文/邱 锐 卫文新
随着我国互联网基础设施建设步伐加快、自主创新能力逐步增强、信息经济蓬勃发展,互联网已经成为国家发展的重要驱动力。党的十九大报告明确提出建设“网络强国”,表明互联网发展将进入全新的时代,亿万人民将在共享互联网发展成果上有更多实实在在的获得感。但同时,随着全球互联网的迅速发展,网络安全也成为事关国家安全的重要问题。网络攻击、网络恐怖、网络窃密、网络诈骗等活动猖獗,国家网络安全形势日益严峻,积极应对威胁、有效防范风险是网络时代维护国家安全、社会稳定和公共利益的重要使命。
中国目前已经拥有7.72亿网民,其中手机网民占97.5%,普及率达到55.8%,超过全球平均水平4.1个百分点,超过亚洲平均水平9.1个百分点。[1]广大的用户群体成为中国互联网发展的雄厚基础。网络安全关乎国家安全,更关乎全民利益,也是中国从网络大国迈向网络强国的决定性一步。2014年2月27日,中央网络安全和信息化领导小组正式成立,这是中国互联网有史以来最重要也将影响深远的一件大事。在成立会议上,习近平指出“没有网络安全,就没有国家安全”。2014年,领导小组在京召开第一次会议,习近平提出:“要从国际大势出发,总体布局,统筹各方,创新发展,努力把我国建设成为网络强国。”[2]2015年10月,党的十八届五中全会将“网络强国”提升至国家发展战略地位。2016年11月7日,《中华人民共和国网络安全法》通过,从国家法律法规层面进一步明确了对大数据安全和数据跨境流动的管理规范,标志着中国拥有了第一部全面规范网络空间安全管理方面问题的基础性法律,在网络安全上实现了“有法可依”。2017年10月,党的十九大报告在“加快建设创新型国家”部分专门提出,要为建设网络强国、数字中国、智慧社会提供有力支撑。
网络安全建设是网络治理体系的重要一环,更是实现网络强国的重要基础。近年来,世界主要国家均明确提出维护国家网络安全是全民的共同责任。大数据时代,互联网的海量信息,仅仅依靠政府部门监管如同“杯水车薪”,很难应对,做好网络安全工作不是某个机构、某个部门的事,需要自上而下、全民参与,这既是我国网络安全实践经验的总结,也是世界互联网发展的普遍规律。因此,建立健全公众参与的网络安全体系是提高我国网络空间治理水平的重要环节。
近年来,我国互联网蓬勃发展,网络规模不断扩大,网络应用水平不断提高,成为推动经济发展和社会进步的巨大力量。与此同时,对中国这样一个网络大国,网络环境也纷繁复杂,网络安全也面临许多新情况、新问题、新挑战。公民个人信息和隐私曝光、国家机密泄露、网络诈骗泛滥、计算机病毒肆虐,已经成为对公众个人安全和国家安全的严重威胁。
近些年网络安全威胁不断变化、增大,网络安全形势日益严峻,世界各主要国家都已进入网络空间战略的集中部署期。
2013年6月发生的“棱镜门”事件,让世界各国深刻认识到互联网治理权关乎国家网络空间安全和利益,国际社会掀起一轮互联网治理热潮。“棱镜门”事件后,全球网络基础设施遭遇高危漏洞,针对OpenSSL代码库爆发的“心脏出血”漏洞威胁我国境内约3.3万网站服务器,开源软件Linux的Bash漏洞影响遍及全球约5亿台服务器及其他网络设备,基础通信网络和金融、工控等重要信息系统安全面临严峻挑战。木马僵尸网络、钓鱼网站等非传统网络安全威胁不断增加,分布式拒绝服务(DDOS攻击)、高级持续威胁(APT攻击)等新型网络攻击愈演愈烈。[3]根据2013年欧洲网络和信息安全局(ENISA)《网络环境安全威胁报告》,“路过式漏洞攻击”(Drive-by exploits)、“蠕虫”和“木马”“代码式注入”(Code Injection Attacks)已成为全球网络安全的三大威胁。[4]
2017年5月中旬,全球多个国家的网络遭遇名为WannaCry蠕虫病毒(又称勒索病毒、比特币病毒)的勒索软件攻击,感染后文件会被加密锁定,必须支付黑客索要的赎金才能恢复,受攻击对象甚至包括医院、高校等公益性机构。这次病毒传播,让人们再次切身感受到网络安全的强大威胁,敲响警钟的同时也暴露出应对网络安全威胁的短板。
