2019年，一个全新的市场“信创产业”开始进入人们视野；2020年，在复工复产、“新基建”全面启动的背景下，各地信创项目开始大面积铺陈开来，信创产业也随之出现了一个现象级的风口。

有权威机构指出，2020年是信创产业全面推广的起点，未来三到五年，信创产业将迎来发展的黄金发期。我国国产基础软硬件从“不可用”发展为“可用”，并正在向“好用”演变。信创产业作为“新基建”的重要内容，将成为拉动经济发展的重要抓手之一。

网络安全和信息化是“一体之两翼，驱动之双轮”，必须统一谋划、统一部署、统一推进、统一实施。在大力提升自主创新研发关键设备能力的同时，整个网络形势日渐复杂，不仅需要从供应链层面加强自身创新研发，在使用场景中，也需要获得有效的安全防护与感知保障。

做好网络安全保障是实现我国信创战略目标的重要前提和基础，但也同样面临着多重挑战。在聚焦新旧动能转换，助力信创产业迈向新高度的同时，必须有效应对垄断网络空间霸权威慑，筑牢网络安全防线。

（一）信创安全面临三大挑战

信创产业涉及产业链上下游，像是一个巨大的工程系统，在这个系统里，不仅有关键核心技术的突破，还有需要各个环节协同配合。

而信创与网络安全也是相辅相成的存在：有丰富应用支撑的基础软硬件系统为国内网络安全厂商带来了新的空间和创新要求，安全厂商在国产系统上对网络安全的监测、数据处理、分析的需求也带动了计算能力的成长和系统的进一步完善；信创为传统的防火墙、等安全产品提供更为丰富的载体选择，在信创中所诞生和发展的各种设备和端点也需要更多的安全防护。

360首席安全官杜跃进 

正如360首席安全官杜跃进在ISC2020“信创日”演讲中所提到的那样，信创代表着所有地方都有可能会被攻击，因为信创最后带来的是软件定义一切，万物均要互联，数据驱动所有业务。而信创本身的安全面临这三个挑战。

第一，全面的信息技术体系创新可能会导致人们处于非常脆弱的时代。因为每一个软件都可能会有漏洞，而每一个网络都有可能会有漏洞。

第二，在现在这个时代，网络空间领域里的对手会越来越强。回顾计算机、互联网刚出现的时候，网络攻击者只是纯粹的技术挑战。随着技术发展，越来越多业务在互联网上开展起来，网络攻击变成了一种获取非法利益的手段。现如今，信创产业的发展让基础设施、重要信息系统、企业业务等都架构在软件和网络之上，这时候必然会面临更强的对手，他们会形成越来越专业化的分工，越来越强大的技术手段以及越来越强大的破坏力。

第三，还会面临越来越复杂的网络攻击动机，不同的动机也会有不同的攻击目标、攻击手法、攻击目的。比如数字时代下，更高级的犯罪团伙、恐怖组织以及具有国家对抗意义的攻击团伙，都可能对网络空间发起攻击。

与此同时，信创安全还面临着：认知偏差、能力不足、积累不足、实战不足四大问题。

由此，杜跃进提出无安全，不信创。一味照搬过去的安全思维和方法，无法解决当下信息技术应用创新所面临的安全问题，信创安全需要全新的思路。鉴于此，他提出以下信创安全体系设计的五大指导思想，践行于信创安全建设之中：

其一，需拥有攻防视角，进行体系设计，以完成信创安全的目标；

其二，亟需整体思维，利用来自各方的资源与力量，使其相互响应与配合，以实现高效防御；

其三，进行统一调度，面对安全威胁，要有统筹指挥、步调一致、相互配合的能力；

其四，需要开放运营，防御方要集中所有力量，统一调配才有抵御威胁的机会；

最后，以能力驱动，掌握对抗抵御威胁之能力，确保信创安全工作的有序进行。

从全球开放的安全大生态，到自主创新的信创产业领域，360作为国内网络安全领域的领军企业，肩负“国家队”身份与使命，在捍卫信创安全工作中积极响应国家号召，做出了一系列贡献。

除了先后推出以360安全浏览器和360终端安全防护系统为代表的多款信创产品，完成与麒麟、统信、龙芯、鲲鹏等多家主流平台厂商的适配，面向企事业单位推出的以安全防御为核心、以安全策略管控为重点、以自动化运维管理为支撑的专业安全服务体系。并在此基础上，360基于世界级的漏洞挖掘及网络攻防对抗能力，帮助信创相关企业发掘和修复安全漏洞，降低漏洞被利用的风险，不断为信创领域输送安全能力。

