信息來(lái)源：Freebuf

受新冠疫情影響，每年3月召開的全國(guó)兩會(huì)時(shí)間推遲，4月29日，根據(jù)央視新聞官方消息，兩會(huì)時(shí)間確定：

十三屆全國(guó)人大三次會(huì)議將于5月22日在北京召開；

全國(guó)政協(xié)十三屆三次會(huì)議將于5月21日在北京召開。

和其他委員一樣，安天首席架構(gòu)師、全國(guó)政協(xié)委員肖新光也在為今年的兩會(huì)提案做最后的準(zhǔn)備，下面讓我們共同回顧一下近年來(lái)肖委員的“兩會(huì)”提案。

2018

《在網(wǎng)絡(luò)空間安全領(lǐng)域進(jìn)行針對(duì)性投入和布局應(yīng)對(duì)重大地緣安全風(fēng)險(xiǎn)的提案》

網(wǎng)絡(luò)空間領(lǐng)域的斗爭(zhēng)已經(jīng)是大國(guó)博弈和地緣安全中的常態(tài)化存在，網(wǎng)絡(luò)空間更是政治、軍事、經(jīng)濟(jì)等領(lǐng)域斗爭(zhēng)的首發(fā)戰(zhàn)場(chǎng)。

2017年6月，烏克蘭包括政府首腦機(jī)關(guān)、金融、電信、交通、能源等計(jì)算機(jī)系統(tǒng)，遭遇了偽裝成勒索病毒的大面積網(wǎng)絡(luò)攻擊，導(dǎo)致大量系統(tǒng)癱瘓，對(duì)社會(huì)生活和穩(wěn)定造成了嚴(yán)重影響。已經(jīng)發(fā)生的多起類似事件提醒我們，針對(duì)重要信息系統(tǒng)，特別是關(guān)鍵信息基礎(chǔ)設(shè)施的入侵、信息竊取和毀癱，已經(jīng)是廣泛存在的既定事實(shí)。

肖新光委員強(qiáng)調(diào)，當(dāng)前我國(guó)所面臨的全球和地緣安全風(fēng)險(xiǎn)，既以大國(guó)競(jìng)合為主旋律，同時(shí)又圍繞地緣安全熱點(diǎn)展開，地緣利益競(jìng)合方眾多，多種矛盾復(fù)雜交織。我國(guó)遭遇的網(wǎng)絡(luò)安全關(guān)鍵性威脅很大比例與上述風(fēng)險(xiǎn)相關(guān)。不同對(duì)手的攻擊動(dòng)機(jī)、攻擊目標(biāo)選擇、攻擊手段和攻擊能力有很大差異。

他認(rèn)為，網(wǎng)絡(luò)安全威脅不是單純的技術(shù)風(fēng)險(xiǎn)，其風(fēng)險(xiǎn)和事件研判也不是單純的領(lǐng)域內(nèi)研判，這與攻擊發(fā)起方和潛在對(duì)手的戰(zhàn)略意圖、技術(shù)能力和綜合國(guó)力等綜合因素息息相關(guān)。我們對(duì)過(guò)去遭遇到的網(wǎng)絡(luò)入侵攻擊，往往將其作為單純的網(wǎng)絡(luò)安全事件看待，而缺少與總體國(guó)家安全的多個(gè)方面進(jìn)行綜合分析，對(duì)對(duì)手意圖的分析深度不足。未來(lái)，需要對(duì)網(wǎng)絡(luò)攻擊行為給我國(guó)政治安全、軍事安全、科技安全等帶來(lái)的綜合影響后果全面加強(qiáng)研判，實(shí)現(xiàn)綜合分析、全面量損、有效止損。

未來(lái)的網(wǎng)絡(luò)安全工作應(yīng)遵循“網(wǎng)絡(luò)安全是整體的而不是割裂的”、“是動(dòng)態(tài)的而不是靜態(tài)的”、“是開放的而不是封閉的”、“是相對(duì)的而不是絕對(duì)的”、“是共同的而不是孤立的”的主要特點(diǎn)，在進(jìn)一步的投入中提升系統(tǒng)性、及時(shí)性和針對(duì)性，解決不平衡不充分的安全建設(shè)導(dǎo)致的國(guó)家安全能力短板和失衡。

2019

《關(guān)于通過(guò)系統(tǒng)規(guī)劃指引、保障資源投入、加強(qiáng)問(wèn)責(zé)落實(shí)，全面提升政府央企網(wǎng)絡(luò)防護(hù)水平的提案》

肖新光認(rèn)為：“網(wǎng)絡(luò)安全防控能力薄弱，難以有效應(yīng)對(duì)國(guó)家級(jí)、有組織的高強(qiáng)度網(wǎng)絡(luò)攻擊”是眾多風(fēng)險(xiǎn)中的一項(xiàng)突出風(fēng)險(xiǎn)。網(wǎng)絡(luò)安全防控能力以國(guó)家大型工程為主干，以各政企機(jī)構(gòu)建設(shè)管理的重要信息系統(tǒng)和信息基礎(chǔ)設(shè)施的安全為基石?；姆€(wěn)固依賴于每個(gè)系統(tǒng)的安全防護(hù)能力，依賴于它的對(duì)應(yīng)責(zé)任主體、建設(shè)運(yùn)維機(jī)構(gòu)，建設(shè)動(dòng)態(tài)綜合的網(wǎng)絡(luò)安全防御體系。