目前我国网民规模达7.72亿,庞大的网络用户成为网络黑灰产业违法犯罪的对象。根据2016年腾讯《移动支付网络黑色产业链研究报告》,每天约60万人次连接存在安全隐患的Wi-Fi。不法分子通过搭建免费Wi-Fi盗取连接用户的重要信息,包括各类移动支付的用户名和密码;移动网络诈骗正在向“高技术化”“综合化”及“多平台”发展,不法分子不再通过直接联系的方式诱骗受害者,而是通过伪基站等技术手段发送带有木马链接的钓鱼信息,诱骗受害者点击,盗取关键个人信息,再利用这些信息盗取用户财产,整个过程用户几乎毫无感知;广大网民密码保护意识薄弱,七成以上用户对所有网络帐号都使用同样的用户名与密码。一旦不法分子盗取一组帐号信息,就很有可能成功盗用该用户的其他帐号,包括移动支付帐号。[5]
伴随互联网技术进步,各种新型网络诈骗形式已成为中国网络用户用网安全的最大威胁之一。根据猎豹平台2018年1月发布的《2017年网络诈骗趋势研究报告》显示,与2016年相比,网络诈骗举报量增长17.6%,人均损失增长52.2%。在众多诈骗类型中,金融理财类诈骗仍最严重。以低门槛高回报为诱饵的虚假网络兼职诈骗是连年被举报数量最多的诈骗类型。[6]打击网络违法犯罪是维护网络安全的重要需求,维护网络安全必须重拳打击网络诈骗。
据国家互联网应急中心(CNCERT)数据显示,我国网络安全威胁正向移动互联网转移,手机应用商店、论坛、下载站点等是传播移动互联网恶意程序的主要来源。一个很小的手机APP应用程序,可以在用户毫不知情时读取用户信息并上传。2016年流氓行为类的恶意程序数量仍居首位,数量为1255301个(占61.13%),恶意扣费类373212个(占18.17%)、资费消耗类278481个(占13.56%)分列第二、三位。[7]移动互联网黑客地下产业链已经成熟。
随着万物互联的发展,以智能家居为代表的物联网设备也逐步成为攻击目标;专门针对工业控制系统的“震网”(Stuxnet)病毒已感染全球超过4.5万个网络;网络黑客利用应用程序漏洞可远程控制智能汽车。网络安全隐患已开始向新兴技术产业各重要环节渗透,然而安全性产品却极度稀缺,相关防御技术研发尚处于起步阶段。在新兴技术产业的强劲增长驱动下,网络安全问题的影响范围不断扩大,威胁程度日渐加深。[8]
在我国,网络安全最突出也是长期存在的问题是网民网络安全知识、网络安全技能、网络安全意识的缺乏。大多数网民网络安全意识淡薄,往往只追求信息技术带来的便利而忽视信息保护,缺乏网络安全基本常识。工信部电子科技情报研究所2015年在“第二届国家网络安全周”发布的《我国公众网络安全意识调查报告》显示,我国网民网络安全意识薄弱,基础技能不足,七成多被调查者在多账号使用同一密码,超八成网民不会定期更换密码;绝大多数网民网上支付行为存在隐患,其中不少人会使用没有密码的公共Wi-Fi进行网络支付;六成多网民认为自我保护意识太差是导致个人隐私泄露的主要原因;熟悉网络安全法律法规的仅占9.05%。[9]2017年10月, 360发布的《中国网民网络安全意识调研报告》显示,通过对网民对勒索病毒等重大网络安全事件的看法进行调查发现,40.4%的网民会持续关注,担心自己受到攻击,想了解防御方法;26.7%的网民感觉不太会影响到自己生活;13.9%的网民不怎么关心,认为与自己关系不大。令人担忧的是,19.0%的网民完全不了解这些重大网络安全事件,这类人群正属高危人群,更容易受到侵害。[10]可见,我国正面临着互联网技术发展迅速与公众网络安全意识薄弱之间的矛盾,并成为制约我国网络安全水平提升的一大短板。
我国已成为名副其实的网络大国,但在网络安全的意识、管理、法律、技术、机制等方面与发达国家相比还有较大差距,关键信息基础设施和重要信息系统的安全保障存在短板,网络核心技术和关键设备受制于人的状态尚未改变,企业和个人在网络环境下的合法权益容易受到侵害,法律保护有待加强。
