長期以來，網(wǎng)絡(luò)安全工作過于強調(diào)技術(shù)安全，而忽視了以人為中心的安全文化建設(shè)，實際上，多數(shù)網(wǎng)絡(luò)攻擊可以歸結(jié)于人的疏忽和過失。例如，近年頻發(fā)的網(wǎng)絡(luò)勒索攻擊多源于用戶安全意識懈怠引發(fā)的網(wǎng)絡(luò)釣魚事件。簡言之，網(wǎng)絡(luò)安全文化是一個組織的網(wǎng)絡(luò)安全理念、習(xí)慣和社會行為。從社會層面看，網(wǎng)絡(luò)安全文化就是我國《網(wǎng)絡(luò)安全法》所指出的“全社會共同參與促進(jìn)網(wǎng)絡(luò)安全的良好環(huán)境”。從國際層面看，2002 年 12 月 20日，聯(lián)合國大國通過第 57/239 號決議，提出從意識、規(guī)范、危機響應(yīng)、風(fēng)險評估等要素入手培育全球網(wǎng)絡(luò)安全文化。網(wǎng)絡(luò)社會是高風(fēng)險社會，從危機管理視角闡釋網(wǎng)絡(luò)安全文化，依據(jù)危機管理流程謀劃網(wǎng)絡(luò)安全文化建設(shè)舉措，將有助于構(gòu)建我國更具韌性的網(wǎng)絡(luò)安全文化。
一、將危機意識融入網(wǎng)絡(luò)安全文化建設(shè)的必要性
人是網(wǎng)絡(luò)安全生態(tài)系統(tǒng)中最脆弱因素和最大風(fēng)險源，人的網(wǎng)絡(luò)安全意識和能力建設(shè)至關(guān)重要。目前，網(wǎng)絡(luò)安全文化并未形成清晰、統(tǒng)一的概念和范圍，相關(guān)研究和實踐還處于不斷探索階段。開放而非安全的互聯(lián)網(wǎng)設(shè)計初衷，加之網(wǎng)絡(luò)空間越發(fā)復(fù)雜的國家博弈、恐怖犯罪、黑客攻擊、技術(shù)漏洞等威脅，使網(wǎng)絡(luò)空間必然處于一種風(fēng)險叢生、事故頻發(fā)的常態(tài)。長期來看，將危機意識和危機響應(yīng)能力建設(shè)植入全民網(wǎng)絡(luò)安全文化，可以提升社會應(yīng)對網(wǎng)絡(luò)突發(fā)事件的承受力。
傳統(tǒng)安全、非傳統(tǒng)安全威脅日益交織于網(wǎng)絡(luò)空間，網(wǎng)絡(luò)事故已從“黑天鵝”發(fā)展為“灰犀?！?。以 2022 年上半年為例，網(wǎng)絡(luò)空間安全態(tài)勢延續(xù)了2021 年以來的嚴(yán)峻態(tài)勢。一是國家間網(wǎng)絡(luò)爭端熱度不減。5 月 9 日，俄羅斯電視臺在勝利閱兵日被黑客攻擊，播放界面顯示了“恐嚇式”反戰(zhàn)信息，而且，俄羅斯的主要電視頻道、最大搜索網(wǎng)站Yandex、最大視頻網(wǎng)站 RuTube 均受到網(wǎng)絡(luò)攻擊的影響；6 月 1 日，美國網(wǎng)絡(luò)司令部司令兼國家安全局局長保羅·中曾根（Paul Nakasone）首次承認(rèn)，在俄烏克沖突中采取了進(jìn)攻性網(wǎng)絡(luò)行動幫助烏克蘭。二是基礎(chǔ)設(shè)施屢遭網(wǎng)絡(luò)攻擊。4 月初，烏克蘭計算機應(yīng)急響應(yīng)小組（CERT）披露，成功阻止了黑客組織沙蟲（Sandworm）針對烏克蘭能源工控設(shè)施發(fā)起的破壞性網(wǎng)絡(luò)攻擊；5 月 6 日，俄羅斯聯(lián)邦儲蓄銀行（Sberbank）遭遇大規(guī)模分布式拒絕服務(wù)（DDoS）攻擊。三是黑客組織犯罪依然猖獗。