联想网御助理总裁马虔谈联想网御的技术战略

网易科技讯 5月15日消息，由计算机世界传媒集团主办，《CSO&信息安全》月刊承办的第六届中国CSO俱乐部大会暨2008中国信息安全年会在北京召开，网易科技频道做为独家门户直播网站在现场做了直播报道。

以下为联想网御科技（北京）有限公司助理总裁马虔做“保障业务安全，促进产业腾飞”的主题发言。

主持人：感谢王军老师的精彩发言，原中国信息安全产品测评认证中心，这也是成立很久了，不久就改成了信息安全测评中心。通过王军老师的发言，我个人对于信息安全服务，至少有一个适合中国产业的环境的分类，以及进行了梳理，让我们在信息安全种类和问题方面有了规划。如果大家对于信息安全服务有相关的话题和需求，欢迎会后与王军老师进行交流。

下面，为我们带来主题发言的是联想网御科技（北京）有限公司助理总裁马虔，不过在他上台之前，给大家播放一个不到1分钟的短片，就是联想网御自己在品牌推广和形象方面的理念。（播放VCR）

下面，有请马虔为我们做“保障业务安全，促进产业腾飞”的主题发言。

马虔：尊敬的各位领导、各位专家、各位来宾，大家早上好！

在我进入汇报主题之前，请允许我代表联想网御表达一下对灾区人民的慰问。联想网御全体员工对于灾区的全部捐款，已经于前天中午送抵中国的红十字会，那么联想网御的自发的20多名员工加入了灾区救援的行列，对灾区的人民提供服务。我想作为社会的一员，我们表达对于灾区人民的贡献，这是义不容辞的责任，同时作为一个企业，我们也是义不容辞的。

我今天主要介绍的包括两个议题，第一个我想向各位阐述一下联想网御的技术战略，因为在后续的如何保障业务安全的战略里面是来自于技术体现。下面，我们探讨一下应用防护的安全制造。

首先，看一下联想网御的大概的发展历程，99年其实在联想研究院已经成立了专门的信息安全研究室，来进行信息安全方面的技术储备和研发。2001年在联想成立了专门的信息安全事业部启动专门的信息安全业务，那么到了03年，根据技术报告，联想的信息安全产品在市场已经取得了前列的位置，04年我们成立了联想网御科技有限公司，那么到了去年我们发布了联想网御下一代安全架构。

那么，我们在未来的一段时间，也会围绕着联想网御下一代安全架构来实现。实际上，这是匹配着信息化建设发展而来的。我们知道，信息化建设是从注重早期的基础建设，到应用数据和系统建设，那么相对应的信息安全建设应该与之相匹配、相支撑。所以，联想网御的下一代安全架构也是围绕着这个方面来发展的。

那么，在IT基础方面，我们主要以弹性技术平台为基础，那么我们看到了数据系统已经成为了重中之重，我们提出了业务导向的可信计算，主要包括了可信接入、应用终端等几个核心的部分。相应地，我们围绕着IT的管理和流程，会有大量的信息系统来展开。相对应的，我们提出的是服务导向的安全管理。

那么，要想支撑这样的一个下一代的安全架构，那么作为一个企业来讲，要有自己清晰的符合自身发展的一个技术发展的战略，才能够比较好的支撑起来这样一个下一代的安全架构。那么，联想网御的基础架构包括三个部分，一个是技术上的公司自研，一个是技术引进，一个是技术合作。

今天，我们看得到，大多数的安全企业非常注重自身的研发能力，强调很多的技术要自己储备、研发。但是，我们客观、冷静地想一想，是不是只有自主研发就足够了？因为客观地讲，大多数的信息技术或者是信息安全技术，它的核心技术或者是前沿技术，还是国外占了比较大的优势。如果我们只是埋头苦干，一步一个脚印往前追，我们在短期不能赶上国外的技术发展。那么，怎么样让我们扎扎实实做好技术研发，同时又缩短国外和国内在技术上的差距呢？联想提出了两条腿走的思路，就是注重自己公司研发的前提下，同时我们广泛地展开技术引进和技术合作，但是重中之重是，我们想清楚，什么东西我们需要自主研发，什么东西可以我们在巨人的肩膀上发展。那么，也就是我们要考虑清楚，什么是有所为，什么是有所不为。

那么，在这个领域里面，联想有一套自己的清晰的指导理论。那么首先自有研发体系，我们注重在软件平台、硬件平台、安全体系和攻防技术方面的研究，因为我们认为这是必须掌握在自己手里的核心技术，没有这些核心技术，谈不上信息安全。这是联想网御的自主的研发体系。

那么，在自主研发体系基础的形成下，这几年的发展以后，联想网御已经形成了一系列自有的技术专利，这都是集中在安全领域里面的自有技术。那么，在这个表上已经列举了一部分，实际上，联想网御有48项的专利技术。

那么，我刚才已经谈到了，还有一些技术，我们需要和国外的技术领先企业展开广泛的技术合作。这个手段有很多，包括花巨资买一些相应的安全技术，甚至是源代码级的安全技术，也可以通过一些收购把安全技术据为己有，那么包括了Intel、IBM等等都是联想网御的战略合作伙伴。

那么，谈到这里，实际上联想网御是提出了这么一个发展的战略。那么，联想网御将借助资本的力量，推动中国信息安全产业的发展。

刚才我谈到的是联想网御的技术战略，下面我们看一下在这种技术战略的发展下，联想网御提供的应用的防护指导是怎么样的。

首先，经过这几年的发展，联想网御在安全方面已经有了很好的积累，我们提出了未来3年的业务是巩固相应地业务，我们联想网御已经有了很深的基础，所以对于这个方面的基础我们要进行很好的巩固。同时，我们要重点发展应用安全业务，就是进入到了我们刚才的下一代架构的第二个阶段，就是注重应用系统与数据管理，为用户提供业务的持续的保障。我们知道，在今天的用户的业务系统对应到IT系统里面，正是一个个重要的应用系统，形成了客户的电子商务、电子政务等各种各样新的业务。同时，我们要立足现在、展望未来，我们要关注下一代安全架构第三个阶段，就是如何进行管理安全业务，就是我们应用安全业务如何发展。

这张图是已经呈现给大家的下一代安全架构，那么在应用与数据安全，那么就是业务的核心导向计算，它包括了三个部分。第一个是可信接入，就是在业务进入应用系统之前，我如何保障这个接入是安全的。第二个是可信的业务系统终端，因为如果这个点有问题，会影响你业务自身的稳定性。第三，接入是安全的，终端也是安全的，那么整个的应用环境和应用流程是不是安全的。那么，这里面要围绕着应用监控来考虑。因此，联想网御的下一代安全架构，数据环节就是这三个环节，它是相对应的业务稳定性的保障。

在具体落地之后，它实际上是一个应用安全的解决方案，它主要包括了4个部分。第一，当你的业务系统在网络上展开以后，那么来自于互联网不管是你的客户、合作伙伴，他的接入我们一定要保证他的安全，因为他要接入到你应用系统内部或者是延伸到业务系统的自身。第二，在接入以后，我们要考虑认证、权限管理、审计的问题，所以要有应用安全管理平台，保证统一的帐户管理、统一的授权管理、统一的认证管理和统一的审计管理。那么，当他进入到你应用系统自身的时候，我们要考虑你业务系统里面千千万万的应用终端，他的操作是不是可以保障，是不是合法，是不是可以合乎你的要求。最后，我们要看应用系统自身是不是可以稳定运转，就是要有一个应用系统的监控。