全国政协委员：构建网络安全优势能力导向，对抗国家级高水平攻击

<article><section data-type="rtext">【环球时报-环球网报道 记者 郭媛丹】全国政协委员、安天科技集团股份有限公司创始人肖新光7日接受《环球时报》记者采访时表示，面对复杂的国际形势，网络安全领域应该强化构建战略优势能力的目标导向，以便在应对霸权国家综合打压，甚至面临高烈度安全冲突过程中，能对抗国家级高水平攻击，不会成为重大制约和风险软肋。肖新光介绍，当前网络空间非国家行为体活动持续升级，全球网络犯罪带来的经济损失已经超过实体犯罪，2021年仅网络犯罪使全球经济损失已经超过1万亿美元，网络安全风险处于持续膨胀的状态。此外，相关霸权国家在网络攻击能力上的投入持续增加，导致网络空间军事化加剧，经济社会运行存在因国家背景高强度网络攻击导致失控崩盘的风险。这位网络专家指出，近年来我国网络安全体系和能力建设取得巨大成就，但同时也存在一些短板，“网络空间信息资产分散在各个政企机构所构建的信息体系上，网络安全的防护水平受到建设运营机构的风险意识、技术能力和投入规模的制约。高水平网络攻击表现为持续隐蔽性信息窃取和潜伏预置，被攻击机构难以感知。政企机构自身很难具有足够技术能力与财力，去独立对抗国家级、高水平的网络威胁攻击，需要更多的共性能力支撑与赋能。”近些年美国对我实施网络攻击的例子数不胜数，比如2022年6月份，西北工业大学发布公开声明称，该校遭受境外网络攻击。随后，有关部门在对此案开展技术分析工作时发现，美国国家安全局（NSA）“特定入侵行动办公室”（TAO）在对西北工业大学发起网络攻击的过程中构建了对我一些基础设施核心数据网络远程访问的“合法”通道，对我一些基础设施渗透控制。对于这种情况，肖新光在今年两会期间递交的提案中指出，面对复杂的国际形势，网络安全领域可制定更具进取性的目标——成为国家治理体系中的能力长板，成为相较于主要地缘竞合方的能力优势，在应对霸权国家综合打压，甚至面临高烈度安全冲突过程中不会成为重大制约和风险软肋。他表示，这个目标应该是 “整体防护水平立足于不断缩小与最发达国家间差距并部分超越，相较周边地缘国家具备明显优势，能对抗国家级高水平攻击。”“这项工作很复杂，也有很多困难。”肖新光认为，因此可以在一些方面进行先行先试，其中之一是：将关键信息基础设施的防护水平放到围绕超高能力网空威胁行为体构建“敌情想定”，能够经受最高等级攻击的实战检验看待。 而要达到该目标的要解决的问题之一是应对重要信息系统和关键信息基础设施运营方的安全投入不足。对此，肖新光建议主管部门围绕重要信息系统和关键信息基础设施，完善共性方法指引，依托敌情想定和模拟推演等方式，梳理重要信息系统和关键信息基础设施遭遇攻击向国家安全、社会治理安全和公民个人安全的外溢风险，以风险后果视角重新分析网络安全规划和投入的合理性。肖新光还指出，大部分网络安全事件是攻击者施加于被攻击目标的恶意行为活动，在这些事件中遭受攻击损失的机构兼具责任者和受害者的双重角色。政企机构一方面没有能力发现隐蔽性很强的高级持续性威胁，另一方面出于避责心理，采用瞒报掩盖方式应对网络攻击，影响了网络安全事件的强制性报告制度的落实。“网络安全是一个极为复杂的治理体系，不同政企机构所建设运营的信息系统承载着海量客户信息。这些系统和数据资产与国家安全、社会治理安全、政企机构安全和公民个人安全四个层次息息相关。因此网络安全责任机制不应单纯是建设运营单位的责任机制。”肖新光建议，对于这些被攻击的机构既需要督促追责、整改检查，也需要辅助帮扶，包括增加预算保障等，“对按照高水平完成相关能力建设、按照高要求持续安全运营的政企机构，因遭受国家级高水平攻击造成损失的，适度免责。对发现带有国家和地缘安全背景网络攻击时第一时间上报，发现高价值威胁线索，捕获有价值信息的，提供奖励。”</section></article>

