网络空间供应链国际规范研究
——构建供应链生态系统总体安全观
2021-03-18黄志雄陈徽
黄志雄 陈徽
(武汉大学 国际法研究所，湖北武汉 430072)
引言
伴随着网络技术的快速发展，网络空间国际治理正受到世界各国的日益重视，网络空间治理正快速走向法治化。在这一进程中，国际社会已就国际法适用于网络空间达成了重要的原则性共识。但出于网络空间的独特属性以及主要大国的意识形态、价值观和现实国家利益等方面的差异乃至对立，各方对于国际法中的诸项原则与规则如何具体地适用于网络空间仍存有巨大争议。(1)参见黄志雄：《网络空间负责任国家行为规范：源起、影响和应对》，载《当代法学》2019年第1期。此外，各方的争论还在于，面对日益复杂的网络环境与日益严重的安全威胁，现有国际法是否足够应对？是否需要制定新的规则以及新的规则应当通过何平台以何种形式制定？(2)参见Michael N. Schmitt, Trends in International Law for Cyberspace, CCDCOE (May 2019), https://ccdcoe.org/uploads/2019/05/Trends-Intlaw_a4_final.pdf，2020年9月14日最后访问。在此背景下，供应链安全作为新兴的非传统安全，已从一个单纯的技术与产业问题，逐渐升格为政治与法律的博弈手段，严重威胁到网络空间的安全与稳定。由于供应链安全难以通过对现有国际法的解释适用予以应对，国际社会亟需新的特殊规则。2015年，联合国信息安全政府专家组(UN GGE)在其报告文件中提出了11条网络空间负责任国家行为规范，其中的第9条便首次就供应链安全问题给出了国际规则层面的行为指引。本文以此GGE供应链规范(3)本文中各方提出的所有涉及供应链的规范统称为“供应链规范”， “GGE供应链规范”一词特指2015年UN GGE报告提出的负责任国家行为规范第9条。文中最后提出的新规范称为“总规范”。为基础，结合联合国开放式工作组(OEWG)与UN GGE的工作、谈判进展，研究提出相应的改进策略。
一、供应链规范的兴起与发展
随着信息通信技术(ICT)产业朝着全球互通融合的方向发展，对供应链的争夺已从企业间单纯的市场竞争向国家间的战略竞争方向延伸，供应链安全威胁已日益突破国家间的传统界限而上升到国际层面。同时在网络空间的国际立法中，谈判所需的高昂时间成本使得以条约、习惯为代表的“硬法”难以满足当前需求，相对灵活的“软法”规范治理开始受到重视。供应链规范的兴起正是二者相结合背景下的产物。
(一)全球供应链安全威胁凸显
当今全球化的信息社会越来越依赖于ICT产品与服务，其对精密性的极高要求催生了一套复杂的全球供应链体系。参考美国标准技术研究院(NIST)《联邦信息系统供应链风险管理实践标准》文件中的定义：ICT系统的运行依赖于全球分布而又互相联系的供应链生态系统，该生态系统包括制造商、供应商(网络供应商和软硬件供应商)、系统集成商、采购商、终端用户和外部服务提供商等各类实体，产品和服务的设计、研发、生产、分配、部署和使用等环节，以及技术、法律、政策等软环境。(4)参见Jon Boyens et al., Supply Chain Risk Management Practices for Federal Information Systems and Organizations, NIST SP800-161 (Apr. 2015), p.1, https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-161.pdf，2020年9月14日最后访问。任何一个环节中的风险漏洞，都可能给ICT产品与服务的有效运作带来巨大威胁。尤其是当这类漏洞被网络空间中的恶意行为体所利用时，将可能导致数据泄露、数据受损、系统失灵的后果，严重时甚至可扰乱社会环境，造成对财产和人员的物理损害。
然而，当前在网络空间通过供应链实施的恶意行为屡见不鲜，供应链攻击因具有明显的便捷性、(5)如通过ICT供应链安插“后门”(back door)、实施远程操控等方式获取情报，可极大的节约任务成本，同时避免现实中实施间谍行为所具有的高风险性。参见Ariel E. Levite, ICT Supply Chain Integrity: Principles for Governmental and Corporate Policies, Carnegie Endowment for International Peace (Oct. 2019), p.10, https://carnegieendowment.org/files/Levite_SupplyChain_final.pdf，2020年9月14日最后访问。高效性(6)实施ICT供应链攻击与本国的技术环境与在供应链中所处的特殊位置具有紧密联系，因而技术强国、产业链分布集中之国家或地区具有实施供应链攻击的特殊能力，具有不对称的战略优势。此外，ICT供应链攻击可以直接对关键基础设施或重要平台(如核设施)实施精准打击。参见Ariel E. Levite, ICT Supply Chain Integrity: Principles for Governmental and Corporate Policies, Carnegie Endowment for International Peace (Oct. 2019), p.10. https://carnegieendowment.org/files/Levite_SupplyChain_final.pdf，2020年9月15日最后访问。与隐蔽性(7)供应链攻击由于通常可以有相当一段时间的潜伏期，在攻击指令激活前不易被察觉，激活后对方也难以及时侦测，“零日漏洞”(zero-day)的存在表明用以避免损害结果发生的反应时间并不充足。参见Jason Healey, The U.S. Government and Zero-Day Vulnerabilities: From Pre-Heartbleed to Shadow Brokers, Columbia Journal of International Affairs (Nov. 2016), https://jia.sipa.columbia.edu/sites/default/files/attachments/Healey%20VEP.pdf，2020年9月14日最后访问；同时，当前的技术水平也制约了受害方进行准确归责的能力，在网络空间如何进行国际法上的有效归责一直是一个棘手问题。参见Delbert Tran, The Law of Attribution: Rules for Attributing the Source of a Cyber-Attack, Yale Journal of Law & Technology, Vol.20: 1 (2018), pp.376-441；此外，供应链攻击还可借助合法的政策目标作为伪装，例如以打击恐怖主义作为安插“后门”的借口。参见刘晴：《“五眼联盟”力推“后门”合法化原因与影响》，载《中国信息安全》2019年第11期。而在实践中越发为一些国家所青睐。一方面，通过技术手段实施的供应链攻击，可为国家赢取非对称的战略优势。早在2010年，美国与以色列即利用“震网”病毒，“无声”地实现了打断伊朗核计划的战略目标。另一方面，通过政治化渲染，供应链攻击也可从广义上理解为一种干涉和制裁的手段，借助技术出口管制措施，将供应链“武器化”。(8)参见王天禅：《美国新兴技术出口管制及其影响分析》，载《信息安全与通信保密》2020年第4期。如美国近段时间以来，借助中兴、华为等事件，故意破坏对特定国家产品和服务的信任，通过逐渐提升对高新技术的“断供”和“围堵”措施，展现出将供应链作为打击手段从而破坏其他国家供应链安全的威力。(9)参见桂畅旎：《对特朗普政府在信息通信领域供应链安全政策的初步分析》，载《中国信息安全》2019年第6期。2020年新冠疫情下各国广泛采取的旅游和贸易限制措施也使得国际供应链体系受到严重扰乱。疫情对各国供应链自主性的考验，触动了此类国家加紧审视和调整自身的供应链政策。疫情因素叠加各国对尖端科技争夺的大背景，使得“技术民族主义”正逐渐抬头。
在这一系列事件的累计作用下，ICT供应链安全已成为网络空间国际治理中的一项热点议题，其安全与稳定亟需制度保障。
(二)作为“软法”的网络空间规范治理渐趋主流
