物理隔离——政府上网安全解决之道

安全上网到底是不只存在个人，企业，同样也存在于政府部门，那么政府上网如何解决安全之道呢？

　　随着国家大力推动政府上网工程及实现政府机关的办公自动化，越来越多的党政各级部门都建立了内部计算机网络。由于这些内部网络都涉及大量的国家机密信息，因此在政府建立内部网的工程中，安全保密一直是工程中的重要环节。

　　负责保障信息数据的安全专家认为：没有与网络连接，网络安全威胁便受到了限制。我国《计算机信息系统国际互联网管理规定》第六条规定：涉及国家秘密的计算机系统不得直接或间接地与国际互联网或其它公共信息网络相联接，必须实行物理隔离。

　　所谓“物理隔离”是指内部网不得直接或间接地连接公共网即国际互联网。众所周知，国际互联网是国际化、开放和互联为特点的，而安全度和开放度永远是一对矛盾。虽然，目前可以利用防火墙、代理服务器、入侵监测等技术手段来抵御来自互联网的非法入侵，但至今这些技术手段都还存在许多漏洞，还不能彻底保证内网信息的绝对安全，只有使内部网和公共网“物理隔离”，才能真正保证党政机关的内部信息网络不受来自互联网的黑客攻击。此外，"物理隔离"也为政府内部网划定了明确的安全边界，使得网络的可控性增强，便于内部管理。

　　我们认识到唯一可行的解决方案就是物理隔离安全网和公共网，现在国际上最新颖的物理隔离解决思路是：在同一时间、同一空间单个用户是不可能同时使用两个系统的。所以，总有一个系统处于“空闲”状态。我们只要使两个系统在空间上物理隔离，在不同的时间运行，用户就可以得到两个完全物理隔离的系统。即通过一个区联接外部网，一个区则联接内部网。

　　在“物理隔离”措施具体实施当中，为了让用户避免使用两套独立的计算机网络系统，做到“物理隔离”和使用方便相结合，实行物理隔离采用网络隔离卡是一种简单易行的方法。作用是将一台工作站或PC机的单个硬盘物理分割为两个分区，即公共区(Public)和安全区(Secure)。这些分区容量可以由用户指定。这样使一台PC能够连接两个网络。 我们通过公共区联接外部网，如(Internet)，主机只能使用硬盘的公共区与外部网连接，而此时与内部网是断开的，且硬盘安全区也是被封闭的。 而安全区则联接内部网，主机只能使用硬盘的安全区与内部网连接，而此时与外部网(如Internet)连接是断开的，且硬盘的公共区的通道是封闭的。两个分区分别安装各自的操作系统，是两个完全独立的环境。操作者一次只能进入其中一个系统，从而实现内外网的完全隔离。

　　由于内外网的隔离是在物理层上，其操作和指令在固件中运行。因此是真正意义上的物理隔离。目前，在市场有一种最近刚通过国家保密局成果鉴定、基于单硬盘“物理隔离”技术的伟思(victory-idea)网络安全隔离卡，正完全符合这一点。原来要两台PC工作，现在只要一台PC加一块网络隔离卡就可以实现了。因为该项产品是使用单硬盘隔离方案，因此具有最大限度节约软硬件资源、切换方便、安装简单等特点。此外，该产品还充分考虑了各种应用需要，不仅在硬盘上营造了一个安全的数据交换通道，在确保隔离的前提下实现双网数据的安全交换，而且提供在内网环境中对软驱、光驱的禁止使用，在技术上减少了内部人员泄密的机会。该产品还拥有一个辅助设备-----一个类似于集线器的多路开关切换设备，与之配合使用，可以进一步提高系统的安全性并解决多网重复布线的问题，方便现有网络的安全改造。因此，此技术适用于几乎所有既要求十分严格的数据安全，同时又期望接入互联网的各类机构，诸如政府机关、军事机构、金融、科研院校及大型企业等等。

　　物理隔离技术是近几年出现的一个全新的安全防御手段，解决了许多高保密单位对于机密信息的安全需求。随着物理隔离技术的日趋完善，它正逐渐成为网络安全体系中必不可少的一个环节。