从技术基础设施的角度来看,互联网技术发达国家美国在操作系统、网络设备、基础应用、大数据应用等关键技术领域拥有大量巨头企业,以及网络安全产业的巨头公司和专业的安全厂商。在网络安全产业支撑方面,美国政府和军方机构具备将专业技术交给民间企业的条件,并建立了自己的专用技术企业(即政府承包商)队伍,形成政府、民间分工协作、相互促进的产业格局。[11]美国网络安全行业的发展壮大以及新兴网络安全厂商的崛起,也反衬出我国在网络安全基础设施建设方面存在的巨大差距。
360企业安全集团董事长齐向东在2017中国互联网大会上指出,目前我国网络安全建设投入与美国相差15倍,我国网络安全投资占整体信息化建设经费的比例不足1%,与美国的15%、欧洲的10%相比存在巨大差距。[12]而我国的安全人才储备也相当薄弱,一些稀缺的高精尖人才由于国内网络安全产业发展空间不足而流失到国外大型企业,还有一些人才进入了游戏、移动互联网等应用领域。
网络安全是一个关系国家安全和主权、社会稳定的重要问题。网络不安全,国家不安宁。建设网络强国,首先要把好“安全关”。
随着互联网的迅猛发展,世界经济发展注入了新的发展动力。我国全功能接入国际互联网24年来,至今已经拥有7.72亿网民,成为世界网民人数最多的网络大国。互联网已经融入人们生活的方方面面,深刻改变了经济社会发展和人们的生产生活方式,网络安全和信息化对国家很多领域都是牵一发而动全身。因此,没有网络安全就没有国家安全。当前,国家网络安全形势日益严峻,积极应对威胁、有效防范风险是网络时代维护国家安全、社会稳定和公共利益的重要使命,迫在眉睫,刻不容缓。
虚拟性和无界性是互联网技术的重要特征,然而在此基础上的网络自由并不代表一国的网络空间没有主权。国民在互联网中的自由,恰恰需要国家主权作为保障。没有主权的网络,也就没有网民的真正自由。每个网民都是网络社会的一分子,在不经意间就可能成为危害网络安全的参与者,也可能成为网络有害信息的受害者。因此,维护网络安全就是维护公民自身安全。网络安全事关国家安全、经济社会发展、社会稳定,事关亿万网民的切身利益。维护网络安全应与国家主权、社会公共利益、个体合法权益并列,维护网络安全就是保障公民、法人等主体在网络享有自由、平等和安全。
近年来,随着互联网技术的发展以及对社会各领域的影响日益加深,网络安全领域的斗争也日益加剧。这对维护国家网络安全来说是挑战更是机遇。网络安全危机具有多发性和复杂性,政府的应对力量极其有限,有效的应急管理需要政府、社会和公众之间的密切协作,形成合力。建立及管理网络安全秩序,除了政府部门和相关企业各司其职,更需引入民间力量、激发民间智慧,通过多方位的齐抓共治,实现互联网安全领域的健康发展。公众的积极有序参与,既是我国网络安全治理的现实需要,也符合国际发展趋势。
党的十八届四中全会作出依法治国的重大决定,为我国的国家治理体系和治理能力现代化指明了方向,也为我国网络空间治理提供了行动指南。无论是维护网络秩序还是保护知识产权、打击网络犯罪、保障网络自由,都离不开法律、法规。依法而行、依规而动是互联网精神的重要组成部分,也是网络空间运行的基本准则。国无法不立,网无法不兴,依法治网将成为网络治理的新常态。为公众参与网络安全治理提供法律保障,正是在网络空间治理中对依法治国精神的切实落实。
2017年6月1日,《中华人民共和国网络安全法》正式实施,在提高网络空间治理水平,增强网络空间安全防御能力,推进网络社会法治创新,提升我国在网络空间的国际话语权和规则制定权等方面都具有重要的保障作用。作为我国网络安全领域的基本法,《网络安全法》在借鉴国际经验、结合我国国情的基础上,在战略部署和制度构建方面都有突破与创新。在战略层面,提出国家要不断完善网络安全战略、人才战略、可信身份战略,全方位提升网络安全治理水平的宏观要求。在制度层面,综合、全面、针对性的提出加强关键信息基础设施保护力度;增加惩治网络诈骗等新型网络违法犯罪活动的规定;加强网络安全人才培养、保护未成年人上网,加强个人信息保护,建立信息等级保护制度等,构建起系统、全面、兼顾“监测、预警、免责”的全面事态感知立法创新模式。
