2019年中国网络安全发展形势展望

【内容提要】 展望2019年，全球网络安全形势仍然严峻，个人信息与商业数据遭遇大规模泄露与违规利用，针对关键信息基础设施的恶意网络攻击频发，各国在网络空间对 抗态势进一步加剧。面对新情况，如何加强网络安全建设？更好地应对网络安全威胁？更有力地保障国家安全？赛迪智库提出了开展信息技术产品的审查工作，提升新兴领域的安 全防范能力；提升自主研发实力，构建核心技术生态圈；借助“一带一路”积极与其它国家合作，增强我国网络空间话语权；推进网络可信身份建设，构建可信网络空间；加强安全制度建设，全面保护关键信息基础设施等对策建议。

2018年，我国网络安全技术产品取得新成就，人才队伍建设不断加强，网络安全产业发展势头强劲，网络安全形势整体向好。展望2019 年，全球网络攻击事件将更加频发，全球网络对抗态势将进一步升级， 各国将更加重视数据安全治理。我国网络安全能力建设工作将继续强 化，但需要处理好网络威胁监测技术仍待加强、信息技术产品自主可控 生态亟待建立、网络可信身份生态建设尚需强化和关键信息基础设施的 网络安全保障体系仍不完善等问题，以提升我国网络安全保障能力。

世界经济论坛《2018年全球风险报告》中首次将网络攻击纳入全球 风险前五名，成为2018年全球第三大风险因素。一是软硬件设备安全漏 洞频出给生产生活带来严重威胁。1月，英特尔公司爆出“幽灵”“熔 断”两个处理器漏洞，导致恶意程序可获取敏感信息。英国皇家战略研 究所公布报告，指出当前核武器系统存在大量明显安全漏洞，网络攻击 破坏核武器控制装置的风险极大。3月，英国政府通信总部发现家用新型 智能电表存在安全漏洞，威胁数百万物联网设备安全，甚至可能影响国 家电网的正常运转。4月，黑客利用思科高危漏洞发起攻击，20余万台思 科设备受到影响。二是多行业关键信息基础设施遭受攻击。1月，荷兰三 大银行网络系统在一周内不断遭受分布式拒绝服务攻击。6月，美国赛门铁克公司发现黑客组织针对美国和东南亚国家卫星通讯、电信、地理太 空拍摄成像服务和军事系统进行网络攻击。9月，西班牙巴塞罗那港与美 国圣地亚哥港相继遭受网络攻击。11月，美国国土安全部称黑客多次试 图破坏美选举系统。三是个人信息与商业数据遭遇大规模泄露与违规利 用。4月，美媒报道特朗普大选期间聘用的“剑桥分析”从2014年起违法 收集脸谱网上5000多万名美国用户的数据，用于预测和影响选民的大选 投票取向。9月，脸谱网称遭受黑客攻击，5000多万用户的个人隐私信息 面临风险。

2019年，随着人们生产生活对网络信息系统依赖性的增强，网络攻击事件的数量仍将不断增多，影响范围也将更加广泛。

网络空间已成为各国争夺的重要战略空间，各国采取多种措施不断 谋求增强网络防御和对抗能力，网络空间对抗态势不断加剧。一是顶层 规划中网络对抗战略意图明显。美国本年内发布两项重要国防战略，均 显示出明显网络对抗战略意图。7月，发布《2019年国防授权法案》，明 确将中国、俄罗斯等国列为美国国家安全“威胁”，建议增加网络冲突 前线的军事部署。9月，发布《国防部网络安全战略》，指出中国和俄罗 斯对美国及其盟国的战略性威胁正在增大，为防范网络攻击要进行先发 制人。二是完善网络空间作战机构设置。5月，美国网络司令部升格为独 立作战司令部。8月，日本防卫省宣布将组建专门部队保护国防通信网络 免受攻击。10月，北约提出将成立网络指挥部，以全面及时掌握网络空 间状况。三是强化多方合作。一方面加强政企合作。5月，日本防卫省决 定将部分网络防卫任务委托民间企业。6月，美国组织军队、政府和产业 界专业人员共同开展“网络极限2018”演习。另一方面推动国际合作。4 月，北约举行“锁定盾牌”网络战演习，吸引了来自30多个国家的千名 网络安全专家参加。6月，立陶宛宣布欧洲联盟9个成员国将成立快速回 应小组对抗网络攻击。四是不断深化网络武器研发。4月，韩国国防部 表示将在2019年前投入29亿韩元开发智能型信息化情报监视侦察系统。7 月，美国国防部开发新网络武器系统，以发动对“伊斯兰国”的在线攻 击，并保护美国免遭敌对政府的黑客攻击。

