韧性视角下提升地方党政机关网络安全治理能力研究

陈泽萍

〔摘要〕随着数字化改革的持续推进，网络安全风险也被不断放大。当前，网络安全治理实践内卷化明显，难以有效应对各类风险威胁的冲击。相比于传统的网络安全保障模式，韧性网络强调全生命周期管理、聚焦内生优势、重视动态学习适应，具备很强的抵御力、恢复力、适应力，在面对压力和冲击时依然能够保持信息基础设施的结构完整和功能稳定，实现对风险的动态适应和共生共存。因此，地方党政机关亟须通过完善韧性治理的顶层设计、打造网络安全生态、建立基于危机的持续学习机制、构建基于韧性网络评估指标体系等有效路径，进一步提升网络安全治理能力，以期为数字化改革创建安全的网络环境，确保网络意识形态领域的风清气正。

〔关键词〕韧性网络；网络安全治理；网络安全风险；数字化改革

〔中图分类号〕D64〔文献标识码〕A〔文章编号〕2096-8442（2021）05-0083-05

数字化已经成为经济社会发展变革的核心驱动力量，全国各地纷纷加快数字化发展进程。随着数字化改革的深入推进，信息基础设施在经济社会运行中的重要性日益凸显，直接关系着群众生活、企业生产和政府治理的顺利运行。与此同时，随着数字化程度的不断提升，网络安全风险将遍布所有场景，据《2020上半年中国互联网安全报告》显示，远程办公等新应用在各行各业不断普及的同时，网络攻击的频次和强度也呈现出倍数激增的态势。一旦发生网络安全风险，极容易导致生活不便、生产停滞、治理混乱等突发状况，进而减缓甚至阻断经济、治理、生活等领域数字化改革进程。因此，在数字化改革进程中，提升地方党政机关网络安全治理能力和意识，对加强网络安全治理、营造良好的网络环境氛围意义重大。近年来，“韧性理论”概念已经成为公共管理领域研究新的关注点〔1〕，特别是“韧性城市理论”研究日趋成熟，在城市治理实践中得到广泛应用。笔者将以此理论作为观察工具，考察网络安全治理创新机制，论证其能否成为指导网络安全治理创新和优化的一种可行方向。

一、网络安全治理的韧性视角

随着数字化程度的不断提高和网络安全风险的不断增大，韧性概念被引入到网络安全领域。数字化时代，网络安全已经不再是单纯的信息系统运维问题，而是事关经济社会有效运行的基础设施，网络韧性逐渐成为一种公共利益〔2〕。与传统的网络安全保障相比，网络韧性体现为一种全面的、整合的和进化的思考范式〔3〕，结合对韧性概念的解读和相关对网络韧性的研究成果，本文将韧性网络定义为：在面对不确定的危机时，信息基础设施能够迅速响应、快速适应、维持发展的能力。具体包括对抗危害的抵御力、遭受破坏后的恢复力和动态演进的适应力等三个要素构件。

（一）对抗危害的抵御力

保持稳定是韧性网络最基本的属性，抵御力突出表现为信息基础设施在遭受突发事故或恶意攻击时，能够有效应对而不会发生结构性的改变，同时基本功能也不会遭受损失的能力。具体而言，就是当信息基础设施遭受外部因素冲击，如面对黑客组织的网络攻击，韧性网络具备更强的承受、对冲以及消耗能力，能够抵抗外力对网络和信息系统基本结构和功能的冲击。这种抵抗能力既与影响信息基础设施脆弱性的“硬件”建设水平有直接关系，如网络安全防护系统，也和网络安全意识等“软件”因素有直接关系。因为现代网络攻击正在逐步改变攻击模式，利用安全意识薄弱的非换件系统逐步渗透进目标系统已经成为常见路径。因此，抵御力的提升除了通过加大网络安全保障投入来提高，更重要的是提升地方党政机关等网络用户的网络安全意识和能力。

