1 我國網(wǎng)絡(luò)安全現(xiàn)狀
隨著人工智能、大數(shù)據(jù)、5G等新興技術(shù)的發(fā)展，企業(yè)面臨的威脅日益增加。相關(guān)數(shù)據(jù)顯示，在2015年至2025這十年間，網(wǎng)絡(luò)攻擊引發(fā)的全球潛在經(jīng)濟(jì)損失可能高達(dá)2940億美元。網(wǎng)絡(luò)風(fēng)險(xiǎn)的升級，讓政府、企業(yè)和個人都對該風(fēng)險(xiǎn)愈加關(guān)注。各國紛紛頒布數(shù)據(jù)保護(hù)方面的法律法規(guī)，我國自2017年6月開始實(shí)行《網(wǎng)絡(luò)安全法》。2019年5月，我國發(fā)布了等級保護(hù)2.0 國家標(biāo)準(zhǔn)，增加了個人信息保護(hù)、云計(jì)算擴(kuò)展等要求。
國家互聯(lián)網(wǎng)應(yīng)急中心發(fā)布的《2019年上半年我國互聯(lián)網(wǎng)網(wǎng)絡(luò)安全態(tài)勢》顯示，2019年上半年，我國互聯(lián)網(wǎng)網(wǎng)絡(luò)安全狀況具有四大特點(diǎn)：個人信息和重要數(shù)據(jù)泄露風(fēng)險(xiǎn)嚴(yán)峻;多個高危漏洞曝出給我國網(wǎng)絡(luò)安全造成嚴(yán)重安全隱患;針對我國重要網(wǎng)站的DDoS攻擊事件高發(fā);利用釣魚郵件發(fā)起有針對性的攻擊頻發(fā)。
國家互聯(lián)網(wǎng)應(yīng)急中心從惡意程序、漏洞隱患、移動互聯(lián)網(wǎng)安全、網(wǎng)站安全以及云平臺安全、工業(yè)系統(tǒng)安全、互聯(lián)網(wǎng)金融安全等方面，對我國互聯(lián)網(wǎng)網(wǎng)絡(luò)安全環(huán)境開展宏觀監(jiān)測。數(shù)據(jù)顯示，與 2018 年上半年數(shù)據(jù)比較，2019 年上半年我國境內(nèi)通用型“零日”漏洞收錄數(shù)量，涉及關(guān)鍵信息基礎(chǔ)設(shè)施的事件型漏洞通報(bào)數(shù)量，遭篡改、植入后門、仿冒網(wǎng)站數(shù)量等有所上升，其他各類監(jiān)測數(shù)據(jù)有所降低或基本持平。
企業(yè)面臨的網(wǎng)絡(luò)風(fēng)險(xiǎn)或者網(wǎng)絡(luò)威脅主要有以下幾種形式：
1 網(wǎng)站入侵、網(wǎng)頁內(nèi)容篡改
表現(xiàn)形式：黑客利用網(wǎng)站漏洞侵入網(wǎng)站，篡改網(wǎng)頁內(nèi)容，甚至貼上反動標(biāo)語。
后果：造成嚴(yán)重的政治影響，對企業(yè)公關(guān)形象產(chǎn)生負(fù)面影響，被監(jiān)管部門處罰，影響正常業(yè)務(wù)開展。
2 數(shù)據(jù)泄露
表現(xiàn)形式：生產(chǎn)運(yùn)營中積累大量客戶數(shù)據(jù)的企業(yè)遭受黑客攻擊，數(shù)據(jù)被竊取并用于非法用途，如2018年華住酒店的客戶數(shù)據(jù)泄露事件、2017年美國Equifax數(shù)據(jù)泄露事件等。
后果：面臨監(jiān)管處罰，美國Equifax為1.5億用戶數(shù)據(jù)泄露支付了至少5.75億美元的罰款。此外，還可能面臨第三方的索賠。
3 網(wǎng)絡(luò)勒索
表現(xiàn)形式：遭受網(wǎng)絡(luò)勒索軟件攻擊，需向?qū)Ψ街Ц独账鹘鸷蠓娇山怄i相關(guān)軟件或數(shù)據(jù)。2017年6月馬士基總部IT系統(tǒng)遭到勒索軟件攻擊，集團(tuán)全球系統(tǒng)癱瘓，碼頭停止作業(yè)，最長的一周后才恢復(fù)運(yùn)營。
