互联网网络及设备安全论坛

时间：2018年7月11日上午

地点：国家会议中心

主题：互联网网络及设备安全

论坛概况：

2018年7月11日，由中国信息通信研究院泰尔系统实验室承办的中国互联网大会互联网网络及设备安全论坛在国家会议中心顺利召开。工业和信息化部网络安全管理局处长付景广和中国信息通信研究院副院长何桂立致欢迎辞。作为2018(第十七届)中国互联网大会专题论坛之一，本次论坛以“网络及设备安全”为主题，响应国家建设“网络强国”的发展目标，结合《网络安全法》实施，围绕互联网、物联网、工业互联网等领域，重点从关键设备安全，网络安全可靠运行和应急防灾等角度展开探讨。

参加论坛主题演讲的有中国信息通信研究院、中国移动、360、启明星辰、国科量子以及TAF论坛安全工作组的相关专家。论坛秉承互联网大会“融合发展，协同共治”的主题，在互联网设备安全治理的各个方面进行了深入的研讨。研讨内容包括了物联网终端安全、ICT供应链安全风险、网络威胁检测、数据中心抗震安全、家庭网络安全、量子加密和网络设备安全等内容。专家报告精彩纷呈，演讲内容引人入胜。成功探讨和交流了互联网网络及设备安全现状、优秀案例、后续思考。

付景广 工业和信息化部网络安全管理局处长

介绍了互联网网络及设备安全的国家政策及网络安全的重要性，并对当前的网络安全工作提出了几点要求：一是从建设“网络强国”的高度，开展网络安全治理，为国家安全筑牢屏障；二是树立正确的网络安全观，坚持依法开展网络安全治理工作；三是大力发展网络安全核心技术，提升网络安全保障技术能力；四是加强人才培养，打造网络安全保障的专业队伍。

何桂立 中国信息通信研究院副院长

介绍了本次论坛主题，并就论坛的背景、《网络安全法》实施的重要意义作了深刻剖析，对互联网网络及设备安全领域后续工作提出了几点建议：一是成立专题研究团队，全面支撑工信部网络安全监管，推动网络安全法的落地实施；二是建立完善标准体系，推动网络安全和设备安全标准化工作；三是建设综合管理系统，加强网络安全和设备安全的技术能力建设；四是组建技术团队，建设信息平台，强化网络设备漏洞管理机制。

李祥军 中国移动信安中心一级专家

近年来，全球物联网安全事件频发，破坏力极大，安全形势严峻。在2016年美国大半个国家断网事件之后，布局物联网安全，避免物联网沦为“黑客游乐场”成为全球共识。物联网终端已成为安全问题的主要源头，常见问题包括：采用简单密码、通信过程不加密、固件升级不进行签名验证等等。在物联网终端产业存在标准缺失、体系缺失、评测缺失、技术缺失、意识缺失等问题。物联网终端安全面临的挑战主要表现在：在管理方面，安全管理体系不完善，各角色安全责任界面不清；在技术方面，终端规模巨大、升级困难，传统安全问题在物联网环境下被急剧放大。中国移动坚持技管结合，源头管控，建设端到端的物联网安全风险防控体系。发布了终端安全管理制度及技术规范；开展终端入网管控，做好重点终端安全评估，建立物联网终端安全态势感知能力。从加快安全标准建设、健全入网安全评测、深化安全法制建设、建立安全生态联盟等方面共同努力推动物联网终端产业健康发展。

汪坤 中国信息通信研究院泰尔系统实验室无线技术部高级工程师

业界对供应链安全的认识，经历了传统供应链安全和ICT供应链安全两个阶段。第一阶段主要关注运输/物流/货物&人员安全。第二阶段主要关注ICT产品和服务的安全并将其提高到国家安全的高度。目前较为成熟的供应链安全标准主要有ISO 28000-2007系列标准、ISO/IEC 27036系列标准、NIST SP 800-161以及NIST IR 7622。供应链安全风险管理思路主要是将ISO/IEC 27000安全风险管理思路应用到供应链安全风险管理领域，具体包括背景调研、风险识别、风险分析、风险评价、持续监督、风险整改。其中，风险识别环节需结合多个供应链上下游参与方，梳理内在安全脆弱性和外在安全攻击，是整个安全风险评估中最为复杂的。目前，供应链安全风险已成为我国ICT行业发展的重要安全风险来源之一，企业和行业主管监管部门需从顶层设计、组织架构、人员设置、供应链管理专用系统建设、合同案例、技术保障措施等方面，加强供应链安全风险防范。