在当前网络空间的国际治理中，国际社会借助于UN GGE于2013年所达成的一份具有里程碑意义的报告文件，已就国际法原则上适用于网络空间达成了重要共识。(10)参见United Nations General Assembly, Report of the Group of Governmental Experts on Developments in the Field of Information and Telecommunications in the Context of International Security, A /68 /98*, 24 June 2013, p.8, https://undocs.org/A/68/98，2020年9月15日最后访问。而2015年报告则更进一步提出了11条负责任国家行为规范作为对现有国际法适用于网络空间中的重要补充，确认了以这种自愿性、不具约束力的“软法”规范来促进国家在网络空间中有序行为的主要规制方式。(11)参见黄志雄：《网络空间负责任国家行为规范：源起、影响和应对》，载《当代法学》2019年第1期。此种规范治理既源于美国为代表的西方发达国家的推动，也源于中俄等为代表的发展中国家的认可：一方面，西方国家主张规范以其灵活的治理形式，更能适应不断变动的技术特征，同时可借以绕开中俄等国呼吁制定有约束力的网络空间条约的“不成熟”主张。(12)对美国等西方国家而言，当前谈判网络空间条约的“不成熟”不仅在于国际层面上尚缺乏规则共识，还在于国内程序上的制约。对于美国来说，条约在签订后需要经过国会的批准，其不仅耗费时间，而且还面临不被通过的风险。采用规范的形式则仅仅需要行政部门的授权即可，大大提高了美国政府参与国际规则塑造过程中的灵活性。参见Martha Finnemore & Ducan B. Hollis, Constructing Norms for Global Cybersecurity, The American Journal of International Law, Vol.110: 3 (Jul. 2016), pp.469-470.最重要的是，相较于条约只能由政府参与制定，规范可由企业、国际组织等非国家行为体提出的特性，(13)参见Martha Finnemore, Cybersecurity and the Concept of Norms, Carnegie Endowment for International Peace (Nov. 2017), p.3, https://carnegieendowment.org/files/Finnemore_web_final.pdf，2020年9月16日最后访问。更好地契合了西方国家所倡导的“多利益攸关方”(multi-stakeholder)治理模式，(14)参见Eric Rosenbach & Shu Min Chong, Governing Cyberspace: State Control vs. The Multistakeholder Model, Belfer Center for Science and International Affairs, Harvard Kennedy School (Aug. 2019), https://www.belfercenter.org/publication/governing-cyberspace-state-control-vs-multistakeholder-model#toc-3-0-0，2020年9月15日最后访问。方便其借助自身成熟的公民社会，巩固网络空间国际规则制定中的话语权优势地位。另一方面，规范被中俄等国视为在具有浓厚西方价值观色彩的传统国际法外开辟更广阔规则塑造空间的重要路径。以2011年上合组织成员国向联大提交的《信息安全国际行为准则》为代表，中俄等国最早提出了一套完整的网络空间行为规范，意图为网络空间新规则的构建引入范本。
正因如此，尽管网络空间的国际治理体系正呈现出国际法、“软法”规范、政治声明、技术标准、社群倡议等治理措施并存的所谓“机制复合”(regime complex)现象，(15)参见Joseph S. Nye Jr., The Regime Complex for Governing Global Cyber Activities, Global Commission on Internet Governance Paper Series, 1. (May. 2014).规范治理正逐渐成为其中的主流。在联合国大会2018年对成立联合国信息安全开放式工作组(OEWG)和新一届UN GGE的工作授权中，推动负责任国家行为规范的进一步实施与发展是其二者兼具的重要工作目标。
在以上双重背景的作用下，各方开始加速抢占供应链安全领域的国际规则主导权，并以GGE供应链规范为基础达成了初步共识。
(三)GGE供应链规范的诞生
当前各种供应链规范中，最重要、最有影响的无疑是UN GGE的工作成果。早在2010年，UN GGE的一份报告即呼吁各国关注供应链中的安全风险，提到“各国担心，信通技术供应链会受到影响或破坏而妨碍正常、安全、可靠地使用信通技术。在信通技术中安装恶意隐蔽功能会破坏对产品和服务的信心，削弱商业信任，并影响国家安全”。2013年UN GGE的报告建议：“各国应鼓励私营部门和公民社会在加强信通技术使用安全方面发挥适当作用，包括信通技术产品和服务供应链的安全。”随后，UN GGE的2015年报告历史性地提出了11条负责任国家行为规范，其中第9 条对各国如何确保ICT供应链安全给出了专门指引：“各国应采取合理措施，确保供应链的完整性，使终端用户可以对信通技术产品的安全性有信心。各国应设法防止恶意信通技术工具和技术的扩散以及使用有害的隐蔽功能。”
然而，GGE供应链规范的诞生并未给该领域的讨论画下句号，各方仍在积极通过各种平台补充新的规范提议，使得供应链规范得以大量涌现。
(四)其他平台供应链规范的扩增
在GGE供应链规范诞生后，作为对它的细化或补充，大量供应链规范开始相继出现于其它多边平台中。例如，在2018年11月12日，法国主导提出了《网络空间信任和安全巴黎倡议》(简称《巴黎倡议》)，提议“强化数字流程、产品和服务在其整个生命周期和供应链中的安全性”。(16)Paris Call for Trust and Security in Cyberspace, France Diplomatie, https://www.diplomatie.gouv.fr/en/french-foreign-policy/digital-diplomacy/france-and-cyber-security/article/cybersecurity-paris-call-of-12-november-2018-for-trust-and-security-in，2020年9月16日最后访问。
在跨国企业主导的多方合作倡议中，微软于2017年提出《数字日内瓦公约》，呼吁国家“避免在大众市场的商业技术产品中插入或要求设置‘后门’”。(17)Brad Smith, The need for a Digital Geneva Convention, Microsoft (Feb.2017), https://blogs.microsoft.com/on-the-issues/2017/02/14/need-digital-geneva-convention/，2020年9月16日最后访问。次年2018年4月，微软又联合了其它33家大型科技企业，启动并签署了网络安全《技术协议》，从企业自律的视角要求签署者“在技术产品和服务的开发、设计、销售和使用过程中防止其被篡改和利用”。(18)Cybersecurity Tech Accord, Microsoft (Apr.2018), https://cybertechaccord.org/about/，2020年9月16日最后访问。同年，西门子也携手合作伙伴签署了网络安全《信任宪章》，提出了企业与政府在数字供应链中应肩负的行为责任。(19)The Charter of Trust, Siemens (Feb 2018), https://www.charteroftrust.com/about/, 2020年9月18日最后访问。
在多利益攸关方合作平台中，全球网络空间稳定委员会(GCSC)在2019年11月发布了名为《推进网络空间稳定》的最终报告文件，提出了8条具体规范作为该委员会的最终工作成果，其中的第3条要求：“国家和非国家行为体不应干预或篡改处于生产过程中的产品和服务，同时应积极防止此类行为发生，以避免损害网络空间稳定。”(20)Advancing Cyberstability: Final Report, Global Commission on the Stability of Cyberspace (Nov. 2019), https://cyberstability.org/wp-content/uploads/2019/11/Digital-GCSC-Final-Report-Nov-2019_LowRes.pdf，2020年9月17日最后访问。
由此可见，通过利用多样化渠道，各方正踊跃表达自身对供应链安全的关切。但与此同时，随着越来越多的国家及非国家行为体的加入，规范治理进程中的碎片化倾向愈趋明显，不同规范间难免存在着重复、抵触乃至冲突的现象。
因而，当前国际规则博弈中有关供应链安全的争议焦点在于：作为共识基础的GGE供应链规范是否足以应对当前的安全威胁？我们需要的是何种新规范？对此，本文的回答是现有GGE供应链规范并不完善，未来新规范的补充势在必行。
二、供应链规范的内容解析
2015年的GGE供应链规范要求：“各国应采取合理措施，确保供应链的完整性，使终端用户可以对信通技术产品的安全性有信心。各国应设法防止恶意信通技术工具和技术的扩散以及使用有害的隐蔽功能。”通过对该规范所包含构成要件的分析，笔者认为，该规范既有一定的可取之处，但也同时蕴藏风险和缺陷，需引起警觉并加以改进。
(一)规范的结构体系
从结构上看，GGE供应链规范由前后两句组成。第一句确立了对供应链的总体保护原则，要求各国积极采取措施保障供应链的完整性，该保护行为的目的是确保终端产品的安全。第二句则从防止恶意技术扩散和使用有害隐蔽功能的具体行为层面，从规范目的出发强调了防止此类行为的后果。就行为方式而言，不同于其它平台提出的供应链规范，该规范既有要求积极作为的义务，也有要求消极不作为的义务。(21)参见Oleg Demidov & Giacomo Persi Paoli, Supply Chain Security in the Cyber Age: Sector Trends, Current Threats and Multi-Stakeholder Responses, UNIDIR (2020) , pp.47-51, https://css.ethz.ch/content/dam/ethz/special-interest/gess/cis/center-for-securities-studies/resources/docs/UNIDIR_Supply-Chain-Security-in-the-Cyber%20Age.pdf，2020年9月18日最后访问。
