牟承晋：网络信息安全是网络强国的重中之重

点击：作者：牟承晋来源：昆仑策网【原创】发布时间:2021-02-10 09:49:19

辛丑牛年的春天来了。央视网广而告之，习近平引经据典纵论网络强国，为网络强国“排兵布阵”。

“君子务本，本立而道生”。过去的庚子鼠年，伴随新冠肺炎病毒疫情的肆虐、美国总统“民主”大选的混乱、美国放任断网断服的“自由”等等，我国网信业界更加深刻地揭示和认识到了网络信息空间安全的根源和本质。

因特网对世界经济科技社会进步的推动有目共睹，对各国主权、安全和发展利益的安全威胁也日益加剧。

信息和通信技术及服务（简称ICTS）的供应链，是一个复杂且动态演变的生态系统（及产业链）。近几年来，网信安全的风险和威胁被溯源和发现，多来自于ICTS 的供应链，所造成的后果之大和影响之广，远不是传统黑客行为所能企及。无论美国、俄罗斯及欧洲主要国家，全球网信业界都不能不重新认识、审视和学习因特网不断涌现的新知识、新技术、新问题、新视野，重视和加强风险管理、风险评估和风险应对，下大气力挖掘和解决网络信息安全的本源，开拓坚持维护各国主权、安全、发展利益的网信空间新天地。

美国国家安全战略提出“网信空间武器化”，以及要求“国防部的所有领导者都有责任将数据视为武器系统”。美国依仗网络科技优势和对因特网指挥与控制的强势，积极部署和驱动网络战、数据战、信息战，霸道的博弈目的和手段非常明确。这清楚地表明，网络信息空间的安全威胁，已经上升到全面、综合、立体、多元、非常规的网络信息战争层面。

“十四五”规划开局第一年的春天，网络信息安全作为建设网络强国、数字中国、智慧社会重中之重的使命和任务，明确地摆在全党、全国、全军和全体网信业界专业从业人员面前。

一、网信空间的武器化

目前的一般定义，网信武器（Cyberweapon）是组合一种或多种武器化（Weaponizing）网信能力的进攻性手段（又称为Agent）。包括相关软硬件设备、材料、服务、人员，以及自主可控所需工具的交付和部署，作为网信攻击的一部分，用于军事、准军事或情报之目的。

“网信武器”具备三个主要特性：

1）由国家或有组织的支持和施用；
2）以支持间谍活动或使用武力达到既定目的；
3）针对特定目标。

2020年6月19日，美国国家安全局（NSA）的网信安全局（Cybersecurity Directorate）高调宣布其研发的一款“安全DNS软件”，很能说明问题。该软件：

● 用于DNS 递归（域名空间的入口）解析服务；

● 强调具备“指挥与控制”（C2）的功能和作用之定位。

鉴于网信安全的“武器技术”是NSA的首要任务之一，其所开发的“安全DNS软件”，显然与网信空间的“武器化”相关。在网信空间，诸多网络信息服务供应链和行为“被武器化”，没有明确和可预判的边界、国界和跨界。

“被武器化”，即被利用数据、工具和服务作为武器攻击对手，是攫取、抢夺、侵占网络信息价值和利益的强力手段。

1、关键技术被“武器化”

关键技术尤指网络通信的基础核心技术，而不仅限于应用程序和代码。

以2019年2月1日第一次DNS“执行日”（Flag Day）为基础，2020年10月1日的全球互联网（Internet）第二次DNS“执行日”行动，由开发DNS软件和提供DNS服务的厂商以及相关机构的一个联盟组织和实施，在DNS软件协议和技术规范上进行了影响深远的重大变更和革新，被称为是“无缝过渡到下一个30年的DNS时代”。

不同的是，第二次DNS“执行日”并没有广泛宣传，且该联盟网站上仅在英文、西班牙文和日文的网页中作了通告，并列的中文页面却没有更新第二次DNS“执行日”的具体时间（10 月1 日）。这个蹊跷的“疏忽”（或是故意“放水”），使我们不得不警惕，因为DNS软件核心技术在被垄断的同时，（包括美国国家安全局）持续地增加新特点和改进功能，又强调要阻止和“惩罚”不合其规的行为；而中国互联网（Internet）上绝大多数用户，目前所使用的DNS软件，几乎都是开源（即受控）的，也多为“不合规”（包括过期和废弃）的软件版本。

