来源:《新民周刊》
00:46记者|王薇实习生|高盛
那些威胁网络安全的行为越来越难以识别，国家行为和黑客自发组织的界限变得模糊。
未来网络数据安全将在用户、企业平台、政府之间实现动态平衡，逐步得到最优解。
网络安全已经融入人类生活的每一个细节，信任是构建网络安全的基础。但遗憾的是，无论是国与国之间，还是企业与个人之间，目前都没有达成应有的信任，这给网络安全带来了巨大的挑战。真正的网络安全的实现需要所有人的共同努力。
网络安全与“数字主权”
“互联网安全的核心问题是数据安全，数据安全与国家安全息息相关。”谈及当前全球网络安全形势，上海社科院互联网研究中心主任、研究员惠志斌如此表示。
近年来，随着技术的发展，网络安全面临着更加复杂的局面:虚拟和现实的融合更加紧密，这必将使它们之间的风险融合在一起。比如可穿戴设备、无人驾驶等技术逐渐广泛应用，使得网络直接关系到人们的生命安全。如果这个场景的网络安全都无法保证，那么“无人战争”的执行者可能就不仅仅是战场上的无人机这样的武器了。在这种情况下，“国家安全”的范围就扩大了。
数字化浪潮席卷全球，大国在网络安全上的竞争其实不仅仅是在网络层面，背后是它们对在数字化时代失去发展主导权的恐惧。然而，目前主要国家和地区在网络安全的许多重要问题上并没有达成一致，而是充满了不信任。
拜登执政后，这种不信任和打压一直没有停止。2021年4月8日，美国参议院提出《2021年战略竞争法案》，要求拜登政府采取与中国“战略竞争”的政策，以保护和促进美国的“重要利益和价值观”。这个法案的重点是在全球供应链和科技方面与中国进行全面竞争。美国参议院外交关系委员会主席发表声明称:这代表着“前所未有的”两党合作，将调动美国所有的战略、经济和外交工具来抗衡中国日益崛起的全球力量。
4月14日，美国参议院外交关系委员会投票通过了该法案。次日，中国商务部新闻发言人高峰回应称，全球产业链供应链具有公共产品的属性，维护全球产业链供应链的安全符合中国、美国和全世界的利益。
欧盟提出了“数字主权”的概念，以充分维护自身在数字领域的利益。2020年2月，欧盟委员会发布了《塑造欧洲数字未来》、《欧洲数据战略》和《人工智能白皮书》三份文件，涵盖网络安全、关键基础设施、数字教育和单一数据市场等多个方面，形成了欧洲新的数字化转型战略。7月，数字化转型成为“欧盟下一代更新计划”的重要组成部分。欧洲议会发布了《欧洲数字主权》报告，从构建数据框架、促进可信环境、建立竞争和监管规则三个路径提出了进一步的建议。12月，欧盟推出“数字欧洲计划”，宣布欧洲将在未来7年提供76亿欧元，用于建设和扩大欧洲的数字能力，加强其数字主权。
为了给自身在数字领域提供足够的发展空间，欧盟加强了对世界数字巨头的监管。2020年12月，欧盟委员会提交了两项新的数字法案:《数字服务法》和《数字市场法》，对在欧盟运营的社交媒体、在线市场和其他在线平台进行监管。欧盟委员会表示:这两项法案是其欧洲数字十年计划的核心。
在欧盟看来，美国是一个数据保护不完全的国家，欧盟对该国互联网巨头的监管是一项重要任务。一旦这些公司被欧盟认定为通过损害竞争对手来为自己谋利，它们可能会被迫出售在欧洲的业务，并支付数十亿美元的罚款。此外，欧盟还公布了针对美国微软、谷歌等公司的搜索排名规则，要求他们增强这项业务的透明度。
惠志斌告诉《新民周刊》，现有的网络空治理的国际体系存在很多不足。事实上，西方政治联盟治理与政治意识形态的捆绑在网络空中往往是无效的，大量问题的产生超越了传统政治的藩篱。与此同时，随着新兴力量的崛起，包括发展中国家在内的新兴力量都想参与全球网络空治理，但目前还没有强大到可以这样做的程度。
他指出，在当前新形势下，网络安全治理有以下几个关键问题:
首先是人工智能，也就是未来网络空中基于智能算法的话题。在经济、生活、社会、政治、军事等背景下，如何引入AI安全伦理的一系列研究，共同推动治理工作。
其次，物，关键基础设施的保障，这是基于智能的关键基础设施。目前，作为关键基础设施的物联网系统正面临着巨大的威胁。如何通过全球各国、各企业间的协同治理，确保人类共同依赖的关键基础设施，是治理中非常严峻的问题。
然后是国际网络安全面临的“两进两出”和“长臂管辖”的挑战。
“两进”即禁止国外网络安全相关产品进入国内市场和相关外资进入。随着智能网联空时代的到来，只有互联网技术产品互相渗透，保证安全，才更有利于网联空的发展。
“两出口”即禁止国内互联网核心技术出口和国内数据出境。数据是最有效的资源。在各国争夺资源的时候，如何在多层次保障国家、企业、个人隐私和安全的前提下，有效促进数据的流动，而不是完全禁止，也是一个重要的问题。
