澳大利亞國家網絡安全戰略發展及實施情況

◎華屹智庫

澳大利亞是高度信息化的國家之一，也是最早關注網絡安全的國家之一。為保障國家網絡和系統安全，使公私部門機構和公民個人等都能從中受益，澳大利亞政府于2009年和2016年先后推出兩版國家網絡安全戰略，明確網絡安全是事關國家安全的優先事項，并詳細闡述政府的網絡安全理念及計劃，成為指導國家網絡安全工作的綱領性文件。近年來，澳政府在國家網絡安全戰略指導下積極行動，推動網絡安全建設取得了明顯的進展。根據獨立智庫機構澳大利亞戰略政策研究所（ASPI）發布的《2017年亞太地區網絡成熟度報告》，由于繼續投資治理改革和實施2016年國家網絡安全戰略，澳大利亞應對網絡空間威脅與挑戰的能力排名已從第四位上升至第二位。澳政府計劃以后每四年修訂并發布一版新的國家網絡安全戰略，確保能更加有效地應對網絡空間不斷增長的威脅與挑戰，助推國家持續創新、發展和繁榮。

一、戰略推出

澳大利亞是網絡化和信息化建設起步較早的國家。隨著網絡化和信息化程度的日益增加，澳大利亞的國家安全、經濟繁榮和社會福利越來越高度依賴于一系列信息和通信技術（ICT）的可用性、完整性和保密性。與此同時，澳大利亞面臨著日益增長的網絡安全威脅。澳大利亞前總理陸克文2008年12月4日發表《國家安全聲明》指出，全球網絡犯罪問題的規模、復雜程度和成功率日益增加，網絡安全已經成為澳大利亞國家安全優先考慮的問題之一，澳大利亞必須而且也將會全力以赴應對這一挑戰。

為指導和加強國家網絡安全建設，最大限度地保障數字經濟時代的國家安全，澳政府于2009年11月23日發布首份《網絡安全戰略》（CSS）。在該戰略文件中，澳政府描繪了網絡安全戰略的總體目標，明確了建立網絡安全政策的指導原則，并詳細闡述了未來保護經濟組織、關鍵基礎設施、政府機構、企業和家庭用戶免受網絡威脅的戰略安排，包括實現戰略目標的行動重點與落實措施等。該戰略文件發布之后得到了澳大利亞國內尤其是業界的充分肯定，在澳政府的主導推動，特別是兩個新設立機構——澳大利亞網絡安全中心（ACSC）和澳大利亞計算機應急響應小組（CERT Australia）的運作支持下，澳大利亞網絡安全建設取得了明顯的進展。

由于網絡安全威脅日趨嚴重復雜，澳政府在加強安全威脅態勢感知研判的同時，決定發布新版國家網絡安全戰略，用以指導新形勢下的網絡安全建設。2015年7月29日，ACSC發布《2015威脅報告》指出，“對澳大利亞機構的網絡威脅是不可否認的、無情的，并且還在持續增長”，澳必須保持警惕和積極主動并投入充足資源以應對復雜網絡環境的挑戰。2016年2月25日，澳政府發布《2016國防白皮書》指出，由于依賴信息網絡，網絡攻擊對國防軍的作戰能力構成了直接威脅。2016年4月21日，澳政府發布《澳大利亞網絡安全戰略——助推創新、發展和繁榮》，決定在未來4年實施33項行動計劃，用以提高澳的網絡安全能力，并通過強大的網絡安全促進澳的創新、發展和繁榮。在新版戰略文件中，澳政府提出將每年審查戰略執行進度并更新網絡安全行動舉措，每四年修訂并發布一版新的《網絡安全戰略》（以下簡稱《戰略》）。2017年4月27日，澳政府發布《戰略》2017年第一次年度更新報告，宣稱33項行動計劃的實施已經取得長足進展，其中6項已經完成，其它也在進行中。

二、主要內容

澳政府2016年《戰略》確立了未來4年國家網絡安全行動的5大主題，即國家網絡伙伴關系、強大的網絡防御能力、國際責任及影響力、發展與創新和網絡智能國家，以及為實現這些主題而采取的33項行動計劃。其主要內容包括：

