《国家网络安全审查制度的问题与对策.docx》由会员分享，可在线阅读，更多相关《国家网络安全审查制度的问题与对策.docx（5页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、国家网络安全审查制度的问题与对策国家网络安全验证系统旨在“维护国家网络安全”。目前,威胁态势感知在我国仅仅被视为一种技术方法或策略,在政策法律领域鲜有论及。本 文则倾向于将威胁态势感知视为一种理念，“如同我们不能去构造一种有效的正义观念一 样,我们也并非去构建,而是去发现对于一个时代的某种法律理念”。一、国家网络安全验证系统的构建与威胁概念的引入（一）国家网络安全验证系统的崩溃国家网络安全审查是指对国家安全系统（二）部署制度的风险目前我国的网络安全审查法律制度非常类似于信息技术产品和服务的许可准入制度，即只 有通过相关安全性和可控性的审查活动例如，信息技术测评认证或背景尽职调查一信息技术产品和
2、服务才能够进行部署，但是部署之后的审查要求却并未涉及。因而,我 国建立的网络安全审查制度只是一种风险“节点控制”，而非“过程控制”。如果从制度 本身的效用造成国家网络安全审查效用低下的根本原因是安全风险的“泛在化”。例如，网络攻击和 入侵借助的常用途径是后门和漏洞2015年7月，意大利黑客公司（Hacking Team）遭黑客攻击,泄露了 400G的内部资料。该 事件引人注意的并不是资料泄露本身，而是资料披露出该公司向多国政府出售漏洞（三）威胁态势感知的能力建设路径态势感知通常被理解为一种能力，是“通过感知特定时间和空间内的元素,预设和理解其在 未来的意义和状态。”尽管很少有人深入探讨态势感知
3、与安全风险发生之间的辩证关系，但无论在技术层面还是 管理层面，态势感知都要求“实时性”的风险感知和应对策略,也就是以承认风险在信息系 统中的广泛存在性为前提，而以风险识别、预测、控制和处置为内容。这同时也体现了网 络安全理念的变革或改良，既然安全风险几乎无法通过具体的审查措施进行绝对排除,那么 对潜在风险保有感知和预测能力就变得格外重要，其能够通过环境要素变化提供可预期的 风险发生概率,或在风险发生之时具有实时性的应对能力,进而有效降低风险造成的损害。网络安全威胁态势感知的方式或能力建设路径和我国网络安全审查制度可能面临的问题非 常契合,可以适度进行理念引入，用以弥补审查功能在风险控制方面的缺
4、陷。在实践中，各 国网络安全政策也普遍开始关注态势感知的积极作用。2009年澳大利亚国防白皮书 设立了网络安全操作中心(Cyber security operational center, CSOC),向澳大利亚政 府提供全资源(all source)范畴内的网络安全态势感知能力，并对国家层面的网络安全 事件提供快速而便利的应急操作能力二、反制的理念引发的新的价值选择“在法律史的各个经典时期,无论在古代或近代世界里,对价值准则的论证、批判或合乎逻 辑的适用，都曾是法学家的主要活动。”2012年前后，美国针对我国信息技术的种种限制策略是我国实施网络安全审查的直接诱因。 2012年10月9日，美国
5、国会众议院情报委员会公布针对华为和中兴的调查报告鉴于上述事件产生的消极影响,我国2014年宣布实施的网络安全审查制度在价值的判断方 面很自然地被理解为包含强烈的“反制”意味，因为按照对等原则，我国针对美国不公正的 信息安全政策实施相应的反制措施并无不妥。然而,如果仅仅将网络安全审查制度的法律 价值限于“以牙还牙”的反制功能，那么无疑是将网络安全审查降格为一种普遍意义上的 “政策工具”。尽管“反制”理念在价值选择中天然包含“保障”要求，但这种保障是非理性的。因为其在价值判断中并没有将整个国家网络安全的内在要求考虑在内，而将制度 的保障价值构建于广泛的国别化审查思路之上。考虑到国家网络安全风险渗透