唐伽佳 360企业安全集团天眼产品总监

当高级持续攻击出现的时候，攻击者针对高价值目标会结合多种攻击方式、多种恶意软件、0day漏洞，社会工程学等进行持续定向攻击，窃取我们的核心数据，造成无法估量的经济与声誉损失，面对这种高级威胁，传统的防护体系仅仅是在解决单点问题，攻击链条并没有被打破，持续攻击仍在进行。在威胁发生且还未对网络造成大范围影响的这段时间内，如何精准感知网络内部的安全威胁？如何快速了解遭受攻击的程度以及影响范围？如何快速定位需要重点关注的攻击事件和来龙去脉，并以此来制定安全应急响应策略？围绕高级威胁的精准检测、攻击调查溯源、响应处置进行全面深入的思路和方法创新是未来高级威胁检测的核心。

汲书强 中国信息通信研究院泰尔实验室抗震防灾测评部副主任

抗震防灾能力是信息通信网络建设的重要性基本要求，数据中心的抗震安全不容忽视，必须从通信建筑、信息通信设备设施自身抗震性能、设备设施安装抗震加固措施等三个方面做好基础工作。一是对于新建的通信建筑，首先根据所在地区，使用功能及重要性确定抗震设防设计水平，然后按照GB50011《建筑抗震设计规范》进行专业的抗震设计;对于改扩造的通信建筑首先进行抗震性能鉴定，对需要进行抗震加固的，必须进行抗震加固设计改造。二是信息通信设备设施自身抗震性能关系着网络功能的实现，是整个抗震防灾工作的核心工作。设备设施生产企业必须进行设备设施的抗震能力设计，然后按照国家标准要求进行设备设施自身的抗震性能鉴定，以达到信息网络抗震防灾的基本要求。三是信息网络设备设施的安装，要求按照信息行业的标准进行安装抗震设计。数据中心建设抗震设防工作作为保证网络安全的基本工作往往被忽视，建议将抗震安全纳入工程质量，产品质量的体系管理，加强科学化管理，系统化发展。

郝春光 北京启明星辰信息安全有限公司创新业务事业群副总经理

随着物联网时代的到来，物联网设备已经渗透到我们的生活、消费各个领域，现在乃至未来很长一段时间里，我们将面临三大最突出问题：一是智能设备增多，网络无处不在，游戏沉迷、色情网站等防不胜防，儿童网络保护安全问题；二是家庭网络设备暴露在互联网端，个人隐私信息泄露、财产安全受到威胁，甚至威胁到人身安全问题；三是物联网智能设备平台多样化和复杂化，解决方案难以提供，智能家居成为网络黑产帮凶问题。

马彰超 国科量子通信网络有限公司标准总监

量子信息技术的发展为互联网安全带来全新的挑战和机遇。网络空间安全的基石是基于计算复杂度的经典密码学，而量子计算Shor算法的提出则使得RSA、ECC等主流公钥算法不再安全。这将对基于公钥算法的安全协议和应用产生广泛影响，包括Https、软件更新、安全邮件、VPN、云计算、物联网、区块链等。目前，启动量子安全问题的应对十分迫切。可破解现有公钥密码的量子计算机有望在未来10-20年内研制成功，而现有安全产品升级至量子安全方案仍需相当长的时间，这对于要求较长保密年限的安全应用已构成现实威胁；量子安全问题的应对措施主要包括后量子密码学（PQC）和量子密钥分发（QKD）两种路线。前者仍基于新型的数学算法，对现有密码体制兼容性好，但无法保证长期安全性；后者则是基于量子物理手段，可实现信息理论上的长期安全性，但需要额外的硬件开销和网络支持。构建未来量子安全的互联网，两者均有用武之地，均面临不少的挑战，需要汇聚密码学、量子信息和传统ICT行业的各界力量携手推进。

张治兵 中国信息通信研究院泰尔系统实验室网络部副主任、TAF论坛WG9安全工作组资深专家

随着网络安全法的颁布实施，网络设备安全被提升到新的高度。新形势下，5G、SDN、网络虚拟化、云计算、大数据、物联网等新技术和新业务对网络设备形态和功能特性产生重大影响。网络设备与重大安全事件关联度不断上升，网络设备漏洞等安全问题近几年呈现迅速上升态势。国家标准在保障设备安全能力上起到兜底线的作用，新技术新领域的设备安全标准还需要充分运用团体标准的灵活性。加大网络设备的安全管理力度，按照网络安全法等相关法律法规要求，充分结合强制性检测认证和自愿性检测认证的优势，发挥TAF等网络设备安全相关社会团体的作用。■