病毒发展新情况促进病毒发布机制完善

　　国际金融报记者 沈娟 发自上海

　　辨别病毒的重要程度时，可以根据病毒发布的主体首先大致判断病毒的危害性程度。一般来说，防病毒企业的日常警示是属于企业自身的市场行为，病毒的级别相对比较低；如果是由病毒中心这样的专业机构发布的病毒都是四级及以上的，有中文命名的，病毒级别则要高一些；由国家政府机关发布的病毒情报则病毒的危害性和普及性应该更大，病毒级别则 是最高的

　　瑞星和招商银行关于网上银行病毒的争论似乎给人留下了一连串的问题，到底是谁的错？瑞星是否应该发布这样的病毒信息？我国的病毒公告体系到底是如何来规范这些问题的？用户又如何来辨别这些信息？9月9日，记者就这些问题采访了国际计算机病毒应急处理中心（以下简称“中心”）副主任张健。

　　发布是被允许的

　　事实上，根据公安部《计算机病毒防治管理办法》的规定，瑞星发布病毒信息是正常的经营行为。

　　张健告诉记者，公安部相应的管理办法规定并没有限制防病毒企业发布病毒信息，发布病毒情报属于正常的经营行为，管理办法只是要求任何单位和个人不得向社会发布虚假的计算机病毒疫情。

　　目前，根据公安部的要求，国家计算机病毒应急处理中心把病毒根据危害性标准分级，现在分为5级。按照这个分级，四级和四级以上的病毒是有国家计算机病毒应急处理中心来统一发布的；如果是四级以下的病毒，可以由各个病毒企业自行发布，重大病毒疫情由公安部发布。

　　只有四级和四级以上病毒有中心统一发布，使中心病毒的公告量相应减少，不要让用户对互联网安全过于恐慌。

　　记者还了解到，为了更好地规范市场，对于四级和四级以上的病毒，中心还会对其进行统一的中文命名。

　　很多情况下，同一种病毒不同的防病毒企业往往取不同的名字，导致消费者可能认为有很多种病毒，从而引起不必要的紧张。

　　目前，这个中文命名的过程是由防病毒企业提出，然后归口到中心统一来处理。

　　就此次的瑞星和招行纷争事件来说，张健认为，瑞星发布的“快乐耳朵”病毒并不是中心标准中的四级和四级以上。

　　病毒发展的新情况

　　关于防病毒企业和银行发生的矛盾，张健认为是病毒发展的新形式所致。

　　他谈到，就病毒的发展形式来看，以前的病毒大多是广泛性攻击的病毒，就是可能使每台电脑的系统瘫痪等，但现在的病毒攻击发生了转变，变成了有确定目标的攻击，比如说攻击专门网上银行，窃取账号密码的病毒就是属于这一种，而且这类病毒现在出现越来越多。

　　“而这种具有确定性的病毒攻击到底应该如何去提示也是行业中遇到的新问题。”张健说，“因为如果还是依照广泛性的病毒模式去提示的话，往往会损害到第三方的利益，诸如网上银行病毒的提示就损害到了诸如银行的利益。”

　　尽管在目前相关条文规定下，瑞星作为一个防病毒企业完全可以发布病毒情报，但是因为在可能会损害到第三方利益的情况下这样的提示到底如何去做，张健认为，还是要通过政府有关机构来解决，病毒企业应该更多地承担起向公安机关举报的义务。

　　如果招行和瑞星的病毒争论升级，则应该通过司法程序界定，由中介机构诸如病毒产品检验中心出具检验报告，从而确定这种病毒的危害性。

　　推进发布规范

　　对于病毒发布的规范，除了企业出于市场行为的发布，到底还有谁在做哪些方面的努力呢？张健告诉记者，为了解决这些问题，公安部作为病毒防治工作的主管机关，一直致力于规范我国的病毒信息发布工作。尤其在今年6月，公安部网监局专门组织国内外厂家在北京签署了《计算机病毒信息发布自律公约》。根据公安部的要求，中心积极推进病毒标准试行、中文命名规定的工作。

　　中心将病毒分成五级标准就是目前正在试行的病毒标准。这一试行标准今年7月份开始实施，在可操作性测试之后进行调节，最终公安部标准委员会形成病毒分级标准。但是最终标准出台的时间，张健认为现在也不能确定。

　　张健认为，病毒标准的最后出台应该可以对病毒发布的市场起到良性规范的作用。

　　他说，中心对于病毒的公布等工作都是本着对用户负责和提高病毒防治水平的目的来做的，但不排除一些企业的市场行为常有明显的市场目的。

　　喊得太多还是太少

　　由于互联网的发展，信息时代的到来，病毒已经成为影响信息发展速度的重要因素之一，当病毒出现以后，有关企业、专业机构和政府的病毒公布到底应该把握怎样一个度呢？

　　如果将病毒发布比喻成“狼来了”，喊得太多会让消费者觉得病毒泛滥，从而影响其对于电子信息的信任度，喊得太少则是用户警惕性不够，受到危害后也会同样影响对网络的信任程度。所以张健告诉记者，关于“喊得太多还是太少”的问题意见也不统一，有两种截然不同的意见。

　　尽管病毒发布最后标准没有出台，但是用户还是可以根据现行的规定作出一些自己的判断。

　　张健提醒用户，辨别病毒的重要程度时，可以根据病毒发布的主体首先大致判断病毒的危害性程度。一般来说，防病毒企业的日常警示是属于企业自身的市场行为，病毒的级别相对比较低；如果是由病毒中心这样的专业机构发布的病毒都是四级及以上的，有中文命名的，病毒级别则要高一些；由公安部发布的病毒情报则病毒的危害性和普及性应该更大，病毒级别则是最高的。

　　而一些特定攻击性的病毒诸如针对网上银行的病毒则需要特定的用户多加一个心眼，不要让病毒的制造者和传播者有空子可以钻。

　　《国际金融报》 (2004年09月14日 第八版)