武鋼為什么會(huì)建立甚至稱得上“嚴(yán)苛”的信息安全措施？

　　一出武漢機(jī)場(chǎng)，映入眼簾的就是“武鋼WISCO”那碩大的廣告牌。雖然人們心目中的中國(guó)“鋼都”是鞍山，但你在武漢卻到處可以看到“鋼都”的字眼。作為長(zhǎng)江南岸的一座重工業(yè)城市，武漢的城市建設(shè)已略顯過(guò)時(shí)，很多企業(yè)都不景氣，而武漢鋼鐵（集團(tuán)）公司（以下簡(jiǎn)稱“武鋼”）則是武漢人心目中數(shù)一數(shù)二的好企業(yè)，人們羨慕那里的高工資和半價(jià)買房的優(yōu)惠。
　　
　　遠(yuǎn)遠(yuǎn)地站在武鋼大門外，就能看到那尊高大的毛主席塑像，會(huì)讓你想起武鋼正是在1958年那個(gè)大煉鋼鐵的火熱年代正式投產(chǎn)的，是新中國(guó)成立后興建的第一個(gè)特大型鋼鐵聯(lián)合企業(yè)。2005年，在完成了與鄂鋼、柳鋼的聯(lián)合重組后，武鋼已成為年產(chǎn)鋼2000萬(wàn)噸規(guī)模的大型企業(yè)集團(tuán)，中國(guó)排名第三位、世界排名第16位。
　　
　　國(guó)內(nèi)外的競(jìng)爭(zhēng)形勢(shì)讓武鋼在2000年開(kāi)始了ERP建設(shè)，從生產(chǎn)、銷售、技術(shù)、質(zhì)管、財(cái)務(wù)，再到物流供應(yīng)鏈、設(shè)備管理系統(tǒng)，ERP系統(tǒng)顯然已成為其命脈。如果系統(tǒng)停運(yùn)，將會(huì)造成大面積停產(chǎn)和管理癱瘓，對(duì)于年產(chǎn)值達(dá)幾百億元人民幣的武鋼來(lái)說(shuō)損失是可以想像的。
　　
　　2003年6月，通過(guò)主干網(wǎng)訪問(wèn)Internet的人數(shù)驟然增多，導(dǎo)致接入交換機(jī)負(fù)荷增長(zhǎng)，整個(gè)單位直接脫網(wǎng)，中心路由器宕機(jī)，大約一周后系統(tǒng)才恢復(fù)正常。2003年8月，沖擊波病毒襲擊武鋼，造成全網(wǎng)癱瘓一天，通過(guò)切斷大流量局域網(wǎng)、打補(bǔ)丁，持續(xù)一周時(shí)間系統(tǒng)才得以恢復(fù)。2003年9月， 蠕蟲王病毒襲擊了財(cái)務(wù)服務(wù)器， 造成財(cái)務(wù)部斷網(wǎng)、 打補(bǔ)丁， 一天時(shí)間才得以恢復(fù)。
　　
　　2004年5月，“振蕩波”網(wǎng)絡(luò)攻擊。
　　
　　2004年10月，網(wǎng)絡(luò)攻擊。
　　
　　這是武鋼的安全體系建立之前發(fā)生的一些安全事件。如今作為國(guó)務(wù)院信息化工作辦公室推選的ISO/IEC27001的中國(guó)惟一的企業(yè)試點(diǎn)單位，武鋼對(duì)安全的理解也實(shí)現(xiàn)了從網(wǎng)絡(luò)安全到信息安全的跨越。但嚴(yán)格的安全措施遭致部分武鋼員工的不理解，有人提意見(jiàn)，總有人不按照規(guī)定做事，這些不和諧的音符反而促使武鋼追逐信息安全的腳步越走越急。
　　
     初嘗勝果
　　
　　武漢夏日的太陽(yáng)似乎要把人烤干，但武鋼里依然隨處可見(jiàn)穿著長(zhǎng)衫長(zhǎng)褲、戴著安全帽的工人。《CIOINSIGHT》的記者剛在武鋼工程管理部指揮長(zhǎng)張漢欣的辦公室坐下，就有幾位技改部的人來(lái)找他，雙方用武漢方言爭(zhēng)執(zhí)得非常厲害。原來(lái)是負(fù)責(zé)二熱軋廠二級(jí)廠建設(shè)的德國(guó)人在系統(tǒng)中選擇了趨勢(shì)科技的防病毒軟件，而張漢欣則堅(jiān)持全公司都要統(tǒng)一使用諾頓，要他們改過(guò)來(lái)。
　　
