新形勢網絡安全管理存在的問題及應對建議淺析

◆胡國良 肖剛 張超通訊作者

（國家計算機網絡與信息安全管理中心湖南分中心 湖南 410000）

近年來，我國網絡安全法律法規政策保障體系逐步健全，網絡安全威脅治理取得新成效，進入網絡安全綜合管理和治理的新時期，但隨著云計算、大數據、物聯網等新技術新業態的磅礴發展，攻擊技術也向智能化發展，特別針對云平臺、工業控制系統等關鍵信息基礎設施的定向攻擊愈演愈烈，網絡安全形勢仍然嚴峻，因而，研究新形勢下，網絡安全管理存在問題及應對措施十分必要。

1 網絡安全管理存在問題

1.1 運營單位網絡安全執行力度不夠，關鍵信息基礎設施防護能力不足。

（1）網絡安全意識不強。不少單位“重建設、重資產、輕維護、輕安全”的觀念根深蒂固，對網絡安全保障工作認識不足，意識不強，盲目樂觀，認為部署有安全設備就能解決所有安全問題；信息系統建設只重視功能實現，忽視安全性設計，缺乏全面系統的網絡安全規劃，弱口令、敏感信息明文傳輸等安全問題頻現；不少辦公終端使用盜版操作系統或應用軟件，未及時更新補丁，未安裝防護軟件，感染僵尸、木馬、病毒等惡意程序后不自知或不作處理，從而造成敏感信息泄露、網頁被篡改等嚴重后果。

（2）網絡安全管理措施不力。部分單位網絡安全責任制落實不力，未明確網絡安全管理工作負責領導、內設機構及相應責任，導致網絡安全工作難以推進；在日常管理和運維中，對自身信息資產家底不清不明，未根據實際情況建立和完善配套制度，不利于工作開展及落實；網絡安全檢查或自查流于形式，對所發現的問題敷衍應對，導致安全隱患長期存在；很多單位未針對重要網絡及信息系統制定網絡安全突發事件應急預案，未定期開展應急演練。一旦發生網絡安全事件，無法及時、有效地處置。

（3）網絡安全經費投入不足。一是網絡安全投入占信息化總投入比重偏低，多數單位網絡安全專業服務采購投入不足，網絡安全建設遠遠滯后于信息化發展；二是軟硬件安全產品部署不足，部分單位只部署了低配置防火墻或未部署任何安全設備，離國家網絡安全相關標準要求存在較大差距，極易遭受網絡攻擊；三是安全自查互查缺位，未開展網絡安全風險評估工作，不能及時發現安全威脅及隱患；四是技術支撐能力不足，許多單位網絡安全相關崗位普遍存在人員兼任、技能不強等問題，未定期組織開展專業學習和培訓，未購買專業支撐服務，不能適應日新月異的網絡安全的挑戰。

（4）關鍵信息基礎設施防護能力不強。關鍵信息基礎設施是經濟社會運行的神經中樞，是網絡安全的重中之重，也是可能遭到重點攻擊的目標，但從關鍵信息基礎設施網絡安全檢查及監測情況來看，存在部分關鍵信息基礎設施未進行定級備案、未定期開展安全測評、網絡邊界劃分及防護設計不合理、相關防護產品部署不足、安全維護工作不到位等現象。其防護能力不強成為突出問題。

1.2 網絡安全產業不強，監管體制機制有待完善。

（1）網絡安全產業起步晚基礎差。我國網絡安全產業底子薄，發展水平低，在產業發展、人才培養、技術研發、監管體系等各個方面仍然存在諸多不足。大多數地區多以提供技術和產品的中小民營企業為主，技術能力參差不齊，技術合作交流少，難以形成合力；而知名網絡安全企業研發及專業安全服務團隊大多分布在發達省市或企業總部，對全國的支撐力度有限，且研發投入不足，未形成具備關鍵核心技術和能力的產品。

（2）網絡安全統籌協調及監管機制有待完善。當前網絡安全管理以政府主導為主，甚至政府唱獨角戲，未充分調動社會力量廣泛參與。跨行業、跨領域間的協同合作缺乏或不健全，高效協同的應急響應和保障體系有待完善，網絡安全事件通報處置信息化手段弱，效率低。網絡安全監督執法力量不足，力度不夠，缺乏足夠的威懾力。

1.3 核心技術受制于人，受全球化影響和沖擊，易遭受境外攻擊。

當今全球信息化技術以歐美等發達國家為主導，我國的網絡安全和信息化核心技術仍受制于人，難以做到自主可控，容易受到國際網絡安全事件的沖擊。據國家互聯網應急中心監測，我國已經成為網絡攻擊主要受害國。以勒索病毒為例，我國重要行業關鍵信息基礎設施逐漸成為重點攻擊目標。

2 網絡安全管理應對建議

2.1 加大宣傳力度，提高防范意識

（1）加大網絡安全知識宣傳普及。辦好網絡安全宣傳周，定期組織舉辦網絡安全峰會、論壇、競賽等活動，促進行業內、跨行業的技術合作交流，不斷增強網絡安全影響力，吸引全社會對網絡安全關注，促進普通民眾對網絡安全的了解和關注，提升全民網絡安全意識。

