日本立法强化基础设施安全

文·图/姚虹聿

日本政府计划通过加强立法，督促网络、通信等重要基础设施领域的企业承担更多安全责任。

当地时间7月2日凌晨1时3 5分，日本电信运营商KDDI的移动通信服务系统发生故障，影响范围涉及日本全国，语音通话和数据通信均中断。日本埼玉市政府提醒市民：受故障影响，使用KDDI公司移动通信服务的用户在拨打紧急求助电话时可能无法接通，呼吁市民在紧急情况下使用家中固定电话和公用电话。

据NHK报道，7月3日，KDDI就该公司发生通信故障一事表示，受到此次故障影响的用户总数超过3100万。经过修复，西日本地区于7月3日11时左右恢复正常通信；东日本地区于当日17时30分左右恢复正常通信。

针对关键基础设施出台新法

日本总务大臣金子恭之表示，这次通信系统故障属于重大事故。政府在收到KDDI的正式报告后，将对该公司采取必要措施。

N H K指出，K D D I“撞到了枪口上”——日本政府正计划通过加强立法，督促网络、通信等重要基础设施领域的企业承担更多安全责任。

日本政府于6月17日在首相官邸召开“网络安全战略总部会议”，敲定了有关网络、通信、电力和铁路等重要基础设施企业安全对策的新行动计划。这是近5年来日本首次提出有关基础设施安全的新行动计划，其中明确了企业高层的责任，提出“如因不恰当对策造成损失，企业高层将被追究责任”。

这一新行动计划是日本官民携手强化网络、通信等领域安全的指针。过去针对企业的要求仅停留在“期待高层实施对策”的层面。新计划就重要基础设施防护问题强调，“需要（包括高层在内的）整个组织机构参与应对”。日本政府要求根据企业的规模和特点，构建并保有高效的防护体系，并明确发生事故后的处理办法和赔偿方案等。新计划已经启动立法工作，针对14个关键基础设施领域陆续出台新的法律法规。

近年来，随着电信运营商等日益依赖数字化技术进行操作和监控，网络攻击和信息泄露的可能性越来越大。远程监测和控制技术在基础设施领域扩大应用，使私营部门面临很大的风险，比如植入服务器、路由器及其他设备的非法程序等。人们越来越担心这些设备和服务造成数据泄露。日本政府希望减小设备和信息网络遭受攻击的风险，尤其担心网络、电信系统。

日本政府还计划修订针对上述行业的法律，增加新的条款，要求企业防范安全风险。政府将监督这些企业的合规情况，一旦出现重大问题，将暂停或吊销其运营许可。详细的操作标准在未来出台的法律法规和行动指南中将有所阐述。

对于现代化网络及通信系统来说，技术升级是非常频繁的。但目前对于基础设施运营商升级系统的操作，日本政府尚无要求它们评估安全风险的法律依据——这也是下阶段的一个立法重点。

维修管理难度不小

据日本《读卖新闻》报道，除了防范外部风险，日本各类基础设施自身的问题也有待解决。

近年来，日本新干线车站、桥梁、隧道等基建设施事故频发，存在不少安全隐患。有统计数据显示，在日本全国约70万座桥梁中，有2000座以上处于禁止通行状态，近2400座因安全隐患实施交通管制，须修缮的“问题桥梁”占总数的三四成。虽然日本政府已经意识到问题的严重性，国土交通省专门成立“社会资本老朽化对策会”，制定了“基础设施长寿化计划”，但要全面实施维修管理，难度不小。

首先，日本经济出现重金融、轻实体的倾向，公共设施建设、维护的重要性有所降低。据调查，到2033年，日本公路桥、隧道、水闸等设施迎来“五十大寿”的比例在60%左右。以目前的技术，到2033年的基础设施维护管理和更新费用将为4.6万亿至5.5万亿日元。这还不包括用地费、补偿费和灾害修复费等。很多地方政府和部门都未编列这部分预算。

其次，地方和中央财政都面临压力。日本的绝大部分基础设施主要由地方负责维护管理，但地方政府有70%左右处于“慢性财政困难”状态，有约60%的地方政府认为，以现在的预算规模无法修缮所有基础设施。

再次，人员和技术方面面临困难。随着老龄化和“少子化”的加重，日本的人口正在减少，大都市圈以外的地区更严重。许多地方政府的土木建设部门职员寥寥、技术能力不足，连日常检修工作都难以保证，普遍感到“无力招架”。

为摆脱困境，日本政府不得不实施“紧急对策”，在2019—2021年每年投入3万亿日元，改造和修缮基础设施。未来如何进一步解决这个问题，是日本政府必须考虑的。

须了解学习国外经验

据日本《产经新闻》报道，日本政府和企业逐渐认识到将网络、通信安全纳入国家政策体系的重要性。日本在全球经济中所扮演的角色，决定了日本政府、企业和学术专家须了解并学习国外的网络、通信安全防护经验。

在日本，大型企业回应国家政策（如网络安全要求）的做法，将不可避免地影响整个行业。过去它们采取的做法是“等待政府监管机构下达指示”。

相较而言，美国的做法与之存在巨大差异。美国大型企业本着参与制定政策与监管对策的目的，长期以来一直通过公司的政策团队或行业协会，主动公开地与政府机构接触。美国的行业协会和特定企业，为参与公共政策对话准备了自己的议程及目标、重要技术、操作规范和政策抉择等。

如今，鲜有日本公司在企业内部设立公共宣传团队。虽然企业部门以非正式方式进行沟通讨论，但制定影响政府、日本大众和社会、全球消费者和业务合作伙伴的政策的权力，仍主要掌握在政府监管机构手中。然而，监管机构往往缺乏私营部门所具备的技术和操作知识。

日本相关行业的被动态度给社会和经济带来的负面影响，在网络、通信安全领域显露无疑。网络、通信具有互联性，同时也存在诸多漏洞。日本相关企业须变被动为主动，鼓励高层与政府共享技术和操作方法，以积极正面的态度为安全政策的制定作出贡献。

由于日本9 0%的信息通信技术（ICT）资产归行业所有（其余主要是个人家用设备），行业应当积极主动确保网络空间安全。日本的私营部门和政府机构应当与其他国家合作，制定全球性的政策和标准，以解决跨国界的网络安全问题。企业领导层须了解应该为信息安全、行业合作和公私合作所做的工作。

日本和其他国家的企业对首席信息安全官（CISO）的期望不同。只有63%的日本企业设立了这一职位，而美国和欧洲企业的这一比例分别高达95%和85%。

由于日本企业配备的信息安全专业人员不及美国企业多，再加上日本的企业文化通常不允许从外部招聘高管，所以像美国或欧洲企业那样招聘并指定 CISO的做法，在日本的可行性较小。考虑到日本的企业文化和管理模式，建设网络安全团队将是更加有效的方式。

日本众多KDDI用户受到通信中断的影响