后果：支付勒索款項(xiàng)造成經(jīng)濟(jì)損失;或者生產(chǎn)經(jīng)營中斷造成營業(yè)中斷損失，營業(yè)中斷損失是目前大家公認(rèn)的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)中最大的風(fēng)險(xiǎn)。馬士基網(wǎng)絡(luò)癱瘓事件導(dǎo)致的直接損失超過了3億美金，營業(yè)中斷的損失金額未見公開披露。
4 分布式拒絕服務(wù)攻擊
表現(xiàn)形式：網(wǎng)站受到來自多個站點(diǎn)的同時攻擊，使網(wǎng)站服務(wù)器充斥大量要求回復(fù)的信息，消耗網(wǎng)絡(luò)帶寬或系統(tǒng)資源，導(dǎo)致網(wǎng)絡(luò)或系統(tǒng)不勝負(fù)荷以至于癱瘓而停止提供正常的網(wǎng)絡(luò)服務(wù)。
后果：網(wǎng)站無法提供正常服務(wù)，通過網(wǎng)站接受訂單服務(wù)被中止，同樣造成營業(yè)中斷的后果。如上，網(wǎng)絡(luò)風(fēng)險(xiǎn)的增加和不確定性，為網(wǎng)絡(luò)安全保險(xiǎn)的“萌芽”提供了“土壤”，后期會做詳細(xì)介紹。
2 國際網(wǎng)絡(luò)安全現(xiàn)狀
全球網(wǎng)絡(luò)攻擊事件更加頻發(fā)
世界經(jīng)濟(jì)論壇《2018年全球風(fēng)險(xiǎn)報(bào)告》中首次將網(wǎng)絡(luò)攻擊納入全球風(fēng)險(xiǎn)前五名，成為2018年全球第三大風(fēng)險(xiǎn)因素。
一是軟硬件設(shè)備安全漏洞頻出給生產(chǎn)生活帶來嚴(yán)重威脅。1月，英特爾公司爆出“幽靈”“熔斷”兩個處理器漏洞，導(dǎo)致惡意程序可獲取敏感信息。英國皇家戰(zhàn)略研究所公布報(bào)告，指出當(dāng)前核武器系統(tǒng)存在大量明顯安全漏洞，網(wǎng)絡(luò)攻擊破壞核武器控制裝置的風(fēng)險(xiǎn)極大。3月，英國政府通信總部發(fā)現(xiàn)家用新型智能電表存在安全漏洞，威脅數(shù)百萬物聯(lián)網(wǎng)設(shè)備安全，甚至可能影響國家電網(wǎng)的正常運(yùn)轉(zhuǎn)。4月，黑客利用思科高危漏洞發(fā)起攻擊，20余萬臺思科設(shè)備受到影響。
二是多行業(yè)關(guān)鍵信息基礎(chǔ)設(shè)施遭受攻擊。1月，荷蘭三大銀行網(wǎng)絡(luò)系統(tǒng)在一周內(nèi)不斷遭受分布式拒絕服務(wù)攻擊。6月，美國賽門鐵克公司發(fā)現(xiàn)黑客組織針對美國和東南亞國家衛(wèi)星通訊、電信、地理太空拍攝成像服務(wù)和軍事系統(tǒng)進(jìn)行網(wǎng)絡(luò)攻擊。9月，西班牙巴塞羅那港與美國圣地亞哥港相繼遭受網(wǎng)絡(luò)攻擊。11月，美國國土安全部稱黑客多次試圖破壞美選舉系統(tǒng)。
三是個人信息與商業(yè)數(shù)據(jù)遭遇大規(guī)模泄露與違規(guī)利用。4月，美媒報(bào)道特朗普大選期間聘用的“劍橋分析”從2014年起違法收集臉譜網(wǎng)上5000多萬名美國用戶的數(shù)據(jù)，用于預(yù)測和影響選民的大選投票取向。9月，臉譜網(wǎng)稱遭受黑客攻擊，5000多萬用戶的個人隱私信息面臨風(fēng)險(xiǎn)。
2019年，隨著當(dāng)前生產(chǎn)和生活對網(wǎng)絡(luò)信息系統(tǒng)依賴性的增強(qiáng)，網(wǎng)絡(luò)攻擊事件的數(shù)量仍將不斷增多，影響范圍也將更加廣泛。
全球網(wǎng)絡(luò)對抗態(tài)勢進(jìn)一步升級
網(wǎng)絡(luò)空間已成為各國爭奪的重要戰(zhàn)略空間，2018年各國采取多種措施不斷謀求增強(qiáng)網(wǎng)絡(luò)防御和對抗能力，網(wǎng)絡(luò)空間對抗態(tài)勢不斷加劇。