“武器化”之所以用于形容关键技术，是因为关键基础技术既有排他性（即维护和保持优势及对应用的监控和渗透），又有制约性（即隔离和垄断以及利益攫取）。打压和遏制中国网络的崛起和自立自强，是关键基础技术被“武器化”的一种（且不是唯一的）特定表现形式。

2、数据治理被“武器化”

网信空间（Cyberspace）的一般定义是：全球信息化环境由物理网络（包括地理位置）、逻辑网络（如协议、业务、数据）、网信行为（获取数据构建态势感知的一种方式）三个维度组成。

直观上看，实体货物贸易需要运输、存储和通关，容易控制。互联网络的交互与信息服务，则通过渗透、契合与交融即可实现，且防不胜防，除非“脱钩”。

网信应用实践中，数据不仅是战略资源和资产，也是国家主权的组成部分以及重要的开源情报（OSINT）。例如：

● 欧盟通过保护数据的立法和执法，进而提出构建“欧洲互联网”的设想，欲藉此夺回数据主权。

● 散播虚假消息成为网信空间信息战的主要形式，直接威胁国家政治安全和社会稳定。
● 在网信空间的对抗中，一个至关重要的环节是“运筹安全”（OPSec），旨在对关键信息的保护、风险评估以及实施对策，以避免或缓解“后顾之忧”。

因此，“武器化”之所以被用于数据治理，是因为数据既兼顾攻与防的属性和行动保障，又具有战略资源储备的实用价值，也是数字经济和智慧社会的基石。

3、网信空间被“武器化”

2020年9月29日，美国外交关系协会（Council on Foreign Relations）发布一份专题报告：“将数字贸易武器化 – 建立一个数字贸易区以促进线上自由以及网信安全”。报告的作者，是2011年至2015年期间，担任美国国家安全委员会网信安全政策部主任的罗伯特•科内基（Robert Knake）。

1）该报告提出，为打赢对中国的数字贸易战，须建立民主国家互联网（Internet）。

⑴ 数字贸易区的“民主数字供应链”路线图是：

● 美国及其伙伴在目前自由贸易协议的基础上，制定数字贸易和数据本地化的路线规则，建立对所有成员国公民的隐私保护措施；

● 实行成员国对非成员国数字商品的征税；
● 联合制裁参与被禁活动的非成员国；
● 投资改善全球网信安全；
● 确保成员国之间不进行单独信号情报（SIGINT）活动，互不干扰民主程序。

⑵ 对美国而言，此项计划亦有紧迫性，因为“窗口期很短”。

欧洲越来越朝着自己的方向发展。十年内，真的会看到欧洲拥有一个跟美国和中国都不同的互联网。到那时，要将这些重新整合回来将非常困难。因此，现在是集中精力思考，如何为此制定道路规则的时候了。

⑶ 建议通过谈判产生一个建立共同标准和实践，并排除不愿受这些标准约束国家的数字贸易协议。

2）该报告认为，互联网（Internet）的“碎片化”将分为美国、欧洲和中国三个板块，必须制定新的互联网治理方针：

⑴ 美国应该改变外交政策，从推动一个全球性开放的互联网（Internet），转而保存一个连接民主国家数字经济的互联网（Internet）。

⑵ 美国必须放弃，过去30年来期待信息自由流动的全球互联网（Internet）改变中国的美好愿望。

⑶ 美国必须做的，是提出一个打击中国的新方案，不要继续迷恋开放的、可相互操作的、可靠的全球互联网（Internet）的游戏。

3）该报告强调，美国最重要的优势是其盟友。

美国的最佳策略是跟民主国家合作，将其价值观植根于数字贸易，把数字贸易与促进开放的互联网相连。要做到这一点，就必须形成一个数字贸易区，将民主价值观与数字市场在线准入联系在一起。

