通信世界网消息(CWW)
伴随着“互联网＋”战略的推进，以及云计算、大数据、物联网等技术的发展，我国的智慧城市建设正在加快“落地”步伐。从目前的应用上看，智慧城市实现了数据的集中化、协同化、高渗透。然而数据质量低下、敏感数据外泄、外部恶意窃取等问题随之而来，研究行之有效的信息安全策略已刻不容缓。江苏省邮电规划设计院根据智慧城市建设中存在的信息安全隐患，提出了智慧城市顶层信息安全研究思路，从体系架构、产品标准、信息安全管理三个角度阐述智能城市的信息安全策略，为智慧城市建设的稳步推进保驾护航。
智慧城市面临信息安全挑战
对于智慧城市这个城市级的大而全的信息化系统来说，智慧城市顶层平台建设几乎可以遇到所有信息安全问题。智慧城市是由网络、通信设备、硬件、软件、信息资源、信息用户和规章制度组合而成的。不同的部分、不同环境存在不同的安全隐患。具体而言，智慧城市可能遇到的信息安全问题分为网络安全、系统安全、数据安全和综合安全。
网络安全——网络安全是指避免出现“陷门”、病毒、非法存取、拒绝服务攻击和网络资源非法占用以及非法控制等威胁，制止和防御网络黑客的攻击，保证网络服务不中断。智慧城市网络通信过程中存在信息安全隐患，主要有木马程序、拒绝服务攻击、欺骗攻击、SQL注入和蠕虫病毒等。
系统安全——系统安全是指网络系统的硬件、软件及其系统受到保护，系统连续可靠正常地运行，网络服务不中断。智慧城市中的系统在建设过程中可能存在以下的系统安全隐患：边信道攻击、系统漏洞、硬件故障、程序缺陷。
数据安全——数据安全是指数据在采集、传输、存储、交换过程中，非偶然或者恶意原因而遭受破坏、更改、泄露。智慧城市的整个数据生命周期过程中，可能存在以下的数据安全挑战：明文泄露、密钥破解、交易抵赖。
综合安全——综合安全是指网络、系统、数据不因人为破坏、机制不合理、综合性攻击等方式，而使整个信息体系受到安全威胁。智慧城市顶层设计的综合安全挑战是数据资源系统管理缺陷。目前智慧城市的数据管理体系普遍存在以下问题：数据资产责任不明确；数据共享带来的超级特权导致潜在危险；信息资源的数据类型多样、变化频繁，数据量增长和数据更新迅速；用户数量多、调动频繁、工作岗位变化频繁、用户工作职能变化频繁等。
信息安全策略的研究思路
江苏省邮电规划设计院通过系统研究认为，智慧城市顶层设计的信息安全策略研究应遵循以下思路：
第一，统筹布局，综合治理。数据在智慧城市中从采集、传输，到存储、交换，再到处理、应用，每个过程有不同特征，也有不同的信息安全要求。应以网络安全为抓手，以系统安全为驱动，以数据安全为核心，以综合安全为重点，统筹布局信息安全的综合解决方案。
第二，技术制度，软硬兼顾。信息安全策略不仅需要采用技术、机制等“硬方法”，更需要融合制度、标准等“软策略”。以技术强化信息安全保障，以制度提高管理人员、工作人员、公众等安全素养，坚持技术、制度两手抓，实现软硬兼顾的信息安全环境。
第三，全面防御，重点防护。通过对智慧城市架构的全面把握，建立基础设施层、运营管理层、解决方案层全面的数据防御体系。根据智慧城市大量数据采集和交换的特点，重点实现访问控制的防护机制。
第四，责任落实，安全可控。以敏感数据等级保护与安全事件管理策略为落脚点，积极推进信息安全责任落实制度，提出数据质量管理指标，科学有效地规范智慧城市各项活动，增强工作人员的工作责任心，实现智慧城市的信息安全可控。
智慧城市的三大信息安全策略
智慧城市信息安全体系的构建，要从体系架构、产品标准、信息安全管理三个方面入手。一、体系架构
智慧城市顶层设计是对智慧城市未来整体性、长期性、基本性问题的思考、考量和设计的整套行动方案。在智慧城市庞大的顶层设计中，实现了高效的资源共享、互联互通、平台统一。然而，在开始智慧城市规划之前，需要自上而下整体规划信息安全策略，以有效、全面地指导智慧城市建设，掌控智慧城市建设中的安全问题，避免安全隐患。
根据智慧城市顶层设计的信息安全挑战和思路，智慧城市顶层设计的信息安全架构应是涉及智慧城市基础设施、智慧城市运营管理、智慧城市解决方案三大环节的整体规划下的信息安全策略（如图）。
通过对智慧城市顶层设计下的信息安全产品进行标准制定，能够为智慧城市建设提供全面、有效的信息安全保障依据。智慧城市顶层设计方案应当遵循如下信息安全产品技术标准：
信息技术产品安全——信息技术产品安全是对信息技术产品附加相应的安全技术和机制。在信息技术产品中，需涉及以下安全技术：网管安全、网络服务器安全、路由器安全、交换机安全、网关安全、网络互联安全、网络协议安全、电磁信息产品安全和其他信息安全技术。
信息安全专用产品安全——信息安全专用产品技术是专门为增强信息系统的安全性开发的安全产品。包括公钥基础设施（PKI）、网络身份认证、防火墙、入侵检测、系统审计、网络脆弱性检测分析、网络及端设备隔离部件安全技术协议、防病毒安全技术、虹膜身份鉴别、指纹身份鉴别、虚拟专用网（VPN）、通用安全模块和其他专用安全技术。
三、信息安全管理