【环球时报-环球网报道记者郭媛丹】全国政协委员、安天科技集团股份有限公司创始人肖新光7日接受《环球时报》记者采访时表示，面对复杂的国际形势，网络安全领域应该强化构建战略优势能力的目标导向，以便在应对霸权国家综合打压，甚至面临高烈度安全冲突过程中，能对抗国家级高水平攻击，不会成为重大制约和风险软肋。

肖新光介绍，当前网络空间非国家行为体活动持续升级，全球网络犯罪带来的经济损失已经超过实体犯罪，2021年仅网络犯罪使全球经济损失已经超过1万亿美元，网络安全风险处于持续膨胀的状态。此外，相关霸权国家在网络攻击能力上的投入持续增加，导致网络空间军事化加剧，经济社会运行存在因国家背景高强度网络攻击导致失控崩盘的风险。

这位网络专家指出，近年来我国网络安全体系和能力建设取得巨大成就，但同时也存在一些短板，“网络空间信息资产分散在各个政企机构所构建的信息体系上，网络安全的防护水平受到建设运营机构的风险意识、技术能力和投入规模的制约。高水平网络攻击表现为持续隐蔽性信息窃取和潜伏预置，被攻击机构难以感知。政企机构自身很难具有足够技术能力与财力，去独立对抗国家级、高水平的网络威胁攻击，需要更多的共性能力支撑与赋能。”

近些年美国对我实施网络攻击的例子数不胜数，比如2022年6月份，西北工业大学发布公开声明称，该校遭受境外网络攻击。随后，有关部门在对此案开展技术分析工作时发现，美国国家安全局（NSA）“特定入侵行动办公室”（TAO）在对西北工业大学发起网络攻击的过程中构建了对我一些基础设施核心数据网络远程访问的“合法”通道，对我一些基础设施渗透控制。

对于这种情况，肖新光在今年两会期间递交的提案中指出，面对复杂的国际形势，网络安全领域可制定更具进取性的目标——成为国家治理体系中的能力长板，成为相较于主要地缘竞合方的能力优势，在应对霸权国家综合打压，甚至面临高烈度安全冲突过程中不会成为重大制约和风险软肋。他表示，这个目标应该是 “整体防护水平立足于不断缩小与最发达国家间差距并部分超越，相较周边地缘国家具备明显优势，能对抗国家级高水平攻击。”

“这项工作很复杂，也有很多困难。”肖新光认为，因此可以在一些方面进行先行先试，其中之一是：将关键信息基础设施的防护水平放到围绕超高能力网空威胁行为体构建“敌情想定”，能够经受最高等级攻击的实战检验看待。

而要达到该目标的要解决的问题之一是应对重要信息系统和关键信息基础设施运营方的安全投入不足。对此，肖新光建议主管部门围绕重要信息系统和关键信息基础设施，完善共性方法指引，依托敌情想定和模拟推演等方式，梳理重要信息系统和关键信息基础设施遭遇攻击向国家安全、社会治理安全和公民个人安全的外溢风险，以风险后果视角重新分析网络安全规划和投入的合理性。

肖新光还指出，大部分网络安全事件是攻击者施加于被攻击目标的恶意行为活动，在这些事件中遭受攻击损失的机构兼具责任者和受害者的双重角色。政企机构一方面没有能力发现隐蔽性很强的高级持续性威胁，另一方面出于避责心理，采用瞒报掩盖方式应对网络攻击，影响了网络安全事件的强制性报告制度的落实。

“网络安全是一个极为复杂的治理体系，不同政企机构所建设运营的信息系统承载着海量客户信息。这些系统和数据资产与国家安全、社会治理安全、政企机构安全和公民个人安全四个层次息息相关。因此网络安全责任机制不应单纯是建设运营单位的责任机制。”

肖新光建议，对于这些被攻击的机构既需要督促追责、整改检查，也需要辅助帮扶，包括增加预算保障等，“对按照高水平完成相关能力建设、按照高要求持续安全运营的政企机构，因遭受国家级高水平攻击造成损失的，适度免责。对发现带有国家和地缘安全背景网络攻击时第一时间上报，发现高价值威胁线索，捕获有价值信息的，提供奖励。”