4 月18 日，哥斯達(dá)黎加財政部遭 Conti 勒索軟件攻擊，多個政府網(wǎng)絡(luò)系統(tǒng)癱瘓，大量敏感數(shù)據(jù)被盜；4 月22 日，巴西里約熱內(nèi)盧州財政系統(tǒng)遭 LockBit 勒索軟件攻擊，420GB 數(shù)據(jù)遭竊取。各國軍政機構(gòu)、基礎(chǔ)設(shè)施和企業(yè)公司都無法置身網(wǎng)絡(luò)攻擊之外，網(wǎng)絡(luò)安全事故不是能否發(fā)生的問題，而是何時何地發(fā)生的問題。
總之，零信任、網(wǎng)絡(luò)韌性等理念超越了“筑墻”“抵御”等傳統(tǒng)網(wǎng)絡(luò)安全手段，強調(diào)準(zhǔn)備、響應(yīng)、恢復(fù)的全流程介入，確保網(wǎng)絡(luò)空間不出現(xiàn)系統(tǒng)性、災(zāi)難性后果。因此，網(wǎng)絡(luò)安全文化中的網(wǎng)絡(luò)安全意識和能力建設(shè)也要適應(yīng)網(wǎng)絡(luò)安全理念轉(zhuǎn)型，構(gòu)建涵蓋危機前風(fēng)險規(guī)避、危機中事件響應(yīng)和危機后恢復(fù)提升的全流程構(gòu)建模式。
二、基于危機管理視角的網(wǎng)絡(luò)安全文化建設(shè)
危機管理分為危機前、中、后三個階段，分別對應(yīng)危機準(zhǔn)備、危機響應(yīng)和危機恢復(fù)等策略。危機準(zhǔn)備階段的目標(biāo)是預(yù)防和縮減網(wǎng)絡(luò)安全風(fēng)險，主要工作包括風(fēng)險評估、應(yīng)急預(yù)案制定、培訓(xùn)、應(yīng)急演練等；危機響應(yīng)階段的目標(biāo)是控制危機蔓延，主要工作包括指揮救援、信息溝通、媒體管理等；危機恢復(fù)階段的目標(biāo)是災(zāi)害恢復(fù)和彌補漏洞，包括災(zāi)后重建、心理輔導(dǎo)等。當(dāng)前，危機管理強調(diào)部門協(xié)調(diào)、公私合作和韌性能力建設(shè)，致力于構(gòu)建“全流程”“全政府”管理模式。
培育強有力的網(wǎng)絡(luò)安全文化就要塑造和提升民眾對網(wǎng)絡(luò)事故的辨別力、響應(yīng)力和恢復(fù)力。從宗旨和目標(biāo)上考慮，網(wǎng)絡(luò)安全文化建設(shè)應(yīng)突出兩點：一是主動防御，承認(rèn)網(wǎng)絡(luò)事故難以避免，從單純降低網(wǎng)絡(luò)脆弱性提升到網(wǎng)絡(luò)系統(tǒng)恢復(fù)能力建設(shè)；二是系統(tǒng)性，日常安全教育與應(yīng)急響應(yīng)教育相結(jié)合，構(gòu)建網(wǎng)絡(luò)安全生態(tài)系統(tǒng)。為提升全社會的網(wǎng)絡(luò)安全文化水平，在不同危機階段，需要實施不同舉措。
（一）網(wǎng)絡(luò)事故前的準(zhǔn)備意識和能力建設(shè)
網(wǎng)絡(luò)事故前的準(zhǔn)備意識和能力建設(shè)主要是網(wǎng)絡(luò)安全的日常教育，也是當(dāng)前各國網(wǎng)絡(luò)安全文化建設(shè)的主要領(lǐng)域。根據(jù)美國聯(lián)邦緊急事務(wù)管理局（FEMA）的說法，為應(yīng)對網(wǎng)絡(luò)安全威脅，應(yīng)該建立“一種網(wǎng)絡(luò)準(zhǔn)備文化”（a culture of cyber preparedness），相關(guān)各方制定網(wǎng)絡(luò)安全方案、組織培訓(xùn)和演練等。美歐等網(wǎng)絡(luò)發(fā)達(dá)國家和地區(qū)針對網(wǎng)絡(luò)事故發(fā)生前階段的網(wǎng)絡(luò)安全文化培育主要包括以下內(nèi)容。