（一）國家網絡伙伴關系

該行動主題的目標是政府、企業和研究團體通力合作，共同推進澳大利亞的網絡安全。澳政府認為，網絡安全是澳大利亞經濟增長和繁榮的基本要素，對國家安全也至關重要，但保護網絡安全是政府、企業和研究團體等的共同責任，因此其將與企業、研究團體等利益攸關方建立更加一體化的伙伴關系，通力合作共同提高整個國家的網絡安全水平。行動計劃4項，包括：（1）政府每年評估《戰略》實施進度并更新行動計劃；（2）舉行年度網絡安全領導人會議，由總理和企業領袖制定戰略性網絡安全議程并自上而下推動《戰略》的實施；（3）簡化政府的網絡安全治理和結構，具體舉措包括任命一名部長協助總理處理網絡安全事務，重新安置澳大利亞網絡安全中心（ACSC），增進公私部門合作等；（4）資助研究，更好地理解惡意網絡活動對澳國經濟的影響，并為政企部門網絡安全風險管理決策和公私部門投資決策提供數據支持。優先行動：一是共同領導。澳政府和企業領導人帶頭共同設計國家網絡安全舉措，包括舉行總理主持、企業領導人參加的年度網絡安全會議。二是建立更強大的伙伴關系。明確政府的領導責任，重新定位ACSC，促進政府與企業的互動。三是理解代價和收益。資助研究，幫助各組織機構更好地理解惡意網絡活動給經濟帶來的損失。

（二）強大的網絡防御能力

該行動主題的目標是使澳大利亞的網絡和系統能夠有效抵御網絡攻擊。網絡攻擊者對澳大利亞網絡和信息的攻擊具有持久性，澳政府將與私營部門共同努力，加強網絡安全防御能力和入侵發現、阻止與打擊能力的建設。行動計劃17項，其中發現、阻止和打擊惡意網絡活動方面8項，包括：（1）與私營部門合作建立分層的網絡威脅信息共享方法；（2）提升澳大利亞計算機應急響應小組的能力；（3、4）提升澳大利亞打擊犯罪委員會和聯邦警察打擊網絡犯罪的能力；（5）加強執法人員國內打擊網絡犯罪所需的技能培訓；（6）提升澳大利亞信號局（ASD）識別網絡威脅和入侵分析的能力；（7）增強國防部網絡安全防御能力；（8）擴大國家網絡事件管理安排和演習計劃。提高網絡安全防御標準方面9項，包括：（9）政府與私營部門共同制定國家網絡安全實踐自愿準則；（10）定期更新ASD減緩針對性網絡入侵的策略；（11）為ASX100上市企業引入國家自愿網絡安全治理“健康檢查”；（12）支持CREST Australia New Zealand擴展網絡安全服務范圍；（13）支持小型企業由CREST Australia New Zealand認證提供商進行網絡安全性測試；（14）實施ASD減緩針對性網絡入侵策略，改善政府機構網絡安全；（15）對網絡風險較高的機構實施獨立網絡安全評估，助其改善網絡安全；（16）提高ASD脆弱性評估及研究新興技術等能力；（17）為政府機構管控ICT設備與服務的供應鏈安全風險制定指導準則。優先行動：一是發現、阻止和打擊惡意網絡活動。開放聯合網絡威脅共享中心和在線網絡威脅共享門戶網站；提升情報搜集、分析和打擊能力。二是提高網絡安全防御標準。共同制定自愿網絡安全治理“健康檢查”和國家良好實踐指南，開發和利用先進技術，以提高攻擊澳大利亞網絡的難度；對政府機構進行網絡安全評估。