6、渠道的多样 性,基于反制理念的法律价值无疑将缩小安全审查的范围，也会令国家丧失利用先进信息技 术的机会。如果将信息技术供应全球化的现状考虑在内，信息技术产品将可能在不同的国 家进行设计、生产、组装和调试,这种价值选择显然是毫无意义的。尽管美国种种有失理 性的行径引起了极大愤慨,但同时也起到了积极的效果我们比以往任何时候都更为审慎地对待国家网络安全问题这也是我们重新审视网络安全审查法律价值的初衷。基于威胁态势感知理念,对于信息技术的依赖性是我们的基本判断，国家重要领域和关键部 门的持续性运行高度依赖于广泛部署的信息技术产品和服务,其安全性和可靠性成为评估 国家网络风险的重要指标。与此相伴的是，网
7、络安全风险正在变得日益严峻,各国政府均毫 不讳言地对此表示了担忧，例如英国认为，“不幸的是,越来越多的对手正在利用网络空间 窃取、危害和毁坏关键数据，我们的依赖性意味着我们的繁荣、关键基础设施、工作和家 庭都将受到影响。”三、威胁态势感知与传统知识的泛化网络安全审查中引入威胁态势感知理念并不是全面否认现有审查方式的有效性，而是在预 设所有审查方式都存在风险识别疏漏或不可能性的情况下,对传统审查有效性的补强。从 目前我国的网络安全审查法律制度来看，审查方式仍然将主要依靠测评认证，即“以网络安 全产品测评认证为基础开展系统全面的安全审查。”但是信息技术产品和服务的测评认证是典型的“节点控制”方式，
8、对于已通过测评认证但 存在潜在风险的信息技术产品和服务无法起到审查应有的效果。国家信息技术安全研究中 心总工李京春也曾表示过这样的担忧，“我们以前所做的许多测评认证工作，只是集中在信 息安全产品本身是否达到标准,达标后的信息安全产品是否还存在安全风险,存在多少、何 等程度的安全风险，谁也不知道，也很少有人关心。”为此,有效的网络安全审查应当是一个动态的风险监测过程,贯穿于信息技术产品部署和使 用的整个生命周期，能够通过审查活动提供必要的态势感知的能力。在各国实践中，态势感 知包含非常丰富的内容,简单归纳可以包括对当前态势、态势变化和态势预测的感知那么，网络安全审查事实上可以划分为两个基本阶段,
9、第一阶段是在信息技术产品和服务采 购阶段,实施建立在测评认证基础上的安全审查；第二阶段是在信息技术产品和服务使用 阶段,实施建立在动态监控基础上的安全审查。就国家网络安全保障而言,第二阶段的网络 安全审查往往更为重要，因为正如木桶原理一样，国家网络安全的整体水平取决于保护措施 最为薄弱的环节，而持续性的动态监控恰恰能够识别和强化这类环节。例如,2009年，奥巴 马政府针对联邦政务网络安全开展了为期60天的网络安全审查，以此来判断联邦层面的数 据保护水平为此，威胁态势感知要求审查范围从传统产品和服务审查扩展为建立在“风险环境”基础 上的“威胁态势数据审查”。然而“数据”是个过于宽泛的概念，现代社
10、会的一切信息表 征都可以泛化为数据。为了保证网络安全审查活动的有效性和可预测性,数据审查必须依 托于具备组织性的特定审查对象,考虑到网络安全风险的持续性渗透和信息技术产品和服 务全生命周期的安全审查要求，国家网络安全审查向IT供应链的扩展就成为必由路径。四、我国的网络安全审查制度正在建立IT供应链安全是国家网络安全审查在威胁态势感知能力建设中的重要内容,但是并没有引 起足够的关注。按照国家互联网信息办公室发布的公告，我国将主要针对“重要技术产品 和服务”实行审查，这表明我国的网络安全审查制度仍然没有跳出“终端产品”和“直接 供应商”的审查思路。当然，这样的审查思路没有错误，但是对于保障国家网络
11、安全而言并 不充分。（一）第二,it供应链审查与威胁态势感知相结合目前，信息技术产品和服务的提供越来越依赖于广泛的全球市场，出于成本和效率的考虑， 大量的信息技术产品和服务存在业务外包的情况,复杂的供应链系统导致安全边界变得异 常模糊，安全风险具有更多的渗透途径威胁态势感知理念对于风险的判断和实施的控制方法与IT供应链审查极为契合。在实践 中，已经有国家将IT供应链审查与威胁态势感知在政策立法中进行结合考虑。例如,2013 年印度的国家网络安全战略将IT供应链安全和态势感知进行了综合考虑，建立了较为 先进的安全审查框架。在该战略中，印度明确要求建立强制性的持续信息安全审计；建立 产品/应用供应
