李舒
同济大学互联网国际空间治理基地执行主任
中共中央、国务院近日印发《党和国家机构改革方案》，提出“组建国家数据局”“统筹推进数字中国、数字经济、数字社会规划和建设等”。这标志着我国数字化建设进一步加强顶层设计，同时也反映出与之相对应的数字安全体系建设更加迫切和重要。以人工智能、大数据、万物互联为核心特征的数字新基建在给人们生产生活带来便捷的同时，也令网络环境日益复杂，网络安全风险与威胁与日俱增，这让传统网络安全体系难以应对。应该看到，数字新基建驱动场景创新与再造，推动安全概念迭代升级，“主动安全”成为现实选择。在此背景下，应从网络安全治理体系建设、治理举措优化等方面入手，全面构建新的数字安全体系，切实推动党的二十大报告提出的“推进国家安全体系和能力现代化”。
传统网络安全体系难以应对新挑战
随着新基建建设加速，虚拟世界与现实世界的边界越来越模糊，用户和终端入口越来越多。
第51次《中国互联网络发展状况统计报告》显示，截至2022年12月，我国网民规模达10.67亿，较2021年12月增长3549万，我国移动网络的终端连接总数已达35.28亿户，移动物联网连接数达到18.45亿户。网络安全风险遍布新基建所有场景和全部终端，安全内外因素比历史上任何时候都要复杂，传统网络安全体系已经难以应对新局面，国家数据、个人信息、商业机密和公共安全保护面临更大挑战，主要表现在以下四个方面。
第一，互联广泛入口分散，“破一线即溃全身”。万物互联创造了更广泛的数字攻击面，网络攻击包括但不限于电子邮件收件箱、物联网设备、移动应用程序、网站、公共云服务，甚至供应链基础设施。终端数量较多，环境较复杂，因没有及时修复高风险安全漏洞、无人维护、终端操作人员安全意识水平较低等原因，易于造成勒索病毒传播。此外，传统网络安全模式通过划分安全域和确定网络边界来实现，但基于云计算、移动互联网、物联网、工控系统等新业态下网络的边界可以虚拟化迁移和动态化调整，边界防护模式逐渐“失灵”。
第二，系统各自为政难保整体安全。一些机构采用数字技术改变原有的业务模式和流程，但财务、人事、OA（办公自动化）等系统分别由不同公司开发，底层技术不一、安全防护不一，无法形成整体保护。2022年8月，某知名财务软件“零日漏洞”被黑客利用，导致一天内全国超过2000多台服务器被攻击，多家机构被勒索。部分软件企业在开发阶段广泛使用不安全的开源软件，一些软件公司源代码在公共平台肆意共享，容易造成敏感信息外泄；部分供应商倒闭破产，信息系统的技术支持及升级改造难以为继。当前，软件供应链攻击日益流行、影响深远，使其成为国家级攻击行为的重要选项。
第三，传统安全技术严重滞后于新技术。当前AI（人工智能）、XR（扩展现实）、星地协同、量子计算、隐私计算等新技术日新月异，导致信息化架构的巨变，传统安全技术已经落伍。例如，人工智能技术给网络安全带来严重挑战：ChatGPT（美国“开放人工智能研究中心”研发的聊天机器人程序，于2022年11月30日发布）推出仅两个月，月活用户已突破1亿，成为史上用户增长速度最快的消费级应用程序，业余黑客可以利用它开发智能恶意软件程序并发起隐形攻击。在地下黑客论坛上，网络攻击者展示只要简单地描述所需功能，就可以使用ChatGPT创建新的木马病毒和信息窃取器。而技术集成模式让元宇宙平台存在诸多设计缺陷和漏洞，但其系统整体性强，修复成本极其昂贵，传统网络安全模式无力承受。
第四，新基建依赖症带来断网威胁。2021年7月，河南特大暴雨灾害导致多地断网断电，全省受停电影响基站超过5600个。2021年7月22日晚，郑州全市就有4370个基站无法正常运行。此前郑州一度是国内拥有最多数字化运营场景的城市之一，断网后大量民众被隔离在应急系统之外，生活服务瘫痪，共享单车、网约车等均无法使用，这暴露出新基建存在依赖症风险。
数字新基建推动安全理念升级
随着数字经济与实体经济深度融合，催生出大量新产业、新模式，网络环境也日益复杂和开放，我们不仅要防范网络中断和系统瘫痪等风险、保障“线上”网络系统安全可靠运转，更要保障“线下”经济社会运行秩序稳定、高效。网络安全的服务范围和边界不断拓展，网络安全作用域从网络拓展延伸至数字业务、应用场景等融合领域，网络安全需求的数量和内容急剧增加。数字化衍生出安全新形势、新需求，推动安全理念迭代升级。
第一，数字化驱动虚拟与现实融合，“民生安全”成为关注焦点。新基建让虚拟走向现实，融入社会的方方面面，过去网络安全只是网络本身，如今已成为“民生安全”的基础，建立与之相适应的安全体系尤为重要。当前，非法获取个人信息泛滥，网络偷窥、网络诈骗等违法犯罪活动高发。截至2022年11月底，全国公安机关共破获电信网络诈骗案件39.1万起，同比上升5.7%。网络诈骗从传统电话、短信发展为网站、App甚至区块链、Web3.0（第三代互联网）、元宇宙等，花样翻新。关键信息基础设施、卫生组织、医疗机构等成为重点攻击目标。
第二，数字化驱动业务开放互联，“生产安全”才能保障发展。过去安全生产主要聚焦在工厂、矿山、交通运输、关键信息基础设施等领域。由于系统比较封闭，自成体系，所以重点是功能安全。但随着工业化与信息化深度融合，物联网技术普及，针对工业控制系统的网络攻击事件日益增多，网络安全已成为“生产安全”的重中之重。根据工控安全企业德拉戈斯公司（Dragos）最新发布的工控安全报告，2022年针对工业控制系统的勒索软件攻击比2021年增长87%，安全生产从“功能安全”转向“功能安全和网络安全并重”。