（三）國際責任及影響力

該行動主題的目標是與國際伙伴合作，積極促進營造一個開放、自由和安全的網絡空間。網絡安全是澳大利亞國際合作的關鍵問題和外交努力的核心主題。針對目前一些國家仍對互聯網的開放施加限制、大多數網絡犯罪都來自海外等情況，澳大利亞將與國際伙伴合作，共同努力解決網絡安全威脅和促進網絡空間的開放與自由，并確保澳大利亞在國際網絡問題上擁有發言權。行動計劃：5項，包括：（1）任命網絡大使，在國際網絡問題上積極發聲；（2）發布網絡安全國際參與戰略（International Cyber Engagement Strategy），用以指導澳大利亞在網絡安全議題上的雙邊和區域合作；（3）倡導一個開放、自由和安全的互聯網，使所有國家都能從網絡空間獲益；（4）支持國際伙伴關閉網絡犯罪的安全避風港（特別關注印度-太平洋地區），并防止惡意網絡活動；（5）通過公私合作伙伴關系，幫助澳大利亞建立在印太地區乃至全球范圍內抵御惡意網絡活動的能力。優先行動：一是倡導在印太地區仍至全球范圍內保持開放、自由和安全的互聯網；二是關閉網絡犯罪的安全避風港；三是構建澳大利亞在地區和全球范圍內抵御惡意網絡活動的能力。

（四）發展與創新

該行動主題的目標是使澳大利亞企業通過網絡安全創新不斷繁榮發展。澳大利亞國內的網絡安全產業規模雖然很小，但享有良好的國際聲譽。網絡空間為澳大利亞企業的發展提供了巨大的機會，澳政府將幫助企業發展創造適宜的環境，促進網絡安全研發和催生新興企業，為企業多元化和培育新市場奠定基礎。行動計劃：4項，包括：（1）通過“國家創新和科學議程（NISA）”建立一個以行業為主導的網絡安全增長中 心（Cyber Security Growth Centre），以協調國家網絡安全創新網絡，促進網絡安全研究和創新；（2）通過《國家創新和科學議程》提升數字化創新小組Data61的網絡安全研究能力，支持網絡安全解決方案的商業化，提高網絡安全技能及加深與國際伙伴的聯系；（3）與企業和研究界合作，更好地將網絡安全研究作為澳大利亞網絡安全挑戰的目標；（4）促進澳大利亞網絡安全產品和服務的發展和出口，并側重于印度-太平洋地區。優先行動：一是實現網絡安全創新。通過網絡安全增長中心和創新網絡推動對網絡安全創新的投資，以加強網絡防御、促進經濟增長和創造就業機會。二是發展和擴大網絡安全業務。支持新業務并促進澳大利亞網絡安全產品和服務的出口。三是實現網絡安全研究和開發。確保澳大利亞的網絡安全研發能夠應對挑戰。

（五）網絡智能國家

該行動主題的目標是讓澳大利亞人擁有網絡安全技能和知識，在數字時代蓬勃發展。與許多國家一樣，澳大利亞也面臨網絡安全技能短缺的問題，許多澳大利亞人和組織并未意識到他們在網絡空間所面臨的風險。澳政府將致力于為澳大利亞人提供網絡安全技能和提高網絡安全意識，使他們都能從網絡空間的發展機遇中獲益。行動計劃（亦為優先行動）：3項，其中發展專業技能和知識方面1項，即（1）澳政府將與企業、教育機構和研究界合作，在全國范圍內努力發展網絡安全專業技能和知識，提高網絡安全技能人員的數量。重要舉措包括：在大學建立網絡安全卓越學術中心，提高網絡安全課程和師資力量的質量，培養具有高端網絡安全技能的大學畢業生；與私營部門、各州和地區以及技能服務組織合作，支持擴大注冊培訓機構的網絡安全培訓規模，培育各組織機構所需的網絡安全工作者；擴大國家年度網絡安全挑戰賽的參賽人員范圍等。提高國家網絡安全意識方面2項，包括：（2）匯集并發展公共和私營部門的網絡安全意識計劃，以充分利用綜合資源，增進人民對網絡安全風險和影響的理解；（3）與其他國家合作開展網絡安全意識提升計劃，以實現互利的成果。

