发展和安全

吕欣 李阳

今年疫情以来，为发挥数字经济的带动引领作用，中央和国务院提出加快5G网络、数据中心等新型基础设施建设等重要举措，全面布局5G网络建设、应用推广、技术发展和安全保障工作，更加重视数字经济与实体经济融合创新和场景应用，更加重视大数据、人工智能等技术服务决策、提高社会治理能力的重要作用。疫情以来，新产业新业态新模式的创新效能和引领作用更加凸显，直播带货、宅经济、无接触服务等新型消费模式快速发展，线上会议、线上办公成为新时尚。也必须注意到，网络空间领域攻击事件频发，安全隐患更为突出，数据安全形势更为严峻，需要引起高度重视并加以防范。

数字经济发展面临的五大安全挑战

第一，关键信息基础设施保护的安全挑战。关键信息基础设施的安全运行事关国家安全、经济运行以及社会稳定，已逐步成为敌对势力发动攻击的首选目标。一方面，随着网络信息系统向跨层级、跨地域、跨系统、跨部门、跨业务的发展演化，关键信息基础设施安全威胁形态更为复杂，传统的基于边界防护、统一安全策略等安全理念和措施受到挑战;另一方面，网络信息系统技术融合、业务融合、数据融合加大了关键信息基础设施系统的结构复杂性和数据复杂性，很多公共机构的数据和业务整合与集中的同时，也成为不法机构和不法分子觊觎的攻击目标。国家互联网应急中心发布的《2019 年我国互联网网络安全态势综述》显示2019年我国信息系统频繁遭到 DDoS 攻击。这对重点业务连续性和数据保护提出了更高的要求，大数据的加密存储、细粒度审计和细粒度访问控制等措施要进一步加强。

第二，工业互联网快速推进的安全挑战。工业互联网是智能制造发展的基础，也是新基建的重要领域，为工业智能提供新支撑、为经济增长提供新动力。伴随工业系统物联网的快速部署，机器、产品和数据实现了互联互通，设备运行、车间配送、企业生产、上下游产业链对接等实现了网络互联和实时信息交互，同时，对信息的可靠性、数据的真实性、设备的可认证性等提出更高要求。一是很多工业系统涉及国家战略资源、生产安全等关系国计民生和国家安全的重要领域。当前，工业互联网领域风险评估、安全防护的技术储备相对不足，工业互联网安全防护相对薄弱。二是工业领域对业务连续性有较强的要求，一旦遭受攻击需承担较大经济损失。2018年12月，美国第三大报纸出版商——论坛报业集团旗下一大型印刷厂遭受勒索病毒攻击，致使《纽约时报》、《洛杉矶时报》、《华尔街日报》等印刷和发行被迫延迟。

第三，5G新技术新应用的安全挑战。5G作为新一代移动通信系统，高性能、低延时、大容量的特性保证其能够与工业各环节融合，为工业企业提供產线柔性化、生产智能化的工具，可有效推动工业转型升级，实现工业、制造业高质量发展。一是5G应用场景复杂多样，需支持多场景人与人、人与设备、设备和设备间的认证和数据安全传输需求，增加了安全策略的复杂性。二是车联网、智慧医疗等高可靠性、时间敏感业务，较其他领域对安全性能有更高的要求，需要更强的身份认证、端到端加密和数据完整性保护保护措施。三是针对5G的高速率、超大带宽的特点，需要有与之相匹配的加密算法支持和隐私保护策略。

第四，数据深度应用的安全挑战。随着人工智能、可穿戴设备、车联网、物联网等领域数据应用的深度和广度扩大，数据采集标准化、数据集聚规模化和数据应用融合化程度不断加深，对数据和个人信息保护隐患也越来越大。根据美国卫生与公众服务部数据，2019年的十大数据泄露事件中，共有1.37亿条数据被泄露，其中，涉及6个医疗机构，2个政府机构，1家金融机构和1个教育机构。一方面，很多领域数据的有序开放程度还不高，制约了数据创新应用的步伐;另一方面，数据的战略性价值在成为各方共识的同时，也成为不法机构逐利目标，数据滥用、数据黑市交易等非法行为会扰乱数据治理秩序。这都需要进一步健全法律法规，加大对数据非法滥用等行为的打击力度，规范数据要素市场秩序。