12、商和服务提供商之间的信赖关系，改善“端到端”供应链安全的“可视性”； 在信息技术采购供应链风险管理的各机构之间建立针对威胁（threat）、脆弱性（vulnerability）和安全违反（breach of security）事件的感知能力（二）sow安全审查与标准化威胁态势感知理念下的IT供应链审查要比产品和服务审查包含更多的控制要素,过于繁琐 的审查环节不仅会降低审查效率,也会令审查机构感到无所适从。本文将以美国内政部 （D0I）针对信息技术采购的审查要求为例，梳理国家网络安全审查中IT供应链审查的框 架。D0I在信息技术采购中重点审查供应商的自我声明（SOW）,供应商要在SOW中明确阐述
13、对 美国信息技术安全标准及相关立法的遵从情况。这样D0I将大量的细节性审查工作转移给 供应商，并通过“安全合同”明确供应商的安全责任，增强“事后惩处”的效果和力度。D0I对于不同类别的供应商有不同的审查要求，对商业现货（COTS）软硬件供应商仅要求其 陈述质量控制内容,而对于开发或提供客户端应用服务、IT服务外包或在线支持服务的供 应商则具有广泛的审查要求。具体而言，供应商在SOW中需要陈述包括背景调查由此可见,在D0I的网络安全审查中，信息技术产品和服务认证认可仅仅是其中的一部分， 大量的审查内容关注了 IT供应链中涉及人员、系统和环境的安全要素，并规定了由供应商 完成的安全事件报告和持续性
14、安全审计,实现了态势感知的基本要求。我国可以参照D0I 的有益实践来设计我国的网络安全审查制度,但是仍然需要解决安全标准严重不足的问 题,D0I的网络安全审查在各控制域中依赖完善的信息安全标准,一方面提高了网络安全审 查的透明度，另一方面也为供应商的安全遵从提供了指引。标准化是各国实施网络安全审查的基础。尽管我国已经在立法中建立了网络安全审查制度, 但目前在信息安全标准的建设方面发展缓慢，没有形成具有配套性和完整性的安全标准族。 当然,在进行安全审查时可以使用ISO等国际标准，但国际标准一来仅仅提供了信息系统的 最低安全标准，二来与我国具体国情也并不完全匹配。因此，在国家网络安全审查向IT供
15、应链审查进行扩展时，我国的信息安全标准化建设也需要同步加快。五、国家网络安全审查主要体现在对风险的感知国家网络安全审查目前面临的现实问题是安全风险的“泛在化”，传统风险防范理论正在 受到越来越严峻的挑战，风险的绝对排除已然成为“镜花水月”，将风险降低到可以接受的 程度就成为更为可行的选择。威胁态势感知以承认风险在信息系统中的广泛存在性为前提, 而以风险识别、预测、控制和处置为内容。在国家网络安全审查中，既然安全风险几乎无 法通过具体的审查措施进行绝对排除，那么对潜在风险保有感知和预测能力就变得格外重 要,其能够通过环境要素变化提供可预期的风险发生概率,或在风险发生之时具有实时性的 应对能力,进而有效降低残余风险造成的损害。当然,在网络安全审查中引入威胁态势感知 并不是全面否认现有审查方式的有效性,而是在预设所有审查方式都存在风险识别疏漏或 不可能性的情况下,对传统审查方式有效性的补强,其强调常态性的安全审查，也就是建立 动态的风险“过程控制”体系。那么，围绕“终端产品”和“直接供应商”的审查范围显 然过于狭窄，网络安全审查向IT供应链进行扩展是十分必要的。但是DOT在网络安全审查 中的实践也表明，IT供应链审查将比现有的“产品和服务安全性和可控性”审查要复杂很 多,为了提高审查效率、增加透明度、明确指升性，我国相关的信息安全标准体系建设也需 要同步加快。