对于两部分间的关联问题，第二句应理解为是对第一句的细化和强调，并在相当程度上构成了对其保护范围的限缩。原因在于：首先，第一款实际暗中指向第二款所述的保护情形，使用有害的隐蔽功能实际上即指安插“后门”一类的供应链攻击方式，直接损害了供应链的完整性，使得遭到恶意篡改的产品当然地无法满足终端用户所期望的安全需求。其次，从UN GGE的谈判历程来看，保护供应链安全项下的讨论一直聚焦于使用有害的隐蔽功能这一特殊情形。例如，相比于2010年报告，2013年UN GGE的报告中没有再以“供应链会受到影响或破坏而妨碍正常、安全、可靠地使用信通技术”的宏观表述去陈述供应链安全威胁，而是具体表述为：“各国感到关切的是，把有害的隐蔽功能嵌入信通技术，即可影响信通技术的安全、可靠使用，影响信通技术产品和服务供应链，削弱商业信任，并破坏国家安全。”而2017年未能出台的UN GGE报告草案中，对执行GGE供应链规范所给出的指引也专注于“各国应采取措施，防止包括私营部门在内的非国家行为体出于自身目的或其他非国家行为体的目的而使用有害的隐蔽功能，损害本国或他国领土内之第三方的利益”，以及“建立可减轻对信息通信技术产品中有害的隐蔽功能的担忧的信任措施，并鼓励私营部门和公民社会在其中发挥适当作用”。(22)参见Oleg Demidov & Giacomo Persi Paoli, Supply Chain Security in the Cyber Age: Sector Trends, Current Threats and Multi-Stakeholder Responses—TECHNICAL COMPENDIUM, UNIDIR (2020) , pp.68-69, https://unidir.org/sites/default/files/2020-02/Technical%20Compendium%20for%20Supply%20Chain%20Security%20in%20the%20Cyber%20Age.pdf，2020年9月18日最后访问。因此，防止使用有害的隐蔽功能才是GGE供应链规范意图规制的核心行为。
(二)规范的意义与特点
就GGE供应链规范本身在国际上已取得的影响而言，其意义是显著的，至少有以下三个方面的特点：
首先，该规范具有开创性。作为国际上第一条真正意义上的供应链规范， GGE供应链规范的诞生，意味着将供应链安全问题正式引入了网络空间国际规则讨论的多边框架内，使对供应链安全问题的关注度超越了技术标准与国内法层面，进入到全新的国际规则领域。
其次，该规范具备权威性。不同于其它平台的供应链规范尚处于提案或倡议阶段，GGE供应链规范作为当前国际社会就供应链安全问题达成的唯一普遍共识，不仅获得联合国大会决议通过，还于G7、G20、东盟峰会等多边场合中被一再重申。尽管不具有约束力，但作为国际软法，其劝告和引导的作用效力是显著的，拥有发展与塑造新的国际法规则的巨大潜力。(23)参见何志鹏：《逆全球化潮流与国际软法的趋势》，载《武汉大学学报(哲学与社会科学版)》2017年第4期。英国、加拿大、澳大利亚、东盟等国家和区域组织也在积极推动规范在本国或本地区的实施。相比之下，尽管《巴黎倡议》也获得了部分国家、跨国企业和国际组织的支持，但其本身意在开辟中美互联网治理模式间的第三条道路的特性，(24)参见黄志雄：《互联网监管的“道路之争”及其规则意蕴》，载《法学评论》2019年第5期。决定了在缺乏中美等网络大国直接支持的背景下，影响的范围仍具有局限性。而其它如GCSC报告、微软和西门子的提案也只是反映了某一类利益攸关方的利益关切。
最后，该规范拥有可扩展性。在提出该规范的2015年UN GGE报告中，已意识到其作为特定时期内特定国家间利益妥协的产物，时效性和完整性必然有所欠缺。故明确指出“鉴于信通技术的独特属性，可能需要在一段时间后制定更多规范”，为新规范的补充提供了可能。因此，良好的扩展性不仅可以保证规范在技术的变迁下保持持久的生命力，还可以修正因此前UN GGE进程中专家成员代表性限制问题而导致的利益失衡。(25)参见戴丽娜，郑乐锋：《联合国网络安全规则进程的新进展及其变革与前景》，载《国外社会科学前沿》2020年第4期。特别是在2019年，联合国开启了具有广泛包容性的OEWG进程后，许多首次获得参与机会的发展中国家和国际组织代表，无论在正式会议抑或是与多利益攸关方的非正式磋商中，都明确表达了期望补充新规范的立场。
(三)规范蕴含的风险与缺陷
之所以会有补充新规范的必要，是因为当前GGE供应链规范仍不乏风险与缺陷。为此，本文梳理了当前GGE供应链规范中可能存有争议的五大方面，吁请各方警觉并择机改进。
1.尚待明确的“合理措施”(reasonable steps)。GGE供应链规范要求各国采取合理措施来保障供应链安全，但首先何为合理措施不明确。(26)参见Tim Maurer, A Dose of Realism: The Contestation and Politics of Cyber Norms, Hague Journal on the Rule of Law (2020), pp. 283-305.对于措施合理性的统一判断，当前不仅缺乏专门针对此类行为形成的官方解释或指南文件，也缺乏国际法提供的明确背书。例如，有学者分析指出：GGE供应链规范立基于国际法上的审慎原则，国家所需采取的措施理应满足审慎义务的标准要求。(27)参见Zine Homburger, Conceptual Ambiguity of International Norms on State Behavior in Cyberspace, EU Cyber Direct (Apr. 2019), p.16, https://eucyberdirect.eu/wp-content/uploads/2019/05/zine-homburger-conceptual-ambiguity-of-norms-april-2019-eucyberdirect.pdf，2020年9月19日最后访问。然而，并非所有国家都赞同审慎原则当然地适用于网络空间，作为各方争论的焦点，对于网络环境下国家承担怎样的审慎义务是极具争议而不明确的，(28)参见Peter Z. Stockburger, From grey zone to customary international law: How adopting the precautionary principle may help crystallize the due diligence principle in cyberspace, 2018 10th International Conference on Cyber Conflict (CyCon), Tallinn, 2018, pp. 245-262.存在内涵、适用标准以及适用条件等上的不确定性。(29)参见张华：《论非国家行为体之网络攻击的国际法律责任问题——基于审慎原则的分析》，载《法学评论》2019年第5期。尽管有学者通过梳理国家实践，试图找出当前各国在审慎义务要求下所应采取的合理措施范围，但这些涵盖法律、技术、组织、合作的措施总体上看仍是不完全且宽泛的，仅具指向性而非约束性的。(30)参见Antonio Coco & Talita de Souza Dias, States’ Duty of Due Diligence in Cyberspace, presentation at ESIL KRAKW-LEIDEN SYMPOSIUM: Exploring the Frontiers of International Law in Cyberspace (Dec. 2020).
其次，国家采取合理措施的能力与其技术能力紧密相关，国际法上的审慎义务也只要求国家在知情与能力的范围内采取行动，制约了合理性标准的客观统一性。ICT供应链往往涉及到复杂精密的技术，对国家的风险识别和管控能力要求较高，加之国际上针对网络攻击归因的非公开性特点，(31)通过发表演说、公布国家立场文件等方式，大多数已表明观点的国家目前都明确承认归因的非公开性，这些国家具体包括英国、美国、法国、澳大利亚、荷兰。参见Przemysaw Roguski, Application of International Law to Cyber Operations: A Comparative Analysis of States’ Views, The Hague Program For Cyber Norms Policy Brief (Mar. 2020), pp.13-17.加剧了网络能力匮乏国家受到不合理归因的可能性。故而，一定的能力是使规范获得有效推行的前提条件。(32)参见Zine Homburger, The Necessity and Pitfall of Cybersecurity Capacity Building for Norm Development in Cyberspace, Global Society, Vol.33: 2 (Jan. 2019), pp.230-231.正如有评论认为：各方还应非常重视能力建设措施，通过提升关键节点的技术能力，帮助其完善法治环境，并在必要时提供协助来保障供应链安全。(33)参见Caitriona Heinl, Recommendation 13(i), in Voluntary, Non-Binding Norms for Responsible State Behavior in the Use of Information and Communications Technology: A Commentary, New York: United Nations Publications (2017), pp. 234-235.
