◆本报记者徐丽莉

“国内有关部门曾针对300多款常用软件进行了检测，60%涉及到个人隐私数据泄露的问题，而且这些软件都是一些常用软件，没有哪个杀毒软件会将它列入黑名单。”复旦大学教授杨珉在第三届国家网络安全宣传周（上海地区）开幕式的主题演讲中提到。

今年以来，信息泄露事件更为猖獗，造成了一定程度的社会恐慌，清华老师被骗1700多万元的消息一度登上微博热搜，有的甚至造成了悲剧，比如徐玉玉事件。最近发布的《2015年中国手机网民网络安全状况报告》显示，截至2015年年底，95.9%的手机网民认为自己曾遇到过手机信息安全事件。

网络信息泄露，小则损害个人利益，大则威胁国家安全。网络空间已经被视为一个国家继陆、海、空、天之后的“第五大空间”，确保网络和信息资源安全已经上升到许多国家的安全和发展战略，我国也不例外。

随着整个网络信息安全开始经受考验，环境信息安全问题也日益凸显。去年以来，国家提出“互联网+”行动指导意见、大数据战略，并印发生态环境监测网络建设方案。今年年初，环境保护部印发了《生态环境大数据建设总体方案》，各地环保系统也纷纷印发生态环境监测方案，环境信息化正如火如荼开展，这使得构筑环境信息安全系统显得越发紧迫起来。

安全漏洞依然存在

防护水平有待提升

环境保护部信息中心总工程师魏斌在2016年全国环境保护行业信息安全培训班上介绍说，近年来，环保行业网络安全工作一直跟随着信息化发展的脚步，也在努力适应网络安全形势的新变化，取得了一定的成绩，但与国家对网络和信息安全工作的要求还存在一定差距。

据了解，环境保护部信息中心曾组织对环境保护部本级及派出机构、直属单位、各省环保厅（局）的62家门户网站进行远程技术检测，发现各网站都存在不同风险等级的安全漏洞。经过一段时间的集中整改，各单位网站安全防护水平有了大幅度提高。

从2015年9月至今，根据“国家网络安全检查信息共享平台”通报统计，共发现环保行业13个安全事件或漏洞，其中3起安全事件涉及网站，10个系统漏洞涉及面向公众提供服务的各类业务信息系统。

“这个数据一定程度上肯定了环保行业网站安全防护水平的提升，同时暴露出信息系统存在的安全漏洞与隐患，这些漏洞的存在会大大提高系统被入侵控制和数据被窃取的风险。”魏斌表示。

据统计，环保行业的13个安全漏洞、事件中，有5个弱口令漏洞，占比约38%。所谓弱口令漏洞，也叫做弱密码，通常认为容易被别人猜测到或用破解工具破解的口令都是弱密码。“弱口令的危害就犹如买了个高级保险箱，什么刀斧工具都破坏不了它，不过遗憾的是把钥匙挂在了门上。最常见的弱口令前3位是password、123456、111111。”魏斌担忧，这说明环保系统工作人员的网络安全意识不够。

等级保护还需加强

云备份加上双保险

除了每年例行的环保行业网络安全技术检查外，网络安全主要依靠对信息安全等级保护制度进行规范。

信息安全等级保护制度是我国信息安全保障工作的基本制度、策略和方法，对等级保护对象划分不同等级，按不同等级的标准进行建设、管理和监督。

据介绍，环保行业的等级保护工作相对滞后，2015年安全检查的261个业务信息系统中，已完成定级并在公安机关备案的系统不到一半，仅有107个。2016年初，经公安部确认，环保行业国家级重要信息系统缩减为8个，其中仅有3个完成了等级保护测评工作，风险不容忽视。

“各单位要围绕‘等级保护制度’，主动将信息系统进行自主定级、重点保护，使安全建设和信息化建设相适应，保障重要网络和信息系统的安全。”魏斌指出了下一步的工作路径。

针对目前的网络安全问题，伴随着生态环境大数据的建设开展，环保云将成为环境行业网络安全的重要保障。

记者了解到，目前，已初步形成“一朵云，两个资源池”的基本架构，下一步要逐步将现有信息系统迁移至环保专网，拓展专网服务范围，并尽快将重要性强、物理环境及安全基础较差的信息系统迁移至环保云，统一运维、安全防护，提供统一安全保障。

魏斌表示：“这不仅可以有效解决部分系统安全性差而负责单位无法应对的问题，还可大大降低各单位的运维成本和安全保障成本，保障重要信息系统安全可靠运行，统一提高安全保障能力。”

敏锐感知安全态势

发生事故快速处置

目前网络安全问题层出不穷，仅仅靠例行检查和等级保护制度无法满足网络安全工作的需求。

习近平总书记在4·19座谈会上提出，全天候全方位感知网络安全态势。网络安全具有很强的隐蔽性，一个技术漏洞、安全风险可能隐藏几年都发现不了，结果是“谁进来了不知道、是敌是友不知道、干了什么不知道”，长期潜伏在里面，一旦有事就发作了。

安全态势感知能力建设已经在G20网络安全保障工作中发挥作用。记者在某安全厂商看到了提供保障工作的基于大数据与云的态势感知平台，各种数据、图像、图形不停地在屏幕上跳动。

据介绍，这一态势感知平台通过对杭州16个主要区域设置备案站点服务的监控，捕获基础数据和进行安全监测，然后配合威胁情报提供事中的云端监测和防护服务，最后可以进行事后的大数据分析，并形成基础信息及威胁情报库。

自2015年12月1日，G20官网开放以来，态势感知平台为G20官网提供正常访问次数两亿+，拦截攻击次数300万+。为G20注册网拦截非法访问2900万+，抵御直接攻击112万+。

就环保行业网络来说，记者了解到，提高安全态势感知和应急处置能力也将是未来网络安全发展重点。会议上，魏斌提出各级环保部门和环境信息化机构要同时提高安全态势感知能力和应急处置能力，做到“事前能防范、事中能控制、事后能处理”，一旦发生安全事件要快速进行问题回溯，准确判断问题来源并及时处置解决。