以下为微软中国有限公司首席技术执行官李志霄博士谈信息安全的策略。
李志霄：今天聊聊信息安全的策略。我们首先要了解今天信息安全的趋势在哪儿？以前在垂直应用的时候基本上一个用户一个密码可以照顾所有的业务，今天由于信息量的爆炸，每个人都有各种用户名密码和在网上的多重身份。另外黑客集团犯罪团伙技术越来越高，他们野心在于诈取大量财产，危害国家安全。第三个趋势就是安全风险级越来越高，从安全补丁公布，到黑客利用汇编语言做反向工程，开始制造病毒蠕虫木马的时间越来越短，甚至已经看到零时间攻击。其次就是攻击层次是越来越高，网络层的攻击今天已经进入应用级别攻击。
过去我们面临的安全威胁基本上是网上攻击，网上蠕虫，拒绝服务。如今，黑客犯罪团伙有金融上的动机，随之而来的就是网上钓鱼，身份窃取，僵尸网络等。未来会有更多的安全问题出现。
今天在中国北京参加这场盛会，我们看看中国在信息安全方面面临哪些特色威胁。中国已经成为全世界第二大网民国，有1.1亿网民。国家也开始特别重视信息安全法规的制定和执行。大家可以看到，国内开始有新兴的咨询厂商出现，国内有一些企业在信息安全领域做外包。另外，在线游戏大量风行，这绝对是病毒的温床。
目前，信息标准主要是WebSevices，我们必须保障WebSevices。目前，钓鱼越来越风行，中国是世界上僵尸网络最大的受害国，根据中国公布的调查，88%在中国境内部署的PC都曾受到病毒的感染。
所以提出一个策略怎么做？最重要的基础是做安全策略，一定要有政策和法规，一定要有法规、组织和功能，要符合标准，再有就是主动防御，深度防御，还要不断监测，就是由政策执行，不断纠错、不断反馈。安全解决方案面临的挑战是什么？减少被攻击的次数，尽量快地把安全方案更新推出，从合作伙伴和厂商，都要推出不断的更新，要有深度防御的策略，要有身份的认证，跟用户要沟通，要有安全防御的指南。什么是深度防御策略？首先了解一下什么是信息安全的定义跟模型。信息安全的定义就是信息的正确性，信息的保密性还有信息的可用性，可用性跟正确性保密性是矛盾的，信息在什么地方会出差错，信息有三种状态，第一是处理中会出差错，第二是传输中，第三是存储中会出差错。同时搞信息安全除了技术以外，必须要有政策法规，还要有用户的认知，三者缺一不可，所以说，搞信息安全是三分技术，七分管理。
我谈一下什么是纵深防御策略，最底层政策、法规、执行过程、物理安全、周边安全、内部网络逻辑式处理，应用的安全和数据的安全，这是刚才思科、联想网御的专家都讲过的，今天安全已经进入应用层和数据层的威胁，这是非常新的课题，厂商、合作伙伴用户都在为此努力。
讲到信息安全，刚才主持人说微软的软件无处不在这也是一个事实，硬件不能融合没关系，通过软件，包括数字化的标准，包括压缩的标准，包括通信协议，包括数字版权管理，我们通过这些软件的手段，可以把不同的硬件内容融合起来，也就是说软件是整个大网络的核心，所以我们必须要对软件做保护。
保护软件信息安全是是重要的，整个精神就是可信赖运算，安全、信赖是两个同义词，搞安全就是你要相信这个网络，你相信跟你谈话的对方是可信赖、安全的。可信赖计算有四大支柱，即可靠性、业务完整性、隐私性和安全性，今天我提一下安全性，也就是遵守ISO/IEC17799规定。
信息流转一定有接受方和传送方，你所有的信息流转，就是信息使用者和发送者之间的对话，你跟对方对话的时候，你看不见对方的，你跟对方对话的时候要信任对方，怎么信任，也就是你相信跟你对话的人是可信任的，跟你对话的软件是可信任的，跟你对话的硬件终端是可信任的，或者跟你对话的组织和单位是可信任的。我们怎么样保障可信任，这里有一些手段。基本上是强调建立信任，包括对什么建立信任，对人建立信任，有身份控制访问管理，合法的终端才可以进入网络，合法的用户才可以进入网络，合法的单位才可以进入网络，合法的使用者才可以进入网络，这里有种种手段。
第二点安全策略。就是说，安全的产品必须要有一个共通的设计守则，首先正本清源要有安全的源代码，要有安全的默认值，再就是安全的部署和对安全的认知。再有对用户来讲要简单，适用。
今天所有IT系统都要有一个平台，所有IT系统硬件里面都要有一个软件平台，要保证它基本上是安全的，需要有哪些功能，如互联网要有保护模式，服务要加强，用户身份访问控制，提供一些灵活方便的身份认证系统。还有保护自己的数据让不授权的人看不到，还有数字保护手段都是平台需要提供的功能，所以强调四大策略，系统的设计要符合安全的守则，开发人员要有统一的培训手段，要使用统一的工具，再就是简单好用，另外平台要安全。
微软推出下一代操作系统Windows Vista是遵循这一原则，一个功能是能防钓鱼网站，加强了加密通信协议，还有要求发垃圾邮件人把发件人名单发过来等就不列举了。IE服务也增加了很多在里面，另外软件硬件厂商有跟用户沟通的义务，随时要发安全补丁，安全通告，还有跟用户的培训和沟通。从可信的预算开始，一再强调微软本身做表率，在TWC之前和之后的产品在安全上有了显著的进展。我今天想谈的是策略，我今天一再强调，安全是一个生态环境，是一个供应链，不可能靠硬件厂商，也不可能靠软件厂商来完成，必须要靠整个供应链，整个生态环境里面各个角色来完成，这些角色是政府制订法律，执行法律，还有这些硬件厂商，主流厂商的大量合作伙伴，还有用户一起来完成才能保障信息的安全，不可能靠一家厂商完成的。
所有的软件都有潜在的漏洞，但厂家都在尽力而为。要保证安全的源代码和流程部署、安全要遵循标准，有标准可讯，欧盟NTEC13335，美国CC，ISO/ITE17799。安全型企业要理解发出信息之前必须要保障信息的安全，必须理解安全是一个里程，不是目的地。各位有没有理解到我在刚才30分钟之内，微软有大量的安全工具，成百万上千万的安全工具已经下载到各个PC里面去了，在这里只是略微表述一下微软在安全方面所做的努力。谢谢各位！
68476636-8007）