同时,我国也正在构建网络安全法律体系,包括《互联网新闻信息服务许可管理实施细则》《互联网论坛社区服务管理规定》《互联网跟帖评论服务管理规定》《互联网用户账号名称管理规定》《互联网群组信息服务管理规定》《互联网新闻信息服务单位内容管理从业人员管理办法》和《微博客信息服务管理规定》等一系列相关规定已经出台,为我国公众充分参与网络安全治理提供了充分的法律依据。
政府应在引导公众提升网络安全意识、扭转网络安全建设的不利局面中发挥至关重要的作用。一方面要有效打击网络犯罪,另一方面也要主动进行网络安全知识普及,二者相结合才能取得事半功倍的效果。
同时,政府应在积极引导的基础上,发动企业、学术界等相关社会力量多方合作,制定并采取科学有效的方案、措施,在全社会普及网络安全教育。国际上也有一些做法值得我们借鉴。比如,2013年,荷兰国家网络安全中心就发布了《白帽黑客指导方针》,鼓励白帽黑客和网络安全研究员查找网络安全缺陷,与政府及企业协调合作,公布网络安全漏洞信息,从而加强其社会责任意识。通过对诸如此类的协作进行宣传,公众便会逐步提高对网络安全威胁的敏感性。
除此之外,政府也可以定期向公众开放数据,使公众在参与的同时还能共享网络信息科技的发展成果。比如美国开展的“公民黑客日”活动,一些政府机构对外开放数据,邀请公众参与数据整合、科技创新,实现政府信息公开的同时,也提升了公众对网络安全技术的认知度。[13]
推动全社会共同维护网络安全的目的就是要增强网络安全意识、普及网络安全知识、提高网络安全技能。要加大宣传普及力度,在全社会形成人人重视网络安全、人人参与网络安全的良好氛围;加大教育培训力度,利用各种教育培训机构,传播网络安全知识;让网民在互动体验中增强网络安全意识、提高网络安全技能。自2014年起,我国每年举办的国家网络安全宣传周向全社会普及了网络安全知识,公民网络安全意识逐渐提高。
维护网络安全需要政府、企业和网民的通力合作。建立有效的举报渠道,有利于提高网民参与网络治理的积极性。2015年5月,北京网安联合360互联网安全中心联合发起成立了网络诈骗信息举报平台“猎豹平台”,结合公安机关的刑侦能力、360的云安全技术与网民的举报线索,致力于将其建设成警、企、民联动的反网络诈骗信息系统。网民可以通过平台举报恶意程序、恶意网址、诈骗电话、诈骗账户等,还可以通过文字、图片、录音、影像等载体提供举报材料。网民举报的每一条信息,都将通过大数据分析系统关联分析、线索综合,为公安机关提供全面、有效的破案线索和证据链。[14]
网民的举报充分反映了互联网安全领域的突出问题,也为政府部门依法行政提供了依据。国家互联网信息办公室公开资料显示,就编发虚假新闻、传播淫秽色情信息约谈凤凰网,就账号审核把关不严、抢发散播不实消息等问题约谈新浪网,对传播色情低俗及虚假谣言信息的迅雷弹窗服务采取关停措施,对传播歪曲有害信息的133个网络账号予以关闭等行政执法线索均来自网民举报。
在充分调动公众参与网络安全治理的积极性方面,应进一步提高对网民举报的回复率、处置率,对网民深恶痛绝的危害网络安全行为及时曝光谴责,不断提升网民共同维护网络安全的积极性、主动性。
在世界各国,网络社会组织在维护网络安全方面都发挥着重要作用。网络社会组织是政府和企业之外的“第三部门”,是政府行使行政职能的重要补充,也是民间力量参与网络社会治理的重要途径。他们指导成员单位依法加强网络安全保护,提高网络安全保护水平,促进行业健康发展。据国家互联网信息办公室有关数据,截至2016年12月,我国网络社会组织总量为1333家,其中全国性网络社会组织47家,地方性网络社会组织1286家。这些网络社会组织包括国家、省、市、区县各级的基金会、民办非企业单位及各种协会、学会、促进会等社会团体。网络社会组织业务覆盖面广、形式灵活多样、活动能力强,并且在各自领域内具有较强的专业素养和广泛的行业资源。