2019年，随着相关国家网络空间政策的调整以及网络军事力量建设 加速，网络空间争夺将掀起新高潮。

数据已成为国家重要战略资源和生产要素，针对数据的网络攻击 以及数据滥用问题日趋严重，提升数据安全治理水平刻不容缓。一是 进一步完善数据安全保护法律法规。5月，欧盟《通用数据保护条例》（GDPR）正式生效，欧盟国家，如爱尔兰、西班牙、比利时与塞尔维亚 等国参照GDPR研究制定或发布国内数据保护相关规定；非欧盟国家，如 阿根廷、巴西、伊朗、印度、泰国等国也调整其数据保护法规与GDPR保 持一致。二是加紧研究数据跨境流动规则。4月，巴西向世界贸易组织提 交文件，敦促对互联网数据流动的规则展开讨论。7月，日本和欧盟达成 协议，将实现双方数据自由流动。10月，欧盟议会通过《欧盟非个人数据自由流动条例》, 消除欧盟成员国数据本地化的限制。三是大力推进 数据安全执法检查。1月，美国联邦贸易委员会对伟易达处以65万美元罚 款，因其安全漏洞导致数百万家长和孩子的数据遭曝光。2月，比利时 一法院判定，脸谱网在比利时网民不知情的情况下搜集和保存其上网信 息，违反比利时隐私法。8月,韩国政府开始对20家跨国公司在韩办事处 开展用户数据安全审查。10月，欧洲数据保护监督官员称，预计2018年 底对外公布第一批依据GDPR处罚的情况，并实施制裁。

2019年，数据安全风险将更加突出，各国将继续完善相应法规体 系，积极开展相关执法检查。

为了应对日益复杂的网络安全形势，确立网络空间优势，我国不断从技术研发、人才培养等方面加强网络安全能力建设。一是不断推出网络安全新技术新产品。8月，阿里云发布云盾Web应用防火墙，能够对 网站业务流量进行恶意特征识别及防护，将正常、安全的流量回源到服 务器。8月，启明星辰发布物联网安全接入防护系统IoT－VBox，该系统 能够全面监测物联网系统中各终端的安全状况，同时开发了在线物联网 终端学习算法，对终端的数据流内容进行建模，当终端被植入木马时， 能够实现阻断报警防护。9月，永信至诚推出e春秋网络安全实验室靶场 平台，并利用该系统承办了多次大型网络安全竞赛。二是不断加强网络 安全人才培养力度。一方面，武汉市和四川省政府先后出台《关于支持 国家网络安全人才与创新基地发展若干政策的通知》和《信息安全专项 资金补贴》等政策，加强对网络安全高层次人才的培养和引进。另一方 面，网络安全竞赛如火如荼的开展。8月由公安部和国家密码管理局指导 的“网鼎杯”顺利举行，大赛吸引了超过两万名选手参赛。11月，由中 央网信办指导的“湖湘杯”网络安全技能大赛顺利开展，该比赛是2018 中国（长沙）智能制造大会的重要组成部分，目的是发现和培养高端网 络安全人才。三是网络安全企业通过多渠道合作优化网络安全生态环 境。3月，华为主导发起“华为安全商业联盟”，通过联合安全解决方案 深度整合联盟伙伴的安全服务，解决单一厂商较难为用户提供全面完整 网络安全解决方案的问题。8月，腾讯联合启明星辰、卫士通、立思辰等 在内的15家上市公司，成立上市企业协作共同体，旨在搭建中国互联网安全企业的协同平台。 2019年，我国将继续加强对网络安全核心技术研发的支持，强化网络安全复合型人才的培养力度，鼓励企业通过多种方式开展合作，进一 步提高我国的网络安全能力。