他表示，無(wú)論作為需求方的政企機(jī)構(gòu)，還是供給方的安全企業(yè)都存在一個(gè)共性問(wèn)題——整體安全規(guī)劃能力普遍不足?，F(xiàn)行做法往往是滿足合規(guī)要求基礎(chǔ)上，簡(jiǎn)單堆砌部分產(chǎn)品應(yīng)對(duì)各類單點(diǎn)威脅。但如何在系統(tǒng)規(guī)劃、建設(shè)、運(yùn)維中充分考慮網(wǎng)絡(luò)安全問(wèn)題、如何實(shí)現(xiàn)網(wǎng)絡(luò)安全能力與信息化的深度結(jié)合、如何形成動(dòng)態(tài)綜合防御體系，缺少明確方法指引。

“過(guò)去把目光都放在增加投入上，但投入只是中段環(huán)節(jié)，沒(méi)有足夠的規(guī)劃能力，投入就無(wú)的放矢，就無(wú)法保證能力有效落地，無(wú)法支撐預(yù)算框架和規(guī)模?！毙ば鹿庹f(shuō)，“不進(jìn)行規(guī)劃指引，單純呼吁增加投入，很可能造成無(wú)效投入或虛假投入?！毙ば鹿庵赋觯芰ㄔO(shè)離不開投入，投入離不開預(yù)算保障。越是面臨嚴(yán)峻的風(fēng)險(xiǎn)挑戰(zhàn)，提升國(guó)家安全能力的預(yù)算投入越需要優(yōu)先保證。

他指出，安全規(guī)劃能力普遍不足、缺少充足預(yù)算資源保障、網(wǎng)絡(luò)安全責(zé)任制沒(méi)有完全落地，是當(dāng)前網(wǎng)絡(luò)安全工作中的三個(gè)短板。對(duì)此，他建議：

應(yīng)從落實(shí)網(wǎng)絡(luò)強(qiáng)國(guó)的戰(zhàn)略高度，為政企機(jī)構(gòu)網(wǎng)絡(luò)安全提出清晰的戰(zhàn)略指引和體系化、框架性防護(hù)規(guī)劃指引，將網(wǎng)絡(luò)安全防護(hù)工作引導(dǎo)到全面建設(shè)所有必要的網(wǎng)絡(luò)安全防御能力，并將其有機(jī)結(jié)合以形成動(dòng)態(tài)綜合網(wǎng)絡(luò)安全防御體系的能力導(dǎo)向建設(shè)模式。

應(yīng)對(duì)網(wǎng)絡(luò)安全預(yù)算投入給出清晰的結(jié)構(gòu)性保障要求，建立綜合考慮信息資產(chǎn)價(jià)值、防護(hù)等級(jí)要求、敵情想定、防護(hù)效果的預(yù)算規(guī)劃?rùn)C(jī)制，對(duì)網(wǎng)絡(luò)安全和信息化同步規(guī)劃建設(shè)、防護(hù)缺失填坑補(bǔ)課等給出硬性工作要求，確保有效投入。

應(yīng)在現(xiàn)有考核、監(jiān)管、檢查機(jī)制基礎(chǔ)上，積極探索通過(guò)國(guó)家監(jiān)察體系對(duì)網(wǎng)絡(luò)安全責(zé)任制的落實(shí)實(shí)施監(jiān)督審查，對(duì)政企機(jī)構(gòu)是否及時(shí)有效制定規(guī)劃、配置資源、執(zhí)行預(yù)算，是否達(dá)成有效防護(hù)等督查問(wèn)效，形成深度問(wèn)責(zé)機(jī)制。并將政企機(jī)構(gòu)網(wǎng)絡(luò)安全責(zé)任融入本單位“三定”工作中，明確各部門職責(zé)規(guī)范。

當(dāng)前，網(wǎng)絡(luò)安全所面臨的風(fēng)險(xiǎn)挑戰(zhàn)依然復(fù)雜嚴(yán)峻，隨著網(wǎng)絡(luò)強(qiáng)國(guó)戰(zhàn)略不斷推進(jìn)實(shí)施，對(duì)能力型網(wǎng)絡(luò)安全企業(yè)的使命要求也不斷提高。過(guò)去，安天在嘗試從單純的反惡意代碼視角提升至威脅對(duì)抗視角時(shí)遭遇了許多挫折，在經(jīng)驗(yàn)教訓(xùn)中不斷反思，提出了引入威脅框架作為自身新一輪能力建設(shè)導(dǎo)向的考慮。過(guò)去的一年里，安天團(tuán)隊(duì)在業(yè)內(nèi)專家指導(dǎo)下，圍繞威脅框架，根據(jù)實(shí)際情況不斷完善各產(chǎn)品能力。安天正在從傳統(tǒng)的反惡意代碼小閉環(huán)中走出，切換到賦能客戶、共建防御加威脅對(duì)抗的大閉環(huán)當(dāng)中去。