　　這樣的事情在幾年前的武鋼是不可能發(fā)生的，那時(shí)各單位雖說(shuō)都按規(guī)定安裝了防病毒軟件，但卻五花八門，什么品牌都有。這也不能怪大家，因?yàn)楸緛?lái)就沒(méi)有從公司的層面規(guī)定要統(tǒng)一。但2004年“振蕩波”的來(lái)襲，改變了一切。
　　
　　時(shí)任武鋼咨詢管理部部長(zhǎng)的張漢欣至今還清楚地記得，那是個(gè)周六，得到消息后他馬上安排人工進(jìn)行干涉，因此對(duì)武鋼并沒(méi)有造成實(shí)質(zhì)性的影響。但他依然心有余悸，似乎都能看到如果處理不及時(shí)，星期一上班后大面積癱瘓的可怕場(chǎng)景。實(shí)際上當(dāng)時(shí)有幾個(gè)管理不到的點(diǎn)，已經(jīng)遭受攻擊，但由于不屬于生產(chǎn)主線，沒(méi)有對(duì)整個(gè)網(wǎng)絡(luò)造成損害，但那也是一個(gè)缺口。
　　
　　這件事促使武鋼反思自己在安全方面的問(wèn)題所在：系統(tǒng)不斷地?cái)U(kuò)展，網(wǎng)絡(luò)范圍也在不斷地延伸，但因?yàn)樾畔⒒莻€(gè)新生事物，所以從一開(kāi)始就沒(méi)有總體規(guī)劃，缺乏建設(shè)標(biāo)準(zhǔn)，設(shè)計(jì)方面就有結(jié)構(gòu)缺陷；管理不到位，組織不完善，治理不落實(shí)；工程建設(shè)中間沒(méi)有進(jìn)行安全審計(jì)；互聯(lián)網(wǎng)的出口漏洞；計(jì)算機(jī)在日常使用過(guò)程中的問(wèn)題。
　　
　　那時(shí)武鋼一門心思想的是如何不讓網(wǎng)絡(luò)遭到攻擊、如何防止沖擊波，于是選擇了統(tǒng)一的企業(yè)級(jí)防病毒軟件體系以及補(bǔ)丁自動(dòng)分發(fā)系統(tǒng)；此外，每年進(jìn)行審計(jì)，加強(qiáng)流程的控制。為了保證這套安全防御體系的執(zhí)行到位，在組織建設(shè)上，武鋼成立了以公司主管領(lǐng)導(dǎo)牽頭的武鋼信息安全保密領(lǐng)導(dǎo)小組；由資訊管理部、保衛(wèi)部等相關(guān)部門組成的信息安全管理小組，建立相關(guān)規(guī)章制度，加強(qiáng)管理和考核，使安全工作制度化；公司每年召開(kāi)信息工作會(huì)議，每月召開(kāi)信息工作例會(huì)、信息安全研討會(huì)，評(píng)選網(wǎng)絡(luò)安全優(yōu)秀單位、優(yōu)秀信息管理員。
　　
　　事實(shí)上，從2004年10月份以后，武鋼再也沒(méi)有發(fā)生過(guò)大范圍的信息安全事件。僅在今年4月份，二熱軋廠專管過(guò)程控制的二級(jí)系統(tǒng)因?yàn)椴《镜膯?wèn)題耽誤了8小時(shí)以上，原因是漏裝了防病毒軟件。二熱軋廠一天的產(chǎn)量是兩萬(wàn)噸，但其在那時(shí)申請(qǐng)進(jìn)行檢修，而檢修本來(lái)就要停產(chǎn)的，所以也未對(duì)生產(chǎn)造成影響。
　　
      二次革命
　　
　　似乎做完那套系統(tǒng)后，武鋼的安全大計(jì)就該告一段落了，但此時(shí)發(fā)生了一件意外的事。當(dāng)時(shí)正趕上國(guó)務(wù)院信息化辦公室和公安部要求推廣信息化安全標(biāo)準(zhǔn)，要選擇5家試點(diǎn)單位。各種因素促使武鋼在2005年11月成為國(guó)務(wù)院信息化工作辦公室推選的ISO/IEC27001的中國(guó)惟一的企業(yè)試點(diǎn)單位。
　　