最后，国家是否采取了合理措施由谁来判定？(34)参见Tim Maurer, A Dose of Realism: The Contestation and Politics of Cyber Norms, Hague Journal on the Rule of Law (2020), pp. 283-305.理论上，规范既不同于事后(expost)对行为进行评价的标准，也不同于事前(exante)对行为进行指导的原则与对行为进行规制的规则，(35)参见Martha Finnemore & Ducan B. Hollis, Constructing Norms for Global Cybersecurity, The American Journal of International Law, Vol.110: 3 (Jul. 2016), p.441.规范指的是“给定群体范围内对成员恰当行为的共同期望”。(36)参见Peter J. Katzenstein, Introduction: Alternative Perspectives on National Security, in Peter J. Katzenstein ed., The Culture of National Security: Norms and Identity in World Politics, Columbia University Press, 1996.因而对于这样一条不具约束力的规范来说，理论上无所谓来源于更高位阶者的权威评判，有的只是来自同集体成员间的评价。然而当前各方不仅缺乏实施规范的具体举措的共同理解，集体监督机制的缺失也制约了实践中采取措施的统一性。此时，互相间借助“点名羞辱”(naming and shaming)甚至指控(accusation)的方式对自认为违反规范的国家施加恶名评价，(37)参见Martha Finnemore & Duncan B. Hollis, Beyond Naming and Shaming: Accusations and International Law in Cybersecurity, European Journal of International Law (forthcoming 2020).以达到单边推动规范遵行并推广自身行为标准的目的，(38)例如美国等27国在2019年9月发表联合声明，意图在集体自愿的基础上共同采取措施，要求违反规范的国家为恶意行为承担后果。参见Joint Statement on Advancing Responsible State Behavior in Cyberspace, U.S. Department of Sates (Sep. 2019), https://www.state.gov/joint-statement-on-advancing-responsible-state-behavior-in-cyberspace/，2020年9月19日最后访问。只能是助长了无序环境中的混乱。
2.片面地以“完整”(integrity)促“安全”(security)。从条文表述来看，GGE供应链规范中的首要关切是确保完整性，并进而促进安全性。由此可见，安全保障只是附随于完整性保障的结果，完整性保障水平的高低决定了供应链的安全层次。尽管完整性的概念并不是固定的，根据定义场景与使用背景的不同而可能内在地包含一定的安全性因素，(39)参见Supply Chain Integrity: An Overview of the ICT Supply Chain Risks and Challenges, and Vision for the Way Forward, European Union Agency for Cybersecurity (Aug. 2015), https://www.enisa.europa.eu/publications/sci-2015，2020年9月19日最后访问。然而关于广义上的供应链安全具体包含哪些要件当前尚无统一概念，美国NIST的指南文件中就区分出了安全、完整、弹性和优质四大要素。参见Jon Boyens et al., Supply Chain Risk Management Practices for Federal Information Systems and Organizations, NIST SP800-161 (Apr. 2015), p.3, https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-161.pdf，2020年9月20日最后访问。但只对供应链完整性进行强调，恰恰在一定程度上反映了对使用有害的隐蔽功能这一具体情形的过度关注。如同其它平台提出的供应链规范也多类似地聚焦于植入“后门”问题，如此有限的保护范围使得完整性保障并不能反映供应链安全的全貌。该规范之所以强调以“完整”促“安全”，笔者认为更多的是反映西方国家的利益和关切。对此，首先针对整个供应链生态系统，笔者将之划分为两类安全观，一是西方国家所倚重的“技术安全观”，更为关注的是供应链中所潜藏的技术攻击威胁；二是中国等发展中国家所注重的“环境安全观”，更为关注的是对围绕供应链的法律、政策、市场等软环境造成的干预和扰乱。导致两种安全观之间差异的因素是各方对供应链安全威胁的不同感知。
然而这样的“技术安全观”并不完善，“环境安全观”的补充则更能呈现出整个供应链的安全全貌。早在2011年，中俄等上合组织成员国提出的《信息安全国际行为准则》中就提出了自身的供应链规范，该规范在2015年更新后指出：各国应承诺“努力确保信息技术产品和服务供应链的安全，防止他国利用自身资源、关键设施、核心技术、信息通讯技术产品和服务、信息通讯网络及其他优势，削弱接受上述行为准则国家对信息通讯技术产品和服务的自主控制权，或威胁其政治、经济和社会安全。”(44)《信息安全国际行为准则(2015年版)》，载外交部网站2015年3月5日，http://infogate.fmprc.gov.cn/web/ziliao_674904/tytj_674911/zcwj_674915/t858317.shtml，2020年9月19日最后访问。中国于2017年发布的《网络空间国际合作战略》中，也尤其强调了“各国不得利用信息通信技术干涉别国内政，不得利用自身优势损害别国信息通信技术产品和服务供应链安全”的规范要求。(45)《网络空间国际合作战略》，中央网信办网站2017年3月1日，http://www.cac.gov.cn/2017-03/01/c_1120552617.htm，2020年9月19日最后访问。在2019年OEWG第一次会议有关负责任国家行为规范的讨论中，中国更是提出了多条新供应链规范，包括：“各国应维护公平、公正、非歧视的营商环境。不应滥用‘国家安全’理由限制正常信息通信技术发展与合作、限制信息通信技术产品的市场准入及高新技术产品出口。”(46)联合国信息安全开放式工作组中方立场文件，https://www.un.org/disarmament/wp-content/uploads/2019/09/china-submissions-oewg-ch.pdf，2020年9月19日最后访问。在2020年3月公布的OEWG首份报告草案中，多项考虑拟定的新规范中只是就供应链安全问题笼统地提及：“有国家表示出于对有害隐蔽功能的担忧，需进一步增进供应链的完整性，加强漏洞通报的责任。”(47)Initial “Pre-draft” of the report of the OEWG on developments in the field of information and telecommunications in the context of international security, p.7, https://unoda-web.s3.amazonaws.com/wp-content/uploads/2020/03/200311-Pre-Draft-OEWG-ICT.pdf, 2020年9月19日最后访问。这不仅没有明确吸纳中国等国提及的保护供应链不受恶意政策扰乱的安全关切，也未能对已有规范形成实质性突破。(48)陈徽、夏宇清：《2020年上半年国际供应链安全形势与对策建议》，载《中国信息安全》2020年第7期。为此，中国在对报告草案的评论中再次强调了增添保障供应链环境安全稳定的新规范的坚定立场，(49)China’s Contribution to the Initial Pre-Draft of OEWG Report, https://front.un-arm.org/wp-content/uploads/2020/04/china-contribution-to-oewg-pre-draft-report-final.pdf, 2020年9月20日最后访问。并得到了来自俄罗斯的全力支持。(50)Commentary of the Russian Federation on the Initial “Pre-Draft” of the Final Report of the United Nations Open-ended Working Group on Developments in the Field of Information and Telecommunications in the Context of International Security, https://front.un-arm.org/wp-content/uploads/2020/04/russian-commentary-on-oweg-zero-draft-report-eng.pdf, 2020年9月20日最后访问。有关新规范的部分内容还延续反映在了2020年9月8日提出的《全球数据安全倡议》中，(51)参见《全球数据安全倡议》，载外交部网站2020年9月8日，https://www.fmprc.gov.cn/web/wjbzhd/t1812949.shtml，2020年9月20日最后访问进一步显示出中国对于供应链环境安全的高度关切与迫切需求。
