网络安全：国家战略与国际治理
孟威／文
网络技术的迅猛发展使世界受益，也引发了黑客入侵、网络犯罪、网络战等全球性安全问题。这些问题广泛渗透于一国政治、军事、经济、文化、社会诸领域，在国家安全战略中地位凸显，成为影响当今世界国际关系走向和国际治理的重要议题。
网络攻击：
全球化国家安全新挑战
网络攻击是指那些致使网络系统硬件、软件及其数据遭受破坏、更改、泄露，系统无法连续可靠正常运行、网络服务被迫中断的恶意行为。近年来，网络攻击主体复杂、变种丰富、破坏力升级，使网络空间中的国家利益难以实现、科技创新和经济繁荣无法保障，带来了全球化国家安全的新挑战。
2013年6月起，一项由美国国家安全局绝密实施的电子监听计划持续曝光。逃亡在外的美国原中情局情报人员斯诺登披露“棱镜计划”称，美国多年来一直秘密监控网络和电信系统，实施间谍活动。包括中国在内的许多国家政府组织、政要人士和普通网民，都成为其通过邮件、即时通信及相关数据实施监控的对象。谷歌、微软、苹果等九大互联网服务商涉及其中，监听活动范围广、内容详、层级高，涉及他国政府、军警、金融、海关、铁路、民航、医疗等各要害部门。12月底，路透社再发消息：美国国安局曾与海外加密技术公司RSA达成协议，要求在其移动鉴证产品广泛使用的加密技术中放置后门。作为信息加密和安全认证领域龙头企业的RSA公司，占有70%的全球市场份额。这一丑闻的曝光再次令国际社会大为震惊。
国际舆论对于网络攻击的忧惧绝非空穴来风。随着国际互联网应用的成熟与发展，网络已打破了传统意义上的“国家疆域”，成为陆、海、空、天之外的 “第五空间”，在人类生活中的重要性与日俱增。目前，网络攻击已形成了黑客入侵、组织犯罪、网络恐怖主义及国家支持网络攻击四大类别，安全威胁程度逐级攀升。一般“黑客”个体所造成的系统紊乱、数据破坏，人们早已司空见惯；带有明显政治目的，有组织、有蓄谋、不间断的黑客行动已然成为挑起国家间网络战争、影响未来国际安全的重要因素。其中，网络恐怖行动，以及网络间谍战等国家参与的“网络攻击”行为，或对金融系统、能源和交通等重要部门造成冲击和破坏，或直接表现为军事打击和摧毁，对国际网络秩序和国家安全破坏性尤甚，威胁程度已达及人类安全威胁最高预警指标，网络成为国家之间争夺与冲突的新焦点。
早在2007 年，爱沙尼亚，这个有“欧洲网络化最彻底”之称的国家，就遭到了世界首例“国家网络袭击”：包括总统府在内的几乎全部政府部门、媒体和商业机构网站，在连续三周不间断的网络攻击之下，遭受了“灭顶之灾”。[1]2010 年，美国与以色列联合研制的“震网”病毒爆发，伊朗纳坦斯离心浓缩厂上千台离心机报废，刚封顶的布什尔核电站被迫延期启动。[2]2012年，一个号称“反共黑客”的组织对中国境内党政机关、社会组织网站持续攻击，致使90个部门的142个网站遭其篡改，造成严重后果。2010—2012年北非和西亚发生“阿拉伯之春”反政府运动，波及突尼斯、埃及、利比亚、也门、叙利亚等众多国家。其间，移动网络通讯和社交媒体绕过安全防线，起到了动员、组织、破坏的颠覆性作用。2013年，美国战略与国际研究中心和网络安全厂商迈克菲联合发布报告称，“在网络安全领域，因网络犯罪活动给全球造成的经济损失每年高达5000亿美元。”报告分析损害航空航天工业、高科技材料市场等主要网络攻击手段，认为其后果“降低了国家的网络安全性”，“对国家网络安全造成的损失已难以估量”。[3]
纵观世界范围内的网络安全事件，轻则涉及普通公民、组织、企业生存与发展， 重则影响国家经济命脉、价值观存亡、金融安全及国防战略。其影响之深、领域之广、爆发之迅捷、来势之猛烈、破坏程度之严重已不容小觑，也引发了全球国家安全战略重心的调整。
网络安全：
国家安全战略新关切
网络威胁的严峻形势提升了网络安全的重要性，刷新了世界对于网络空间战略地位和战略价值的定位及评估。目前，围绕有效保护国家安全，同时遏制、削弱、破坏、反击他方网络攻击这一核心内容，各国纷纷加快调整布局，从国家决策、制度机构、技术创新等层面入手，积极构建网络安全攻防、保障体系，并展开了国际网络空间和话语的激烈争夺。
美国是最早制定网络空间安全战略的国家。1998年，首次提出了“信息安全”概念，并优先发展出网络安全防御构想。2000年，美国通过了《信息系统保护国家计划》。2003 年出台的《网络空间国家安全战略》指出：“目前，商业交易、政府运转，以及国家防御的方式都已经发生变化，这些活动严重依赖信息技术与基础设施之间相互依存的网络，即网络空间，随着网络安全威胁日渐增多，美国应积极应对这些威胁。”[4] 2009 年之后，美国网络安全战略呈现出战略重心转向海外、精心准备网络战的特点。2011 年，美国出台《网络空间的国际战略》，国防部颁布了《网络空间行动战略》。奥巴马称： “网络威胁是我们国家面临的最为严重的经济和国家安全挑战之一”，“美国在 21 世纪的经济繁荣将有赖于网络安全”。[5]
