論文摘要：在電子政務建設中，如何準確把握信息安全與應用建設的關系，既有效減小安全風險，又保證應用順利開展，是許多信息系統(tǒng)建設者、使用者都會遇到的問題。對于這一問題的圓滿解決，既需要有微觀上的技術手段，又要宏觀上的理論指導和觀念更新，尤其是宏觀方面的考量，在信息系統(tǒng)建設的整體把握和政策導向方面尤為重要。本文通過對應用與安全兩者在信息系統(tǒng)中所處位置的形象比喻，試圖理清應用與安全之間既相互矛盾、又互為依存的關系，為信息系統(tǒng)的建設者、使用者提供決策參考依據(jù)。

　　隨著電子政務應用的進一步深入，信息安全問題越來越成為大家關注的焦點。如何正確把握安全與應用的關系，安全配置的“邊”在哪里，“度”又該如何衡量，這些問題在電子政務領域顯得尤為突出。“水池定律”即是對這一問題做出的一種解釋。

　　“水池的注、排水口同時開放，只有當單位時間內(nèi)的注水量大于排水量時，水池內(nèi)才會存住水，水池才有可能被注滿。”—這個道理人人都懂，雖然我們都覺得一邊注水一邊排水很浪費，但在現(xiàn)實世界中，由于一些不可避免的客觀原因所限，類似情況并不少見。

　　如果把信息系統(tǒng)看作一個水池，水看作利益，則注水相當于得到利益，排水相當于損失利益，一個信息系統(tǒng)能否給它的所有者帶來收益，就是看這個水池能否存得住水。問題的關鍵就是看獲得利益的速度是否大于損失利益的速度。

　　在電子商務領域，利益多表現(xiàn)為有形的資產(chǎn)，可以量化為金錢來衡量。信息系統(tǒng)經(jīng)過一段時間的運行，它的效益可以從利潤中體現(xiàn)出來。對于電子政務，雖然不能簡單一概而論，但道理是相似的。業(yè)務應用給信息系統(tǒng)的所有者及服務對象帶來收益，是注水口，安全風險又會造成損失，是排水口。應用該不該建，安全上怎么防，關鍵是要讓收益速度遠遠大于損失速度，即單位時間內(nèi)的注水量大于排水量，這樣池子里才存得住水，這個系統(tǒng)才建得值。所以不能單純、片面地盯住安全問題，而應把它放在信息系統(tǒng)建設的大環(huán)境中，從整體上、全局上把握。這樣一來，很多我們在信息安全建設中碰到的問題就有了決策的依據(jù)。

　　具體來說，在信息安全建設中，我們經(jīng)常會碰到以下問題:

　　現(xiàn)象一:要把水池建成銅墻鐵壁，滴水不漏一一信息安全過度配置，防護過度。

　　現(xiàn)象二:要關閉水池一一把個別安全事件作為普遍現(xiàn)象來衡量得失，從而導致信息化建設大踏步倒退。

　　現(xiàn)象三:水池沒人管，誰都不清楚水池的注水量和排水量是多少一一應用效益缺乏評估，安全建設外緊內(nèi)松，安全隱患依然存在。

　　造成上述問題的原因可能是以下一種或多種。

　　原因一:注水口的水流過小或根本沒水—效益沒見著，卻要承擔安全風險;費力不討好也就罷了，誰愿意花錢找罪受、自討苦吃?所以看上去是過分強調(diào)安全，實質上是應用效益沒見著，沒有源頭活水，自然沒有熱情和本錢去承擔哪怕是很小的一點安全風險。這里需要說明的是，一些服務于社會公眾的應用，雖然所有者本身并沒有直接獲益，但公眾獲得了便利，相當于政府取得了無形收益，所有者可視為間接受益。

　　此外，與應用結合的安全建設需要根據(jù)應用量體裁衣。量體裁衣不是為了省布料，而是為了更合適。同理，根據(jù)應用定制安全也不是為了省錢，而是為了更安全。有了值得保護的應用，才有了評估風險的具體對象，也才好有針對性地制定防范對策。

