長期以來,網(wǎng)絡(luò)安全工作過于強調(diào)技術(shù)安全,而忽視了以人為中心的安全文化建設(shè),實際上,多數(shù)網(wǎng)絡(luò)攻擊可以歸結(jié)于人的疏忽和過失。例如,近年頻發(fā)的網(wǎng)絡(luò)勒索攻擊多源于用戶安全意識懈怠引發(fā)的網(wǎng)絡(luò)釣魚事件。簡言之,網(wǎng)絡(luò)安全文化是一個組織的網(wǎng)絡(luò)安全理念、習(xí)慣和社會行為。從社會層面看,網(wǎng)絡(luò)安全文化就是我國《網(wǎng)絡(luò)安全法》所指出的“全社會共同參與促進(jìn)網(wǎng)絡(luò)安全的良好環(huán)境”。從國際層面看,2002 年 12 月 20日,聯(lián)合國大國通過第 57/239 號決議,提出從意識、規(guī)范、危機響應(yīng)、風(fēng)險評估等要素入手培育全球網(wǎng)絡(luò)安全文化。網(wǎng)絡(luò)社會是高風(fēng)險社會,從危機管理視角闡釋網(wǎng)絡(luò)安全文化,依據(jù)危機管理流程謀劃網(wǎng)絡(luò)安全文化建設(shè)舉措,將有助于構(gòu)建我國更具韌性的網(wǎng)絡(luò)安全文化。
一、將危機意識融入網(wǎng)絡(luò)安全文化建設(shè)的必要性
人是網(wǎng)絡(luò)安全生態(tài)系統(tǒng)中最脆弱因素和最大風(fēng)險源,人的網(wǎng)絡(luò)安全意識和能力建設(shè)至關(guān)重要。目前,網(wǎng)絡(luò)安全文化并未形成清晰、統(tǒng)一的概念和范圍,相關(guān)研究和實踐還處于不斷探索階段。開放而非安全的互聯(lián)網(wǎng)設(shè)計初衷,加之網(wǎng)絡(luò)空間越發(fā)復(fù)雜的國家博弈、恐怖犯罪、黑客攻擊、技術(shù)漏洞等威脅,使網(wǎng)絡(luò)空間必然處于一種風(fēng)險叢生、事故頻發(fā)的常態(tài)。長期來看,將危機意識和危機響應(yīng)能力建設(shè)植入全民網(wǎng)絡(luò)安全文化,可以提升社會應(yīng)對網(wǎng)絡(luò)突發(fā)事件的承受力。
傳統(tǒng)安全、非傳統(tǒng)安全威脅日益交織于網(wǎng)絡(luò)空間,網(wǎng)絡(luò)事故已從“黑天鵝”發(fā)展為“灰犀?!?。以 2022 年上半年為例,網(wǎng)絡(luò)空間安全態(tài)勢延續(xù)了2021 年以來的嚴(yán)峻態(tài)勢。一是國家間網(wǎng)絡(luò)爭端熱度不減。5 月 9 日,俄羅斯電視臺在勝利閱兵日被黑客攻擊,播放界面顯示了“恐嚇式”反戰(zhàn)信息,而且,俄羅斯的主要電視頻道、最大搜索網(wǎng)站Yandex、最大視頻網(wǎng)站 RuTube 均受到網(wǎng)絡(luò)攻擊的影響;6 月 1 日,美國網(wǎng)絡(luò)司令部司令兼國家安全局局長保羅·中曾根(Paul Nakasone)首次承認(rèn),在俄烏克沖突中采取了進(jìn)攻性網(wǎng)絡(luò)行動幫助烏克蘭。二是基礎(chǔ)設(shè)施屢遭網(wǎng)絡(luò)攻擊。4 月初,烏克蘭計算機應(yīng)急響應(yīng)小組(CERT)披露,成功阻止了黑客組織沙蟲(Sandworm)針對烏克蘭能源工控設(shè)施發(fā)起的破壞性網(wǎng)絡(luò)攻擊;5 月 6 日,俄羅斯聯(lián)邦儲蓄銀行(Sberbank)遭遇大規(guī)模分布式拒絕服務(wù)(DDoS)攻擊。三是黑客組織犯罪依然猖獗。