⑴ 之所以用“武器化”这个词来形容数字贸易，是因为美国有太多还没有使用的“武器”，美国和其民主盟国有足以改变中国行为市场准入的巨大杠杆，到目前为止，美国还未使用这些工具，因此，建议数字贸易武器化以迫使中国改变其行为。

显然，互联网（Internet）的互联性（Networking）、互通性（Interworking）、互操作性（Interoperability），已是有条件、有选择、有约束（限制）的了，或在事实上已被“碎片化”。

网信空间被“武器化”，在不同阶段展现不同的形式和作用，以达到不同的目的。互联网（Internet）趋于人为的“碎片化”（或“巴尔干化”），是网信空间被“武器化”的（杠杆）表现形式。

⑵ 数字化时代，网信空间“武器化”不再是一个军事术语，而是“直击要害”（collateral damage）的现实。在非常规性的对抗中不仅是攻与防一体化的工具，而且是打压和封锁的手段。回避或姑息网信空间“武器化”，将不可避免地导致“被边缘化”或被“釜底抽薪”。

2017年或更早些时候，“武器化”是政客的流行术语。如今，“武器化”被认为对于人类社会学（含意识形态）具有建设性的指导意义。由国家或有组织的支持“武器化”网信能力的组合，构成“网信武器”并针对特定目标施用，表现为局部或局域的“信息游击战”。中美意识形态斗争的长期性、震荡性和不确定性，突出地反映在网信空间治理（及地缘政治格局）方面，包括（但不限于）：数字贸易、数字金融、数字科技、数字市场、数字现代化，其焦点是数据治理，或互联网（Internet）的“碎片化”必将成为不可逆的趋势。

4）扭转非对称的态势：

⑴ 战略备份不应是传统性的物理复制，而应是立足于网信空间数字“武器化”的转型和创新，尤其是跨领域、跨行业、跨部门的共识与联合行动。

⑵ 数据治理的优先重点是保障在对抗中的“运筹安全”，因此必须建立统一指挥与控制的体系和执行机制，以及重塑统一平台的自主大系统服务模式及可控常态管理。

⑶ 重视和加强关键基础技术（包括协议及规范）的研究和开发，填补缺口、弥补差距。在尊重互联网（Internet）历史沿革的同时，避免沿袭美制的盲区、误区或陷阱。

二、将数据视为武器系统

2020年9月30日，美国国防部发布《数据战略》（《Data Strategy》）提出，将国防部转变为以数据为中心的业务部门（Enterprise）；所有国防部的领导者都有责任将数据视为武器系统，并管理、保护和使用数据，以达到作战和行动效果。

知彼知己百战不殆，他山之石可以攻玉。美国国防部的数据战略，对我们坚定不移地建设网络强国、数字中国，有反其道而行之克敌制胜的重要借鉴、参照、启迪意义。

1、要点

1）愿景（Vision）：国防部是一个以数据为中心的机构，快速和规模利用数据，发挥运筹优势（Operational Advantage）并提高效率。

美国陆军网战司令部已将电子战和信息战融合为“信息优势”（Information Advantage），并将逐步替代“信息作战”（Information Warfare），以支持“决策优势”（Decision Advantage）。

2）重点领域（Focus Areas）：“数据战略”着重于必须与作战和行动的基层单位（特别是作战人员）密切合作。初步的重点领域包括：

● 在所有领域联合作战 – 战场上利用数据谋取优势；

● 高级领导者的决策支持 – 利用数据改善国防部管理；
● 业务分析 – 利用数据推动所有各级各职的明智决策。

2、八项指导原则（国防部所有的数据工作基础）：

⑴ 数据是一类战略资产 – 国防部数据是高附加值的“商品”，必须以能够带来直接和持久军事优势的方式加以运用。

⑵ 统一数据管理 – 国防部必须指派数据管理员、数据监管员以及一系列相应的数据管理服务器，以实行整个数据生命周期的问责制。

⑶ 数据行为准则 – 国防部必须将行为准则置于所有想法和行动的首要位置，因为这与数据的收集、使用和存储方式有关。

“数据行为准则”（Data Ethics）的一般定义，是负责任地和可持续地利用数据。

⑷ 数据收集 – 国防部必须在设计之初就采用电子化数据收集，并始终维护该数据的“血统”（起源及关联关系）。

⑸ 业务范围的数据访问和可用性 – 国防部数据必须通过适当的机制，提供给所有授权个人和单位使用。

⑹ 用于人工智能培训的数据 – 用于人工智能（AI）培训和算法模型的数据集，已成为国防部最有价值的数字资产，必须建立一个管理整个数据生命周期的框架，并提供受到保护的可见产物和承担责任的委托业务。