三、實現措施

為提升網絡安全保障能力，有效維護網絡安全環境，澳政府自2009年發布首份《戰略》以來，即積極推進一系列卓有成效的舉措。主要包括：

（一）強化政府職能，加強組織領導

澳政府認為，強有力的組織領導對實現國家網絡安全戰略目標至關重要。近年來，澳政府主要通過新設職能機構、明確角色與責任、簡化管理結構等措施，加強對網絡安全事務的組織領導。一是新設職能機構促進公私及國內外合作。澳政府依2009年《戰略》于2010年1月成立了兩個相互支持的新機構，即澳大利亞計算機應急響應小組（CERT Australia）和網絡安全運行中心（CSOC）。其中，CERT Australia為澳政府內的協調機構，主要職責包括促進公私部門合作，向企業、行業等提供網絡安全信息與建議；以及開展與其他國家CERT組織的合作等。CSOC負責為澳政府提供全方位網絡態勢感知，并協調政府機構和業界共同應對網絡威脅。2014年11月，澳政府以CSOC為基礎擴展建立了澳大利亞網絡安全中心（ACSC）。澳政府還依據2016年《戰略》于2017年至2018年先后在布里斯班、墨爾本、悉尼、珀斯啟用了聯合網絡安全中心（JCSC），用以促進政府與業界、學界等之間的信息共享和安全合作，并預計2018年晚些時候在阿德萊德成立最后一個JCSC。二是明確網絡安全管理三大支柱的角色與責任。澳政府依2016年《戰略》確立了網絡安全管理三大相互協調的戰略支柱，即總理內閣部、ACSC和網絡大使。其中，總理內閣部為制定國家網絡安全政策的決策核心，對政府網絡安全政策及《戰略》的實施進行綜合監督。ACSC以國家網絡安全優先事項為指導，持續整合政府網絡安全運營能力，并利用其網絡專業知識為各組織提供支持。國防部特別是澳大利亞信號局（ASD）在抵御惡意網絡活動中發揮了極其重要的作用，將繼續領導ACSC的運作。網絡大使（由外交貿易部任命）接受網絡安全特別顧問指導并與之密切合作，負責國際網絡事務。三是簡化政府網絡安全管理結構。為滿足政府網絡安全管理機構“簡單而一致”的需求，澳政府根據2016年《戰略》專門任命了一位部長協助總理處理網絡安全事務，負責帶領政府與企業領導人合作，實施網絡安全計劃；在總理內閣部新設網絡安全特別顧問，負責領導網絡安全戰略和政策的制定，為各機構提供明確的目標和重點，并監督各機構執行，確保國家政府與地方政府、私營部門、非政府組織、研究機構和國際伙伴有效合作；于2018年7月將CERT Australia和數字化轉型局（DTA）的網絡安全人力整合并入ACSC，并將擴大后的ACSC正式成為ASD的一部分。

（二）持續資金投入，保障安全建設

愈演愈烈的黑客攻擊和網絡詐騙讓澳政府意識到網絡安全對國家安全和經濟的巨大影響，澳政府決心持續加強資金投入用于保障網絡安全整治與建設。其中，2008年5月，澳政府承諾在未來4年內撥款1.258億美元，開展全方位的網絡安全措施。2015年12月，澳政府發布重要科技政策文件“國家創新和科學議程（NISA）”，承諾將在未來4年內投資11億澳元（約8億美元），用于鼓勵創新和企業家精神，提升學校科學、數學和計算機的水平，其中包括：投資3000萬澳元（約合2185萬美元）建立一個以行業為主導的網絡安全增長中心，為澳大利亞的網絡安全部門創造商機，并改善澳大利亞企業的網絡安全；以及投資3600萬澳元（約合2500萬美元）用于實施《創新全球化戰略》，鼓勵科研創新和促進國際合作等。2016年4月，澳政府決定在未來4年投資2.3億澳元（約合1.8億美元），用以提高澳大利亞的網絡安全能力。這項投資是對澳大利亞《2016年國防白皮書》網絡安全投資的重要補充。2017年3月，澳國防工業部宣布成立7.3億美元的“下一代技術基金”（NGTF），用于資助國防部門與工業界、學術界等合作，推動網絡安全、量子技術等先進技術的創新發展，促進國防軍對先進技術的掌握。