（二）遭受破坏后的恢复力

恢复力反映的是信息基础设施在遭受破坏或攻击后恢复原有功能的能力与速度。信息基础设施面对偶然风险或恶意攻击时的抵抗可能失效，而一旦抵御失败，从危机状态中恢复功能的能力就显得尤为重要。信息基础设施要有较好的恢复力，就应当具备恢复系统结构和功能的必要资源或者能够快速获得替代的资源支持，需要把硬件设施、技术能力、组织流程等因素考虑在内，包括完善的应急响应机制、明确的危机管理责任和职责、事先准备的替代性措施。需要指出的是，传统网络安全保障也提出分层保护的理念和实践，但在韧性视角下还强调每一层自身的系统恢复力，比如，即使在网络杀伤链的后期，韧性网络也应当帮助阻止供给者窃取数据或控制关键任务系统。

（三）动态演进的适应力

适应力指的是信息基础设施从逆境中有效恢复的同时，能够以此为经验对未来可能发生的类似破坏，提前进行预测和准备，即具备在逆境中适应、学习、反馈、重构的能力。换言之，韧性网络不仅包括抵御和恢复能力，还要有能发现和利用逆境中的学习机会对知识和技能进行更新，通过动态调适来实现应急能力的向前跃进。当前，物理世界、数字世界和生物世界之间的界限日益模糊，前所未有紧密耦合的社会生态系统结构使得网络日益符合“奈特氏不确定性”的特征〔4〕279，即风险损失分布无法有效预测，风险触发形式日益多样化。互联网新技术新应用层出不穷，网络安全也将面临更多新的挑战，必须保持对网络威胁情报和新型攻击手段的实时监测，并且与时俱进地调整或更新相关的应对策略来适应生态系统的变化。

从韧性网络的三个特征可以看到，韌性网络在逆境中不仅能够有效应对风险，维持网络系统结构和基本功能，更重要的是能够创建或重组一个更高层次的安全均衡系统。保持稳定、迅速恢复以及动态适应的特征，使得韧性网络与传统网络相比，在信息基础设施的结构和功能上都实现了质的超越。

二、韧性视角下网络安全治理的透视与拓展

韧性视角下推动网络安全治理由事后应急转向全流程管理、网络安全治理体系从依靠外部管控到重视内外系统整体化、网络安全治理体系走向动态发展意义重大，具体表现在以下几个方面。

（一）韧性视角强调整体性

长期以来，我国网络安全治理呈现出重处置、轻预防的实践特征，在信息化项目建设中网络安全保障投入不足，对网络安全风险评估识别和预警预防重视程度不足。近年来，各地密集开展的网络安全专项检查在短期内起到了成效，提高了各单位的网络安全意识和投入，同时也要看到，这种运动式的方式首先强化的是网络安全应急处置这一环节，并由于其好用管用而进一步加剧了路径依赖。有效的网络安全应急处置确实可以防止危害和损失的进一步扩大，但危害和损失的发生作为既成事实，却是无论如何难以改变的。风险预防作为网络安全治理的第一道关口，预测风险的发展和走势具有重要价值，能够“防患于未然”，其效用远高于事后的应急处置。然而，由于对网络安全风险预防的重视不足，直接造成了网络安全保障投入不足、潜在安全隐患被忽视、制度建设不完善等问题，特别是在网络安全风险排查、信息通报、应急演练、处置反馈等机制建构方面的不健全。

近年来网络安全事关国家安全和城市安全的观念逐步受到关注，而且信息基础设施发生问题后一般不会直接造成生命健康危害。因此，社会公众对网络安全危害性的感受度远不如食品、交通等传统安全问题，这使得网络安全治理存在应急预案编制形式化、预案内容同质化、应急演练长期缺乏、应急管理工作流程不完善、风险排查和监测预警制度化不健全等问题，而上述问题在网络安全治理中表现的尤为明显。

从韧性视角来看，引发危机的因素无处不在，韧性框架注重整体性和综合性，强调从风险防范、应急处置再到事后恢复的全过程进行管理，网络安全治理的最高境界应当是“治未病”。实现这一目标需要调整网络安全治理的导向，从被动单一的应急理念关口前移，重视主动的风险监测与预警，实现从应急处置到全过程管理的转变，做到防患于未然。