⑺ 适合用途的数据 – 国防部必须在数据收集、共享、使用、快速数据合成以及最大程度减少任何意外偏差时，认真考虑行为准则方面的任何问题。

⑻ 合规性设计 – 国防部必须实施多种信息技术（IT）解决方案，为信息管理生命周期全面自动化、适当地保护数据以及维护端到端的记录管理，做好准备。

3、必须具备的四项基本能力：

⑴ 架构 – 由业务云和其他技术支持的国防部体系架构，必须围绕数据，并能够比对手更快地适应之。

一般性定义，“业务云”（Enterprise Cloud）是一个统一的信息技术（IT）运营环境，将私有云、公共云和分布式云融合在一起，为管理任何云中的基础设施和应用提供单一控制点，为云运营商和消费者提供一致、高性能的云交付服务，及应用一级无缝的体验。

⑵ 标准 – 国防部采用一系列标准，不仅包括用于管理和利用数据资产的一般性公认方式，还包括用于表示和共享数据的成熟和成功方法。

⑶ 治理 – 国防部的数据治理从创建到部署提供对所有层次数据的有效管理所需之原则、策略、流程、框架、工具、测量标准和监督。

⑷ 人才与文化 – 国防部的工作人员（各级各职务的军人、文职人员和承包商）将越来越具备处理数据的能力，做出基于数据的决断，制定基于证据的政策并实施有效的流程。

4、必须实现的七个目标（VAULTIS，按以下7个单词的首字母排列）：

⑴ 使数据可视（Visible） – 使用者可以找到所需的数据；

⑵ 使数据可访问（Accessible） – 使用者可以检索数据；

⑶ 使数据易于理解（Understandable） – 使用者可以识别数据内容，上下文以及适用性；

⑷ 使数据关联（Linked） – 使用者可以通过固有的关系以利用数据元素；

⑸ 使数据可信赖（Trustworthy） – 使用者可以对数据的各个方面充满信心，以作出决策；

⑹ 使数据可互操作（Interoperable） – 使用者对数据具有共同的表示和理解。

⑺ 使数据安全（Secure） – 使用者知道，数据受到保护免于未经授权的使用和操作。

5、前进方向

为了实施数据战略，各相关单位将制定可测量的数据战略实施计划，由国防部首席数据官（CDO）和国防部数据委员会监督。数据治理群体和用户团体将继续合作，确定挑战，开发解决方案，并将最佳实践及所有数据利益与受众分享。

三、信息通信技术及服务供应链安全

根据2019年5月15日特朗普发布的13873号总统行政令《保护信息和通信技术及服务供应链的安全》（Securing the Information and Communications Technology and Services Supply Chain），2021年1月29日，美国商务部发布《信息通信技术及服务供应链安全暂行规则》。

