■本報兩會報道組 賀 駿

　　正在召開的全國兩會上，全國政協(xié)委員、360集團(tuán)董事長兼CEO周鴻祎提交了四份提案，其中包括《關(guān)于鼓勵政企單位上報網(wǎng)絡(luò)攻擊事件的提案》、《關(guān)于完善網(wǎng)絡(luò)安全人才培養(yǎng)體系的提案》等。

　　在《關(guān)于鼓勵政企單位上報網(wǎng)絡(luò)攻擊事件的提案》中，周鴻祎指出,網(wǎng)絡(luò)攻擊具有極強(qiáng)的隱蔽性和突發(fā)性。政企單位及時上報網(wǎng)絡(luò)攻擊事件對于早期發(fā)現(xiàn)、追蹤溯源和防止攻擊范圍及危害進(jìn)一步擴(kuò)大，保障國家網(wǎng)絡(luò)安全具有重大價值和意義。習(xí)總書記在4.19網(wǎng)信工作座談會上指出，目前存在“誰進(jìn)來了不知道、是敵是友不知道、干了什么不知道”的情況，指出了對網(wǎng)絡(luò)攻擊情況不掌握、不了解、不全面的問題。去年《網(wǎng)絡(luò)安全法》實施以來，隨著有關(guān)部門監(jiān)管力度的加大，政企單位在應(yīng)對網(wǎng)絡(luò)攻擊和事件通報方面取得了積極進(jìn)展，一些單位積極配合監(jiān)管部門開展網(wǎng)絡(luò)攻擊事件追蹤調(diào)查和犯罪打擊，效果良好。但從現(xiàn)實情況看，政企單位上報網(wǎng)絡(luò)攻擊事件還存在一些問題亟待解決：

　　1. 遭受網(wǎng)絡(luò)攻擊時不愿及時上報�！毒W(wǎng)絡(luò)安全法》規(guī)定了網(wǎng)絡(luò)運(yùn)營者因網(wǎng)絡(luò)安全事件，發(fā)生突發(fā)事件或生產(chǎn)安全事故的，應(yīng)當(dāng)依照國家有關(guān)法律、行政法規(guī)進(jìn)行處置。由于擔(dān)心承擔(dān)法律責(zé)任，有些政企單位遭受網(wǎng)絡(luò)攻擊后，往往傾向于掩蓋和隱瞞。這使得許多網(wǎng)絡(luò)攻擊難以及早發(fā)現(xiàn)和防范。有關(guān)部門因此錯失了對網(wǎng)絡(luò)重大攻擊追蹤溯源和預(yù)警通報的有利時機(jī)，攻擊者可以繼續(xù)潛伏或?qū)嵤┒�次攻擊，造成更大危害�?/p>

　　2. 缺乏鼓勵上報措施�！毒W(wǎng)絡(luò)安全法》第六章規(guī)定了網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)承擔(dān)的法律責(zé)任。對網(wǎng)絡(luò)安全事故進(jìn)行監(jiān)管追責(zé)是完全應(yīng)該的，但是對政企單位主動及時上報遭受網(wǎng)絡(luò)攻擊信息卻沒有激勵或酌情減免責(zé)任的條款。由于計算機(jī)系統(tǒng)的天然缺陷，任何網(wǎng)絡(luò)系統(tǒng)都可能被攻破是一個現(xiàn)實。對防范措施沒有做到位而發(fā)生的網(wǎng)絡(luò)攻擊事件應(yīng)當(dāng)界定為責(zé)任事故并追責(zé)，但面對超出當(dāng)前防御能力的網(wǎng)絡(luò)攻擊，即使所有防護(hù)手段都做到位了，系統(tǒng)依然能被攻破，需要有責(zé)任減免的考量。部分政企單位在遭受網(wǎng)絡(luò)攻擊時，既擔(dān)心單位名譽(yù)受損、用戶流失、收入下降，又擔(dān)心受到上級監(jiān)管部門的嚴(yán)厲處罰。如沒有相應(yīng)鼓勵措施，主動上報的積極性很難有所提高。

　　從國內(nèi)外網(wǎng)絡(luò)安全實踐來看，及時上報網(wǎng)絡(luò)攻擊事件，是國家應(yīng)對網(wǎng)絡(luò)威脅，提高網(wǎng)絡(luò)安全防護(hù)水平的重要途徑。為此，周鴻祎建議：