近年来，我过对网络安全的重视程度日益提高，围绕网络安全法不 断推出法律法规，网络安全产业发展环境不断优化。网络信息内容管理 方面，国家互联网信息办公室发布了《互联网新闻信息服务管理规定》和《互联网信息内容管理行政执法程序规定》，一方面规范传统新闻媒 体的互联网新闻采编、转载和传播行为，另一方面规范互联网信息内容 管理执法全流程。此外，国家互联网信息办公室还出台了多项法律文 件，规范微博、公共账号、群组和社区论坛等主体的网络信息内容发布 行为。关键信息基础设施安全保护方面，出台了《关键信息基础设施安 全保护条例（征求意见稿）》，从关键信息基础设施范围、运营者安全 保护、产品和服务安全等方面阐述了相关保护条例。网络产品和服务管 理方面，出台了《网络产品和服务安全审查办法（试行）》，对安全审 查的试用范围、内容和机构等进行了规定。个人信息和重要数据保护方 面，《个人信息和重要数据出境安全评估办法（征求意见稿）》对出境 数据评估的条件和内容做了阐述。

2019年，我国将会继续完善网络安全相关法律法规，出台系列网络安全标准体系，进一步优化网络安全产业的发展环境。

长期以来，我国网络安全核心技术受制于人，在网络攻防技术发 展日新月异的今天，我国应对网络安全威胁的能力相对于发达国家处于 劣势。一是信息技术安全监测能力不强。我国对进口网络信息技术和产 品的监测分析以合规性评测为主，很少涉及软件核心技术，规模化、协 同化漏洞分析评估能力较低，难以发现产品的安全漏洞和“后门”，同时在大数据分析、可信云计算、安全智能联动等重要方面的技术实力不足，难以应对新兴信息技术产品的安全监测工作。二是网络攻击追溯能力不足。目前，我国对于海量网络数据缺乏有效的分析方法，对APT等新型安全威胁的监测技术不成熟，即便监测到这种威胁，由于缺少回溯手 段，也难以找出攻击源头。

目前，我国对国外信息技术产品的依赖度较高，CPU、内存、硬盘和 操作系统等核心基础软硬件产品严重依赖进口。如CPU主要依赖英特尔和 AMD等厂商；内存主要依赖三星、镁光等厂商；硬盘主要依赖东芝、日立 和希捷等厂商；操作系统则被微软所垄断。2017年，欧美跨国企业提升了 核心技术的开放程度，国内信息技术产业曾出现新一轮引进式的创新热 潮。然而，2018年，随着中兴事件和中美贸易战的持续发酵，各界人士 逐渐在构建信息技术产品自主可控生态方面达成共识。一方面是亟需研 发出可用乃是好用的核心信息技术产品，另一方面是亟需对自主可控的 网络产品和服务进行评估、扶持和推广，进而构建良好自主可控生态。

《网络安全法》明确提出，“国家实施网络可信身份战略，支持 研究安全和方便的电子身份认证技术，推动不同电子身份认证之间的互 认”。然而目前，我国网络可信身份生态建设仍需强化。一是网络可信 身份体系建设缺乏顶层设计，统筹规划和布局尚不明晰。我国还未明确 将网络身份管理纳入国家安全战略，也未形成推进网络可信身份体系 建设的整体框架和具体路径。二是身份基础资源尚未实现广泛的互联互 通，基础设施重复建设现象严重。由于缺乏战略设计和统筹规划，我国网络可信身份基础设施共享合作相对滞后，导致基础可信身份资源数据 库还未实现广泛的互通共享，使得数据核查成本较高、效率较低。三是 认证技术发展滞后，还不能满足新兴技术和应用的要求。云计算、大数 据、移动互联网、工业互联网等新一代信息技术不断涌现，新兴技术和 应用环境中数据的传输、存储、处理等方式与传统信息技术及应用存在 重大差异，已有身份认证技术、手段和机制还不足以支撑新技术、新应 用的发展。因此，亟需开展针对性的研究，尽快制定国家网络可信身份 战略，创建可信网络空间。

关键信息基础设施是国家至关重要的资产，一旦遭到破坏、丧失功 能或者数据泄漏，不仅将可能导致财产损失，还将严重影响经济社会的 平稳运行。随着金融、能源、电力、通信等领域基础设施对信息网络的 依赖性越来越强，针对关键信息基础设施的网络攻击不断升级，且带有 国家背景的高水平攻击带来的网络安全风险持续加大。但我国关键信息 基础设施的安全保护力度仍然不足。一是网络安全检查评估机制不健全。 当前的网信安全检查侧重漏洞发现，缺乏对漏洞修复的激励措施，同时 缺少对漏洞的危害等级的评估体系。二是关键信息基础设施安全保障工作 存在标准缺失的问题。尽管行业内已加速开展相关标准的研究工作，包 括安全保障指标体系、安全检查评估指南以及信息共享规范等方面，但 仍缺少金融、电力和通信等细分领域的安全保障标准研究。面对日益严 峻的网络安全挑战，我国应尽快完善关键信息基础设施安全保障体系。