　　當(dāng)看完ISO17799那本厚厚的書中的39項(xiàng)控制目標(biāo)、133個(gè)控制措施、33個(gè)體系文件后，研究了國(guó)際和國(guó)內(nèi)的信息安全方面所說(shuō)的一些東西，本來(lái)只想著信息安全就是網(wǎng)絡(luò)安全、系統(tǒng)安全的武鋼的面前像是打開(kāi)了一扇新的大門。張漢欣告訴《CIOINSIGHT》記者，“原來(lái)信息化安全不單單是網(wǎng)絡(luò)上的安全，而是包括整個(gè)信息化體系的安全，最核心的是信息安全。”
　　
　　于是，武鋼開(kāi)始嘗試最時(shí)髦的安全風(fēng)險(xiǎn)管理，把安全上升到了安全管理體系層面。先是請(qǐng)人對(duì)武鋼的安全狀況進(jìn)行了評(píng)估，從網(wǎng)絡(luò)的信息安全、人員操作的問(wèn)題，到制度建設(shè)、管理規(guī)范的方方面面。
　　
　　當(dāng)專門派到北京接受培訓(xùn)的3批人回來(lái)后，武鋼就按照評(píng)估的結(jié)果，把ISO17799中的措施和文件挨個(gè)剖析，制定了武鋼自己的管理目標(biāo)，編制成厚厚的一大本《信息安全管理手冊(cè)》和《信息安全程序文件》，給全公司各個(gè)管理部門都下發(fā)一套，要求各單位根據(jù)這個(gè)標(biāo)準(zhǔn)執(zhí)行，并制定出本管理部門要做的事情，然后指導(dǎo)每個(gè)人去做，比如說(shuō)生產(chǎn)部針對(duì)自己?jiǎn)挝灰贸鲋贫葋?lái)發(fā)給每個(gè)人，讓他們就按照這個(gè)來(lái)做。但這本花了半年時(shí)間才制定出來(lái)的規(guī)章制度，在一次安全抽檢時(shí)卻被發(fā)現(xiàn)都鎖在這些單位的資料柜里。這讓張漢欣很生氣，“我不是說(shuō)讓他們把這個(gè)作為一個(gè)文件放在那里，我這一套文件要有承接。”其實(shí)當(dāng)初參與培訓(xùn)的各單位的人員都有，但從來(lái)這種東西執(zhí)行起來(lái)就有一定的困難，有待于意識(shí)的提高。張漢欣說(shuō)現(xiàn)在責(zé)令這些部門改正，年底的檢查就要?jiǎng)诱娓竦牧耍欢ㄒ袊?yán)厲的措施。
　　
　　而這個(gè)結(jié)果也是張漢欣意料中的，任何東西都是三分建設(shè)，七分管理，“管理是最難的，先不說(shuō)這個(gè)，就ERP的實(shí)施，我前天下午還給財(cái)務(wù)上課呢，這都搞了多少年了。” 
　　
      雜音
　　
　　事實(shí)上武鋼在信息安全方面工作的推進(jìn)遇到的阻力，并不只是安全手冊(cè)被束之高閣。信息安全不同于人身安全，你很難奢求員工站在企業(yè)的層面，去考慮遭受病毒或者攻擊后給企業(yè)可能造成的損失。武鋼遭遇的是各個(gè)大企業(yè)都極為頭痛的事情——終端管理。很多員工把U盤或外面拿來(lái)的光盤隨便往PC里面插，“當(dāng)時(shí)廠里也是做了很多工作，貼了紅字條，蓋了章，都不管用”。“你將PC的光驅(qū)拆掉，有些懂一點(diǎn)的人就把機(jī)箱打開(kāi)，接上外掛的光驅(qū)。最后只能是下去檢查，發(fā)現(xiàn)一個(gè)處罰一個(gè)”。而員工最不理解、不配合的則是內(nèi)外網(wǎng)隔離政策的實(shí)行，尤其是那些工藝人員。張漢欣很清楚地記得員工的質(zhì)問(wèn)：“你做信息化是為了方便工作，還是為了安全？”所以直到2006年春節(jié)后才徹底斷掉。原先則是逢年過(guò)節(jié)的時(shí)候關(guān)閉，主要是防止沒(méi)人值班時(shí)出意外。
　　
　　每到那時(shí)，張漢欣就會(huì)接到無(wú)數(shù)個(gè)電話，這個(gè)說(shuō)我在廠里值班，能不能給我開(kāi)兩個(gè)小時(shí)，寫封郵件；那個(gè)說(shuō)我在加班，查點(diǎn)東西，給開(kāi)一會(huì)兒吧。每到那時(shí)，張漢欣就通知下屬，某人的IP地址是多少，你給他開(kāi)多長(zhǎng)時(shí)間。包括武鋼的書記和總經(jīng)理都打過(guò)這樣的電話，但是他們都支持這個(gè)政策。為了彌補(bǔ)這種制度帶來(lái)的不方便，武鋼在各個(gè)單位統(tǒng)一建立了網(wǎng)吧，走的是另外一條電信的線路，與內(nèi)網(wǎng)進(jìn)行徹底的物理隔離。
