QQ號碼被盜、淘寶賬號支付異常、電腦運行速度變慢……當個人計算機出現問題時，很多人普遍通過升級防火墻、啟動殺毒軟件等手段加強防御。同樣地，企業級用戶面對網站被黑、重要數據泄露等信息安全事件，通常也會將防火墻等網絡層安全產品列為首先要考慮的問題，基于網絡層加強防御的傳統思想在大部分用戶群體中已然根深蒂固。

上月中旬，以色列相關官員透露，自以色列對加沙地區采取軍事行動以來，互聯網已成為“第二前線”。在短短四天的時間里，以色列政府機構網站遭受的網絡攻擊數量約為4400萬次，引起了媒體的廣泛關注和報道，信息安全問題再次被推到了風口浪尖?；仡櫞饲鞍l生的沙特石油公司遭到網絡攻擊、“火焰”病毒、Putty中文版“后門”、CSDN數據泄露等等，近年來頻繁爆發的國內外安全事件，使從事信息安全事業的人們不得不思考：我們的信息安全防線究竟出了什么問題?

信息安全廠商椒圖科技常務副總經理李科在接受媒體采訪時曾指出，信息安全建設是一項多層次、體系化的系統工程，傳統“重網絡輕系統”的安全理念，無形中降低了整體的信息安全水平。造成這種危險局面的原因，一方面，是因為很多企業在信息安全建設中沒有政策合規性要求，難以主動地從物理層、網絡層、操作系統層等多個方面提升信息安全等級;另一方面，目前企業信息系統大多采用通用操作系統，安全級別較低，無法抵抗黑客與信息炸彈的攻擊，加之用戶對操作系統防護的認知不足，很多安全問題雖然是由現有操作系統自身安全設計不健全和漏洞引起的，但用戶往往會認為是網絡層的原因，導致之后實施的信息安全措施缺乏針對性。

事實上也是如此，在過去的十幾年里，防火墻、入侵檢測、防病毒等傳統“老三樣”產品不斷推陳出新，在政府、金融、電信、企業等各行業獲得了廣泛的應用，有效增強了用戶信息系統的安全防護能力。與此形成鮮明反差的是，操作系統層的防護措施仍然是以打補丁、配置策略等手工方式為主，成為整體信息安全體系中的薄弱環節。一項全國測試數據顯示，參與測試的IT系統在網絡層、應用層等方面都有成熟的產品進行防御，主機層防護措施的狀況卻令人擔擾，是在達標性方面表現最差的環節。

“多層次防護最終的目的是保證業務系統連續性和數據安全性，而業務系統和數據的構架都基于操作系統。”椒圖科技常務副總經理李科表示，從保護數據和進程的角度上看，基于網絡層構建的安全防護措施發揮的作用是有限的。

信息安全專家陸寶華也曾撰文指出，“保護網絡并不是信息保障的最終目的，最終的目的還是要通過保護網絡來保護信息系統中的數據和信息系統的服務功能。所以保護網絡對信息系統安全目標來說還是間接的，同時在網絡保護中仍然存在著無法避免的脆弱性。”他同時表示，操作系統安全在信息系統多個層面中更為重要，是信息安全等級保護的關鍵技術所在。

根據國家標準《信息安全技術信息系統安全等級保護基本要求》(GB/T22239-2008)的規定，信息安全等級保護工作在技術要求上涉及物理安全、網絡安全、主機安全、應用安全、數據安全及備份恢復等多個層面，其中，主機安全包括操作系統安全和數據庫安全。在操作系統安全防護上，相關國家標準從身份鑒別、訪問控制、安全審計、剩余信息保護、入侵防范、惡意代碼防范等多個方面作出了詳細的規定，為用戶加強操作系統層防護能力提供了良好的指導和借鑒價值。

可以相信，隨著我國信息安全等級保護工作的深入推進與用戶安全意識的不斷增強，“重網絡輕系統”的信息安全理念將會得以扭轉，而信息安全廠商、科研院所等機構在操作系統安全領域的積極探索和研發工作，也將為用戶提供更多更成熟的操作系統安全產品與技術，構建出多層次的信息安全防護體系，確保國內信息系統在安全風險持續增加的網絡環境中安全運行。