《網絡安全法》實施五週年：網絡安全“防護網”織牢織密

*【環球網科技報道 記者 鄭湘琪】*2022年6月1日是《網絡安全法》正式施行五週年。作為我國互聯網領域第一部專門法律，《網絡安全法》為構建網絡安全法律法規體系提供了基礎性依據。

繼《網絡安全法》實施後，《數據安全法》《個人信息保護法》等法律法規陸續出台，網絡安全法治化進程不斷演進，構築了一張新時代的網絡安全防護網。

為何近幾年業界格外重視網絡空間安全？政策、法規的相繼出台在網絡安全領域產生了怎樣的影響？目前維護網絡安全行之有效的手段主要有哪些？針對上述問題，記者與業內人士進行了交流。

構築網絡安全防線勢在必行

談到網絡安全的重要性，遠江盛邦（北京）網絡安全科技股份有限公司技術副總裁方偉表示，“在現代國家安全觀的理論體系下，網絡安全是國家安全16個基本面中的一個，而且是非常重要的一個。隨着各產業數字化轉型進程的快速推進，網絡安全已經成為各大領域安全的基礎保障，關係着社會運行、科學研究、生產製造和人民生活等方方面面。”

對於企業而言，隨着數字化轉型駛入“快車道”，協同辦公模式逐漸普及，既有安全策略在新模式下的適配性風險也隨之增加。Fortinet 北亞區首席技術顧問譚傑認為，數字化轉型的加速，業務與互聯網的融合，將海量傳統資產及生產過程數字化。IT資產價值、安全風險及潛在損失都在迅速提高，必然要求對安全理念、管理規範、技術能力等進行規範和重構。

艾媒諮詢數據顯示，2021年中國協同辦公市場規模達264.2億元，預計2021-2023年，中國協同辦公行業將保持每年10%以上的增長率，2023年的市場規模將達330.1億元。“海量遠程辦公要求使得無數非IT部門工作人員都直接暴露在信息安全風險面前，也對網絡信息安全提出了更高的要求。”譚傑説。

而從具體行業角度來看，方偉強調，金融、交通、能源、電信等關基行業，以及互聯網、電商、物流等平台企業，都需要重點關注網絡安全。

以金融業為例，由於行業相關數據的高敏感性和高價值性，全面保障數據安全和個人信息權益成為金融行業數據治理的新內核。2021年12月，由中國人民銀行科技司司長李偉主編的《金融科技發展規劃（2022-2025年）》提出，全面加強數據能力建設，在保障安全和隱私前提下推動數據有序共享與綜合應用，充分激活數據要素潛能，有力提升金融服務質效。

對此，亞信安全首席研發官吳湘寧表示，“如今互聯網每天新增的惡意代碼和惡意網頁都在數十萬量級，還出現了威脅巨大的勒索軟件新型病毒，嚴重威脅着金融用户的網絡安全。與此同時，針對‘外部安全堡壘’建設通常較為完善的金融系統，高級黑客往往藉助釣魚郵件、水坑攻擊、勒索病毒等結合社會工程學發動APT攻擊，從內部瓦解金融系統堅實的安全堡壘。”

“在這種安全攻防信息持續不對等的情況下，金融系統一旦被攻破，波及範圍和損失都是巨大的。為此，我國密集發佈了一系列金融規範和標準，以及《網絡安全法》、‘等級保護’中的具體法規條款，都反覆強調了人員、制度、防治、容災、預警機制、應急預案、應急處置等詳細要求。這些監管政策不但需要金融機構敬畏、守住底線，更是金融企業品牌、可信度的有力體現，也是網絡安全技術持續演化的目標。”吳湘寧説。

網絡安全防護仍有“頑疾”

基於這樣的背景，《網絡安全法》等一系列法規的出台也有了重要的現實意義和時代價值。吳湘寧告訴記者，“相關法律法規規章的落地，對於我國網絡空間安全建設整體起到了非常大的推動作用，切實提升了關鍵信息基礎設施等重點領域、重點目標的安全保障能力，網絡安全態勢感知、網絡攻擊追蹤溯源、監測預警等技術得到了持續創新和補充，實戰演練能力也得到了大力加強。”

譚傑也表示，“一方面，政策法規的相繼出台，指明瞭安全建設的原則和方向；另一方面，業務與網絡的融合，對安全提出了更加專業化、精細化的要求。‘合規’‘業務’雙輪驅動，使企業機構對安全建設的重視和投入大大提高，網絡安全體系的規範性和全面性也有很大提升。”

IDC發佈的數據顯示，2021年中國網絡安全相關支出有望達到102.6億美元。預計到2025年，中國網絡安全支出規模將達214.6億美元。在2021-2025的五年預測期內，中國網絡安全相關支出將以20.5%的年複合增長率增長，增速位列全球第一。可以看出，行業正在加速入局，並在網絡安全領域持續加碼。

更重要的是，相關部門也在積極部署，加快構建網絡安全保障體系。工信部網絡安全威脅和漏洞信息共享平台上線運行；工業互聯網企業網絡安全分類分級管理制度建立；工業互聯網安全技術監測體系累計覆蓋165個重點工業互聯網平台；車聯網卡實名登記管理全面實施……