第五，关键核心技术博弈的安全挑战。信息产业是推进数字经济发展的重要基石，其关键核心技术更是国之重器。当前，我国信息产业核心基础能力不强，“缺芯少魂”之痛成为我国数字经济高质量发展的重要障碍。特别是人工智能、量子计算、半导体、网络安全等领域的技术突破，成为国际科技创新竞争的焦点，亟待在这些核心领域技术上实现创新突破。

四大措施保驾护航

第一，加强关键信息基础设施协同防护。随着以5G基建、大数据中心、工业互联网等“新基建”的推进，国家关键信息基础设施的也将以更大的功能承载与更广的应用范畴助推数字经济发展。一是要加强关键信息基础设施的网络安全态势感知。建立网络安全的多源感知系统，加强对政府部门、关键行业以及重点领域的动态感知，对重大风险提前识别、预先施策。二是要加强关键信息基础设施的网络安全保障评价。对关键信息基础设施网络安全的建设、运行、态势进行整体评价，尤其是加强跨区域、跨行业、跨部门的联动协同，以评估促改进、以评估促保障。三是客观评估保障能力，形成动态反馈机制，为协同保护提供决策支撑。

第二，促进网络安全创新体系建设。在新一代信息技术、新兴领域快速发展的背景下，坚持以创新驱动为指引，切实加强网络安全创新体系建设。一是要在核心关键领域实现技术突破。积极适应当前全球信息技术从单品竞争到生态系统竞争的趋势，以攻克“卡脖子”的关键核心技术为突破口，逐步建立我国在5G、工业互联网、大数据等领域协同发展的生态体系，尤其是增强对核心供应链的保障能力。二是加强网络安全技术的研发应用。完善技术手段规避网络风险，加强重要领域密码应用的新技术研发，以匿名、加密等技术途径，着力提高信息系统的网络安全技术防护能力。三是加强网络安全人才体系建设。加大对网络安全领域科学家、领军人才与创新团队的培养发现，为网络强国战略的实施、维护国家网络安全提供人才支持。四是提升全民网络安全意识。多措并举加强宣传引导，加强对网络安全法多维度、多层次的普及力度，提升公众对App应用、移动支付、个人隐私等方面的安全保护意识，筑牢网络安全防线。

第三，完善数据治理体系。随着数据规模的急剧上升，数据滥用乱象频发，数据治理实在必行。一是加快推进数据保护法律法规出台。推进数据保护、个人信息保护等相关法律法规的颁布实施，明确数据的个人数据重要保护范围，建立覆盖数据采集、发布、交易、处理、销毁等全生命周期的安全保护机制。二是推进数据治理的统筹规划。立足区域特色、产业定位、功能场景等对数据资源建立分层分类的治理准则，为数据资源提供方、数据资源使用方、数据资产监管方等多方主体搭建对接平台，形成体系化的数据治理格局。三是着重加强数据资产的安全保障。立足国情社情、行业定位，健全数据安全标准体系，加强对数据资产管理平台关键技术的研究应用，降低数据安全风险。

第四，持续提升网络安全防护能力。网络安全的本质在攻防两端能力的较量。随着移动互联网、物联网、区块链等新一代信息技术的广泛应用，万物互联的网络空间也承载着更大的网络安全防护需求。一是健全网络安全信息共享机制。明确政府主管部门、科研机构、运营单位、设备厂商、安全企业等各方职责与义务，加强对关键领域的态势感知与通报预警，以共享研判风险、以共享协同感知、以共享强化预警。二是构建网络安全的联动防御机制。建立以信息共享联动、系统协同联动、部门跨域联动相结合的联动防御机制，充分结合机器学习、区块链等智能化技术，形成全面分析风险、及时获取威胁、协同研判处置的防御策略，提升网络安全联动防御的效率。三是建立动态化的网络安全攻防应急演练机制。搭建场景化的攻防模拟平台，强化网络安全预警和应急预案的部署，持续提升防护能力，积极应对复杂网络环境下的网络攻击。

（原文发表在《中国信息安全》，文章有删减）