理论上，根据国际法院在“尼加拉瓜”案中确定的传统干涉公式，干涉必须具有强迫性(coercion)。(55)参见Military and Paramilitary Activities in and against Nicaragua (Nicaragua v. United States of America), Merits, Judgment. I.C.J. Reports 1986.在第9版《奥本海国际法》中也指出，干涉是“一个国家对另一个国家的事务的强制的或专断的干预，旨在针对另一个国家强加某种行为或后果”。(56)[英]詹宁斯、瓦茨修订：《奥本海国际法(第9版)》，王铁崖等译，中国大百科全书出版社1995年版，第313-315页。在一个国际互赖日益加深、国际分工高度成熟分化的全球ICT产业体系中，美国作为高端技术垄断者，单方面对中国的华为等公司施加高端技术贸易禁令的制裁措施，并在中美贸易战导致“技术脱钩”风险加剧的背景下，要求他国就相关技术问题“选边站队”的行为，乃是通过供应链绑架他国利益，迫使他国做出符合自身目标的政策调整，不适当地影响了他国的主权意愿，无疑具有明显的强迫性因素，构成经济干涉。早在2012年联合国人权事务高级专员办事处在关于单方面强制性措施对享受人权的影响的专题研究报告中即指出：“具有经济性质的单方面强制性措施可能会构成非法干涉的观点已成为一种日益加强的趋势，并为许多会员国所认可。”(57)United Nations Human Rights Council, Thematic study of the Office of the United Nations High Commissioner for Human Rights on the impact of unilateral coercive measures on the enjoyment of human rights, including recommendations on actions aimed at ending such measures*, A/HRC/19/33, 11 January 2012, p.5, https://undocs.org/A/HRC/19/33，2020年9月19日最后访问。
换一个角度来说，现代国际法对非强迫性干涉行为可以构成国际法上禁止的非法干涉的观点也持越来越开放的态度。这一派观点认为国际法禁止的干涉绝大多数都是强迫性干涉，但也存在极个别非强迫性干涉的情况。(58)参见陈一峰：《论当代国际法上的不干涉原则》，北京大学出版社2013年版，第120页。对于一个高度交融的国际经济体系，应当谨慎区分出非强迫性干涉与正常国际影响间的界限，此界限取决于干涉对象所涉及到的一国法律利益的重要性和敏感性程度。根据滑动比例理论，当干涉对象的重要性和敏感性程度越高，认定其构成非法干涉的手段之强迫性程度要求就越低。(59)参见陈一峰：《论当代国际法上的不干涉原则》，北京大学出版社2013年版，第153-154页。就“环境安全观”下所感知的供应链干预而言，干预行为的最终目的在于扰乱一国的战略目标，乃至在法律、政策和市场环境等方面的主权事务。对于5G等构筑下一代关键基础设施的新兴技术而言，由于其关系到国家的长期重大战略利益，关涉国家总体安全，重要性和敏感性程度显著高于一般的经济活动。(60)参见付玉辉：《从国家总体安全观到5G产业安全战略》，载《中国信息安全》2019年第7期。即便手段的强迫性特征不甚明显，也使得此类干预行为更易落入非强迫性干涉的范围之内。
实践中，西方发达国家利用自身作为供应链顶端的优势推行对外政策的做法也由来已久。“随着国际经济的一体化，企业社会责任运动已逐渐扩展至跨国企业的供应链上，并蔓延到非跨国企业的商业行为当中，从而形成了普遍意义上的企业的社会责任”。(61)李雪平：《企业社会责任问题给国际法带来的挑战》，载《法学评论》2007年第5期，第85页在这一进程中，企业社会责任的国际标准化使得其效力超越了传统的国际关系的范围。“即使有主权国家对企业社会责任的国际标准‘拒之门外’，但其他国家国内企业对该标准的适用及其在国际商业竞争中的要求，必然会导致该标准的域外效力，从而影响到该主权国家国内的企业”。(62)李雪平：《企业社会责任问题给国际法带来的挑战》，载《法学评论》2007年第5期，第89页。举例而言，2010年刚果民主共和国发生了严重的内乱，各方对矿产开采的争夺明显促进了冲突的传播。美国作为这类冲突矿产的最主要证券交易市场所在地，通过国内出台《多德—弗兰克法案》，要求公司尽职调查是否有涉及到此类矿产的供应链，并向美国证券交易委员会(SEC)做出披露报告，使得SEC逐渐成为了对证券交易所上市公司供应链中涉及潜在冲突矿产的管理机构。此举迫使许多无论是否在美国上市的企业，都倾向于在自身商业行为准则中规避对“冲突矿产”的采购。类似地，欧盟2016年通过的《冲突矿产法规》也承诺，锡、钽、钨、金四种金属(3TG)的进口商将以《OECD关于来自受冲突影响和高风险区域的矿产的负责任供应链尽职调查指南》为指导，打破矿产品贸易为冲突提供资金的恶性循环。尽管此举有助于平息纷争保护人权，但也成功干预了国际供应链对民主刚果矿物的采购，实现了国内法/欧盟法的域外效力。
此外，美国近来通过对次级制裁方式日益广泛且频繁的使用，也在严重威胁着以主权平等原则为基础的国际秩序。“通过对第三国及其个人和实体采取强制性惩罚措施，迫使其停止与被制裁国之间经济往来的方式，显然违反了尊重他国主权的义务，违反了主权原则与不干涉他国内政原则。”(63)杨永红：《次级制裁及其反制》，载《法商研究》2019年第3期，第172页。从美国单边退出伊核协议后施压欧盟的次级制裁威胁，到推出针对德国与俄罗斯间“北溪二号”项目的制裁法案，再到以国家安全为由肆意将中国科技公司列入“实体名单”，限制高端芯片及操作系统等软硬件产品的供应并制裁违规企业等，美国正以供应链作为传导，将施加次级制裁的能力和范围推向新的高度。这不仅损害了国家间正常的经贸关系，也给全球政治稳定造成了极大破坏。
3.狭窄的“终端用户”(end user)保护群体。根据GGE供应链规范的表述，保护的对象被设定为终端用户，终端用户是指在ICT系统中所服务的最终受益者。无疑，西方国家作为世界上ICT产品与服务的主要消费市场，具有明显的终端用户特征，也是许多供应链攻击所指向的对象。然而，整个ICT产品与服务的生命周期内所涉供应链环节众多，任何一个节点的漏洞都可能给整条供应链带来安全威胁，受攻击的目标不只有终端用户，还包括每一节点上的供应商，因此GGE供应链规范保护的覆盖范围并不全面。有调查显示，企业对自身防范来自供应链中商业伙伴威胁的能力同样感到普遍焦虑。(64)2019 Global Cyber Risk Perception Survey, Marsh (Sep. 2019), p.18, https://www.microsoft.com/security/blog/wp-content/uploads/2019/09/Marsh-Microsoft-2019-Global-Cyber-Risk-Perception-Survey.pdf，2020年9月19日最后访问。当研发商恶意提供带有缺陷的零部件设计图纸给制造商，制造商按设计所指示之步骤进行生产时导致设备毁损，此时便使得非终端用户的制造商成为了供应链攻击的受害者。(65)参见John Villasenor, Compromised By Design? Securing the Defense Electronics Supply Chain, Center for Technology Innovation & Center for 21st Century Security and Intelligence, Brookings (Nov. 2013), https://www.brookings.edu/wp-content/uploads/2016/06/Villasenor_HW_Security_Nov7.pdf，2020年9月19日最后访问。再如，终端用户在没有明显证据的情况下，恶意排除特定企业对市场的参与，损害的恰恰是供应商平等参与供应链的权利。因此，良好的供应链生态不仅需要供应链上下游间的协同合作，也需要与终端用户间培育良好的商业关系。
4.缺乏限制的安全“信心”(confidence)标准。GGE供应链规范中将供应链完整性所需达到的安全评估标准建立于高度不确定的主观因素上，即达到终端用户对“对信通技术产品的安全性有信心”。
对安全评估标准的如是设置，积极的一面在于：ICT产品与服务本就不具有绝对的安全性，科技发展使得产品和服务的安全性会随着时间的流逝而改变，用户的信心标准也会是一个相应的动态过程，信心标准相当于否认了绝对的安全观。该过程中，不同的产品与服务视特性的不同将承诺不同的保障期限，在安全承诺期限内，供应商有必要以各种方式确保用户维持必要的安全信心。比如产品硬件可通过部件升级来提升安全性，软件服务则可通过及时的补丁更新以进行修补，必要的风险提示与漏洞披露政策也都有助于维持用户的安全信心。这也决定了供应商不得利用用户的依赖性，而强迫用户采取不必要的升级或更新换代等措施，因为这反倒有可能减损信任关系。