（二）韧性视角强调内生性

数字化时代，党政机关和企业、社会组织等主体的“生存法则”与工业化时代有巨大差别。5G、工业互联网、物联网已经成为新型基础设施，数字经济、数字生活、数字治理等数字化产物高度依赖这些基础设施才能安全稳定运行。因此，网络安全治理必须嵌入到经济、生活、治理数字化转型的全过程，而不能仅仅被视为单独的功能。在工业经济模式下，网络信息系统与经济社会的贴合度不高，更多承担着辅助性的角色，运维系统和业务系统分别属于不同的流程，依靠单独的安全团队不断升级和加固网络信息系统就基本能够满足需要。

正是由于网络和信息系统在经济社会中所起作用的不同，带来了信息系统建设和行运维护部门在整个组织中地位的区别。工业时代，我国网络安全保障体系遵循“自上而下”的运行逻辑，依靠科层结构逐级下达行政命令落实安全保障工作，带有明显管控思维，其把网络信息系统建设和运营部门单纯视为应急管控的对象，造成这些部门在网络安全治理体系中处于被支配的地位，忽视了其能动作用和潜在力量的发挥。数字化时代，数字基础设施无处不在，网络安全隐患随时可能发生，传统管控方式无论是从人力、物力还是技术方面，都已经完全不能抵御网络安全风险。

在韧性网络研究中，越来越多的学者将信息基础设施视作为一个有机的、整体的系统来对待，注重对信息基础设施自身属性和内在优势的观察分析，认为信息基础设施建设和运维部门，不仅是安全治理的对象，而且更应当是关键主体。韧性框架重视信息基础设施整体性和内生优势，认为信息基础设施建设和运维部门可以在网络安全治理中发挥重要作用。从这一意义上来说，韧性框架有助于推动自下而上的网络安全治理体制改革，进而推动提升地方党政机关的网络安全意识和能力。

（三）韧性视角强调共生性

虽然数字化已经深入渗透到社会生产生活的各个领域，网络安全治理作为经济社会稳定运行的重要一环，理应融入治理现代化体系之中，但实际上两者依然存在脱节，网络安全治理很多时候依然被当成是简单的技术运维问题，导致在资源利用、信息共享方面缺乏互通协调，网络安全治理依然没有实现与其他运行系统的交互，还不能适应动态变化的风险和危机，具体体现在制度运行、多元主体参与、新技术新运用应对、应急技能转化等方面呈现“碎片化”特点。在制度运行方面，由于信息基础设施分散在各行各业，与不同政府部门都有一定关系，导致多头管理弊端突显。虽然2017年6月1日起施行的《中华人民共和国网络安全法》明确由网信部门统筹协调网络安全，但在我国严格的科层制结构和条块分割体制下，各部门只对自己的直接上级负责，网信部门只有名义上的统筹协调职权，部门之间的协同往往是临时性、短期的，这阻碍了原本应该更为紧密、内在、有机的联系。在多元主体参与方面，虽然各方积极倡导社会组织、企业等主体在网络安全治理体系中更大作用的发挥，但实际上政府单一主体主导的结构并没有改变，还没有建立起与专业机构的联动机制，没能实现不同主体功能的有效整合和资源的有效配置。在新技术新应用风险应对方面，新技术新应用在推动数字化发展的同时，也给网络安全带来新的风险。目前，在网络安全风险评估、风险监测和预警、信息通报和共享、突发事件处置等方面，还滞后于新技术新应用的发展。在应急技能转化方面，网络安全治理大多为经验性处置，制度化的学习适应机制不够完善，这导致网络安全治理主体在下一次危机到来之前难以有效吸取先前的经验教训，形成向前跃进的更高层级网络安全治理技能。