一是頂層規(guī)劃中網(wǎng)絡(luò)對抗戰(zhàn)略意圖明顯。美國本年內(nèi)發(fā)布兩項(xiàng)重要國防戰(zhàn)略，均顯示出明顯網(wǎng)絡(luò)對抗戰(zhàn)略意圖。7月，發(fā)布《2019年國防授權(quán)法案》，明確將中國、俄羅斯等國列為美國國家安全“威脅”，建議增加網(wǎng)絡(luò)沖突前線的軍事部署。9月，發(fā)布《國防部網(wǎng)絡(luò)安全戰(zhàn)略》，指出中國和俄羅斯對美國及其盟國的戰(zhàn)略性威脅正在增大，為防范網(wǎng)絡(luò)攻擊要進(jìn)行先發(fā)制人。
二是完善網(wǎng)絡(luò)空間作戰(zhàn)機(jī)構(gòu)設(shè)置。5月，美國網(wǎng)絡(luò)司令部升格為獨(dú)立作戰(zhàn)司令部。8月，日本防衛(wèi)省宣布將組建專門部隊(duì)保護(hù)國防通信網(wǎng)絡(luò)免受攻擊。10月，北約提出將成立網(wǎng)絡(luò)指揮部，以全面及時掌握網(wǎng)絡(luò)空間狀況。
三是強(qiáng)化多方合作。一方面加強(qiáng)政企合作。5月，日本防衛(wèi)省決定將部分網(wǎng)絡(luò)防衛(wèi)任務(wù)委托民間企業(yè)。6月，美國組織軍隊(duì)、政府和產(chǎn)業(yè)界專業(yè)人員共同開展“網(wǎng)絡(luò)極限2018”演習(xí)。另一方面推動國際合作。4月，北約舉行“鎖定盾牌”網(wǎng)絡(luò)戰(zhàn)演習(xí)，吸引了來自30多個國家的千名網(wǎng)絡(luò)安全專家參加。6月，立陶宛宣布?xì)W洲聯(lián)盟9個成員國將成立快速回應(yīng)小組對抗網(wǎng)絡(luò)攻擊。
四是不斷深化網(wǎng)絡(luò)武器研發(fā)。4月，韓國國防部表示將在2019年前投入29億韓元開發(fā)智能型信息化情報(bào)監(jiān)視偵察系統(tǒng)。7月，美國國防部開發(fā)新網(wǎng)絡(luò)武器系統(tǒng)，以發(fā)動對“伊斯蘭國”的在線攻擊，并保護(hù)美國免遭敵對政府的黑客攻擊。
2019年，隨著相關(guān)國家網(wǎng)絡(luò)空間政策的調(diào)整以及網(wǎng)絡(luò)軍事力量建設(shè)加速，網(wǎng)絡(luò)空間爭奪或?qū)⑾破鹦赂叱薄?/p>
各國將更加重視數(shù)據(jù)安全治理
數(shù)據(jù)已成為國家重要戰(zhàn)略資源和生產(chǎn)要素，針對數(shù)據(jù)的網(wǎng)絡(luò)攻擊以及數(shù)據(jù)濫用問題日趨嚴(yán)重，提升數(shù)據(jù)安全治理水平刻不容緩。2
一是進(jìn)一步完善數(shù)據(jù)安全保護(hù)法律法規(guī)。2018年5月，歐盟《通用數(shù)據(jù)保護(hù)條例》(GDPR)正式生效，歐盟國家，如愛爾蘭、西班牙、比利時與塞爾維亞等歐盟國家參照GDPR研究制定或發(fā)布國內(nèi)數(shù)據(jù)保護(hù)相關(guān)規(guī)定，非歐盟國家，如阿根廷、巴西、伊朗、印度、泰國等國也調(diào)整其數(shù)據(jù)保護(hù)法規(guī)與GDPR保持一致。
二是加緊研究數(shù)據(jù)跨境流動規(guī)則。2018年4月，巴西向世界貿(mào)易組織提交文件，敦促對互聯(lián)網(wǎng)數(shù)據(jù)流動的規(guī)則展開討論。7月，日本和歐盟達(dá)成協(xié)議，將實(shí)現(xiàn)雙方數(shù)據(jù)自由流動。10月，歐盟議會通過《歐盟非個人數(shù)據(jù)自由流動條例》，消除歐盟成員國數(shù)據(jù)本地化的限制。