但同时，这一标准消极的一面在于：针对用户经供应链获取的产品和服务，信心不仅可以是源于对技术的信任，也可以是源于对法律、政策、市场等软环境的宽泛的信任，(66)参见Paul Rosenzweig & Claire Vishik, Trusted Hardware and Software: An Annotated Bibliography, Lawfare (Oct. 2020), https://www.lawfareblog.com/trusted-hardware-and-software-annotated-bibliography，2020年12月15日最后访问。然而这样的模糊性却缺乏必要的限制。从美国近来施压中国企业的表态似乎可以看出，美国将自己的信心标准扩张到一个非常宽泛的范围，其对中国企业产品的不信任，并不直接来源于产品依赖的技术本身，而是来自于对中国软环境的疑虑。据美中经济安全审查委员会2018年向国会提交的一份针对美国联邦ICT系统中中国供应链安全隐患的报告显示，美国认为中国的供应链体系在很大程度上为中国的政治、经济利益服务。报告中提到：伴随着政策引导，中国正在向产业链上游扩张，挤压了外资的生存空间，使得中国得以接触更多的供应链节点，而中国的《国家安全法》和《网络安全法》赋予了政府以安全审查的名义，强迫外资提供知识产权或其他重要商业财产如源代码以供审查的权限，严重威胁了美国联邦政府的ICT系统安全。(67)参见Supply Chain Vulnerabilities from China in U.S. Federal Information and Communications Technology, U.S.-China Economic and Security Review Commission (Apr. 2018), pp.19-23. https://www.uscc.gov/sites/default/files/Research/Interos_Supply%20Chain%20Vulnerabilities%20from%20China%20in%20U.S.%20Federal%20ICT_final.pdf，2020年9月19日最后访问。在当前华为5G的问题上，美国同样是基于对中国软环境的指控来实施打压，而非确凿的技术证据。例如，一份来自北约合作网络防御卓越中心(CCDCOE)的研究报告无端指称：中国“具有深重的网络间谍行为劣迹”，2015年颁布的《反恐怖主义法》以及2017年颁布的《国家情报法》为中国政府以国家安全的名义安插“后门”提供了授权。此外，报告还指出华为公司与中国军方和情报部门间的关系，以及党组织在公司中的作用总是不明确的。(68)参见Kadri Kaska, Henrik Beckvard & Tomas Minarik, Huawei, 5G and China as a Security Threat, CCDCOE (2019), p.11, https://ccdcoe.org/uploads/2019/03/CCDCOE-Huawei-2019-03-28-FINAL.pdf，2020年9月18日最后访问。美国主导的《5G布拉格提案》同样是将安全信心建立于宽泛的因素上，指出：“网络安全不仅是纯粹的技术问题，还在于充分的国家战略、合理的政策、完善的法律框架、以及专职的人员保障上。”(69)The Prague Proposals, Government of the Czech Public, https://www.vlada.cz/en/media-centrum/aktualne/prague-5g-security-conference-announced-series-of-recommendations-the-prague-proposals-173422/，2020年9月19日最后访问。相应的，欧盟在其《5G网络安全协调风险评估报告》中也强烈认可非技术性漏洞威胁的存在。(70)参见EU Coordinated Risk Assessment of the Cybersecurity of 5G Networks, NIS Cooperation Group (Oct. 2019), p.22, https://g8fip1kplyr33r3krz5b97d1-wpengine.netdna-ssl.com/wp-content/uploads/2019/10/Report-EU-risk-assessment-final-October-9.pdf，2020年9月19日最后访问。
然而，这样宽泛的信心标准会给整个供应链生态系统带来巨大的负面影响。首先。一国的软环境当是国家主权范围内的保留事项，软环境水平与各国国情息息相关，对于软环境安全水平的评价并不存在统一的标准。其次，将软环境安全水平纳入信心标准，为行使对外干涉开辟了路径。最后，供应商的职责与目标是提供安全的产品与服务，他们并无能力左右软环境水平的高低。将不在供应商能力范围内的因素纳入对其的评判标准是不合理的，助长了泛安全化、经贸问题政治化的实现路径。软环境因素只是对技术安全的支撑和保障，他们只能作为辅助判断手段，最终还是得回归以技术检测所显示的安全程度为准。因而，正如华为公司在其网络安全立场文件中所声明：“华为始终提供安全的产品和服务，并愿意为此接受任何的第三方安全检测。”(71)Huawei's Position Paper on Cyber Security, Huawei (Nov. 2019), http://www-file.huawei.com/-/media/corporate/pdf/public-policy/huaweis_position_paper_on_cybersecurity.pdf，2020年9月19日最后访问。这样一种以第三方安全评估为依据的安全验证方式才是符合逻辑与现实安全需要的，其合理性也在实践中得到了一定程度上的认同。(72)如华为已被接纳于英国、德国、加拿大、比利时等国设立网络安全中心，用以验证和核实相关产品与技术。特别是在英国，华为网络安全评估中心监督委员会(HCSEC)在设立后持续发布年度报告，起到了良好的监督协调职能。美国东西方研究所2020年6月发布的《化解技术民族主义》研究报告也肯定了这一思路，并提出了建立区域和行业层级的安全测试与评估中心的建议方案。(73)参见Andreas Kuehn & Bruce McConnell, Weathering TechNationalism, EastWest Institute (Jun. 2020), https://www.eastwest.ngo/sites/default/files/ideas-files/weathering-technationalism.pdf, 2020年9月19日最后访问。
5.无法协调的防扩散机制。GGE供应链规范要求“各国应设法防止恶意信通技术工具和技术的扩散”，但首先，不同国家对恶意信通技术工具和技术的理解上存在显著差异。以网络监控技术为例，在西方特别是注重个人隐私的欧洲，更倾向于从保护人权的角度将此类技术视为恶意信通技术。(74)参见Kanetake Machiko, The EU’s dual-use export control and human rights risks: the case of cyber surveillance technology. Europe and the World: A law review, UCL Press, Vol. 3(1): 3, 2019,然而在中国、印度等人口规模庞大、社会成分复杂的国家，监控技术可以很好地服务于社会稳定与国家安全，并不当然被视作是恶意的。此外，“防止恶意信通技术工具和技术扩散”的规范当前对中国而言是较为不利的。对于美国等西方国家来说，其早已开始关注通过对《瓦森纳安排》的更新来纳入对网络技术的出口管制。英国和澳大利亚等国已相继表态，以《瓦森纳安排》纳入对恶意信通技术工具的管控可视为是对GGE供应链规范中防扩散条款的有效执行措施。(75)参见Non-Paper on Efforts to Implement Norms of Responsible State Behaviour in Cyberspace, as Agreed in UN Group of Government Expert Reports of 2010, 2013 and 2015, UK Submission to OEWG (Sep. 2019), p.14, https://s3.amazonaws.com/unoda-web/wp-content/uploads/2019/09/uk-un-norms-non-paper-oewg-submission-final.pdf，2020年9月20日最后访问；Australian Paper - Open Ended Working Group on Developments in the Field of Information and Telecommunications in the Context of International Security, Australian Submission to OEWG (Sep. 2019), https://unoda-web.s3.amazonaws.com/wp-content/uploads/2019/09/fin-australian-oewg-national-paper-Sept-2019.pdf，2020年9月20日最后访问。然而，当前中国并非《瓦森纳安排》成员国，短期内也无加入《瓦森纳安排》之可能，国际上又尚缺乏其它类似的防扩散控制体系。