4 月18 日,哥斯達(dá)黎加財政部遭 Conti 勒索軟件攻擊,多個政府網(wǎng)絡(luò)系統(tǒng)癱瘓,大量敏感數(shù)據(jù)被盜;4 月22 日,巴西里約熱內(nèi)盧州財政系統(tǒng)遭 LockBit 勒索軟件攻擊,420GB 數(shù)據(jù)遭竊取。各國軍政機構(gòu)、基礎(chǔ)設(shè)施和企業(yè)公司都無法置身網(wǎng)絡(luò)攻擊之外,網(wǎng)絡(luò)安全事故不是能否發(fā)生的問題,而是何時何地發(fā)生的問題。
總之,零信任、網(wǎng)絡(luò)韌性等理念超越了“筑墻”“抵御”等傳統(tǒng)網(wǎng)絡(luò)安全手段,強調(diào)準(zhǔn)備、響應(yīng)、恢復(fù)的全流程介入,確保網(wǎng)絡(luò)空間不出現(xiàn)系統(tǒng)性、災(zāi)難性后果。因此,網(wǎng)絡(luò)安全文化中的網(wǎng)絡(luò)安全意識和能力建設(shè)也要適應(yīng)網(wǎng)絡(luò)安全理念轉(zhuǎn)型,構(gòu)建涵蓋危機前風(fēng)險規(guī)避、危機中事件響應(yīng)和危機后恢復(fù)提升的全流程構(gòu)建模式。
二、基于危機管理視角的網(wǎng)絡(luò)安全文化建設(shè)
危機管理分為危機前、中、后三個階段,分別對應(yīng)危機準(zhǔn)備、危機響應(yīng)和危機恢復(fù)等策略。危機準(zhǔn)備階段的目標(biāo)是預(yù)防和縮減網(wǎng)絡(luò)安全風(fēng)險,主要工作包括風(fēng)險評估、應(yīng)急預(yù)案制定、培訓(xùn)、應(yīng)急演練等;危機響應(yīng)階段的目標(biāo)是控制危機蔓延,主要工作包括指揮救援、信息溝通、媒體管理等;危機恢復(fù)階段的目標(biāo)是災(zāi)害恢復(fù)和彌補漏洞,包括災(zāi)后重建、心理輔導(dǎo)等。當(dāng)前,危機管理強調(diào)部門協(xié)調(diào)、公私合作和韌性能力建設(shè),致力于構(gòu)建“全流程”“全政府”管理模式。
培育強有力的網(wǎng)絡(luò)安全文化就要塑造和提升民眾對網(wǎng)絡(luò)事故的辨別力、響應(yīng)力和恢復(fù)力。從宗旨和目標(biāo)上考慮,網(wǎng)絡(luò)安全文化建設(shè)應(yīng)突出兩點:一是主動防御,承認(rèn)網(wǎng)絡(luò)事故難以避免,從單純降低網(wǎng)絡(luò)脆弱性提升到網(wǎng)絡(luò)系統(tǒng)恢復(fù)能力建設(shè);二是系統(tǒng)性,日常安全教育與應(yīng)急響應(yīng)教育相結(jié)合,構(gòu)建網(wǎng)絡(luò)安全生態(tài)系統(tǒng)。為提升全社會的網(wǎng)絡(luò)安全文化水平,在不同危機階段,需要實施不同舉措。
(一)網(wǎng)絡(luò)事故前的準(zhǔn)備意識和能力建設(shè)
網(wǎng)絡(luò)事故前的準(zhǔn)備意識和能力建設(shè)主要是網(wǎng)絡(luò)安全的日常教育,也是當(dāng)前各國網(wǎng)絡(luò)安全文化建設(shè)的主要領(lǐng)域。根據(jù)美國聯(lián)邦緊急事務(wù)管理局(FEMA)的說法,為應(yīng)對網(wǎng)絡(luò)安全威脅,應(yīng)該建立“一種網(wǎng)絡(luò)準(zhǔn)備文化”(a culture of cyber preparedness),相關(guān)各方制定網(wǎng)絡(luò)安全方案、組織培訓(xùn)和演練等。美歐等網(wǎng)絡(luò)發(fā)達(dá)國家和地區(qū)針對網(wǎng)絡(luò)事故發(fā)生前階段的網(wǎng)絡(luò)安全文化培育主要包括以下內(nèi)容。
