安全文化這一概念是國際核安全咨詢組在《關(guān)于1986年切爾諾貝利事故的事故后會議總結(jié)報告》中引入的。安全文化概念定義是“安全文化是組織和個人所具有的特征和態(tài)度的這樣一個組合體：它保證作為首要事情的核設(shè)施的安全問題受到與其重要性相稱的重視”。安全文化必須扎根于組織中每個層次的所有個人的思想和行動中，最高層管理部門的領(lǐng)導(dǎo)至關(guān)重要。安全文化的概念在核行業(yè)中得到了普遍的接受和認(rèn)可，目前已成為從事安全工作人員最重要的工作內(nèi)容之一。隨著計算機信息技術(shù)的應(yīng)用越來越普遍，計算機信息系統(tǒng)的安全問題越來越引起各方面的重視，安全已成為建設(shè)計算機信息系統(tǒng)首先要解決的問題，但從這些年的實踐來看，雖然各種各樣的安全解決方案和技術(shù)不斷推出，但似乎對信息系統(tǒng)安全問題的擔(dān)憂卻越來越大。問題到底出在哪里呢?本文試圖從安全文化的角度來尋求問題的答案。

　　1.問題的提出

　　我們對安全的理解往往是和威脅、風(fēng)險等概念相關(guān)聯(lián)的，對信息安全的定義是這樣的：信息的機密性、完整性和可用性的保持。問題是我們靠什么來做到這一點呢?目前，普遍的認(rèn)識是主要從制度、人員、產(chǎn)品和技術(shù)來解決信息安全問題，其中技術(shù)和產(chǎn)品主要有密碼、防火墻、防病毒、身份識別、網(wǎng)絡(luò)隔離、可信服務(wù)、安全服務(wù)、備份恢復(fù)、PKI技術(shù)等手段，毋庸質(zhì)疑，這些手段在保障信息安全中起到了很大作用。但同時也發(fā)現(xiàn)，安全問題或安全隱患卻依然層出不窮，安全管理部門、運行維護人員疲于奔命，管理層人員的擔(dān)心不斷增加。這形成了一個奇怪的局面，一方面我們在安全方面的投入越來越大，而另一方面我們對安全的擔(dān)心卻并沒有減少。這并不意味著我們在安全上的投入是徒勞的，而是說明安全不是簡單地通過投入就可以解決的，更不是現(xiàn)有技術(shù)、產(chǎn)品的堆積就能達到效果的。針對這樣的局面，我們應(yīng)該如何應(yīng)對呢?

　　2.如何理解安全

　　探討這個問題的重要性在于你對安全采取什么態(tài)度，而你的態(tài)度將決定你的行為，或行為方式，而你的行為將對你所負(fù)責(zé)的系統(tǒng)產(chǎn)生關(guān)鍵影響，也就是你對安全的態(tài)度是決定你所負(fù)責(zé)的系統(tǒng)的安全狀態(tài)的最基本的要素。所以說，如何理解安全是十分重要的。從對信息安全的定義可以得出一個結(jié)論，那就是安全是一個過程，而不是一個結(jié)果，它是隨著時間的發(fā)展，隨著系統(tǒng)環(huán)境、人文環(huán)境的變化而動態(tài)變化的，某一時刻的安全，并不代表全部。另一個結(jié)論是安全是整體性的，系統(tǒng)性的，它取決于多個部分共同的努力，也就是我們常提到的木桶效應(yīng)，問題是我們需要找出所有影響安全的因素，才能找到影響安全的關(guān)鍵環(huán)節(jié)，而這幾乎是很難做到的。雖然我們可以通過風(fēng)險分析來彌補這方面的不足，但仍然可能忽視掉影響安全的重要因素，這就造成我們對安全的持續(xù)不斷的擔(dān)心。

　　安全的另一個特點是它是相對的，不是絕對的，這主要指兩個方面，一個是它的時間性，它可能隨著技術(shù)的發(fā)展等因素，安全與風(fēng)險之間的平衡打破了，原先安全的可能變?yōu)椴话踩?另一個方面是你所能承受的損失的能力的變化，我們可稱其為可承受的損失或代價，我們一般所理解的安全是在我們所承受的損失范圍內(nèi)，當(dāng)你的承受能力變小或帶來的損失增大到無法承受時，安全的就可能變?yōu)椴话踩?。所以在理解安全時，要弄清楚你所要保護的對象和所承受的損失。正確的理解是你為得到安全所付出的代價應(yīng)小于你所保護對象的價值。弄清楚了這一點，對于你準(zhǔn)備在安全上要投入多少，就有一個比較容易衡量的方法了。

　　3.信息安全的現(xiàn)狀

　　隨著信息技術(shù)的發(fā)展，信息技術(shù)給人們帶來方便的同時，也同時帶來了隱患，病毒、后門、惡意攻擊等花樣翻新的手段給信息系統(tǒng)的正常使用帶來了很大威脅。人們?yōu)榉婪哆@些風(fēng)險，開發(fā)了一系列的工具，防病毒軟件、防火墻、入侵檢測，還有其它的工具。針對國防涉密系統(tǒng)，比較有效的手段主要是物理隔離、加密、訪問控制、身份認(rèn)證等措施。似乎我們已經(jīng)有了很多的手段來對付各種威脅，但仔細分析就可以看出來，這些手段的有效實施，離不開一個重要因素——人，而且防范的對象主要是人，人的作用在整個防范體系中既是核心又是最大的缺陷。我們都清楚，內(nèi)網(wǎng)主要是防內(nèi)，即所謂70%的威脅來自內(nèi)部，這些人具有合法的身份，但卻可能做非法的事情，由于人的不確定性，這使得防范工作十分困難，如果對人的控制十分嚴(yán)厲，將不可避免地帶來工作效率的降低，這和信息系統(tǒng)便于工作的初衷相違背或至少抵消了一部分信息系統(tǒng)建設(shè)所帶來的便利性。

　　目前各種防范手段很多，但往往是針對某一種或某幾中威脅來建立的，甚至某一種工具都有眾多的方法和品牌，而且各種防范手段之間缺少相互的關(guān)聯(lián)，這就好比我們要建立一條完整的防線，但各部隊之間卻沒有配合，更不用說它們之間可能還存在沖突，這種結(jié)果使得我們建立的防線存在很多漏洞，我們防御的做法仍然停留在被動的局面上。

　　這使得我們不得不思考一個問題，針對國防信息系統(tǒng)如何建立我們的安全機制呢?如何才能做到萬無一失呢?