第三，数字化驱动分布式多节点多中心，“局部安全”才能系统安全。安全体系日益复杂，简单的安全产品叠加将产生系统建设、管理、扩展、成本控制等难题，完整的网络安全产品及解决方案体系不可或缺。具备分布式等特点的系统如果缺乏足够的网络安全应对措施，遭到安全威胁便是常态。国家互联网应急中心（CNCERT）监测发现，黑月（BlackMoon）僵尸网络在互联网上进行大规模传播，通过跟踪监测发现其1月控制规模（以IP数计算）已超过100万，日上线肉鸡数最高达21万。
第四，数字化驱动场景创新与再造，“主动安全”成为现实选择。随着网络攻击行为的复杂化、产业化、多样化，传统的防御手段难以应对快速变化的威胁，科学的网络安全理念不是用防火墙封堵起来杀病毒、打补丁，而是要建立主动免疫、事前防控的网络安全体系。狭义的“主动安全”是指建立以数据驱动的威胁检测、感知、响应的主动防范系统，实现动态安全；以“零事故”为目标，当个别终端、服务器或者其他的网络资产被破坏时，能够做到业务不中断、数据不出事、合规不踩线。而广义的“主动安全”则要上升至国家层面增强顶层设计和主动布局。
全面构建新数字安全体系
应从网络安全治理体系建设、治理举措优化等方面入手，全面构建新的数字安全体系，推动安全体系化、主动化、人民化、韧性化。
第一，出台《中华人民共和国网络安全法》《中华人民共和国数据安全法》等法律配套规定，让数字安全建设和管理标准化、体系化。从制度层面明确数字安全的路线与方向，为各地、各部门制定具体数字安全规划提供准确参考和依据，让数字安全从“机构内一盘棋”，变成“区域内一盘棋”，乃至“全国一盘棋”。加强数字安全管理体系建设，细化管理标准，扩大管理对象范围，所有智能终端生产运营者、关键信息基础设施运营方等均是重点管理领域；拓宽管理治理维度，深化“互联网+”领域管理细则，对金融、教育等不同场景制定相应的管理规范，实现安全治理的关口前移与综合治理。
第二，构建数字安全主责机构。围绕新基建的数字安全组织拟订网络安全法规和技术标准并监督实施，指导政府部门、企事业单位、机构的网络安全规划编制并推进落实，指导网络安全监督、事故预防、处置等工作，拟订国家综合性网络安全应急救援管理保障办法并组织实施。制定工控领域，特别是重点关键信息基础设施管理清单，落实数字安全的主体责任，包括所有数字终端的生产运营者。定期抽查数字安全状况，强化一把手责任，对瞒报、漏报网络安全事故的行为依法追究责任。
第三，以新一代数字安全框架指导关键信息基础设施安全保护等重要安全体系建设。以“内生安全”理念为指导，以系统工程方法改变过去局部整改、辅助配套的建设模式。数字安全建设，每一个任务设置都要将管理、技术、运行等各方面的要素综合考虑，避免割裂。推动各任务之间相互关联、能力互补，打造具备体系化作战能力的有机整体。加快推进技术防护体系建设工作，建立网络实战性态势感知系统，及时发现并快速阻止攻击，实现“动态防御、主动防御、纵深防御、精准防护、整体防护、联防联控”。
2022年7月2日，第十届西湖论剑·网络安全大会“关键信息基础设施及等级保护论坛”召开。
第四，实施数字化项目网络安全风险评估机制。参考环境影响评估机制，对数字化项目的网络安全规划、建设和运营情况进行评估、把关。同时，明确数字化项目IT预算中网络安全建设占比，不达标的予以驳回并展开指导。定期对数字化项目的安全形势进行抽查，形成检验、追责机制。
第五，强化民生重点领域、“边缘模糊”地带的重点管理。对民生重点领域，以及 “边缘模糊”地带制定动态清单，形成值得重点关注的“红榜”，成为政策支持、监督管理的重点领域；对新出现的技术、产品类型及时更新，形成相应网络安全管理专项方案，纳入重点管理范畴。借助人工智能和机器学习的力量，补充和提升网络安全防御能力。加快关于人工智能和大数据在网络安全方面的应用研究，通过新技术增强打击和防范网络攻击的能力。
第六，建立新基建供应链“白名单”制度。一是制定开源软件成分清单，尽早发现和规避软件供应链安全风险。加快开展主机安全软件、终端安全软件、网络安全运营中心平台部署实施工作。二是对网络安全企业开展督查、抽查，逐步建立供应链安全“白名单”制度，对滥用开源软件、不能提供软件清单的企业给予警告，对网络安全企业实施评级，淘汰评级不合格的企业。
第七，重视新基建容灾备份，加强社会韧性建设。对新基建给社会和经济发展带来的影响进行实证研究。新基建涉及的城市运行功能设施应具有备用模块，要做好“冗余与备份”；在信息发布、物资配送、交通出行、医疗救助等关键领域做好断网预案，减少系统故障风险；加强对通信车等应急设备的储备。突出城市规划与治理的韧性理念，加强城市生命线系统建设，完善居民生活必需品、城市能源等战略物资和应急物资保障体系。提升新基建的抗灾能力，对新基建安全风险实施等级评估并对其进行分级管理。
面对网络安全的严峻形势，应秉持“民生安全”“生产安全”“局部安全”“主动安全”等新安全观，进一步完善数字安全治理体制机制，全方位构建高质量、高稳定性、高可靠性的现代化数字安全体系。
稿件来源：