2013年，奥巴马再次签署加强网络安全行政命令，并在国情咨文中要求议会加强立法。为此，美国先后组建了计算机应急响应小组、网络空间安全威胁行动中心等六大专职机构，并建立了网络司令部，加强机构统一协调性，2013年网络司令部大规模扩军。在强化实力的同时，美国中情局等机构专门设置“开源情报中心”和“国内通信协助中心”等部门，负责搜集全球网站、论坛、博客信息，利用“网站钓鱼”等手段，窃取他国核心机密，并通过技术开发提升私人通信监控力。
可以说，经过近20年的发展，美国如今已形成了国家决策推动、法律制度保证、组织机构协调行动的网络安全攻防体系，国家网络安全战略实现了从“被动防御”到“战略威慑”，再到“现实攻击”的重大转变。
出于对网络战威慑力的高度重视，目前，美、英、法、德、俄等国家及北约等国家集团都在加速提升网络攻防能力，构建预防缜密、反应迅速、打击有力的防御体系，减少来自网络空间的全球性风险，集中实现三种目标：1、保护关键基础设施、信息技术系统免受网络攻击。2、强化技术能力手段打击网络犯罪。3、施行报复性行动，实现全球网络安全操控。
英、法、德、瑞等国家较早建立了国家网络安全防御体系。英国特别成立了网络安全和信息保障办公室，以及网络安全行动中心，并在国家和政府层面分别设置网络安全应急指挥中心。2011年英国出台了新的网络安全战略，并将网络事件演习作为经常性演练项目。2013年，法国公布了第四个《国防与国家安全白皮书》，首次将网络攻击确定为来自于外部的主要威胁，并将网络安全宣布为未来工作的重点。法国国防部明确宣称，将改变单纯防御的网络战略，转而发展网络攻击能力。国会并通过的一项国防开支预算法案，赋权情报机构在未获法庭批准的情况下向电信和互联网服务商索要包括个人电子邮件、照片等用户信息和数据资料。随着“棱镜门事件”发酵、总理默克尔手机遭窃听，德国越发强调信息安全的技术防护。联邦信息技术安全局对加密和信息通讯标准等重新审核，要求电信部门“保证德国内部邮件不经跨大西洋节点传输”，积极支持德国路由和申根路由倡议，并致力于在新数据库安全技术、无线传输技术、智能交通技术等方面取得创新突破。
近年，俄罗斯发布了国家网络安全战略指引，明确了联邦安全委员会协调内务部、司法部、外交部和国防部四部委，负责保障网络安全工作。2013年7月，总理梅德韦杰夫正式签署批准了《信息技术领域发展路线图》，把脉俄罗斯信息技术安全未来发展方向，军事部门为此积极促进技术发展并广招人才，增强军方网络科技实力。同年，俄制造出万万亿次浮点运算超级计算机，争取占据该领域技术制高点。
以色列也是建立了网络司令部的国家之一。2013年以网络安全局确定了建设网络安全全球五强的明确目标。其战略部署包括制定国家网络防御战略，建立国家网络指挥中心和评估中心，推动跨行业合作等。以色列启动了多个具体项目，包括投入约 2300 万美元启动“前进”计划，投入近 300 万美元启动“马萨达”计划，推动网络防御技术研发和网络防御技术的融合。[6]
2013年12 月，日本共同社有消息称，日本政府将首次通过作为外交和国家安全政策综合指针的《国家安全保障战略》，把网络攻击及太空安全利用作为国家安全重点应对的新课题。日方提出，在跨组织完善防护机制等处理能力的同时，扩大与美国等有关国家的信息共享不可或缺。战略并将提出有意在未来构筑的国际准则中反映日本的主张。据悉，《国家安全保障战略》是配合国家安全保障会议的创设，由安倍晋三9月下达指示制定，它将取代 1957 年内阁会议通过的《国防基本方针》。日本政府还将在内阁会议上通过作为今后约十年防卫指针的新《防卫大纲》和以今后五年为目标的《中期防卫力整备计划》。[7]
值得注意的是，在国际社会中，不同国家对于国际间网络安全和防御问题所持态度有所不同，反映了他们背后不同的利益诉求。如，俄罗斯将网络空间作为一个攻击来源，希望通过建立国际条约，像对待大规模杀伤性武器那样对网络进行限制和监管，并防止新一轮军备竞赛。美英等国的立场却截然不同，考虑更多的是如何不限制本国居高显著的网络技术优势，因而其所谓“国家安全战略”说法十分强悍。就像奥巴马在回应“棱镜”计划所引起的国际谴责时曾辩解：“安全面前，公民有义务放弃隐私。”从而为国家攻击行为寻找托辞。
网络防御：
中国现实与威胁应对
