险加剧。例如，智慧社区个人IP、身份、住址的信息泄露，增加了个人遭受金融诈骗的风险。 在智慧城市建设的初期，人们普遍缺乏个人信息保护意识，也缺乏安全防护实践，使得民生领域中信息安全所面临的问题变得更为复杂。 ——城市大数据安全隐患严重 智慧城市是城市运行和管理的高级信息化应用，为城市的管理人员提供了这个城市运行的大数据。而城市运行管理大数据很容易成为网络攻击的显著目标，导致城市管理信息泄密。同时，随着经济社会运行对这些应用的依赖程度日益增加，当这些应用系统受到攻击，产生数据破坏、信息丢失时，将对城市的运行和管理造成重大的打击，并难以恢复，导致城市日常生活瘫痪或造成重大经济损失。 构建强大的信息安全 保障体系 在智慧城市的建设中，如何才能应对上述新型安全隐患？答案是构建强大的信息安全保障体系，这个体系必须包含组织、制度、管理、技术等多个方面，才有能力为智慧城市的发展保驾护航。 构建信息安全组织保障体系。建立合理、有效的安全组织架构，配备和设立安全决策、管理、执行以及监管的主要责任人员岗位和机构，明确各级机构的角色与责任。 构建信息安全制度保障体系。建立智慧城市建设信息安全总体方针框架、标准规范和信息安全管理规范、流程、制度体系，作为智慧城市建设信息安全保障的行为准则、依据和指导。 构建信息安全管理保障体系。形成一整套对信息安全有效管理的规定，完善信息安全管理与控制的流程，将高层人员参与、安全绩效考核、人员信息安全意识与技能培训等纳入信息安全管理保障体系，保证智慧城市安全运行。 构建信息安全技术保障体系。不断开发适应信息安全新形势的新技术与产品，实现不同层次的身份鉴别、访问控制、数据完整性、数据保密性和抗抵赖等安全功能，从物理、网络、主机、应用、终端和数据几个层面建立起强健的智慧城市信息安全技术保障体系。 构建信息安全灾难恢复体系。建设灾备中心，建立业务连续性计划、应急响应和灾难恢复计划等，定期对相应计划进行有效性评测和完善，定期开展会员参与的应急演练，保证智慧城市运行的业务连续性。 构建定期的信息安全风险测评、评估机制。建立有效的风险识别、控制和处置机制，定期进行充分的现状调研和风险评估或实施信息系统安全等级保护测评等安全测评过程，对信息系统存在的风险状况进行评估，并采取相应的有效措施。 总工点评 作为新一代城市生活形态，智慧城市能走多远，取决于信息安全走多远。随着智慧城市试点工作的不断开展，基础设施、终端接入、核心技术、民生领域、城市大数据等方面的信息安全问题日益凸显。总体来说，智慧城市面临的信息安全挑战刚刚开始，需要我们进行前瞻性考虑。从智慧城市未来建设和发展的角度思考，需要通过顶层设计和统筹协调，建设智慧城市信息安全保障体系，并形成体系化的完整闭环。同时也应该看到，大数据在带来了安全隐患的同时也为信息安全的发展提供了新机遇，这些都将不断推动智慧城市信息安全体系的发展和成熟。 今年9月22日，江苏省邮电规划设计院有限责任公司智慧城市专家作为国际电信联盟中国代表团专家在瑞士日内瓦大会上就中国智慧城市的发展历程以及智慧南京的建设经验作发言，并与世界各国专家成员就智慧城市建设各方面展开深入交流与讨论，其中演讲重点之一是江苏院在智慧城市信息安全方面所做的一系列工作。
江苏省邮电规划设计院总工程师袁源 |
