发展数字经济亟待加强关键信息基础设施保护

李 阳 吕 欣 鲍旭华

1(国家信息中心博士后科研工作站 北京 100045) 2 (360企业安全集团战略研究部 北京 100035)

(liyang_cas@163.com)

1 关键信息基础设施对数字经济发展具有重要作用

1.1 数字经济概述

1) 数字经济的相关概念

数字经济的概念最早由美国人唐·塔普斯科特于1995年在其著作《数字经济》中提出.2016年G20杭州峰会发布的《二十国数字经济发展与合作倡议》认为[1]，数字经济是指以数字化的知识和信息作为关键生产要素、以现代信息网络作为重要载体、以信息通信技术(ICT)的有效使用作为效率提升和经济结构优化的重要推动力的一系列经济活动.

2) 数据驱动下的数字经济

在信息化时代，互联网+、大数据、云计算、物联网等信息技术的迅速发展，推动人、机、物的互联互通，数据量呈现爆发式增长，数据流成为驱动经济发展的关键生产要素.以信息数字技术为核心的数字经济正在成为新的经济增长点，促进了信息技术与传统产业的深度融合，加速了经济结构的调整与传统产业升级，推动了供给侧结构性改革[2].

1.2 关键信息基础设施对数字经济产生重大影响

1) 关键信息基础设施作为神经中枢，有力支撑数字经济的稳定运行

2016年《中华人民共和国网络安全法》规定[3]，国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护.

习总书记指出：“金融、能源、电力、通信、交通等领域的关键信息基础设施是经济社会运行的神经中枢.”在互联网时代，关键信息基础设施逐渐向网络化、泛在化、智能化发展，作为承载经济社会运行的重要平台，承载着国家经济社会的重要业务和功能，有力支撑数字经济的稳定运行.

2) 关键信息基础设施频繁遭受攻击，严重危害数字经济的健康发展

关键信息基础设施一旦遭遇破坏或袭击，不仅可能导致大规模的人员伤亡和财产损失，甚至可能威胁相关产业的生命.习总书记指出：“不出问题则已，一出就可能导致交通中断、金融紊乱、电力瘫痪等问题，具有很大的破坏性和杀伤力.”随着信息技术的高速发展，针对关键信息基础设施的新型攻击技术手段也层出不穷，网络攻击事件频发，给信息化时代数字经济的发展带来了严重危害.

例如，2010年伊朗布什尔核电站遭到“震网”病毒攻击，造成核电站故障；2015年乌克兰电力部门遭受到恶意代码的持续攻击，导致约22.5万名用户电力中断；2016和2017年，金融关键信息基础设施成为网络攻击主要目标，大量针对金融机构的攻击给全球各国的金融机构造成了巨大的财产损失，多国银行损失惨重等等.华盛顿战略和国际研究中心发布的报告指出，每年计算机网络犯罪活动给世界经济带来的损失超过4 450亿美元[4].

2 关键信息基础设施网络安全面临严峻挑战

当前，云计算、移动互联网、物联网、大数据等新一代信息技术的广泛应用，关键信息基础设施从孤立到全面的互联互通、从有线边界到移动互联，这种立体、交互、共享的互联网应用打破了传统的网络安全边界，网络攻击威胁正日益向各个领域渗透，网络安全事件频发，关键信息基础设施面临严峻挑战.

2.1 面临的网络安全攻击

1) 网络攻击方式的非对称性

攻击方式的非对称性主要体现在低成本的攻击投入、高收益的攻击效果.第一，网络黑客产业的分工全面、细化、专业，为实施攻击提供了组织条件；第二，攻击技术快速发展，破坏力越来越大，一个黑客或小规模的黑客组织就有可能对关键信息基础设施开展网络攻击.例如2016年9月份席卷美国、德国的DDOS断网事件、2017年5月肆虐全球的勒索病毒攻击事件等等.

2) 网络攻击过程的持续演进

攻击过程的持续演进性主要体现在网络攻击行为上，或称之为高级持续威胁.第一，行动组织复杂，持续时间长，难以事前确认攻击行为和攻击目标；第二，基于未公开漏洞和定制化工具作为攻击手段，难以检测查杀.例如：2010年伊朗核电站震网病毒的一系列持续渗透，为最终攻击作了充分准备；2016年10月的美国DDOS攻击事件，前期过程同样持续了很长时间，然后才发起了2个阶段的攻击，造成了大面积断网.

3) 网络攻击范围的级联扩大

近年来，信息技术高速发展，云计算、大数据、人工智能等技术的广泛应用，尤其是互联网+与各个行业的深度融合，关键信息基础设施彼此间的依赖性变得更强，一旦遭遇到网络攻击，级联地影响到了整个网络系统.2013—2016年美国雅虎公司被持续攻击导致全球约10亿用户信息泄露；2016年10月DDOS导致美、德2国发生全国大面积断网；2017年5月勒索病毒肆虐全球100多个国家[5]，包括医疗网、教育网、铁路网和政府网等关键信息基础设施.

2.2 当前的网络安全防御

1) 网络保障水平缺乏整体评价

当前，随着信息化技术的广泛融合，我国经济社会的各个行业都普遍推动了信息化、网络化、数据化的进程,传统的网络安全边界被打破.各行各业相继出台了一系列的网络安全保障措施，大都立足于单维的标准、局部的性能、传统的边界等，已有的度量方法均指向了网络系统安全的某个侧面，并没有系统解决网络系统安全度量的理论、方法问题，无法应对当前多维度网络攻击的现实威胁，难以从整体上评估安全态势、发现关键问题.