2013年，中国互联网用户数超过6亿，移动互联网用户数可达4.61亿。网民规模、宽带网民数、国家顶级域名注册量三项指标居世界第一，互联网普及率稳步提升。但是，应该看到，中国是互联网大国，却不是互联网强国，作为网络攻击的主要受害国之一，中国网络安全水平还位于世界排名等级的最低级别。近年来，中国网站遭受到的境外攻击十分频繁，相比于西方发达国家，社会层面互联网安全意识较为薄弱，网络安全技术和防范能力也显得不足。
据有关权威数据显示，中国遭受境外网络攻击的情况日趋严重，2013年的最初两个月间，境外就有6747台木马或僵尸网络控制服务器控制了中国境内的190万余台主机；其中位于美国的2194台控制服务器控制了中国境内128.7万台主机。其间，中国西藏网的邮件系统分别被植入后门；中国网英文版企业分站遭到源自美国地址的攻击，页面遭恶意篡改；人民网IP地址遭受来自境外DDoS攻击，出现明显异常流量峰值达100Mbps，约为正常流量的12倍。[8]2013 年 11 月，中国境内感染网络病毒的终端数为近250万个；境内被篡改网站数量为7146个，其中被篡改政府网站数量为546个；境内被植入后门的网站数量为22672个，其中政府网站有266个；针对境内网站的仿冒页面数量为1835个。[9]
随着应用终端的不断丰富、信息系统云计算、大数据化的趋势渐成、移动互联网的迅猛发展，网络攻击呈现出入侵节点多、威胁强度大、实施门槛低等特点，网络安全形势更加严峻。为此，完善法规促进合作、跟进技术创新、构建综合体系、提升防护意识势在必行。
一、出台国家信息安全战略，加强网络空间立法，完善网络安全管理
作为典型的发展中国家，一个综合国力持续上升的网络大国，中国在国际社会一直以“人类共同财产”理念诠释网络空间价值，倡导新安全观，积极推进建设全球公正、合理的网络空间新秩序，推动形成共同遵守的国际规则，表达了中国维护网络空间安全、稳定的负责任的态度。在此基础上，要继续推动国际社会法制规约的建立，推进建立多数国家，特别是那些在技术、软硬件资源方面暂处弱势的国家都可从中公平受益的全球网络空间。防范某些发达国家一面组建网军，巧妙宣示其网络主权，一面又凭借信息技术优势，企图实现网络霸权的强权主义行径。
鉴于近年来自于网络空间的威胁加剧，以及国际环境的复杂、动荡，中国应加快出台国家信息安全战略整体规划，明确应对网络攻击及各种网络安全威胁的战略目标、指导思想和方针措施。
在国内网络建设中要完善立法，加强管理，努力促进“良法”与“善治”相结合，改变中国网络法理念相对滞后、法律位阶较低、多头管理、执行效力差强人意等缺陷，细化法律法规和量刑标准，确保中国网络空间有法可依、违法必究，并实现有效的现实震慑。
二、大力推动安全技术创新，提高网络安全保障水平
网络安全问题首先是技术问题，现有的网络安全技术包括防火墙技术、抗攻击网关、加密技术和入侵检测技术等，但由于技术的不完善，电脑系统在网络环境下仍然存在很多安全隐患，比如，操作系统和应用软件中的 Bug漏洞，由于被攻击不会产生日志主动防范的特点，常常被黑客利用而无据可查等。随着云计算、无线网络、大数据的出现，网络攻击手段会更加多样化、高科技化，挑战和破坏安全防护屏障。为此，应加大科研投入，着力研发和探索网络溯源技术、网络安全融合技术、跨部门多层次协作保障技术等，尽快解决技术系统目前所面临的身份认证保密性差、传输路径与结点不安全、信息聚集度高易受到分析性等方式攻击、网络边界难确定、黑客恶意代码的精准定位度不高等问题，不断推动技术创新以实现对网络安全的有效防范和管理。
三、提高全社会防护意识和防范能力，构建国家网络空间安全防御综合体系
据2013年中国网民信息安全状况研究报告，过去半年中遇到过网络安全问题的网民比例高达74.1%，总人数达到4.38亿。13.3%的网民因下载软件而发生过安全事件，因使用即时通信、搜索引擎、网络游戏、网上购物而发生安全事件的网民比例分别达11.5%、6.0%、4.2%和4.0%。智能手机上安装安全软件的用户仅为70%，未安装安全软件的人群中，50%认为“没有发生安全事故，不需要”。可见，在势头凶猛的网络威胁之中，中国网民信息安全防范意识明显不足。[10]
为此，一方面，建议政府主管部门加大互联网监管力度，继续定期针对木马和僵尸网络、恶意程序、拒绝服务攻击等安全威胁严加清理；重视开展互联网网络安全应急演练；完善网络安全事件处置体系，提高网络事件处置能力和水平。一方面，要依法促进通信行业、互联网企业、软硬件厂商发挥行业优势，另一方面，要求互联网企业严格自律， 自觉配合政府主管部门，保障和净化网络公共安全环境。