以美国为代表的“长臂管辖”模式，希望在其他国家的数字世界建立有利于自己的壁垒，改变“数字地理”。
在惠志斌看来，各国在网络安全领域通过建立各自的法律法规体系进行博弈。改变难以达成共识的现状可能需要很长时间。上述问题需要在构建人类命运共同体的理念下逐步解决。
对于跨国互联网公司来说，如何在各国网络安全监管政策不同的情况下合法合规经营，是他们面临的最大挑战。
如何保护个人信息？
目前，用户在享受数字化便利的同时，也要向互联网平台提供大量自己的数据，拥有大量用户信息的平台才具有核心竞争优势。在互联网发展的早期，用户数据只包括浏览记录、行动轨迹、发布内容等零散、笼统的信息。随着移动互联网的发展，智能终端的个性化定制服务已经普及，用户似乎要提供更多的数据来换取更智能、更便捷的服务，其中很多都是关系到个人网络安全的隐私信息。
问题是，用户是经过了标准的知情同意程序，还是实际上“同意”了诸如转让自己的隐私权以换取相对个性化的平台定制服务等操作？
可惜大部分用户的认知是后者。比如，某用户在某电商平台App刚买了一件商品，几分钟后打开某短视频App，收到同类商品的视频广告推送；但是用户从来不会觉得自己授权了这两个app来收集这些信息，交换数据，推送营销。很多人认为这其实是互联网公司未经授权收集用户信息牟利的行为，不仅给用户带来了“不安全”的体验，还有泄露隐私的风险。毕竟不是每个人都愿意在刷短视频的时候被别人发现。
在国外的实践中，一些互联网公司会为用户提供个人信息的“dashboard”设置界面。在这个界面中，用户可以看到企业想要获取哪些个人信息，自己决定向企业提供哪些以及提供多长时间，并可以随时取消授权。在惠志斌看来，这个“仪表盘”要在中国的互联网企业中使用，可能还需要一段时间。
涉嫌侵犯用户个人信息的互联网公司，自律是阻止不了的。个人信息的安全必须通过立法来保障。
关于立法保护用户网络安全，惠志斌表示:中文可以翻译为“安全”，但个人用户想要感受的是“安全”。事实上，企业应该保证用户数据的“安全”。“过去对网络安全的评价依赖于用户自身感知的安全系数，而立法可以明确风险，规定网络安全；过去的安全主要看用户是否信任平台，真正的安全其实在于法律和平台的保护。”
《网络安全法》自2017年6月1日起实施，是我国网络安全领域的一部基本法。2021年6月10日，十届全国人大常委会第二十九次会议通过了《数据安全法》。这是一部专门针对数据安全领域的法律，也是国家安全领域的重要法律。旨在规范数据处理活动，保障数据安全，促进数据开发利用，保护个人和组织的合法权益，维护国家主权、安全和发展利益。《数据安全法》将于2021年9月1日生效。
同时，《个人信息保护法》正在立法过程中，目前已经进入草案二审稿。这为个人信息提供了特殊保护。
法律草案“二审稿”第五十七条对提供互联网基础平台服务、用户数量庞大、业务类型复杂的个人信息处理者的具体义务作出了补充规定，即对用户俗称的“互联网制造者”提出了新的要求。
比如要求互联网公司成立一个主要由外部成员组成的独立组织，对个人信息处理活动进行监管。这一制度的建立，加强了外部监督力量的介入。立法者认为，由于互联网企业所拥有的个人信息具有很大的使用价值，企业自身的内控制度和数据合规制度在执行过程中能否真正落实，仅靠内部管理是不够的，需要引入外部力量进行必要的监管。
该条款还规定:互联网平台应当定期发布个人信息保护社会责任报告，接受社会监督。根据这一原则，个人信息处理既是平台与个人信息主体的关系，也是平台社会责任的体现。
从网络安全法到数据安全法再到个人信息保护法，我国网络安全保护的法律框架正在逐步完善和细化。惠志斌告诉《新民周刊》:接下来的一段时间将是网络安全相关制度制定和出台的密集期。除了法律，还将有配套的行政法规、部门规章、地方立法和行业标准。
“个人用户在网络安全上对企业的不信任，归根结底是因为安全体系的模糊性。在上述法律法规等规范性文件的落地过程中，向公众普及和解释法律任重道远。”惠志斌说道。
他指出:在法律制度下，其实在用户个人数据安全管理方面，人们不必过于担心拥有庞大用户信息资源的大型互联网公司，因为他们需要确保“数据合规”来打造自己的核心竞争力。换句话说，法律法规相当于划定了红线，使得企业和个人之间的数据活动有章可循，对于规范整个行业的安全，保护用户个人信息有显著的好处。