（二）不可忽略的致命漏洞威胁

对于任何操作系统而言，漏洞往往代表着安全风险，而国产操作系统率先进入关键基础设施等敏感领域，漏洞的存在更成为致命威胁。

在未来国际网络安全博弈中，不仅是技术对抗，更是安全漏洞等网络安全基础资源积累对抗。建立面向信创的漏洞发现和响应体系，发动社会白帽子力量发现、识别未知漏洞并快速提供相应修补或防范措施，对帮助软件厂商更有效地预防漏洞和更便捷地修补漏洞具有重要的意义。

不久前，统信安全应急响应中心（USRC）发布最新安全公告，公开致谢360Alpha Lab发现并提交两份关于统信UOS操作系统的漏洞报告，基于这一致谢，360成为信创领域首家获得厂商官方致谢的安全公司。

此次360率先发现统信UOS操作系统漏洞，双方在第一时间进行了积极沟通修复，传递出国产操作系统想要真正实现安全、构建整体安全防护体系，必须与独立安全厂商配合协作的方向，给整个信创生态产业的安全建设做出了表率，拓展了“信创+安全”产业合作新模式，实现了用户、软件厂商以及安全厂商的三方共赢。

相比国外Google、微软、苹果等厂商成熟的漏洞挖掘悬赏机制，本次致谢是国内信创领域首次公开发布的漏洞致谢，其标志着我国信创产业追赶国际脚步，从“能用可用”向“安全好用”阶段过渡，也代表着信创产业下的应急响应中心（SRC）开始逐步成长。

此外，360还将与龙芯在漏洞发掘方向展开深度合作，从芯片驱动层对代码进行安全性检测，提前修补漏洞，打造安全基座。

未来，360将继续基于世界级的漏洞挖掘及网络攻防对抗能力，帮助信创相关企业发掘和修复安全漏洞，降低漏洞被利用的风险，不断为信创领域输送安全能力。

（三）处在防御第一线的终端挑战

据IDC的报道，70% 的数据泄露始于终端设备。从攻击者的角度来看，对终端的成功攻击提供了对组织网络的进入、对其数字资产的访问以及对终端本身的控制。

终端是网络攻防的最前沿和最直接的战场，保障信创终端安全是目前信创领域最迫切的任务。然而传统终端安全的防护手段在信创环境下还存在很多不足，360首席科学家、国家信息安全漏洞库特聘专家潘剑锋总结了以下五个方面：

360首席科学家、国家信息安全漏洞库特聘专家潘剑锋

一是终端安全产品能力参差不齐。现有终端安全厂商众多，但技术水平高低不一，研发终端安全产品能力参差不齐，可能导致终端防护能力薄弱，甚至被直接攻破带来严重的安全风险。

二是缺少集中统一的威胁分析能力。仅依靠现在的单机终端安全软件难以对抗网络攻击威胁，同样单一安全企业的能力，受制于有限的作战经验积累，也不足以应对未来严峻的网络对抗。

三是缺少统一的恶意代码命名规范。终端安全厂商对木马、病毒等恶意代码的分类命名方法莫衷一是，因此会导致行业和用户的理解混乱，难以实现系统产品间的协同。

四是缺少统一的安全终端产品标准。目前公安行业终端安全产品的测试标准较为分散，包括防病毒类，主机审计类，因此还缺少面向信创安全统一的终端安全产品标准规范。

五是难以发现高级持续性攻击威胁，现在的终端安全防护软件，难以有效防御有组织的高级持续性攻击，因此需要联合安全厂商，整合全网威胁情报资源，从海量数据中发现攻击的蛛丝马迹，形成有效的防御能力。

为此，他提出信创终端安全保障目标，具体可通过：建立信创终端安全防护标准体系；开展针对终端安全防护产品的检测、众测和压测的安全测试；并推动终端安全产品间的威胁情报共享和协同防御等措施；从而促进终端安全防护产品在信创领域的全面部署应用，从而全面提升信创终端安全保障能力。

据介绍，目前360终端安全防护系统可针对国产操作系统提供病毒木马查杀、终端管控、安全审计等功能，有效遏制内外部威胁的传播与扩散，全方位提升系统自身安全特性，确保内网终端主机的安全。

在信创提速的新风口下，360将持续以自身安全能力赋能信创产业，加深与信创产业链各个环节的合作。一方面，加速适配信创产品，另一方面，持续发挥核心优势帮助信创企业完善安全体系建设。