在西方国家看来，中国作为全球网络设备等战略物资的重要供应商，若无针对其技术出口行为的国际规制，持续将其排除于多边机制之外，无法真正意义上做到防止恶意信通技术和工具的扩散。(76)参见Expanding and sustaining dialogue between China and the Wassenaar Arrangement, Saferworld (Jan. 2015), p.12, https://www.saferworld.org.uk/resources/publications/873-expanding-and-sustaining-dialogue-between-china-and-the-wassenaar-arrangement，2020年9月20日最后访问。而GGE供应链规范中防扩散条款的设置，恰恰可用以弥补这一缺陷。此外，也正是由于《瓦森纳安排》的存在，GGE供应链规范在一定程度上授予了其控制向中国进行技术转让的合法性。西方国家内部针对《瓦森纳安排》名单是否需纳入入侵软件工具的持续争论已表明，大部分技术和工具本身并不具有与生俱来的善恶之分，是否为恶意在很大程度上依赖于使用者决定如何使用上(例如入侵软件既可被用于反恐侦查，也可被用于破解用户或他国政府、企业的机密文件)。故而对西方国家而言，在人工智能等伴随伦理考验的新兴科技不断兴起的当下，若借以将芯片、系统等信通技术产品与服务以潜在的恶意为由纳入更新后的《瓦森纳安排》时，实施针对中国的技术禁运措施便更具可操作性，(77)参见Brigitte Dekker & Maaike Okano-Heijmans, The US-China trade-tech stand-off and the need for EU action on export control, Clingendael (Aug. 2019), pp.9-10, https://www.clingendael.org/sites/default/files/2019-08/Report_US-China_stand-off.pdf，2020年9月20日最后访问。同时从出于防止恶意信通技术和工具流入中国以避免其成为不受控制的扩散源的目的而言，也更有利于占据道义制高点。
三、新供应链规范体系建构与总规范提议
尽管GGE供应链规范作为指引性而非拘束性条款，对条文表述精确性上的挖掘难免显得过于苛求，但上述分析也帮助我们看到可进一步改进的空间。本部分提出应站在供应链生态系统的高度，在兼顾各方利益关切的基础上构建总体安全观，并在该安全观的指引下提出一条总规范。以该总规范为出发点，未来应努力就其中各项要件加以更为细致的解释和补充，通过各种途径逐步推动其成为国际共识，进而维护网络空间的和谐秩序，构建网络空间命运共同体。
(一)确立供应链生态系统总体安全观
在结合技术安全与环境安全的基础上，供应链生态系统总体安全观可简要表示为图1：
图1：供应链生态系统总体安全观架构图
若以“一体四面”来形容，则该总体安全观要求在确保供应链生态系统之总体安全水平下，具体注重以下四个方面的区分与统一：
第一，对经由供应链产出的产品和服务的安全与供应链生态系统的总体安全加以区分，强调二者属于不同层面但又互相联系：前者为用户安全需求所直接指向的对象，是供应链安全的关键一环；而后者才是国家战略层面的关注焦点，是供应链安全的全貌。产品和服务的技术安全对应于总体安全观中的“技术安全观”，软环境因素则对应于总体安全观中“环境安全观”。二者之间在一般情况下存在明显分野，不得互相干预。细言之，“技术安全观”不能直接以软环境因素作为衡量标准，须以技术本身之安全性为主进行判断。反之，以“技术安全观”受损倒推回来要求软环境的改变也是不合理的。同理，“环境安全观”也不会因技术安全得到提升而自动实现，必须促进国际上稳健的法律政策环境予以保障。若以中美围绕5G安全纷争作为分析，美国逻辑的内在冲突是其对产品和服务安全水平标准上的宽泛性与供应链总体安全观下“技术安全观”的狭隘性间的冲突。以中国的软环境因素为理由声称本国的技术安全受到威胁，这突破了两面间的分野，在该结构中的逻辑是难以成立的。当然，美国也可辩称同样有着基于“环境安全观”的忧虑，但此时它便不能否认有保障供应链环境安全的必要性，针对华为等的政策打压将是站不住脚的。
第二，在产品和服务安全项下，对技术安全与软环境安全加以区分，二者对于用户安全需求的重要性位阶显著不同。首先，技术安全作为终端用户对所需产品和服务的核心需求，在可验证的情况下应作为唯一衡量标准，可靠的方式如经由可信第三方的验证。此举是为了避免安全标准过于泛化和主观化，导致供应商处于不利地位而贬损商业信心，同时也是为了防止外来的不公平干预。其次，只有当技术安全验证不可行的时候，才可以引用软环境因素作为对技术安全能否达到终端用户安全需求的补充衡量。
第三，对总体安全观下发达国家关注的供应链“技术安全观”与发展中国家关注的供应链“环境安全观”加以区分，并强调二者在贡献于供应链生态系统总体安全时的统一性。通过本文分析已可得知，供应链不仅会被用作实施恶意网络攻击的工具，也可被用于推行干涉政策的工具，无论是技术安全抑或是环境安全，都在供应链不安全的威胁之下，因而为了确保供应链总体安全，必须对二者予以同等兼顾，如此才能调和当前不同阵营国家间的利益冲突。
第四，在各安全观下进一步区分出积极义务和消极义务。融合了积极义务与消极义务的规范不仅在内容结构上更为全面，同时由于积极义务能促成监督消极义务执行的机制，也更有利于规范的实施。(78)参见Oleg Demidov & Giacomo Persi Paoli, Supply Chain Security in the Cyber Age: Sector Trends, Current Threats and Multi-Stakeholder Responses, UNIDIR (2020) , https://css.ethz.ch/content/dam/ethz/special-interest/gess/cis/center-for-securities-studies/resources/docs/UNIDIR_Supply-Chain-Security-in-the-Cyber%20Age.pdf，2020年9月20日最后访问。在“技术安全观”下，积极义务要求国家应采取合理措施保障供应链安全。中国所提倡的当发现产品存在严重安全缺陷或漏洞时，须及时通知的义务即在此限。(79)参见联合国信息安全开放式工作组中方立场文件，https://www.un.org/disarmament/wp-content/uploads/2019/09/china-submissions-oewg-ch.pdf，2020年9月20日最后访问。消极义务可涵盖国家不得对供应链产品和服务进行干预，(80)参见Advancing Cyberstability: Final Report, Global Commission on the Stability of Cyberspace (Nov. 2019), https://cyberstability.org/wp-content/uploads/2019/11/Digital-GCSC-Final-Report-Nov-2019_LowRes.pdf，2020年9月20日最后访问。避免在大众市场的商业技术产品中插入或要求设置“后门”等。(81)参见Brad Smith, The need for a Digital Geneva Convention, Microsoft (Feb.2017), https://blogs.microsoft.com/on-the-issues/2017/02/14/need-digital-geneva-convention/，2020年9月20日最后访问。在“环境安全观”下，积极义务可囊括国家采取各种措施努力提升政策、法律、市场等软环境安全水平，包括建立风险预警体系、产品认证体系、咨询决策体系等。(82)参见Ariel E. Levite, ICT Supply Chain Integrity: Principles for Governmental and Corporate Policies, Carnegie Endowment for International Peace (Oct. 2019), pp.3-4, https://carnegieendowment.org/files/Levite_SupplyChain_final.pdf，2020年9月20日最后访问。而消极义务则可包含要求“各国不得营造不公平公正的歧视性营商环境，不得滥用‘国家安全’理由限制正常通信技术发展与合作，不得限制信息通信技术产品的市场准入及高新技术产品的出口”等。(83)参见联合国信息安全开放式工作组中方立场文件，https://www.un.org/disarmament/wp-content/uploads/2019/09/china-submissions-oewg-ch.pdf，2020年9月20日最后访问。
(二)总规范之构成要素与提议
在供应链生态系统总体安全观指引下构建的总规范，应具备哪些构成要素？根据学者玛莎·芬纳莫尔等对网络规范的解析，规范可具体解构出四大要件，分别为：身份(identity)、行为(behavior)、适当性(propriety)和集体期望(collective expectation)。(84)参见Martha Finnemore & Ducan B. Hollis, Constructing Norms for Global Cybersecurity, The American Journal of International Law, Vol.110: 3 (July 2016), p.438-439.