三是大力推進(jìn)數(shù)據(jù)安全執(zhí)法檢查。1月，美國聯(lián)邦貿(mào)易委員會對偉易達(dá)處以65萬美元罰款，因其安全漏洞導(dǎo)致數(shù)百萬家長和孩子的數(shù)據(jù)遭曝光。2月，比利時一法院判定，臉譜網(wǎng)在比利時網(wǎng)民不知情的情況下搜集和保存其上網(wǎng)信息，違反比利時隱私法。8月，韓國政府開始對20家跨國公司在韓辦事處開展用戶數(shù)據(jù)安全審查。10月，歐洲數(shù)據(jù)保護(hù)監(jiān)督官員稱，在2018年底對外公布第一批依據(jù)GDPR處罰的情況，并實(shí)施制裁。
2019年，數(shù)據(jù)安全風(fēng)險(xiǎn)將更加突出，各國將繼續(xù)完善相應(yīng)法規(guī)體系，積極開展相關(guān)執(zhí)法檢查。
3 我國網(wǎng)絡(luò)安全目前存在的問題
我國網(wǎng)絡(luò)威脅監(jiān)測技術(shù)仍待加強(qiáng)
長期以來，我國網(wǎng)絡(luò)安全核心技術(shù)受制于人，在網(wǎng)絡(luò)攻防技術(shù)發(fā)展日新月異的今天，我國應(yīng)對網(wǎng)絡(luò)安全威脅的能力相對于發(fā)達(dá)國家處于劣勢。
一是信息技術(shù)安全監(jiān)測能力不強(qiáng)。我國對進(jìn)口網(wǎng)絡(luò)信息技術(shù)和產(chǎn)品的監(jiān)測分析以合規(guī)性評測為主，很少涉及軟件核心技術(shù)，規(guī)模化、協(xié)同化漏洞分析評估能力較低，難以發(fā)現(xiàn)產(chǎn)品的安全漏洞“后門”，同時在大數(shù)據(jù)分析、可信云計(jì)算、安全智能聯(lián)動等重要方面的技術(shù)實(shí)力不足，難以應(yīng)對新興信息技術(shù)產(chǎn)品的安全監(jiān)測工作?！ ?/p>
二是網(wǎng)絡(luò)攻擊追溯能力不足。目前，我國對于海量網(wǎng)絡(luò)數(shù)據(jù)缺乏有效的分析方法，對APT等新型安全威脅的監(jiān)測技術(shù)不成熟，即便監(jiān)測到這種威脅，由于缺少回溯手段，也難以找出攻擊源頭。
我國信息技術(shù)產(chǎn)品自主可控生態(tài)亟待建立
目前，我國對國外信息技術(shù)產(chǎn)品的依賴度較高，CPU、內(nèi)存、硬盤和操作系統(tǒng)等核心基礎(chǔ)軟硬件產(chǎn)品嚴(yán)重依賴進(jìn)口。如CPU主要依賴英特爾和AMD等廠商;內(nèi)存主要依賴三星、鎂光等廠商;硬盤主要依賴東芝、日立和希捷等廠商;操作系統(tǒng)則被微軟壟斷。2017年，歐美跨國企業(yè)提升了核心技術(shù)的開放程度，國內(nèi)信息技術(shù)產(chǎn)業(yè)曾出現(xiàn)新一輪引進(jìn)式的創(chuàng)新熱潮。然而，2018年，隨著中興事件和中美貿(mào)易戰(zhàn)的持續(xù)發(fā)酵，各界人士逐漸在構(gòu)建信息技術(shù)產(chǎn)品自主可控生態(tài)方面達(dá)成共識。一方面是亟需研發(fā)出可用乃是好用的核心信息技術(shù)產(chǎn)品;另一方面是急需對自主可控的網(wǎng)絡(luò)產(chǎn)品和服務(wù)進(jìn)行評估、扶持和推廣，進(jìn)而構(gòu)建良好自主可控生態(tài)。
我國網(wǎng)絡(luò)可信身份生態(tài)建設(shè)尚需強(qiáng)化
《網(wǎng)絡(luò)安全法》明確提出，“國家實(shí)施網(wǎng)絡(luò)可信身份戰(zhàn)略，支持研究安全和方便的電子身份認(rèn)證技術(shù)，推動不同電子身份認(rèn)證之間的互認(rèn)”。然而目前，我國網(wǎng)絡(luò)可信身份生態(tài)建設(shè)仍需強(qiáng)化。