2) 网络威胁信息孤立流动乏力

随着政府数据开放共享进程的推进，网络安全威胁信息也亟待共享整合，促进数据流动，加强关联挖掘.但是对于网络安全威胁信息而言，在共享的力度上存在着部门利益、行业利益、本位思想等现象，导致了网络安全威胁信息成为数据孤岛，关联信息无法流动；在共享的方法上缺乏统一的信息标准、交换平台、网络支撑等，使得网络安全威胁信息成为低价值数据，无法进行高价值对接.

3) 部分关键核心技术受制于人

我国信息产业核心基础能力薄弱，部分关键核心技术和设备受制于他国，一些关键信息基础设施存在系统受控、信息泄露、发现滞后等隐患，安全防护能力较弱，应对网络威胁的能力不足.例如：2016年10月份数据显示，中国集成电路(也称芯片)的进口金额高达11 908亿人民币，接近同期中国原油进口金额的2倍[6]；2017年5月肆虐我国的勒索病毒事件利用的是Windows系统漏洞,这些凸显了国内的网络安全窘境，即从PC互联网到移动互联网均无自主操作系统[7].

3 加强关键信息基础设施保护的有关建议

习总书记指出，关键信息基础设施是网络安全的重中之重，要加快构建关键信息基础设施安全保障体系.当前，面对复杂严峻的网络安全形势，要树立积极防御的意识，加强国家关键信息基础设施安全防护，维护经济社会的网络安全，助力数字经济健康发展，对此提出以下有关建议：

1) 建立网络安全统筹评估，找准问题突破力

立足网络安全是整体而非局部的原则，建立关键信息基础设施安全保障的统筹评估，以整体视角发现网络安全问题，成为关键所在.第一，研制国家关键信息基础设施网络安全保障评价指标，对关键信息基础设施网络安全的建设、运行、态势进行分类统筹，做到重点覆盖；第二，建立专家评估机制与指标试点机制，逐步完善指标体系的科学性与可操作性；第三，与国家主管部门的实际工作进行对接，整合评价保障工作，准确研判网络安全形势，支撑统筹决策，找准安全问题的突破力.

2) 加大网络威胁态势感知，加强安全预警力

树立立体、开放、动态、纵深的网络安全感知理念，建立多维感知系统，支撑预先施策.第一，建立主动常态的感知系统，对国际环境下的网络攻击威胁进行预先跟踪，及时防御；第二，建立定向溯源的感知系统，对国家认定的关键信息基础设施进行溯源探测，有效应对；第三，建立终端协同的感知系统，构建面向广大互联终端用户的云端攻击威胁库，形成对关键信息基础设施的协同支撑，逐步形成立体感知体系，切实加强预警力.

3) 构建威胁情报共享平台，夯实突发应对力

建立“协同联动”的网络威胁情报共享平台，集成多源信息、推进数据流动.第一，整合多源多模的网络安全威胁信息，通过共享制度与技术保障并行，逐级整合关键信息基础设施的监管、运营、市场、科研等等机构的网络安全威胁信息，分类建立国家级与行业级的威胁情报中心；第二，建立面向安全大数据的治理平台，采用大数据计算技术，通过数据处理、关联分析、溯源查痕、可视化交互等流程，推进数据的综合集成，提高精准研判的时效性；第三，建立部门协同联动机制，及时将已发生的安全事件及消减方案、未发生的隐患信息及安全态势通报给有关部门，加强多部门的数据流动与协同联动，夯实突发应对力.

4) 推进核心技术国产进程，提高安全可控力

推进关键信息基础设施的产业体系建设，提升核心技术的自主创新、安全可控能力.第一，着力突破关键共性技术，逐级打通关键信息基础设施产业技术链的现代工程技术、颠覆性技术、前沿引领技术等核心环节，构建自主创新的良性结构；第二，坚持政府政策引导行业骨干主导的原则，发挥高等院校、科研院所的基础作用支撑，形成政产学研的协同创新体系，建立关键信息基础设施的开放型产业生态体系；第三，要严格执行网络产品和服务安全审查办法，在应用端加大关键信息基础设施的网络安全审查力度，提高安全可控力.

参考文献

[1]二十国集团数字经济发展与合作倡议[EB/OL]. (2016-09-29) [2018-04-15]. http://www.cac.gov.cn/2016-09/29/c_1119648520.htm

[2]腾讯研究院. 工信部电子科学技术情报研究所.数字经济白皮书[R/OL]. [2017-03-07]. http://www.sohu.com/a/128141964_483389

[3]中华人民共和国网络安全法[EB/OL]. (2016-11-07) [2018-04-15]. http://www.npc.gov.cn /npc/xinwen/2016-11/07/content_2001605.htm

[4]美智库. 网络犯罪每年造成4450亿美元损失[EB/OL]. (2014-06-10) [2018-04-15]. http://www.chinanews.com/gj/2014/06-10/6264059.shtml

[5]李亚红, 王思北, 高亢. 勒索病毒仍在传播 国内大量企业内网感染[EB/OL]. (2017-05-15) [2018-04-15]. http://news.sina.com.cn/c/2017-05-15/doc-ifyfekhi7781542.shtml

[6]集成电路望成出口新动力 国产化进程将加速[EB/OL]. (2017-01-24) [2018-04-15]. http://jjckb.xinhuanet.com/2017-01/24/c_136009408.htm

[7]勒索病毒提了个醒, 自主掌握操作系统有多重要[EB/OL]. (2017-05-14) [2018-04-15]. http://it.sohu.com/20170514/n492970346.shtml