安全问题对于IT系统来讲，就像是病症对于肌体。安全专家好比出诊的大夫，拿着听诊器、化验仪来诊病，然后开出方子，叮嘱病人停止工作好好养病——可不是?安全管理员干起活来也总是或多或少地拿出各种改进方案，“阻碍”企业业务的推进，害得不少工作计划“停工”。

近日读了几本风行的中医畅销书，书中提到的“养生胜于治病”“三分治，七分养”之类说法引起了我很大的兴趣。仔细想来，这早在《黄帝内经》中就以“上工未治病，不治已病” 阐述的养生医学，其实对信息安全建设是大有指导意义的。

吃药治病与信息安全

安全问题对于IT系统来讲，就像是病症对于肌体。安全专家好比出诊的大夫，拿着听诊器、化验仪来诊病，然后开出方子，叮嘱病人停止工作好好养病——可不是?安全管理员干起活来也总是或多或少地拿出各种改进方案，“阻碍”企业业务的推进，害得不少工作计划“停工”。看来治理安全问题和治理身体疾病确实是有很多相通之处的，学术界也早就看出了这点，免疫学的思想已经被较好地应用在信息安全研究中了。

但在给计算机“看病”时，“计算机大夫”们却多推崇“治病医学”而不是“养生医学”，抽血、化验、拍X光，一个都不能少，大化学药片以毒攻毒地打入我们原本脆弱的信息系统里，而且还动不动就做留血的外科手术。更狠的是，安全专家们还时不时还犯犯“头痛医头，脚痛医脚”的错误。

“三分治，七分养”与安全建设

“三分治，七分养”是畅销书中的一个提法，它把“养生医学”的地位排列“治病医学”之上，提倡为了肌体健康，多多保养，多多通过食疗和生活习惯的改进来确保少得病，当然确实生病了还是要好好治，但这样能减少病痛与治疗的辛苦，更能延年益寿。

笔者认为，“三分治，七分养”的思想恰恰能解决中国信息安全建设中的一些痼疾，比常规重“治”轻“养”的做法更能够根治信息风险。——安全建设中的养生、调养，是指在信息系统建设的起步和推进过程中贯彻安全思想，而不是先破坏后治理。在部署每一台设备、上线每一个系统时，要像吃粮食后力保让它成为肌肉而不是冗余脂肪一样，把每一句代码写好、把每一个补丁打齐，不要亚健康运转。

“庸医误人”VS“妙手回春”

新概念提着轻松，但有没有效果可不一定——把“三分治，七分养”用于信息安全建设，到底是“庸医误人”还是“妙手回春”呢?“三分治，七分养”只是一种指导思想，不加上具体的实践，是不可能“妙手回春”的，但它也决不是“庸医误人”，它指出的是一种比较治本的安全建设方向。试想，如果我们摒弃“先建设，后治理”的破坏环境似的信息系统建设思路，把养生优先于治病的思想融入安全策略中，贯彻入制度中，虽会让我们“前期多辛苦”，但定能让我们“后期少受罪”，事半功倍。

下面，笔者将以信息安全产品“老三样”为例，分析一下“养”和“治”在其中的作用和科学运用的方法。