（三）積極國際合作，實現對話交流

澳政府通過加入國際互聯網公約、倡導網絡政策對話、積極開展區域合作等，構建全球性、區域性的伙伴關系，增強抵御惡意網絡活動的能力，并擴大在國際網絡空間的影響力。一是加入國際互聯網公約及組織。澳大利亞于2013年簽署歐洲委員會《網絡犯罪公約》，使澳執法機構能夠快速從世界各地合作機構獲得有關網絡犯罪的通信數據，幫助澳加強打擊偽造、欺詐、兒童色情、侵犯版權和知識產權等犯罪行為；2015年加入“自由在線聯盟”（Freedom Online Coalition）， 通 過與20多個聯盟成員國建立合作伙伴關系，促進建立自由的互聯網。二是倡導網絡政策對話。澳大利亞致力通過網絡政策對話，進一步加強與其他國家的網絡安全合作，維護本國的網絡安全利益。其中，澳自2012年以來與新西蘭持續開展的網絡政策對話，旨在促進公開、自由、安全的互聯網的建立；2014年至2015年間與中國、印度、日本和韓國等舉行網絡政策多方會談，就網絡安全相關議題進行意見交換。三是積極開展區域合作。澳聯邦警察署與印太地區各警察機構共同致力于應對網絡犯罪問題、開展培訓合作、制定提升網絡能力的倡議。例如，網絡安全帕斯菲卡倡議就是一個太平洋各島國警察長與澳聯邦警察署的合作項目。此外，澳政府還與國際伙伴合作，偵察和防范恐怖分子利用互聯網實施極端恐怖主義活動。

（四）加強人才培育，持續智力供應

澳大利亞同許多國家一樣面臨著網絡安全人才短缺的問題，并且人才供應不足的情況正日益加劇。澳政府在2016年《戰略》提出“網絡智能國家”主題的目的就是要加強網絡安全人才的培育，為《戰略》目標的實現持續提供智力支持。近年來澳政府采取的培育措施包括：一是建立網絡安全卓越學術中心加強高技能人才培育。澳政府自2017年2月啟動網絡安全卓越學術中心（ACCSE）項目，承諾將在4年內提供190萬澳元（約合138萬美元）幫助高校建立ACCSE，用于鼓勵更多學生開展網絡安全研究和加強學生的網絡安全高級技能培訓，以滿足澳商業和政府對網絡安全技術人才的數質量需求。ACCSE項目作為2016年《戰略》的一部分，得到了澳國防部、教育和培訓部、信息產業協會等的大力支持，目前已獲得ACCSE資質認證和政府投資的兩所大學為墨爾本大學（UM）和埃迪斯科文大學（ECU）。二是擴大國家網絡安全挑戰賽規模加強人才發掘。澳大利亞網絡安全挑戰賽（CySCA）是由澳政府、商界和學術界聯合舉辦的黑客競賽，也是澳唯一的國家網絡安全競賽，致力于發現下一代網絡安全專業人才。首次挑戰賽在2012年舉行，開放澳全日制的大學本科生和職業技術學院（TAFE）學生組隊參加，此后每年舉辦一次。為利于持續向國家輸送人才，該項挑戰賽在2016年《戰略》發布后還擴大了規模，將參賽人員范圍從高校學生擴大到了已經參加工作的從業人員。三是公私領域合作培養人才。澳大利亞網絡安全研究院（ACSRI）是澳大利亞首個由政府機構、私營部門和研究界聯合開辦的戰略研究和教育機構，主要負責為政府關注的網絡安全問題提供支持，協調各方力量建立覆蓋全國的網絡威脅響應機制，并推動高技能網絡安全專業人員的培養工作。另外，位于維多利亞州墨爾本市的博士山技術與繼續教育學院（Box Hill Institute of TAFE）與私營領域合作，開發了一個為期12個月的網絡安全學徒制項目，積極培養網安人才；澳大利亞銀行和電信企業也在與高校合作，為學習科技課程（包括網絡安全學位）的學生提供獎學金。