来自政府层面的监管对个人和企业当然是必要的，但并不是“一管就能治病”的灵丹妙药。因为在数据爆炸的时刻，不可能把所有的监管都交给政府，这必然会让政府不堪重负；互联网也要承担一些类似政府的监管责任。例如，《个人信息保护法》二审稿提出，互联网平台应当停止向平台内严重违反法律、行政法规处理个人信息的产品或者服务提供者提供服务。这一规定类似于《电子商务法》规定的平台经营者对平台内电子商务经营者的产品质量、知识产权和消费者权益保护的监管责任。
未来网络数据安全将在用户、企业平台、政府之间实现动态平衡，逐步得到最优解。
网络安全人才培养
除了“数字主权”的兴起和“数据安全”的热门话题，攻防对抗仍然是网络安全非常关键的一环。公安部第三研究所主要从事网络安全与智能警务研究创新和技术支撑，专业从事网络攻防、网络侦查、技术侦查、国产密码、电子取证、等级保护、大数据分析等领域。研究院下属的公安部全国专业技术人员继续教育基地副主任黄镇告诉《新民周刊》:目前全球范围内，网络安全的攻防对抗依然非常激烈。
他说:盈利能力增强是近年来网络攻击的一大特点。“我们之前遇到的很多‘黑客’发动网络攻击是为了证明自己的技术水平，这是一种‘炫技’；或者做一些发泄一些情绪的事情，而且不涉及经济利益。但目前为了经济利益而发动的网络攻击越来越多，攻击者背后有一个帮派体系，形成了网络攻击的利益链。”
勒索病毒就是这种网络攻击的代表。感染病毒的电脑会连接黑客的服务器，上传本地信息并下载加密密钥，然后对本地电脑的所有关键数据文件进行加密，使用户无法打开。该勒索软件还会在桌面壁纸、弹窗等地方生成提示，要求用户支付高额赎金后才能恢复文件。黑客选择比特币等虚拟货币收款方式，使其账户无法追踪。事实上，支付赎金并不能保证数据文件的恢复。
2017年5月12日，一款名为“想哭”的勒索软件袭击了全球150多个国家和地区，其影响区域包括政府部门、医疗服务、公共交通、邮政服务、通信和汽车制造等。这是近年来勒索病毒流行的开始。随后几年，世界各地不时出现各种勒索病毒。
不幸的是，感染了勒索病毒并不意味着只能向黑客屈服，但此时寻求加密手段破解黑客真的很难。黄镇打了个比方:防止勒索软件就像防止坏人控制仓库门。平时要加强门锁，在门口安装监控报警装置，多做检查，主动了解坏人的最新攻击手段。如果之前这些工作没有做好，坏人就很容易锁上我们的门。此时，我们想进仓库拿货，但又不想破坏大门和与大门紧密相连的货物，所以难度很大。当然，如果我们之前把同样的货物存放在另一个仓库，这时候就可能出现紧急情况。
事实上，不仅要应对勒索病毒，还要面对日益复杂的网络安全挑战，所有机构都有必要增强日常的网络防范意识。黄镇说，在他经历过的很多网络安全攻防的实际案例中，用户都是因为安全意识薄弱，没有提前打上安全补丁而被攻击者利用的。结果，他们被“抓住”了。“被黑客攻击成功，不一定代表对方技术有多高明；很可能是因为我们本可以采取的预防措施没有到位。”
要实施这样的防范措施，需要专业的网络安全人才。公安部第三研究所教育基地多年来对不同社会机构的人员进行网络安全技术培训，并参与制定了“网络与信息安全管理员”这一职业的标准。2015年7月，新修订的《中华人民共和国职业分类大典》公布，该职业被列入其中，成为国家认可的新的职业分类。2020年11月，这一职业技能标准由人力资源和社会保障部、公安部颁布，将面向社会从业人员开展职业技能等级鉴定工作。
教育基地也是中国“国家队”选手参加世界技能大赛的训练基地。2019年8月，基地培养的上海交大硕士生“双子星”团队获得第45届世界技能大赛网络安全项目银牌。根据世界技能大赛的规定，除少数需要特别丰富经验的项目外，年龄限制可以放宽到25岁，大部分项目的参赛选手年龄不得超过22岁。这样的成绩显示了中国年轻一代在网络安全领域的实力。
黄镇说，世界范围内的网络安全核心技术体系最早是由外国创造的。在未来，我们有必要在软件和硬件领域不断进行科学研究的基础上，建立中国自己的系统。
在他看来，掌握软硬件技术是对网络安全人员的基本要求，但更重要的是他们的守法意识和道德品质。“因为在这些人面前，组织的核心数据和敏感数据几乎是透明的。如果他们想销毁或泄露这些数据，结果将是灾难性的。”
除了对从业人员进行法律道德和从业人员自律方面的培训，黄镇还建议，人社部未来可以将“网络与信息安全管理员”纳入“准入类”的国家职业资格目录。根据相关规定，准入职业资格关系到公共利益或者国家安全、公共安全、人身健康和生命财产安全，网络与信息安全管理员符合这些特征。如果纳入“准入类”职业资格，相关机构会对符合条件的申请人的生活背景和过往就业经历进行考察，并在他们就业后定期进行跟踪检查。这样的保障计划对网络安全领域至关重要。