同时，可以借鉴美英等国政府专款设立“网络战士”、“网络爱国者”等项目，提升网络安全防范意识和技能，降解网络攻击威胁的做法，在技术、工程及数学领域加大投资，开展全民教育，通过报纸、广播电视、网站、微博等多媒体渠道帮助公众更好地了解网络攻击危害性，激励全社会重视安全防范、加强防护意识、提高防卫能力，从而全面整合政府部门、电信网络运营商、社会组织、公众力量，形成安全保障合力和协作机制，牢固构建起国家网络安全防御综合体系。
四、深化网络安全国际合作，强化跨境网络安全事件处置协作机制
继续呼吁发挥联合国等国际组织的作用，促进国际法网络规则的建立。网络空间本质上是全球性的，国际法往往比国内法更适合对相关问题加以规制。但现行国际法对于“网络间谍”行为的规制[11]等网络安全问题要么规则缺失，要么还存在诸多模糊之处，[12]为此，要积极倡导立法，推动建立健全网络安全保护体系国际法框架。争取在网络安全内涵、网络犯罪 “认定标准”、管辖权原则适用等方面达成共识；明确网络主权管辖权，实现各国网络权益的公正管理和保护，保卫国家网络疆界。
要推进实施“国际合作伙伴计划”，加强国与国之间的交流与合作。积极倡导和支持将网络根域名解析体系交由国际组织管理；强化跨境网络安全事件的处置协作机制；减少各国在打击网络攻击活动中的执法冲突与摩擦，提高国际社会快速、高效打击网络犯罪的整体能力。
（作者系中国社会科学院新闻与传播
研究所研究员，网络学研究室主任）
（责任编辑：刘娟娟）
[1] 唐岚.欧洲加快筑造“数字防护网”[J].世界知识， 2009 ，14.
[2] 吴翔，翟玉成.网络军控： 倡议、问题与前景[J].现代国际关系，2011 ，12.
[3] 吴丹，张百玲.全球网络犯罪每年造成5000亿美元经济损失[EB/OL]. （2013-08-13）.http：//www.cnii.com.cn/informatization/2013-08/13/content_1202734.htm
[4] The White House，The National Strategy to Secure Cyberspace， February2003.
[5] The White House，Remarks by the President on Securing our Nations Cyber Infrastructure[EB/OL]. （2009-05-29）. http： / / www.whitehouse.gov / the_press_office / Remarks-by-the-President-on-Securing-Our-Nations-Cyber-Infrastructure
[6] 2013年世界科技发展回顾 信息技术创新改变生活[EB/OL]. （2014-01-03）.http：//www.chinanews.com/gj/2014/01-03/5692743_3.shtml
[7] 日政府将通过国家安全战略加强网络和太空安全[EB/OL]. （2013-12-17）.http：//world.huanqiu.com/exclusive/2013-12-17.html
[8] 中国遭境外黑客攻击日趋严重 逾半源自美国[EB/OL]. （2013-03-10）.http：//news.xinhuanet.com/newmedia/2013-03/10/c_132222788.htm
[9] 互联网遭安全威胁[EB/OL]. http：//www.cert.org.cn/2013-11/cncert.asc
[10] 2013年中国网民信息安全状况研究报告[EB/OL]. http：//www.cnnic.net.cn/hlwfzyj/hlwxzbg
[11] David P. Fidler， “Recent Developments and Revelations Concerning Cybersecurity and Cyberspace： Implications for Inter-national Law”， American Society of International Law Insights，Vol.16，Issue 22 （June 20，2012）， http： / / www.asil.org / in-sights120620.cfm
[12] Johann-Christoph Woltag，Cyber Warfare，in Rudiger Wolfrum （ ed.） ，The Max Planck Encyclopedia of Public Inter-national Law，Oxford University Press，2008.online edition， http：//www.mpepil.com