（五）強化安全宣傳，提高全民意識

澳政府認為，通過國家行為增進澳大利亞公民對網絡安全風險和利益的理解，使澳大利亞公民能更好地保護自己和他人，并更有信心和意愿在網上開展業務，也是加強網絡安全防護的重要舉措。近年來，澳政府與國內各界合作加強網絡安全宣傳的活動主要包括：一是舉辦網絡安全意識周。澳大利亞國家網絡安全意識周是由澳大利亞寬帶、通信和數字經濟部主辦，澳政府設立的“保持安全在線”（Stay Smart Online）網站承辦的網絡安全宣傳活動，于每年10月份舉行，主要面向家庭用戶和小型企業進行主題宣傳，幫助他們了解和掌握網絡安全風險信息，并提供保護網絡安全的實用建議。例如，2015年第八屆網絡安全意識周以面向小微企業的“你的生意是你自己的”為主題，并首次發布《小微企業網絡安全指南》（Small Business Guide），獲得了企業的廣泛關注；2016年第九屆網絡安全周則以“網絡安全從休息室到會議室”為主題，并發布了《網絡安全實施指南》和《個人網絡安全指南》。二是運營Scamwatch活動。Scamwatch活動由澳大利亞競爭與消費者委員會（ACCC）運營，主要是利用Scamwatch網站向消費者和小型企業提供如何識別、避免和舉報網絡詐騙的信息。三是成立網絡兒童保護組織。澳政府專門建立了兒童在線安全專員辦公室，為兒童及青少年提供如何安全健康上網的信息和資源，幫助和指導兒童及青少年獲得在線安全的愉快體驗。

四、特點分析

澳大利亞國家網絡安全戰略發展和實施的主要特點包括：

（一）戰略以網絡防御為核心

縱觀澳大利亞近年發布的兩版網絡安全戰略，構建強大的網絡防御能力、保障國家免受網絡攻擊始終是該國網絡安全戰略的核心。不管是2009年《戰略》還是2016年《戰略》，澳政府都將提升監測發現、阻止和打擊惡意網絡活動的能力列為行動重點，用以保障政府、企業、關鍵基礎設施和其他關系國家利益的網絡與系統的安全。一方面，強調通過投入使用網絡防御新技術、完善復雜網絡威脅應對方案等，增加網絡攻擊者成功入侵所需的努力并降低網絡攻擊事件的影響。另一方面，強調通過提高網絡安全標準、加強網絡風險評估管理、合作打擊網絡犯罪等，減少有針對性的網絡入侵攻擊。與英國網絡安全戰略奉行積極防御與戰略威懾相比，澳大利亞的再版網絡安全戰略中并沒有提及進攻性網絡能力的發展建設，突顯戰略核心系以網絡防御為主。

（二）突出提升全民網安意識

澳政府認為，支持國家網絡安全戰略所有行動成功的關鍵是解決澳大利亞公民對網絡安全風險相對缺乏的認知。因此，澳政府重視全民網絡安全意識的建立與提升，強調全民、全企共同應對網絡安全威脅。澳政府在2009年《戰略》中，就明確將“讓澳大利亞所有公民都意識到網絡風險，確保其計算機安全，并采取行動確保其身份信息、隱私和網上金融的安全”列為戰略首要目標；在2016年《戰略》中，則將提高澳大利亞公民網絡安全意識納為“網絡智能國家”這一行動主題的優先執行事項。在提升全民網絡安全意識的過程中，澳政府與企業、研究界和社區團體等密切協作，開展了一系列網絡安全意識宣傳活動，特別是國家網絡安全意識周時間固定、長期開展，取得了持續的、良好的社會宣傳效果。

（三）重視推動經濟發展繁榮

澳政府認為，網絡安全不僅是國家安全問題，也是經濟安全問題；澳大利亞未來繁榮的關鍵是強大而充滿活力的“在線經濟”，因此澳大利亞積極的網絡安全行動除了要改善國家網絡安全之外，還要推動和實現澳大利亞經濟的發展和繁榮。在2009年《戰略》中，澳政府明確網絡安全戰略的目的是維護一個安全、可靠和復原能力強的電子運營環境，從而促進澳大利亞的國家安全并從數字經濟中最大限度地獲取收益。在2016年《戰略》中，澳政府明確將企業通過網絡安全創新不斷發展繁榮列為“發展與創新”這一行動主題的目標，提出要通過促進澳網絡安全產品和服務的開發和出口，在澳大利亞創建一個充滿活力的網絡安全行業，為國家帶來可觀的經濟利益。