窃取个人信息犯法代价极低，要先从理念和立法层面提高网络安全意识【主题论坛】

肖新光：实际上来看，当前国内网络安全是一个既蓬勃又复杂纠结的一个环境。它很大程度上并不是单点的技术问题，也不是某个单品或者某一个厂商达不达到一定水准的问题，如果从单点的亮点上，比如去年获得AVTEST移动设备最佳厂商奖，今年改成全面产品奖项后，国内其他两个兄弟厂商蝉联了移动奖项，你可以看到很多亮点，包括这些创意。包括近期安全的比赛活动，中国团队也都成绩很不错。但是实际上来看，回推刚才讲的三个层面，你发现这些单点没有有效转化成三个层次有效能力。从个人用户角度来看，我们所看到的很大程度上他是有很多的治理层面的问题。比如隐私泄露、电信欺诈诈骗。我们从去年统计看，PC恶意代码数量下降了，是因为做病毒变少了吗？不是，是他们游离到更趋利的方向上，比如说移动平台。现在我估计全球有70%以上安卓平台恶意代码是由中国和俄罗斯两个国家贡献的。这一定程度上是我们治理能力不足的真实体现，它一定程度上是把用户降低到了一个非常不安全的程度从而使全民分担了这样一个安全治理能力不足这样一个后果。而从企业网来看，目前整体来看它一定程度上是整个安全的短板，基本上来看就达到了，正像美国人自己讲他们的企业，我们自己企业，只有两种企业，一种是发现被攻击的，一种是尚未发现的。它也不完全是厂商的问题。当前很多人出来呼唤类似安全，批评安全的老三样，说防火墙、打补丁不行，但是实际上几乎有一半是没有进行安全管理，大量的内网，反病毒是三个月、半年才升级一次，而补丁不敢打，怕影响业务。他不完全取决于企业的能力，很大程度上取决于用户安全观，取决于整个社会安全认知，从国家层面来看，我们反而认为，因为他是一个很综合的东西，比如中国网络安全与中国核威慑其实不是完全没有关系的，你的传统优势能力会保护你的弱势领域，但是从这里面来看，中国的厂商没有有效转化成国家能力，我们之前看到美国一家公司他们一系列报告，包括卡巴斯基的报告也是直指美国，揭露了美国这样一个手段。通过一个企业角度达成触动大国威慑平衡。从国际上来看，技术能力完全匮乏不能达到吗？不是，但是也有很多机制、约束性东西。比如方程式，我们觉得是一个似层相识的对手。这里面有很多微妙的东西。但是同时来看，我最开始讲到，我们已经具有的技术基础，无论是大的IT厂商，无论是BAT这样的能力，还是我们独立安全厂商能力，它本身来看就是一鸟在手，胜似十石在林。如果容忍我们有一个更长时期的发展，就可以有效转化成对个人用户保障、对企业用户保障，以及对国家的安全。

丁健：你站在做投资界角度，无论从美国还是中国，有哪些更新的网络安全技术是值得我们关注或者对我们整个网络安全能够有所提升的。

邓锋：首先说中国网络安全在全球，个人认为还是相当落后的。跟我们IT流量、用户的水平还是不成比例的。最近有一个美国第三方市场研究公司排了一个世界网络安全500强。中国只有3家企业在500强当中。第一家是排名第94名，安天。第二名110多名，还有一个第三家。排的很落后。这只是安全的设备。就像肖总讲的我们每一个单点技术也许不比人差，但是把几个单点做成产品的能力就差了。一个产品可能还行，但是把一个产品做成一个好的解决方案，因为网络安全不仅仅光光是防火墙、防病毒，有一堆乱七八糟的东西，分得很细，做成一个很好的解决方案我们的能力更差。这还是指产品和技术。

　　但是我们更差的还不是产品和技术，是一些我们在执行当中，比如策略。刚才邓总说了策略问题，你设了一个很差的策略，什么人都可以来，那你要防火墙干嘛？还有运营，有了很好策略，运营当中不用，或者说一碰到问题有人攻击你，现在最简单方法不是说我把攻击的圈子堵住，大量的是把门全部打开，因为这样做领导看不见，至少工作可以保住。这是在一个策略设置、执行、运营当中，而不是本身技术和产品的问题。

　　再说到理念的问题。像美国上市公司必须有这个规范，不规范，证监会可以罚你，或者美国人可以起诉你。我们还没有到这一步。而且出了问题惩罚也不高。现在这么多人偷PC里个人信息，有人惩罚吗？包括我们电商公司把用户信息泄露出去，有什么惩罚？他们犯法代价极低。法本身立的不全，犯法又没有什么惩罚，也没有用。这个方面比产品和技术差的更远。消费者觉得无所谓，信息拿了就拿走，这个方面跟美国相差太远。我的感觉今天首先要解决的是教育、理念、立法、执法这些问题，然后再从技术上逐渐提高，因为技术本身是需要的。如果买了产品，他不用，我们技术怎么提高？

　　我的感觉这方面在快速变化，但是还是有相当距离。回到一些先进的技术，确实有很多先进技术。我觉得我们中国工程师其实跟世界接轨挺快，能够很迅速看到世界先进技术。可能我们中国科技人员自己处于的环境更恶劣，包括攻击、防御方法都很多，所以其实这些先进的技术各个方面都有。我觉得可能美国现在，这次500强排第一的这家公司，大多数情况也是忽悠的比较多，但是他代表的是一个方向。过去你是根据我知道谁来，我怎么防护网络。以后可能就要根据过去这个网络是什么情况，外边是什么情况，更多的是在一个大环境下的数据和你历史上今天晚上7点钟为什么出现这种情况，为什么过去同样的周五晚上这种情况、不出现这种情况，根据这些综合来做。这是一个技术发展方向。包括卡巴为什么估值这么高，100亿美金估值，就是因为他不断整合各个信息，过去只是设备，现在是设备以外所有的信息、历史信息、现在信息、大的信息、小的信息都综合决定我采取什么策略，这个大的方向是我们未来更要关注的。

本文来源投资界，原文：https://news.pedaily.cn/201503/20150323380160.shtml