（2）抓好網絡安全重點領域。各級黨政機關、金融、能源、電力、通信、交通等涉及關鍵信息基礎設施管理或運營單位要深入貫徹落實國家網絡安全法律法規及政策要求，切實提高安全防范意識和專業技能，依據國家相關標準開展網絡安全日常工作，包括落實網絡安全主體責任，建立和完善規章制度，落實經費保障，規范網絡安全建設和運營，配備專業人才，定期開展應急演練等。

2.2 完善頂層設計，深化協同監管機制，構建綜合防御體系

面對日益復雜的網絡安全環境，打造高效協同的監管機制和綜合防御體系，才能有效應對各類網絡攻擊事件。國家應不斷完善網絡安全監督管理頂層設計，各級網監管部門應深化協同監管機制，做到上下聯動、通力配合，形成強大的工作合力；建立跨部門、跨行業、跨地域的網絡安全監測、預警通報、應急處置的綜合防御體系；加強網絡安全檢查和執法，形成威懾力。

2.3 加強網絡安全技術手段建設

（1）當前，國家監管機構和行業主管部門著力加強網絡安全技術手段建設，發揮了一定的效果，但相互之間優勢資源無法共享，系統之間缺乏聯動，造成數據孤島，無法形成合力，宜加強頂層設計，整合資源，根據互聯網全程全網的通信特點，推進國家級、省級網絡安全態勢感知平臺建設，做到資源共享，上下協同聯動，建設具備網絡安全監測預警、態勢感知、應急處置、協同聯動等功能的綜合管理平臺。

（2）隨著APT攻擊等新型威脅的不斷出現，需要更加快速地對安全威脅行為進行預判與識別，而傳統的分析方法大都基于規則和特征匹配，只能識別已知威脅，因而需運用大數據、機器學習、深度挖掘等技術實現對未知威脅的快速識別，不斷強化在網絡攻擊追蹤溯源，場景還原等方面的能力，大幅提升網絡安全監測預警能力，筑牢防護屏障。

2.5 完善孵化育成，助力產業發展

（1）加強政策引導，助力提質增效。一是通過選優配強、優中選優、建立孵化基金等方式培育一批具有很強自主創新能力的網絡安全“獨角獸”企業，同步引進國內外大型網絡安全企業帶動本土企業發展。二是構建完善高效的產學研創新及軍民融合體系，推動企業、高校、科研機構、軍隊之間的深度合作與協同發展，使企業運行、高校人才培養、科研機構發展、軍隊國防建設的科學技術研究相互配合、發揮綜合優勢。三是加強頂層設計，理順工作關系，明確工作職責，統籌協調網絡安全戰略規劃、目標任務、政策措施和資源共享，發揮社會力量的主體作用，吸引更多社會資本進入網絡安全產業，明確網絡安全行業資本準入和退出機制，合力推進網絡安全行業發展壯大。

（2）加大網絡安全技術研發投入。加強對網絡安全基礎性、通用性、前瞻性技術創新的研究投入，努力突破關鍵技術，掌握主動權。通過設立網絡安全專項基金，扶持重點網絡安全技術產業和項目，支持企業、研究機構和高等學校等參與國家網絡安全技術創新項目，支持對5G、大數據、云計算、工業互聯網、人工智能、區塊鏈等新興技術的安全研究等。

2.4 加大人才培養，打造專家隊伍

習近平總書記強調“網絡空間的競爭，歸根結底是人才競爭。建設網絡強國，沒有一支優秀的人才隊伍，沒有人才創造力迸發、活力涌流，是難以成功的。”因而培養一支政治素質高、業務能力強、作風優良的復合型網絡安全人才隊伍，形成專家人才、核心人才、骨干人才、通識人才相銜接，核心力量、基本力量與后備力量相搭配的人才格局，對建設網絡強國意義重大，

（1）政府方面，鼓勵網絡安全和信息化人才發展體制機制改革，允許先行先試，研究建立網絡安全特殊人才培養和激勵制度，加大對網絡安全高端人才、緊缺人才的培養、引進和支持力度，使黨政機關、關鍵信息基礎設施運營單位能夠招得進、用得好、留得住精通網絡安全技術的“高精尖”專業人才。

（2）企業方面，一方面可與高校攜手，通過聯合研發、共建學院、資金支持等創新模式，共同致力于網絡安全人才培養。另一方面提高專業人才待遇，加強培訓力度，拓寬晉升通道。

（3）高校方面，改革辦學機制和模式，創新思路辦法，采取超常措施為社會輸送專業人才，例如網絡安全專業開展“本、碩、博”連讀，縮短學制，增設“少年班”，選拔有專長的學生保送大學“實驗班”，實行“未來科學家”計劃，培養急需的網絡空間安全人才。

3 結束語

綜合本文論述，網絡安全事關國家安全和發展，現階段，我國正處于網絡安全綜合管理和治理的新形勢下，本文分析了網絡安全管理存在的現實問題，并從體制機制、技術手段、產業發展和人才培養等方面，就如何做好網絡安全管理工作提出應對建議。