　　
　　采訪張漢欣前就曾聽(tīng)說(shuō)最好不要給他發(fā)郵件，要發(fā)傳真。直至此時(shí)記者才明白，因?yàn)檫B他也上不了網(wǎng)，要收郵件的話就得跑到樓上的網(wǎng)吧或是回家。看來(lái)這種不方便也直接影響到了與武鋼打交道的外人。
　　
　　張漢欣對(duì)自己這種“嚴(yán)苛”政策的解釋是，現(xiàn)在其管轄范圍內(nèi)的服務(wù)器有250多臺(tái)、PC機(jī)有2700臺(tái)，而且由于整個(gè)公司的資金并非集中投入，各單位做項(xiàng)目還有很多設(shè)備。整個(gè)公司內(nèi)上互聯(lián)網(wǎng)的有1000多人、有郵箱的是3000多人，“這還是掛了號(hào)的，沒(méi)有掛號(hào)的我還不知道”。實(shí)在是太難控制了，有鑒于此，他還正準(zhǔn)備通過(guò)Mac地址和IP地址捆綁來(lái)控制接入。其實(shí)員工的呼聲也有其合理性，事實(shí)上MSN就是極有爭(zhēng)議的，不過(guò)像IBM這樣的大公司都是開(kāi)放的，因?yàn)榇_實(shí)有溝通需要。
　　
　　在現(xiàn)實(shí)中，當(dāng)你問(wèn)一些萬(wàn)人企業(yè)的安全主管，很少有人敢說(shuō)終端未安裝防病毒軟件的比率是零，也不敢說(shuō)自己每個(gè)月的病毒數(shù)量是零。因?yàn)橐胱龅搅愕脑挘杀揪蜁?huì)太高，要不犧牲業(yè)務(wù)，搞得員工特別不方便；要不就得花費(fèi)太高。
　　
　　而安全和易用性永遠(yuǎn)是矛盾，過(guò)度安全是不合理的，但不安全也不行。而分寸的把握則有賴于各企業(yè)，武鋼的政策是否合理別人也很難評(píng)說(shuō)。但有一點(diǎn)是肯定的，那就是收回權(quán)限比管理權(quán)限更安全，隔離比訪問(wèn)控制更安全。為什么張漢欣為武鋼制訂的安全措施如此嚴(yán)格？也許與其經(jīng)歷有關(guān)。1979年，在青海當(dāng)了8年導(dǎo)彈兵后退役的張漢欣即加入武鋼，一直在生產(chǎn)部門，直到1999年成為咨詢管理部部長(zhǎng)。
　　
　　他開(kāi)玩笑地說(shuō)，武鋼上ERP也和他從1990年～1999年堅(jiān)持不懈地“忽悠”有關(guān)系。事實(shí)上，武鋼并沒(méi)有像一般的企業(yè)那樣，有一個(gè)純粹的IT部門，張漢欣所在的工程管理部專門負(fù)責(zé)新上項(xiàng)目的建設(shè)，這讓他看IT項(xiàng)目時(shí)更多地從業(yè)務(wù)和生產(chǎn)角度出發(fā)。
　　
　　不知是否是軍旅生涯和ERP上馬中的各種人員管理控制、資源協(xié)調(diào)過(guò)程，讓張漢欣在做安全這一塊的整個(gè)部署時(shí)顯得有些鐵腕。即使這樣，他也覺(jué)得做安全比做ERP更難，因?yàn)檫@一塊就是人的問(wèn)題。雖然ERP也有人的問(wèn)題，不過(guò)“ERP就是執(zhí)行難，但是ERP一旦嘗到甜頭就好了，安全這個(gè)東西不容易嘗到甜頭”。“包括ISO9000也好，ISO14000也好，都是屬于紙上辦公，文件一大套一大套的，也有總指揮，但是最后執(zhí)行起來(lái)還是不行。”直率的張漢欣毫不掩飾在安全管理上的困難，“說(shuō)實(shí)在的，本身信息化的問(wèn)題是這樣子的，我的感覺(jué)是掉進(jìn)去了，只有開(kāi)始，沒(méi)有結(jié)束。”