　　一、出臺鼓勵網(wǎng)絡(luò)攻擊事件上報的相關(guān)政策。建議在現(xiàn)有《網(wǎng)絡(luò)安全法》基礎(chǔ)上進(jìn)行細(xì)化補(bǔ)充，出臺鼓勵政企單位上報網(wǎng)絡(luò)攻擊信息的政策法規(guī)。既然世界上不存在無法攻破的網(wǎng)絡(luò)，就接受現(xiàn)實，把快速發(fā)現(xiàn)網(wǎng)絡(luò)攻擊、快速處置減少損失當(dāng)作應(yīng)對策略。同時對網(wǎng)絡(luò)攻擊事件應(yīng)進(jìn)行分級分類監(jiān)管。比如，對沒有采取相應(yīng)安全措施的，嚴(yán)肅追責(zé)。對遭受國家級網(wǎng)絡(luò)攻擊的，可以視情減免責(zé)任。此外，對主動及時上報事件和積極應(yīng)急處置的單位，給予酌情減免責(zé)任和處罰的機(jī)會，并幫助其安全整改。

　　二、規(guī)范網(wǎng)絡(luò)攻擊事件上報流程。對政企單位上報網(wǎng)絡(luò)攻擊事件的具體流程和方法進(jìn)行規(guī)范，形成可操作的實施細(xì)則，明確受報主體、上報時限，采取書面報告、當(dāng)面匯報、技術(shù)接口等方式，主要上報攻擊事件發(fā)生時間、造成的危害、處置應(yīng)對情況和后續(xù)風(fēng)險評估等內(nèi)容。

　　三、加大對知情不報企業(yè)查處懲戒力度。政企單位負(fù)有向主管部門主動及時上報網(wǎng)絡(luò)攻擊事件的義務(wù)，并承擔(dān)相應(yīng)法律責(zé)任。建議有關(guān)部門不斷完善網(wǎng)絡(luò)安全監(jiān)管技術(shù)手段，加大網(wǎng)絡(luò)執(zhí)法力度，對知情不報、銷毀證據(jù)、有意隱瞞、歪曲事實的相關(guān)單位予以嚴(yán)肅查處。

　　四、鼓勵政企單位選用網(wǎng)絡(luò)安全企業(yè)專業(yè)服務(wù)。當(dāng)前許多政企單位缺乏應(yīng)對網(wǎng)絡(luò)威脅的能力，一旦遭受網(wǎng)絡(luò)攻擊，難以研判攻擊狀況。應(yīng)鼓勵政企單位積極選用網(wǎng)絡(luò)安全企業(yè)的監(jiān)測預(yù)警、應(yīng)急處置、攻擊取證服務(wù)。在發(fā)生網(wǎng)絡(luò)攻擊時，及時向監(jiān)管部門提供相關(guān)證據(jù)和解釋說明，防止被錯判、誤判。

　　在《關(guān)于完善網(wǎng)絡(luò)安全人才培養(yǎng)體系的提案》中，周鴻祎指出，網(wǎng)絡(luò)安全的本質(zhì)在對抗，對抗的本質(zhì)在攻防兩端能力的較量。網(wǎng)絡(luò)安全實質(zhì)是人與人的對抗，不是購買和部署一批網(wǎng)絡(luò)安全設(shè)備、安裝一批軟件就能解決問題。就像國家安全有了武器，還要有掌握武器的軍人和警察。網(wǎng)絡(luò)安全更需要專業(yè)安全運(yùn)維人員來做分析、規(guī)劃、態(tài)勢研判、響應(yīng)和處置。在互聯(lián)網(wǎng)時代，每個政企單位都需要建立自己的網(wǎng)絡(luò)安全技術(shù)團(tuán)隊或委托專業(yè)安全服務(wù)團(tuán)隊提供網(wǎng)絡(luò)安保服務(wù)，網(wǎng)絡(luò)安全將成為一個智力密集型的服務(wù)業(yè)，形成巨大的人才需求。

　　近年來，國家網(wǎng)絡(luò)安全人才培養(yǎng)取得重要進(jìn)展�！熬W(wǎng)絡(luò)空間安全”被國務(wù)院學(xué)位委員會和教育部增設(shè)為一級學(xué)科，我國網(wǎng)絡(luò)安全高層次人才培養(yǎng)邁出了重要一步。但與打造網(wǎng)絡(luò)強(qiáng)國對人才的需求規(guī)模相比還存在較大差距，網(wǎng)絡(luò)安全人才培養(yǎng)體系亟待完善。

　　為此，周鴻祎建議：一是大力支持網(wǎng)絡(luò)安全企業(yè)設(shè)立相關(guān)教育培訓(xùn)機(jī)構(gòu)；二是開展網(wǎng)絡(luò)安全學(xué)科聯(lián)合建設(shè)；三是把網(wǎng)絡(luò)安全納入職業(yè)技能鑒定體系。