开展信息技术产品，尤其是新兴领域信息技术产品的审查工作。一 是加紧出台大数据、人工智能、云计算、物联网等新兴技术领域的政策法规，强化信息技术产品审查工作的重要性。二是积极制定新兴领域信 息技术产品的安全保护标准，界定相关产品的核心功能和技术，构建评 估产品安全性的指标和实施方案。三是构建信息技术产品的安全审查机 制，定期开展安全审查，加强新兴领域信息技术产品的安全监督工作， 对发现的问题及时进行整改，同时加大安全事件的执法力度，依法依规对 涉事企业进行严厉处罚。四是提升安全审查的技术手段，推动网络安全态势感知平台的建立，实现业务监控、溯源取证、安全事件响应等功能。

一是统一信息领域核心技术发展思路。摒弃自主创新和引进消化 吸收之间的路线之争，改变以出身论安全的思路，形成信息技术产品安 全可控评价标准，组织开展评价工作，引导厂商提升自主创新能力和产 业生态掌控能力。二是优化核心技术自主创新环境。强化企业的创新主 体地位，着力构建以企业为主体、市场为导向、产学研相结合的技术创 新体系。提高企业创新积极性，继续以基金等形式支持企业通过技术合 作、资本运作等手段争取国际先进技术和人才等，为企业充分利用国际 资源提升自主创新能力提供支撑。三是构建核心技术生态圈。依托政 府、军队等安全要求较高的应用领域，结合应用单位基本需求，制定自 主生态技术标准，统一相关技术产品的关键功能模块、技术接口等，依 托自主可控评价等手段，引导企业协同创新，推动产业上下游企业团结 协作，打造自主可控生态圈。

借助“一带一路”积极与其它国家开展一系列信息技术领域的合 作，一方面有效带动我国基础信息设施发展相对滞后的中西部地区，增 强其抵御外部网络侵略的意识与力量，筑就我国的“网络长城”；另一 方面形成信息技术研发和信息技术产品推广的跨境联盟，更大程度地释 放互联网所集聚的能量，推动网络强国建设，在通信、交通、金融等领 域积极参与国际行业标准的制定，增强我国在世界范围内网络空间的话 语权与影响力。

一是做好网络可信身份体系的顶层设计。借鉴国外做法，结合我 国国情，明确我国网络可信身份体系框架、各参与方在其中的角色和职 责，并细化网络可信身份体系建设的路径，明确组织、资金等各方面保 障，从法律法规、标准规范、技术研发、试点示范、产业发展等多方面 推进体系建设。二是建设并推广可信身份服务平台，推动可信身份资源 共享。通过建设集成公安、工商、CA机构、电信运营商等多种网络身份 认证资源的可信身份服务平台，提供“多维身份属性综合服务”，包括 网络身份真实性、有效性和完整性认证服务，最终完成对网上行为主体 的多途径、多角度、多级别的身份属性信息的收集、确认、评价及应 用，实现多模式网络身份管理和验证。三是推动多种网络可信身份认证 技术和服务发展，充分利用现有技术和基础设施，加快开发安全和方便 的网络身份技术，跟踪大数据、生物识别和区块链等新兴技术的发展， 不断提高技术的先进性。

一是建立健全关键信息基础设施保护制度。明确保障关键信息基础 设施安全保障的基本要求和主要目标，提出工作任务和措施。二是研究制定关键信息基础设施网络安全标准规范。研制关键信息基础设施的基 础性标准，推动关键信息基础设施分类分级、安全评估等标准的研制和 发布。三是建立健全关键信息基础设施安全监管机制。一方面，健全关键信息基础设施安全检查评估机制，面向重点行业开展网络安全检查和 风险评估，指导并监督地方开展安全自查，组织专业队伍对重点系统开 展安全抽查，形成自查与重点抽查相结合的长效机制；另一方面，完善 关键信息基础设施安全风险信息共享机制，理顺信息报送渠道，完善监 测技术手段和监测网络，加快形成关键信息基础设施网络安全风险信息 共享的长效机制。

（来源：昆仑策网，转自“赛迪智库”）