網絡空間安全技術、標準與制度的體系協同構建

廣東警官學院 陳芳琳

網絡空間安全學科是一門綜合性學科，從計算機安全到大數據環(huán)境下的網絡空間安全，安全不再是單純的技術問題，而是將管理、技術、法律作為主要手段，解決網絡信息建設與應用中安全問題的產物。本文提到安全要結合管理、技術、法律、標準保障手段，分析、理清他們之間關系與作用，不斷采用新的技術、法規(guī)、管理構建協同安全體系，對指導網絡空間安全建設與教學培訓具有重大意義。

0 引言

網絡空間的安全性問題現在越發(fā)凸顯，如何有效把信息安全保障體系建立在復雜網絡環(huán)境中，是各國面臨的重要課題。我國需要在當前網絡安全法律體系的基礎上，加快研究配套網絡安全法相關的法律，加快技術開發(fā)，并輔之管理手段等，逐步構建較為完整的網絡安全法規(guī)體系。標準化作為現代風險管理科學手段，隨技術發(fā)展而不斷更新。網絡空間安全體系構建是在法律規(guī)范、指導下，綜合利用技術及其標準、管理及其服務標準手段對網絡領域一切人與活動進行規(guī)范。

1 網絡空間安全中的技術標準和法律規(guī)范下管理

1.1 網絡空間安全中的技術與人工智能發(fā)展

信息安全本身包括的范圍很廣，包括但不限于硬件、軟件、數據、物理環(huán)境及其基礎設施不受突發(fā)性或惡意性破壞、更改、泄露，且系統連續(xù)可靠正常地運行，信息服務不中斷，最終實現業(yè)務連續(xù)性。因此，技術的范疇主要圍繞危險的因素，保證信息完整性和容災性，體現出需保證信息的保密性、真實性、完整性、未授權拷貝和所寄生系統的安全性這五方面的內容，這五個方面并不獨立，而是一個體系。該體系是保證信息安全的關鍵，在安全技術發(fā)展過程中，加密技術和態(tài)勢感知是兩個重要內容。網絡安全加密技術“是一種可以信息通過隱藏的方式和技術發(fā)送給客戶的技術，其加密途徑是可以隱藏，也可以是水印”[1]。

人工智能在技術上的網絡安全評估已經逐步發(fā)展推廣，運用模型去感知網絡的安全態(tài)勢，提前預判安全隱患。網絡安全態(tài)勢感知技術彌補了傳統安全技術更新周期繁瑣、數據的來源單一且速度較慢的劣勢，能夠更快地獲取影響網絡安全的要素，評估出當前的網絡安全狀態(tài)。網絡安全態(tài)勢感知通過影響網絡安全的基本要素，那么從何獲得網絡的安全狀態(tài)數據？從電腦系統自帶的主機日志、安全殺毒軟件從軟件上，同時，路由器交換機自帶的檢測功能，接口數據等硬件數據都可以提取出相關的數據進行整合[2]。網絡態(tài)勢感知主要采用通過主機日志等各種工具、端口取得的數據，然后模型由算法把權重和所獲取的態(tài)勢數據值進行整合，獲取一個綜合的態(tài)勢值。當達到一定的閾值之后，即達到某種預警級別，由相關專業(yè)人員進行針對性地追蹤查看，提高網絡安全的預測效率。

（其中，C是安全態(tài)勢值，Pi是獲取的態(tài)勢數據，Wi是相對應的加權權重，n是獲取態(tài)勢值的種類數）

根據得到的C值，結合近年主流的神經網絡算法，如ESN神經網絡模型[3]，或是IGAPSO-ELM模型。訓練過程較簡單且處理非線性數據較好，及時預測網絡隱患問題。

1.2 網絡空間安全中的管理等級標準

管理于技術、法規(guī)、標準約束，與人員相結合。積極應用新的技術手段構建安全系統防護，推動制定相關法律法規(guī)，培養(yǎng)應對網絡安全突發(fā)事件的管理、技術工作人員，對特定的涉及安全的操作進行規(guī)范化管理，構建網絡安全的防范與監(jiān)督體系。

在構建安全體系中，還有一環(huán)“人員”不可忽視，那就是我們每一位國民安全意識。面對日益復雜的網絡活動，需要加大對全民安全概念的科普，把網絡安全的意識深入每位國人內心，而不是單純依靠專業(yè)人才實施技術和管理[4]。如“黑客”會竊取用戶賬號和密碼，竊取相關信息，通過“撞庫”等方式，獲取用戶的隱私。因此，用戶在使用信息服務的過程中，必須采取措施保護隱私賬號，進行優(yōu)化密碼設置等。