请特别注意：

1、（术语）定义

⑴ “外国敌人”（Foreign Adversary），指长期从事于或严重危害美国国家安全以及美国人民安全保障的任何外国政府或外国非政府人员。

⑵ “ICTS 交易”（ICTS Transaction），指任何信息和通信技术及服务的采购、进口、转让、安装、经营或使用，也包括一揽子交易。

⑶ “敏感的个人数据”（Sensitive Personal Data），指：

● 在具体地区运营的美国企业维护或收集的个人身份信息（即可识别个人的数据），并在12个月内涉及100万人（以上）；

● 个人基因测试的结果。

2、（规则）目的

总统行政令，旨在减少信息和通信技术及服务（ICTS）供应链中的安全漏洞，避免敏感信息被泄露。商务部认定，以下外国政府或外国非政府人员构成“外国敌人”：

⑴ 中国，包括香港（列“外国敌人”第一位）；
⑵ 古巴；
⑶ 伊朗；
⑷ 朝鲜；
⑸ 俄罗斯；
⑹ 委内瑞拉，马杜罗独裁政权。

3、（审查）交易

⑴ 所列各项集成的软件、硬件及任何其它不可或缺的产品或服务中，八类32项必须审查的交易，包括：

—— 核心基础设施与互联网协议IP和互联网路由系统（直接关系协议、协议栈和路由解析的指挥与控制）；

—— 核心基础设施内容分发网络系统CDN（直接关系服务器境外代管、托管、远程控制）；
—— 核心基础设施互联网协议和多协议标签交换系统MPLS（直接关系供应链安全）；

⑵ 数据托管或计算服务不可或缺的软件、硬件或任何其它产品或服务，包括使用、处理或保留或预期使用、处理或保留敏感内容的软件定义服务，例如虚拟专用服务器在ICTS交易之前的12个月中的任何时候，有超过100万美国人的个人数据，包括：

——互联网托管服务；

——代管服务；
——内容分发服务）。

4、重大警示：

我国党政机关、金融科研机构、企事业单位等，大量业务数据和应用服务被代管、托管在境外（主要是美国）。按照美国商务部定于2021年3月22日生效的《信息和通信技术及服务供应链安全暂行规定》，中国被列为头号“外国敌人”，无论在中国境内的网络基础设施还是境外的代管、托管和内容分发（CDN）服务，都将受到美国政府的“安全”审查，并随时可以“安全”审查和发现“安全”问题为由，对中国网络任一构成部分（特别是直接关系供应链安全的核心基础设施和境外代管托管服务），“依法”实施彻底的删除（断服）和制裁（断网）。

这绝不是危言耸听！白纸黑字，明明白白！我国10亿网民，政出多门的监察监管执法部门，想明白、看明白、听明白了吗？准备好如何应对了吗？

也许，我们需要壮士断腕的勇气和魄力，对涉及国家核心、敏感、重要的关键数据和服务，果断切断在境外的代管、托管以及跨境传输，切断美国对我国网络信息空间服务的远程控制，鼓励全体网民、网信业从业者“立足自主创新、自立自强”，奋起爱国自救。

四、建言建议

习近平说，“没有网络安全就没有国家安全”，“建设网络强国，要有自己的技术”，“要有良好的信息基础设施”，“要有高素质的网络安全和信息化人才队伍”，“要积极开展双边、多边的互联网国际交流合作”。

我国民间和社会各界，围绕创建我国主权网络的非主流自主创新很多，人才很多，长期受到压抑、打击、亵渎、排斥，长期得不到公正、公平的关怀、支持和对待，很不正常。反对、抵制和消极对抗自主创新的大有人在。大敌当前，匹夫有责。对于我国网络信息领域的安全和发展，是时候畅通言路、激活创新、百家争鸣、百花齐放，人人为建设网络强国、数字中国献计献策、尽心尽力了！

经多方征求意见，郑重建议：

1、打破现有不利于我国网信领域“立足自主创新、自立自强”的体制机制，以强化解决网络信息安全为突破口和网络强国抓手，设立中共中央、中央军委直接领导下的“国家网络信息安全保障总局”，实施攻防结合的总体战，高质量地提升体系化能力，高度集中统一指挥，抓网信安全和网络强国一竿子插到底。

2、矫枉过正，尽快出台激励创建我国主权网络的一揽子倾向性政策，鼓励在现有网络框架上以保障安全为前提大胆创新改造；不拘一格降人才，聚天下英才而用之。坚决将里通外国、违法乱纪、营私舞弊、因循苟且的害群之马绳之以法。

3、相关主管部门主动检讨“规模部署IPv6”的失误，彻底清理整顿涉嫌重大营私舞弊、欺骗中央问题的机构和单位，坚持“坚定正确的政治方向、艰苦朴素的工作作风、灵活机动的战略战术”，坚定不移地推进自主创新建设网络强国。