一是網(wǎng)絡(luò)安全風(fēng)險教育，主要包括識別、預(yù)防和縮減網(wǎng)絡(luò)安全風(fēng)險。當(dāng)前，主要網(wǎng)絡(luò)大國都采取了機制化的教育宣傳做法。2004 年，美國啟動“網(wǎng)絡(luò)安全意識月”；2012 年，歐盟啟動“網(wǎng)絡(luò)安全月”（ESCM）；2014 年，中國啟動“國家網(wǎng)絡(luò)安全宣傳周”。從理論上看，可以借用危機管理的風(fēng)險縮減“ABC 原則”從如下方面開展網(wǎng)絡(luò)安全意識教育：遠(yuǎn)離（away）措施，即遠(yuǎn)離網(wǎng)絡(luò)安全風(fēng)險源，如加密技術(shù)、入侵檢測、病毒識別與清除技術(shù)等；改善（better）措施，即改善網(wǎng)絡(luò)工作環(huán)境，如鼓勵采用安全性更高的信息技術(shù)產(chǎn)品；相容（compatible）措施，即設(shè)計和構(gòu)造符合網(wǎng)絡(luò)安全要求的工作環(huán)境，如實施關(guān)鍵基礎(chǔ)設(shè)施等級保護(hù)制度。
（二）網(wǎng)絡(luò)事故中的響應(yīng)意識和能力建設(shè)
此階段對應(yīng)危機管理流程中的危機響應(yīng)階段，重點是將民眾所具備的網(wǎng)絡(luò)安全意識轉(zhuǎn)化為事故響應(yīng)行動。一旦爆發(fā)網(wǎng)絡(luò)安全事故，組織或個人受害者應(yīng)能準(zhǔn)確迅速聯(lián)系到政府應(yīng)急響應(yīng)部門，上報事件并得到專業(yè)幫助，防止危機事件蔓延擴散。因此，領(lǐng)導(dǎo)體制和運行機制建設(shè)成為提升全民網(wǎng)絡(luò)事故響應(yīng)意識和能力的基礎(chǔ)，以統(tǒng)籌資源、協(xié)調(diào)力量，確保積極的網(wǎng)絡(luò)安全文化轉(zhuǎn)化為高效的響應(yīng)行動。2018 年 11 月，美國總統(tǒng)特朗普簽署法案成立網(wǎng)絡(luò)安全與基礎(chǔ)設(shè)施安全局（CISA），以強化美國政府整體防護(hù)和網(wǎng)絡(luò)安全水平，協(xié)調(diào)各州及公、私部門之間的網(wǎng)絡(luò)安全行動。2021 年 6 月，歐盟委員會宣布成立聯(lián)合網(wǎng)絡(luò)部門（Joint Cyber Unit），負(fù)責(zé)協(xié)調(diào)針對大規(guī)模網(wǎng)絡(luò)攻擊的聯(lián)合響應(yīng)，成員機構(gòu)包括歐盟網(wǎng)絡(luò)安全局（ENISA）、歐盟計算機應(yīng)急響應(yīng)小組（CERT-EU）、歐洲打擊網(wǎng)絡(luò)犯罪中心（EC3）、計算機安全事故應(yīng)急小組（CSIRT）等。隨著網(wǎng)絡(luò)安全管理的組織體系優(yōu)化，美歐“全社會參與”“全政府協(xié)調(diào)”網(wǎng)絡(luò)事故管理模式逐步建立，網(wǎng)絡(luò)安全文化水平隨之提升。
（三）網(wǎng)絡(luò)事故后的恢復(fù)意識和能力建設(shè)