《信息安全等級保護管理辦法》是安全管理上重要的具體操作規(guī)定。根據該系統在國家安全、經濟建設、社會生活中的重要程度，以及其遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權益的危害程度等制定安全等級劃分。

表1就系統破壞后對公民、法人和其他組織的合法權益造成損害和主體單位處理措施進行描述[5]。

表1 保護等級（定級）分布表與對應處理方式Tab.1 Table of protection level （grading）and corresponding operations

1.3 網絡空間安全中的法規(guī)與管理

加快研究制定網絡安全法配套規(guī)定、條例，從而逐步形成較為完整的網絡安全法律體系。一方面，傳統立法雖有其優(yōu)點但不適應網絡安全環(huán)境的法律法規(guī)進行改革、完善，輔之立法解釋、司法解釋等方式將傳統法律延伸適用于網絡安全空間；另一方面研究網絡安全空間中的新問題、新情況，制定專門立法，應對網絡空間治理挑戰(zhàn)[6]。如制定《網絡安全法》的配套法規(guī)、《網絡信息服務管理法》、《個人信息保護法》等基本法律以及《網絡社會管理法》、《電子政務法》等相關法律。

信息安全管理體系（ISMS）新概念的提出，它借助于管理體系思想和方法，需要構建應急的事故反應和處理機制，確保在發(fā)生安全事故的時候將損失盡可能縮小，同時還要確保網絡安全平臺的硬件和軟件都處于受控制以及監(jiān)督的狀態(tài)，構建的體系是有一定的穩(wěn)定性。在發(fā)生破壞事件后，即保護等級被破壞后，主體單位針對其造成結果及影響進行對應性的處理。

2 網絡空間安全本質中的技術、標準與管理（法規(guī)）關系

安全體系的建設離不開嚴肅的法律法規(guī)、先進的網絡安全技術和嚴格的安全管理制度，三者相輔相承。網絡空間安全風險的形成主要是已有技術等客觀原因、相關主體不當行為或惡意行為等主觀原因，受到政治、經濟和社會等方面不確定因素的影響。說明網絡空間安全問題既有技術問題，更是社會關系沖突在網絡空間的反映。必須堅持依法管理網絡空間，保障網絡空間主體履行責任、享受權利，在法治軌道上提升治網能力[7]。安全問題的“技術衛(wèi)士”容易實現，如身份認證、系統優(yōu)化、漏洞修復、增加補丁、數據加密等技術防范手段是比較有效的，但卻對網絡安全背后的社會關系沖突和利益博弈無能為力[8]。

所以，單純靠法規(guī)和技術手段不能解決安全問題，而認識到技術、標準與管理（法規(guī)）之間的關系并指導安全防范實踐，借助安全管理之“手”是非常有效的方式。截至2020年末，國家對信息安全管理體系類，包括管理支撐技術類、政府監(jiān)管類共發(fā)布66項國家標準。特別是針對涉及大數據等新領域也發(fā)布了相對應的新技術標準多達20項。制定相對應的法規(guī)和技術標準體現出了管理的概念，也是搭建并完善信息安全管理體系重要因素，進一步提升人們的安全意識、完善法規(guī)和具體的規(guī)章制度，就是構建網絡空間安全防范的具體實踐體系。

3 技術、標準與管理協同構建網絡空間安全體系實踐

在實際開展網絡空間安全構建，尤其是構造學習內容過程中，以下是一個探討形成安全體系建設實踐體例。如表2所示。

表2 形成安全體系建設實踐體例Tab.2 A proposal of cyberspace security system construction

以上表格從多維度描述網絡空間安全涉及的理論、物資基礎、行業(yè)監(jiān)管人的意識等方面內容，分別從管理、技術和法規(guī)，支撐學科、人才培養(yǎng)以及產品、設備建設探討在專業(yè)實踐中，社會實踐中各內容與關聯，人的主動參與，如安全管理與應急預案等，共同構建網絡空間安全體系[9]。

4 結語

網絡空間安全實踐摸索，是以網絡安全技術、管理和法治之道，在技術形成標準，管理得到認證，有法可依且制度可良性持續(xù)發(fā)展，為之體系建設。要維護網絡空間安全，還應該緊盯互聯網的發(fā)展趨勢，結合先進的算法技術，從不同領域在新的法律指導下制定新標準，對技術、管理提出適應的標準及要求，才能確保網絡空間安全。