身份指的是该规范意图规制的行为主体。对供应链安全而言，其不仅受国家行为体的威胁，在很大程度上也受非国家行为体的威胁。尽管UN GGE与OEWG作为在联合国下开展的进程而使其讨论的规制对象多局限于国家，但从保障供应链总体安全的角度出发，新规范的调整范围应足够囊括国家与非国家行为体。(85)参见吕晶华：《供应链安全国际治理制度体系分析》，载《信息安全与通信保密》2020年第4期。正如GCSC在报告中所指出的：“非国家行为体也必须承担在网络空间中规范行为的责任，它们必须克制或采取积极措施，以确保网络空间的稳定。”(86)Advancing Cyberstability: Final Report, Global Commission on the Stability of Cyberspace (Nov. 2019), https://cyberstability.org/wp-content/uploads/2019/11/Digital-GCSC-Final-Report-Nov-2019_LowRes.pdf，2020年9月20日最后访问。
行为指的是制定该规范之集体对成员如何行为的期望。从上一部分的分析可以得出，各方在供应链生态系统总体安全观下所期望的行为应兼具“技术安全观”与“环境安全观”下的积极与消极义务。但具体而言有哪些义务应以更为细致的新规范或其它形式的配套文件予以补充和明确。
适当性指的是该规范所期望之行为的正当性依据，即该规范为何可被集体成员接受为是恰当的。前文已经指出，供应链规范与国际法已有原则和规则间存在紧密联系，国际法可为供应链规范提供大量理论支撑。除了国际法外，供应链规范还可从更广范围中获取理论支持，包括社会道德、行业习惯等。
最后，集体期望指的是根据规范意图争取到的共识范围，决定其在表述上的精细程度。一项表述模糊的规范无疑能兼顾更多成员的利益，从而扩展规范获得内化(internalization)的范围，(87)经过“内化”的规范才能真正起到行为指引作用，否则只能是还停留在所谓“Quasi-Norms”的倡议阶段，尽管可能会被遵守，但缺乏对行为的预测和评价效力。参见Toni Erskine & Madeline Carr, Beyond ‘Quasi-Norms’: The Challenges and Potential of Engaging with Norms in Cyberspace, in Anna-Maria Osula & Henry Rõigas ed., International Cyber Norms: Legal, Policy & Industry Perspectives, Tallinn: NATO CCD COE Publications, 2016, pp.87-109.但也存在成员基于理解上的偏差而在实践中发生混乱的风险。一项表述精确的规范尽管能给各方提供明确的行为指引，但所能满足的利益取向往往是特定的，能够吸引的成员范围有限，对该规范心怀不满者便不会参与该规范。此外，就算心怀不满者迫于被孤立的风险而参加该规范，也还存在表面上接受但不诚心遵守(insincere conformity)的现象。(88)如有学者指出中国对其所缔结之中美网络安全协议中有关网络商业间谍行为之规则就是一种“不诚心遵守”的体现。参见Martha Finnemore & Ducan B. Hollis, Constructing Norms for Global Cybersecurity, The American Journal of International Law, Vol.110: 3 (July 2016), p.443.尽管此时该规范仍能起到较好的行为指引作用，但由于成员并无内心的信服，分歧仍不可避免，并且由于缺少法律确信而阻碍了规范向国际习惯法的形成过渡。因此，就供应链生态系统总体安全观下的总规范而言，笔者倾向于取较为宏观的表述，以图兼顾各方利益，吸引最大共识，确保供应链总体安全观的实现。后期各方可在这一总规范指导下，结合最佳实践细化出更多具体规范。
综合以上分析，本文提出如下之总规范表述：“国家和非国家行为体应当秉持善意，积极采取合理措施，确保供应链的(完整性与)安全性及其所依赖之软环境的可靠性，同时避免采取措施干预供应链的安全与稳定，保障供应链中各方主体可持续的安全需求。”
其中，“秉持善意”首先体现中国一贯的和平利用网络空间的主张，是构建持久和平的网络空间命运共同体的内在要求。(89)参见世界互联网大会组委会：《携手构建网络空间命运共同体》，载中央网信办网站，http://www.cac.gov.cn/2019-10/16/c_1572757003996520.htm，2020年9月20日最后访问。意味着“在国际法的解释和适用上，必须秉持善意，以有利于实现持久和平为出发点，准确理解和切实贯彻主权平等、不干涉内政、不使用武力、和平解决国际争端等国际法原则”。(90)徐宏：《人类命运共同体与国际法》，载《国际法研究》2018年第5期，第6页。其次，“秉持善意”也是对国际法上善意原则的体现，提示行为者在国际法律生活的范围内善意行为。(91)参见[法]M·维拉利：《国际法上的善意原则》，刘昕生译，载《国外法学》1984年第4期。善意原则要求国家禁止滥用自身权利，(92)参见Steven Reinhold, Good Faith in International Law, UCL Journal of Law and Jurisprudence, Vol.2 (2013), pp.40-63.因而可限制国家将对ICT供应链必要的技术管制或国家安全审查滥用作政治工具，通过附加不公正条件而限制技术自由贸易的行为。
尽管“合理措施”的含义尚待明确，但相关争议不适合也难以在一条总规范中予以解决。对合理措施的判定应结合业界已有的供应链安全风险管理实践，并考虑不同平台机制间的平衡协调。(93)参见Oleg Demidov & Giacomo Persi Paoli, Supply Chain Security in the Cyber Age: Sector Trends, Current Threats and Multi-Stakeholder Responses, UNIDIR (2020) , https://css.ethz.ch/content/dam/ethz/special-interest/gess/cis/center-for-securities-studies/resources/docs/UNIDIR_Supply-Chain-Security-in-the-Cyber%20Age.pdf，2020年9月18日最后访问。同时，总规范中“确保供应链的(完整性与)安全性及其所依赖之软环境的可靠性”与“同时避免采取措施干预供应链的安全与稳定”作为分别对总体安全观下积极义务和消极义务的提及，也可对未来合理措施的明确起到一定的指引作用。此外，对合理措施的判定还应灵活考虑能力因素，“促进规范实施的路线图应与各国家或区域自身的独特处境和能力相适应” 。(94)Canada’s response to questions in Chair’s paper: February 2020 OEWG meeting, https://unoda-web.s3.amazonaws.com/wp-content/uploads/2020/03/canada-responses-to-oewg-chair-questions-Feb-26.pdf，2020年9月16日最后访问。因而，今后不仅需要增进各方对负责任国家行为规范具体推进措施的理解与适用，搭建由规则共识到行为共识之间的桥梁，还需就信任措施、能力建设等配套方面的最佳实践加强沟通和交流。
“各方主体可持续的安全需求”将总规范对供应链安全的保障范围扩展到所有参与方。以“安全需求”代替“安全信心”，目的是鼓励开发更客观的安全标准与认证措施，避免导向主观化与政治化。施加“可持续”一词的限制是为了制约任何一方采取损害双边乃至多边信任关系的单边举措，鼓励合作而非对抗。“可持续”一词也同时体现了安全需求的动态性特征，意味着一段时期内的安全性波动是可接受的状态，若有关方能及时采取纠正措施，持续的信赖关系仍可维系。
最后，由于总规范已经突破了单纯的完整性保障，并在技术安全外纳入了环境安全，对于防止恶意信通技术和工具的扩散，以及不得利用信通技术从事安置“后门”等有害隐蔽功能的具体行为，应作为具体义务留待特殊规范去处理。现阶段中国无需过度强调，以避免部分西方国家在围绕《瓦森纳安排》等推动规范执行的机制上快速结成“同理念国家”阵营。
结语
负责任国家行为规范作为网络空间软法治理的主要表现形式，在当前各方对国际法具体规则的适用缺乏共识的背景下，正表现出强大的吸引力。这类规范灵活、自愿、非约束性的特点尤其适合解决由互联网发展所带来的新问题，以弥补现有国际法和国际机制在网络空间发展中的滞后性。在以5G为代表的供应链安全问题持续升温的过程中，供应链规范正是各方可赖以维护网络空间秩序的有效治理途径。尽管网络领域的供应链规范正呈现快速增长的态势，国际共识仍仅局限于2015年UN GGE报告中达成的GGE供应链规范，且其中仍不乏缺漏和隐患。对此，应在结合美国等发达国家对技术安全的利益关切与中国等发展中国家对环境安全的利益关切的基础上，构建供应链生态系统总体安全观。在本文所提之总规范的指导下，各方可在未来的研究和谈判中逐渐补充新的具体规则、规范、标准或指南，增强其指引性和可操作性，为安全稳定的全球ICT供应链提供制度保障。