韧性框架将网络安全治理体系与治理现代化相结合，强调网络安全治理并非只是“救火式”的应急处置，而是在预防风险、处置危机、恢复秩序的过程中，持续提升网络安全治理能力的一个过程。增强网络韧性的过程是在与数字化转型—新技术新应用发展—体制机制健全的多重交互过程中，实现与网络安全风险共处并对其实施有效治理的目标。换言之，韧性框架是努力建设一种网络安全生态，即通过打造多元主体协同、资源要素共享、多方合作共赢的网络韧性共同体，在经济社会运行系统中持续提升应对风险水平。从这一角度来看，韧性框架对是现有静态、僵化的网络应急管理工作的重构，力求实现动态演进的网络安全治理体系。

三、韧性视角下提升地方党政机关网络安全治理能力的路径

由于网络安全治理在实践中呈现出明显内卷化的特点，特别是面对网络攻击手段日益专业化、复杂性的特点，且传统安全技术措施防御效果不断弱化的现状，韧性视角下探索提升地方党政机关网络安全治理能力的刻不容缓。

（一）建立基于韧性网络的顶层设计

“韧性理论”作为城市应急管理领域的一种全新理论，落实到网络安全治理领域首先必须建立完善的顶层设计。一方面，危机管理过程对资源储备、人才队伍、专业技能有严格要求，政府在政策和标准制定、资源投入、人才队伍建设等方面，仍然具有明显的优势条件，是网络安全治理当仁不让的主导者。另一方面，因为风险集聚、危机发生都面临着高度的不确定性，網络安全牵一发动全身，具有跨部门跨区域特点，涉及诸多纵向和横向主体之间的互动配合，难免会产生不同主体之间的信息壁垒和责任规避的问题。因此，韧性网络实现的关键是要有健全的统筹协调机制。

在我国现行体制下，仅仅依靠部门之间的沟通协商、部门负责人之间的非正式沟通等手段，并不足以形成高效、有力的协同合作关系。网信部门与其他涉网部门是平级单位，相互之间没有隶属关系，在推动部门协同合作方面存在诸多限制。从国外经验来看，尽管倡导以平等协作的理念推动跨部门协同，但是自上而下的推动依然至关重要。因此，要进一步提升网络安全治理的跨部门协同合作水平，有必要从政治层面给以网信部门更多的支持，提高统筹协调网络安全治理工作的权威性。与此相匹配的是，网信部门应承担起完善网络安全治理顶层设计和制度建构的重任，有责任形成一个促进各方协同合作、密切配合的环境，出台完善支持性和保障性的政策，把网络安全治理战略制定、中长期规划编制、专业力量配备、网络安全产业发展、社会组织联动等方面纳入工作安排，有序引导韧性网络体系的构建。

（二）打造多元主体参与的网络安全韧性生态

韧性网络注重发挥多元主体的功能和作用，网络安全治理不再是简单地自上而下的应急管理工作，而是要充分整合各类资源。网络安全治理不仅要实现不同主体的分工协调，也要注重基础设施、制度、安全意识层次的构建，形成集物理、制度、意识等于一体的网络安全韧性生态。具体而言，在物理韧性方面，需要通过加强网络防火墙、杀毒软件、灾害备份等配置来提高网络信息系统适灾性。当前，我国网络安全投入占信息化的比重不到2%，而美国则已经超过了20%，巨大的差异体现出我国在网络安全物理建设方面的巨大不足。因此，提高网络物理韧性的前提是加大在网络安全保障上的投入。在制度韧性方面，压实网络安全工作责任制，完善在监测预警、信息获取、资源投入、专业力量建设等方面的制度，同时有意识地吸收转化应急处置经验，不断修正和完善既有应急处置工作机制和制度，为将来发生类似或其他不确定的冲击时进行预测和调整。在网络安全意识韧性方面，主动培育网络安全意识，引导全社会充分认识网络安全在经济社会稳定运行中的基础性作用，加强网络安全风险意识和技能的普及，增强网络安全应急处置能力。