　　原因二:注、排水口不在一個池子上。安全風險承擔者不是應用效益獲得者，兩者之間沒有共同的利益。

　　這種現(xiàn)象更為常見，但很多情況是利益鏈存在 “脫節(jié)”造成的。比如一個單位的應用取得效益，其榮譽歸甲部門;同樣是這個應用，安全出問題卻要乙部門承擔責任，合適嗎?這不僅涉及是否公平、合理的問題，更影晌到系統(tǒng)的長遠發(fā)展、生命力問題。

　　當安全風險承擔者較為強勢時，可能會片面強調(diào)安全，甚至把安全風險混同于具體的安全事故，這種概念混淆就好比以一次空難事故來衡量坐飛機的風險。即使發(fā)生了空難，飛機還是有人去坐，首先是因為它快捷，其次空難概率畢竟很小。所以說，安全事故是不能預測的，但安全風險是可以預估的。信息安全建設的所要做的是對可預估的風險采取相應措施，把能做的、該做的事做到位，那么即使事故還是會發(fā)生，我們也盡到了責任，問心無愧、不留遺憾。

　　當安全風險承擔者較為弱勢時，會出現(xiàn)“想管不敢管、想管管不了”的局面。具體表現(xiàn)為缺乏有效的評價、監(jiān)督機制，即使有，執(zhí)行起來也是畏首畏尾，難以落到實處。

　　針對以上兩種原因，有以下解決辦法可供參考。

　　解決辦法一:信息化的目的是為了得到效益，所以沒有效益的應用不如不建，在安全適度配置的前提下，要加大向應用要效益的力度;沒人用的系統(tǒng)是最安全的，同時也是效用最低的，因此信息安全建設要與應用結合。

　　解決辦法二:統(tǒng)一應用與安全建設的主體，做到業(yè)務誰主管，安全誰負責。如果統(tǒng)一主體確實存在困難，則要在兩者之間建立利益等效機制，讓利益鏈“環(huán)環(huán)緊扣”，讓利益“流動”起來，這些可以通過調(diào)整管理體制，完善評價機制，健全監(jiān)督機制來具體實現(xiàn)。

　　當然，實際情況更為復雜，我們要想以不變應萬變，不被問題牽著鼻子走，需要把握以下原則: 絕對的安全是不存在的。當應用帶來的收益遠遠大于安全帶來的風險時，信息化工作才會大踏步地前進。我們應該做的，是大力建設能帶來效益應用的同時，把安全風險控制在一個可容忍的較小范圍內(nèi)。也就是在擴大注水口的同時，縮小排水口。

　　前面為了能夠簡明地說清問題，我們把注水口簡化為應用效益，把排水口簡化為安全風險，形成了一個理想上的封閉環(huán)境。但正如我們不能將信息安全問題脫離開信息化的大環(huán)境去片面、孤立考慮一樣，我們也不能把信息化的問題脫離開一個部門的整體大環(huán)境去考慮。從更宏觀一點的角度考慮，給一個部門帶來收益的并不只是信息化應用，給其帶來損失的也并不只是信息安全風險。

　　信息化啟動前，部門運作的傳統(tǒng)方式有著自己的收支平衡;信息化一旦啟動，信息安全風險必然存在，整體平衡被打破。安全防得再嚴，也不可能回到信息化前的水平，這時只有通過向應用要效益來重建平衡;隨后的一個很長時期內(nèi)，信息化都處于初級階段，對傳統(tǒng)方式的影響甚微，這時應以低風險、小應用滾動發(fā)展，逐步向傳統(tǒng)方式滲透;當信息化發(fā)展到高級階段，信息化應用在很大程度上取代了傳統(tǒng)方式，則傳統(tǒng)風險也逐步被信息安全風險所替代(例如辦公如果真能實現(xiàn)無紙化，則傳統(tǒng)紙質辦公的失密風險會大為降低;網(wǎng)絡如果真能集中管理，會比分散的單機、小網(wǎng)運行更便于監(jiān)控)，這時整體安全風險才有可能低于信息化前。初級階段抓應用，高級階段抓安全，這與發(fā)展中國家重發(fā)展，發(fā)達國家重安全有異曲同工之處。

　　“不發(fā)展是最大的不安全”。應用與安全的關系，和我國社會主義初級階段發(fā)展與穩(wěn)定的關系十分類似。我們既不能跨越階段，也不應止步不前，而應圍繞應用建安全，建設安全的應用，向應用要效益一一這才是電子政務初級階段信息安全問題的解決之道。