一是網(wǎng)絡(luò)安全風(fēng)險教育,主要包括識別、預(yù)防和縮減網(wǎng)絡(luò)安全風(fēng)險。當(dāng)前,主要網(wǎng)絡(luò)大國都采取了機制化的教育宣傳做法。2004 年,美國啟動“網(wǎng)絡(luò)安全意識月”;2012 年,歐盟啟動“網(wǎng)絡(luò)安全月”(ESCM);2014 年,中國啟動“國家網(wǎng)絡(luò)安全宣傳周”。從理論上看,可以借用危機管理的風(fēng)險縮減“ABC 原則”從如下方面開展網(wǎng)絡(luò)安全意識教育:遠(yuǎn)離(away)措施,即遠(yuǎn)離網(wǎng)絡(luò)安全風(fēng)險源,如加密技術(shù)、入侵檢測、病毒識別與清除技術(shù)等;改善(better)措施,即改善網(wǎng)絡(luò)工作環(huán)境,如鼓勵采用安全性更高的信息技術(shù)產(chǎn)品;相容(compatible)措施,即設(shè)計和構(gòu)造符合網(wǎng)絡(luò)安全要求的工作環(huán)境,如實施關(guān)鍵基礎(chǔ)設(shè)施等級保護(hù)制度。
(二)網(wǎng)絡(luò)事故中的響應(yīng)意識和能力建設(shè)
此階段對應(yīng)危機管理流程中的危機響應(yīng)階段,重點是將民眾所具備的網(wǎng)絡(luò)安全意識轉(zhuǎn)化為事故響應(yīng)行動。一旦爆發(fā)網(wǎng)絡(luò)安全事故,組織或個人受害者應(yīng)能準(zhǔn)確迅速聯(lián)系到政府應(yīng)急響應(yīng)部門,上報事件并得到專業(yè)幫助,防止危機事件蔓延擴散。因此,領(lǐng)導(dǎo)體制和運行機制建設(shè)成為提升全民網(wǎng)絡(luò)事故響應(yīng)意識和能力的基礎(chǔ),以統(tǒng)籌資源、協(xié)調(diào)力量,確保積極的網(wǎng)絡(luò)安全文化轉(zhuǎn)化為高效的響應(yīng)行動。2018 年 11 月,美國總統(tǒng)特朗普簽署法案成立網(wǎng)絡(luò)安全與基礎(chǔ)設(shè)施安全局(CISA),以強化美國政府整體防護(hù)和網(wǎng)絡(luò)安全水平,協(xié)調(diào)各州及公、私部門之間的網(wǎng)絡(luò)安全行動。2021 年 6 月,歐盟委員會宣布成立聯(lián)合網(wǎng)絡(luò)部門(Joint Cyber Unit),負(fù)責(zé)協(xié)調(diào)針對大規(guī)模網(wǎng)絡(luò)攻擊的聯(lián)合響應(yīng),成員機構(gòu)包括歐盟網(wǎng)絡(luò)安全局(ENISA)、歐盟計算機應(yīng)急響應(yīng)小組(CERT-EU)、歐洲打擊網(wǎng)絡(luò)犯罪中心(EC3)、計算機安全事故應(yīng)急小組(CSIRT)等。隨著網(wǎng)絡(luò)安全管理的組織體系優(yōu)化,美歐“全社會參與”“全政府協(xié)調(diào)”網(wǎng)絡(luò)事故管理模式逐步建立,網(wǎng)絡(luò)安全文化水平隨之提升。
(三)網(wǎng)絡(luò)事故后的恢復(fù)意識和能力建設(shè)