雖然網絡安全“防護網”越織越牢，但值得關注的是，業界還有一系列“頑疾”亟待解決。“部分單位業務遷移緩慢，老舊系統帶病運行，存在較大安全隱患；部分行業對熱點漏洞跟蹤不及時，響應緩慢，給攻擊者留下了可乘之機；供應鏈安全風險難以排除，風險點多，管理困難，需要各個環節高度協同；大眾網絡安全意識仍然較低，弱口令現象普遍，個人信息保護不足，需持續引導……”方偉舉例稱，這些都是需要行業繼續努力去解決的問題。

此外，吳湘寧表示，勒索病毒仍被視為全球最大網絡威脅之一。根據威瑞森《2021 年數據泄露調查報告》，勒索軟件攻擊頻率在去年翻了一番，佔全部網絡安全事件的10%。據亞信安全的研究數據，2021年亞信安全共攔截勒索病毒58,412次，在數量增長的同時，其攻擊手段、目標和平台也在不斷升級，特別是“勒索軟件即服務”（RaaS）市場的發展，高級黑客將自己的專業知識售賣給犯罪分子，使得勒索攻擊的門檻越來越低。

據吳湘寧介紹，“雙重勒索”攻擊也是網絡犯罪分子用得越來越多的一種策略。攻擊者加密目標系統數據之前會先竊取數據，這樣一來，即便受害者有備份數據，勒索軟件仍然可以用泄露數據作威脅要求其支付贖金。同時，“雙重”勒索還帶來了“點名羞辱”的新威脅。

根據調查數據顯示，在收到的勒索軟件攻擊企業和公共部門機構的100,101份報告中，其中11.6%是由竊取和公佈數據的犯罪團伙發起的“點名羞辱”式攻擊，這無疑讓受害者承受更大的數據泄露壓力，同時使得受害者被迫支付贖金的可能性大幅提高。

通過分析一些案例，亞信安全技術團隊還發現，一些APT攻擊會披上勒索軟件的外套，作為探路的手段，或者逃跑的“煙霧彈”，甚至是作為攻擊結束後毀滅蹤跡的方法，幫助掩蓋和抹去更嚴重攻擊的證據。“例如某些工具表面看似勒索軟件，會加密數據、發佈勒索通知以及索要贖金，但實際上，這些軟件會悄悄刪除端點上的數據，同時讓防禦者相信數據丟失的原因是勒索軟件的隨機攻擊。”吳湘寧説。

網絡空間新生態未來可期

事實上，如今對於網絡安全攻防雙方而言，一邊是“摩拳擦掌”，另一邊也同樣“躍躍欲試”，雙方的博弈日趨激烈。對此，譚傑坦言，“企業往往希望追求一勞永逸的‘黑科技’，但在網絡安全建設中，它是不存在的。網絡與安全的融合、體系化安全才是網絡安全的堅實基礎。”

因此，譚傑建議，企業應將安全能力融入到網絡及應用的每一個環節中，包括終端、有線及無線局域網、網絡邊界、廣域網、數據中心（私有云）、公有云、業務應用等。所有環節都應具備信息可視化、安全分析、動態管控處置的能力，杜絕漏洞或短板。

譚傑同時強調，“安全產品技術應避免碎片化，孤立的單點技術的疊加並非真正的安全解決方案。各個產品和技術間應具備強大的交互能力，包括信息情報交換、聯動響應等，從而交織成一張零信任、智能化、自動化的安全網絡。”

方偉進一步表示，從技術手段而言，企業要做到精準檢測、精確防禦，既要保證風險發現的全面性，又要保證威脅判定的準確性，同時還要做到細粒度的靈活處置，因此機器學習、大數據分析和業務建模等手段需要運用到網絡安全實踐當中。

而從安全建設而言，方偉建議，“企業首先要摸清家底，清晰掌握單位自身的網絡資產；其次要加強備案和管控，保證網絡安全責任到人，業務管理有流程可依；然後做到立體化的安全防護和自動化的安全運營，採用主動檢測和被動監測相結合的手段來提升風險發現和防護；最後還要做好應急響應，提升各個安全能力的協同配合能力，做到聯防聯控。”

“從國家層面上看，我們需要加快提升應對規模化攻擊的防禦能力，實現全網安全態勢的全面分析和綜合展現，為構建和完善國家級安全防護體系奠定基礎。”方偉説。

近年來，我國網絡安全頂層設計加速構建，網絡安全政策體系日臻完善。據不完全統計，截至2021年6月底，我國已出台關於網絡信息安全與數據合規的法律、行政法規等二百多部，形成了覆蓋網絡安全等級保護、關鍵信息基礎設施保護、數據安全管理、個人信息保護等領域的網絡安全法律法規體系。

在健全完善的法律法規、豐富多樣的應用實踐、成熟可用的技術等多方生態催化下，我國網絡空間環境也將不斷優化，為數字經濟的高質量發展構築堅實的底座。