这些网络社会组织在过去几年中发挥自身优势、整合社会资源,从不同领域、不同角度参与到中国互联网基础设施建设、打造良好网络安全生态以及营造健康网络舆论环境等方面的工作中。网络社会组织以其独有的特性及灵活地位正在成为网络社会管理中不可或缺的新生力量,为我国互联网发展和信息化建设发挥日益重要的作用。目前,我国陆续建立了23个部门和单位参加的部际联席会议制度,并不断健全涉电信诈骗犯罪侦查工作机制;从深化跨境跨区域警务合作,到建立诈骗电话通报阻断、被骗资金快速止付机制,创新机制,治理网络电信诈骗。
为协助警方切实有效地打击网络犯罪,国内一些专业技术实力雄厚的互联网企业近年来不断深入与警方展开合作,同时也不乏一些银行、第三方支付平台、电信厂商等企业和机构加入。2014年4月,北京公安局网络安全保卫总队就与360公司联合发起成立了“北京网络安全反诈骗联盟”,搭建面向企事业单位的网络诈骗信息举报平台。联盟成立至今,先后增加了包括商务部、支付安全联盟(中国银联)、淘宝网、中国人民银行、中国建设银行、顽石咨询和eBay等在内的32家联盟单位。[15]反诈骗联盟通过向成员单位开放数据库进行疑似恶意网址比对,有效降低了成员单位服务对象遭受网络诈骗的几率。
行业自律是一种在法律监管之外的自下而上的方式。如果行业组织可以通过协作消除网络安全隐患,其意义不言而喻。美国对网络个人隐私权的保护就主要采取了行业自律的方式,其中“建议性的行业指引”主要由网络隐私权保护的自律组织发挥作用,参加该组织的成员必须承诺遵守有关行为指导准则。英国的互联网观察基金会(IWF)更是行业自律和法律监管结合的典范,通过行业组织和政府有关部门通力合作,共同构建了有效的网络空间治理模式。[16]
在我国,中国互联网协会、网络媒体论坛等行业自律组织、形式早已存在,并先后通过《中国互联网行业自律公约》《版权自律公约》和《博客服务自律公约》等形式,对维护网络空间安全秩序起到一定作用。《网络安全法》正式实施后,微信、淘宝、京东商城等十款网络产品和服务陆续进行了隐私条款的文本修改,隐私文本中语焉不详、晦涩难懂、避重就轻的文本变得更规范、责任更明确;同时进一步增强用户控制权,将不知情默认勾选、“一揽子协议”强迫用户同意等现象转变成让用户拥有知情权、选择权、注销权和更改权等。
建立行业自律组织,应当健全本行业的网络安全保护规范和协作机制,加强对网络安全风险的分析评估,定期向会员进行风险警示,支持、协助会员应对网络安全风险。网络运营者使用个人信息时,需要事先征求公民意见,并履行全面告知的义务;在公民信息发生或可能发生泄露、损害或丢失危险时,网络运营者必须向主管部门报告,并通知可能遭受损害的用户。如果出现这些问题,平台需要及时采取必要措施,并向主管部门报告,这将把恶意程序的损害减少到最小程度。
在大力促进互联网行业自律组织发展的同时,政府也要发挥组织和引导作用,促进公共和私营部门间的合作,既要建立政府机构间的数据共享机制,又要推进政府与企业间以及企业与企业间的数据共享机制。在不侵犯公众隐私权的基础上,政府要通过体制改革和提供政策、技术方案的支持,推进网络的互联互通和数据共享服务,从而建立更有效的网络安全机制。
党的十九大报告明确提出,要推进制造强国和网络强国建设,对网络安全和信息化建设作了全面、系统、科学的阐述。过去五年,国家先后颁布出台包括《中华人民共和国网络安全法》《国家信息化发展战略纲要》《国家网络空间安全战略》和《网络空间国际合作战略》等在内的顶层设计,不断完善推进网络领域法治建设,为网络安全和信息化建设指明方向,为实现网络强国战略保驾护航。同时,党的十八届五中全会通过的《中共中央关于制定国民经济和社会发展第十三个五年规划的建议》也指出,实现全面建成小康社会奋斗目标,推动经济社会持续健康发展,必须坚持人民主体地位。“人民是推动发展的根本力量,实现好、维护好、发展好最广大人民根本利益是发展的根本目的。必须坚持以人民为中心的发展思想,把增进人民福祉、促进人的全面发展作为发展的出发点和落脚点,发展人民民主,维护社会公平正义,保障人民平等参与、平等发展权利,充分调动人民积极性、主动性、创造性。”同样,大数据时代建立公众参与的国家网络安全体系,也必须坚持人民主体地位,必须牢固树立依法、创新、开放、共享的发展理念。政府部门和企业各司其职的同时,更需引入民间力量、发挥民间智慧、调动一切可以调动的积极因素,政府部门要从原来的“管理”转变为引导、服务和治理,通过多方位的齐抓共治,实现互联网安全领域的健康发展。