发挥多元主体作用，势必要强化信息通报和共享。在传统社会治理过程中，党政机关对信息具有天然的优势和垄断，当谈及信息共享时，主要是指黨政部门向社会公众进行信息公开。网络社会的扁平性特性使得党政机关失去了信息优势地位，其他主体特别是网络安全企业，由于处在网络安全治理的第一线，反而能够掌握党政机关无法获得的信息资源。因此，党政机关既要及时向社会公布网络安全治理信息资源，与其他主体分享所掌握的政治资源、行政资源，也要通过定期召开多元主体联席会议、健全信息通报机制等方式，推动网络安全企业分享其在网络安全治理方面的技术和经验资源。

（三）建构基于危机的持续学习机制

韧性网络具有自我学习和自我适应的特征，可以将已有的知识进行吸收转化，为应对不确定性风险提供准备。这种能力的获得离不开对风险预防、应急管理的知识、经验以及教训的总结、反思和提升。因此，建立基于危机的持续学习机制，是提高信息基础设施对风险动态适应能力和共生共存的必然选择。具体而言，应当从主体、制度和内容入手。在学习主体层面，社会组织、企业和个人可以有效弥补党政机关应急处置的局限性，要把党政机关和社会组织、企业、个人等主体有效联结，对网络安全危机开展多主体多角度的综合审视和学习。在学习机制层面，建立以问题为导向，从网络安全应急部门的单一学习转向社会共同学习，从单一危机的针对性学习拓展到多种危机的交叉学习。在学习内容层面，把学习贯穿网络安全治理全过程，通过建立动态更新的集成案例数据库，由党政机关、社会组织、企业、个体等多主体多视角探讨各类应急案例，形成情境—策略式的案例输入与对策输出，为开展全过程学习提供教学参考。

与其他领域不同，韧性网络尤其强调对新技术新应用领域网络安全治理的学习、评估和适应。人工智能、区块链、量子信息技术、5G、物联网等新技术新应用持续发展，并进一步同各产业深度融合，对网络安全带来了颠覆性影响。一方面，这些前沿技术持续吸引网络恶意者目光，引发高度定制、更具复杂性的网络攻击出现，比如，深度伪造被网络安全业内评为最危险的人工智能技术之一，其恶意利用呈现出规模化、武器化发展态势。另一方面，新技术新应用为人们应对日趋复杂的网络安全问题不断提供了新思路，成为抵御各种网络威胁的重要技术来源。无论是利用新技术新应用赋能网络安全，还是防御其带来的网络安全风险，前提都在于建立持续学习适应的动态机制，能够及时跟进网络信息技术发展最新态势，全面评估可能带来的网络安全风险，提前制定监测预警、防御和应急处置策略。

（四）构建基于韧性视角的网络安全治理评估体系

“评估”是治理的应有之义。韧性网络是一个不断探索改进的过程，网络安全治理体系和能力提升取得了哪些成就、还存在哪些问题，都需要有一个准确的评估。建立起一套科学合理的评估指标体系，才能有效判断网络韧性的变化以及成效。网络安全是经济社会稳定运行的重要保障，构建网络安全治理体系也成为城市治理体系的重要组成部分，学者们围绕如何构建完善网络安全治理体系、提升网络安全治理能力作了不少研究，但至今没有提出基于韧性视角的网络安全治理评估体系。因此，很有必要构建一套韧性网络的评估指标体系，聚焦抵御力、恢复力、学习力对网络治理体系和能力进行较为全面的评估和考量，为科学评估地域网络安全治理现状提供技术支撑，并以此为导向，把握网络安全治理的重点和难点，全面推进韧性网络建设。

〔参考文献〕

〔1〕王东杰，谢川豫，王旭东.韧性治理：城市社区应急管理新向度〔J〕.江淮论坛，2020（06）：33-38+197.

〔2〕Coeure B.Cyber resilience as a global public good〔EB/OL〕. https：//www.bis.org/cpmi/speeches/sp190510.htm.

〔3〕王向楠，吴婷.互联网韧性监管动态及借鉴意义——以金融业为例〔J〕.电子政务，2020（01）：51-63.

〔4〕弗兰克·H.奈特.风险、不确定性与利润〔M〕.安佳，译.北京：商务印书馆，2010.

责任编辑白慧玲