作為網(wǎng)絡(luò)安全文化構(gòu)建的學(xué)習(xí)提升階段，此階段對應(yīng)危機管理流程中的危機后重建，重點是提升社會的災(zāi)害恢復(fù)力和承受力。此階段應(yīng)著眼網(wǎng)絡(luò)安全文化建設(shè)的長期目標(biāo)，在開展災(zāi)后恢復(fù)同時，提升社會應(yīng)對網(wǎng)絡(luò)事故的心理承受力和延展網(wǎng)絡(luò)安全文化內(nèi)涵。一方面，可以通過數(shù)據(jù)、系統(tǒng)恢復(fù)和設(shè)施重建等短期工作止損；另一方面，可以通過教育、培訓(xùn)等長期工作，提升網(wǎng)絡(luò)事故的社會心理承受力、民眾心理“容災(zāi)”能力。在具體舉措方面，例如，可以結(jié)合重大網(wǎng)絡(luò)安全事故案例，在開展警示教育的同時，查漏補缺、不斷完善網(wǎng)絡(luò)安全措施。此階段的事故評估總結(jié)與網(wǎng)絡(luò)事故前的風(fēng)險管理存在一定重合和銜接，因此，網(wǎng)絡(luò)安全文化構(gòu)建成為一個不斷往復(fù)、逐步提升的系統(tǒng)工程。
三、未來的挑戰(zhàn)及應(yīng)對
培育積極的全民網(wǎng)絡(luò)安全文化是一項基礎(chǔ)性、長期性任務(wù)，需要從政策法規(guī)、組織機構(gòu)和運行機制等入手，進(jìn)行全局謀劃并有序推進(jìn)。
一是網(wǎng)絡(luò)安全理念轉(zhuǎn)變。當(dāng)前的網(wǎng)絡(luò)安全態(tài)勢發(fā)展表明，網(wǎng)絡(luò)安全事故無法根除，網(wǎng)絡(luò)安全風(fēng)險內(nèi)外叢生。因此，提升網(wǎng)絡(luò)安全文化應(yīng)從降低脆弱性提升為增強韌性，從“御敵于院墻之外”邊界安全理念向“內(nèi)外兼防”的零信任架構(gòu)拓展。
二是部門間統(tǒng)籌協(xié)調(diào)。網(wǎng)絡(luò)安全文化是全社會參與的系統(tǒng)工程，各部門既要職責(zé)分工明確，也要相互配合助力。2022 年 1 月發(fā)布的《中國企業(yè)網(wǎng)絡(luò)安全意識教育現(xiàn)狀與發(fā)展報告》調(diào)研數(shù)據(jù)顯示，22% 受訪者認(rèn)為網(wǎng)絡(luò)安全意識教育的最大難點來源于部門協(xié)同困難。美歐等的做法是設(shè)立主管部門，統(tǒng)籌政府內(nèi)外的涉網(wǎng)絡(luò)機構(gòu)，整體推進(jìn)網(wǎng)絡(luò)安全文化建設(shè)。
三是網(wǎng)絡(luò)威脅信息共享。不同政府網(wǎng)絡(luò)管理機構(gòu)，尤其是政府與私營部門之間，通常存在網(wǎng)絡(luò)安全信息共享交流機制不完善、信息共享不及時等問題，這不利于形成健康的網(wǎng)絡(luò)安全文化。對此，美國政府和國會將網(wǎng)絡(luò)安全立法的重點放在促進(jìn)網(wǎng)絡(luò)安全信息共享，推動政府部門和私人部門之間的公私合作，共建積極的網(wǎng)絡(luò)安全文化。
當(dāng)前，中國正從網(wǎng)絡(luò)大國向網(wǎng)絡(luò)強國邁進(jìn)，須穩(wěn)步推進(jìn)網(wǎng)絡(luò)安全意識教育和能力培訓(xùn)，建立先進(jìn)的網(wǎng)絡(luò)安全文化。展望未來，網(wǎng)絡(luò)安全文化構(gòu)建仍面臨諸多挑戰(zhàn)，需要從網(wǎng)絡(luò)安全理念、部門間協(xié)同和網(wǎng)絡(luò)威脅信息共享等方面謀劃應(yīng)對。（本文刊登于《中國信息安全》雜志2022年第8期）