一是網(wǎng)絡(luò)可信身份體系建設(shè)缺乏頂層設(shè)計(jì)，統(tǒng)籌規(guī)劃和布局尚不明晰。我國還未明確將網(wǎng)絡(luò)身份管理納入國家安全戰(zhàn)略，也未形成推進(jìn)網(wǎng)絡(luò)可信身份體系建設(shè)的整體框架和具體路徑。
二是身份基礎(chǔ)資源尚未實(shí)現(xiàn)廣泛的互聯(lián)互通，基礎(chǔ)設(shè)施重復(fù)建設(shè)現(xiàn)象嚴(yán)重。由于缺乏戰(zhàn)略設(shè)計(jì)和統(tǒng)籌規(guī)劃，我國網(wǎng)絡(luò)可信身份基礎(chǔ)設(shè)施共享合作相對滯后，導(dǎo)致基礎(chǔ)可信身份資源數(shù)據(jù)庫還未實(shí)現(xiàn)廣泛的互通共享，使得數(shù)據(jù)核查成本較高、效率較低。
三是認(rèn)證技術(shù)發(fā)展滯后，還不能滿足新興技術(shù)和應(yīng)用的要求。云計(jì)算、大數(shù)據(jù)、移動互聯(lián)網(wǎng)、工業(yè)互聯(lián)網(wǎng)等新一代信息技術(shù)不斷涌現(xiàn)，新興技術(shù)和應(yīng)用環(huán)境中數(shù)據(jù)的傳輸、存儲、處理等方式與傳統(tǒng)信息技術(shù)及應(yīng)用存在重大差異，已有身份認(rèn)證技術(shù)、手段和機(jī)制還不足以支撐新技術(shù)、新應(yīng)用的發(fā)展。因此，亟需開展針對性的研究，盡快制定國家網(wǎng)絡(luò)可信身份戰(zhàn)略，創(chuàng)建可信網(wǎng)絡(luò)空間。
關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保障體系仍不完善
關(guān)鍵信息基礎(chǔ)設(shè)施是國家至關(guān)重要的資產(chǎn)，一旦遭到破壞、喪失功能或者數(shù)據(jù)泄漏，不僅將可能導(dǎo)致財(cái)產(chǎn)損失，還將嚴(yán)重影響經(jīng)濟(jì)社會的平穩(wěn)運(yùn)行。隨著金融、能源、電力、通信等領(lǐng)域基礎(chǔ)設(shè)施對信息網(wǎng)絡(luò)的依賴性越來越強(qiáng)，針對關(guān)鍵信息基礎(chǔ)設(shè)施的網(wǎng)絡(luò)攻擊不斷升級，且?guī)в袊冶尘暗母咚焦魩淼木W(wǎng)絡(luò)安全風(fēng)險(xiǎn)持續(xù)加大。但我國關(guān)鍵信息基礎(chǔ)設(shè)施的安全保護(hù)力度仍然不足。
一是網(wǎng)絡(luò)安全檢查評估機(jī)制不健全。當(dāng)前的網(wǎng)信安全檢查側(cè)重漏洞發(fā)現(xiàn)，缺乏對漏洞修復(fù)的激勵措施，同時缺少對漏洞的危害等級的評估體系。
二是關(guān)鍵信息基礎(chǔ)設(shè)施安全保障工作存在標(biāo)準(zhǔn)缺失的問題。盡管行業(yè)內(nèi)已加速開展相關(guān)標(biāo)準(zhǔn)的研究工作，包括安全保障指標(biāo)體系、安全檢查評估指南以及信息共享規(guī)范等方面，但仍缺少金融、電力和通信等細(xì)分領(lǐng)域的安全保障標(biāo)準(zhǔn)研究。面對日益嚴(yán)峻的網(wǎng)絡(luò)安全挑戰(zhàn)，我國應(yīng)盡快完善關(guān)鍵信息基礎(chǔ)設(shè)施安全保障體系。
在此大環(huán)境下，網(wǎng)絡(luò)安全保險(xiǎn)作為一種新的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理方式得到了學(xué)術(shù)界和產(chǎn)業(yè)界越來越多的關(guān)注，成為網(wǎng)絡(luò)經(jīng)濟(jì)時代的一個新亮點(diǎn)。
原文來源：黑客編程社區(qū)