注释:
[1]中国互联网络信息中心(CNNIC):《第41次全国互联网发展统计报告》,2018年1月31日,http://www.cac.gov.cn/2018-01/31c_1122347026.htm,2018年5月1日。
[2]中国电信网:《习近平谈网络安全和信息化》,2018年4月21日,http://www.cac.gov.cn/ztzl/xzt/10/zt/index.htm,2018年5月1日。
[3]刘多:《当前网络安全形势与展望》,新华网,2014年11月17日,http://news.xinhuanet.com/politics/2014-11/17/c_1113272634.htm,2018年5月1日。
[4]彭婷:《政府要责无旁贷提高公众网络信息安全意识》,《人民邮电报》,2013年3月18日,第5版。
[5]腾讯研究院:《移动支付网络黑色产业链研究报告》,2016年1月13日,http://www.tisi.org/Article/magz_list/id/3556/ori/47.html,2018年5月1日。
[6]《2017年上半年网络诈骗趋势研究报告》,2017年6月20日,http://research.360.cn/report/,2018年5月1日。
[7]国家互联网应急中心:《中国移动互联网发展状况及其安全报告(2017)》,2017年5月17日,http://www.cert.org.cn/,2018年5月1日。
[8]刘多:《当前网络安全形势与展望》,新华网,2014年11月17日,http://news.xinhuanet.com/politics/2014-11/17/c_1113272634.htm,2018年5月1日。
[9]工信部电子科技情报研究所:《我国公众网络安全意识调查报告》,2015年6月4日,http://www.etiri.com.cn/ie.html,2018年5月1日。
[10]360互联网安全中心:《中国网民网络安全意识调研报告》,2017年10月18日,http://www.aqniu.com/industry/288711.html,2018年5月1日。
[11]云晓春:《三方面解析建设国家网络安全保障体系》,2014年9月24日,http://new.163.com/14/A6TPDJO500014SEH.html,2018年5月1日。
[12]齐向东:《我国网络安全建设投入与美国差15倍应尽快补》,2017年7月11日,http://tech.sina.com.cn/i/2017-07-11/docifyhwehx5667426.shtml,2018年5月1日。
[13]彭婷:《政府要责无旁贷提高公众网络信息安全意识》,《人民邮电报》,2013年3月18日。
[14]新华网:《网络诈骗地下产业链年产值超千亿》,2015年11月6日,http://news.xinhuanet.com/2015-11/06/c_1117064073.htm,2018年5月1日。
[15]《北京网安携360成立反诈骗联盟》,《科技日报》,2014年4月23日,第11版。
[16]中国网信网:《网络安全法明晰责任主体》,2015年11月4日,http://www.cac.gov.cn/2015-11/04/c_1117015599.htm,2018年5月1日。