作為網(wǎng)絡(luò)安全文化構(gòu)建的學(xué)習(xí)提升階段,此階段對應(yīng)危機管理流程中的危機后重建,重點是提升社會的災(zāi)害恢復(fù)力和承受力。此階段應(yīng)著眼網(wǎng)絡(luò)安全文化建設(shè)的長期目標(biāo),在開展災(zāi)后恢復(fù)同時,提升社會應(yīng)對網(wǎng)絡(luò)事故的心理承受力和延展網(wǎng)絡(luò)安全文化內(nèi)涵。一方面,可以通過數(shù)據(jù)、系統(tǒng)恢復(fù)和設(shè)施重建等短期工作止損;另一方面,可以通過教育、培訓(xùn)等長期工作,提升網(wǎng)絡(luò)事故的社會心理承受力、民眾心理“容災(zāi)”能力。在具體舉措方面,例如,可以結(jié)合重大網(wǎng)絡(luò)安全事故案例,在開展警示教育的同時,查漏補缺、不斷完善網(wǎng)絡(luò)安全措施。此階段的事故評估總結(jié)與網(wǎng)絡(luò)事故前的風(fēng)險管理存在一定重合和銜接,因此,網(wǎng)絡(luò)安全文化構(gòu)建成為一個不斷往復(fù)、逐步提升的系統(tǒng)工程。
三、未來的挑戰(zhàn)及應(yīng)對
培育積極的全民網(wǎng)絡(luò)安全文化是一項基礎(chǔ)性、長期性任務(wù),需要從政策法規(guī)、組織機構(gòu)和運行機制等入手,進(jìn)行全局謀劃并有序推進(jìn)。
一是網(wǎng)絡(luò)安全理念轉(zhuǎn)變。當(dāng)前的網(wǎng)絡(luò)安全態(tài)勢發(fā)展表明,網(wǎng)絡(luò)安全事故無法根除,網(wǎng)絡(luò)安全風(fēng)險內(nèi)外叢生。因此,提升網(wǎng)絡(luò)安全文化應(yīng)從降低脆弱性提升為增強韌性,從“御敵于院墻之外”邊界安全理念向“內(nèi)外兼防”的零信任架構(gòu)拓展。
二是部門間統(tǒng)籌協(xié)調(diào)。網(wǎng)絡(luò)安全文化是全社會參與的系統(tǒng)工程,各部門既要職責(zé)分工明確,也要相互配合助力。2022 年 1 月發(fā)布的《中國企業(yè)網(wǎng)絡(luò)安全意識教育現(xiàn)狀與發(fā)展報告》調(diào)研數(shù)據(jù)顯示,22% 受訪者認(rèn)為網(wǎng)絡(luò)安全意識教育的最大難點來源于部門協(xié)同困難。美歐等的做法是設(shè)立主管部門,統(tǒng)籌政府內(nèi)外的涉網(wǎng)絡(luò)機構(gòu),整體推進(jìn)網(wǎng)絡(luò)安全文化建設(shè)。
三是網(wǎng)絡(luò)威脅信息共享。不同政府網(wǎng)絡(luò)管理機構(gòu),尤其是政府與私營部門之間,通常存在網(wǎng)絡(luò)安全信息共享交流機制不完善、信息共享不及時等問題,這不利于形成健康的網(wǎng)絡(luò)安全文化。對此,美國政府和國會將網(wǎng)絡(luò)安全立法的重點放在促進(jìn)網(wǎng)絡(luò)安全信息共享,推動政府部門和私人部門之間的公私合作,共建積極的網(wǎng)絡(luò)安全文化。
當(dāng)前,中國正從網(wǎng)絡(luò)大國向網(wǎng)絡(luò)強國邁進(jìn),須穩(wěn)步推進(jìn)網(wǎng)絡(luò)安全意識教育和能力培訓(xùn),建立先進(jìn)的網(wǎng)絡(luò)安全文化。展望未來,網(wǎng)絡(luò)安全文化構(gòu)建仍面臨諸多挑戰(zhàn),需要從網(wǎng)絡(luò)安全理念、部門間協(xié)同和網(wǎng)絡(luò)威脅信息共享等方面謀劃應(yīng)對。(本文刊登于《中國信息安全》雜志2022年第8期)