融合創新時代的新安全

● 本刊記者/文

范淵：互聯網與傳統實業的融合過程中，數據安全與隱私保護面臨著新的挑戰。

新時代下，互聯網向傳統實業不斷滲透，傳統實業也在擁抱互聯網，融合成為非常重要的關鍵詞。而融合在帶來了新產業的同時，也對網絡安全提出了新的挑戰。“水善利萬物而不爭，劍領攻防而知平衡。”杭州安恒信息技術投份有限公司董事長范淵在“西湖論劍·網絡安全大會”上作主題演講時，一再強調，未來要求產品或服務的整個生命周期都貫穿隱私和數據保護，包括從最早的設計階段，到產品投放市場、使用直至最終停止使用，都將考慮數據保護合規因素。

無處不在的網絡安全威脅

當今世界，信息技術革命日新月異，對國際政治、經濟、文化、社會、軍事等領域的發展產生了深刻影響。互聯網已經融入社會生活的方方面面，并深刻改變著人們的生產生活方式。據統計，截止到2017年底，我國網民規模達到7.72億，居全球第一。然而，我們也必須看到，在我國成為網絡大國的同時，卻并不是網絡強國。在自主創新方面我國還相對落后，核心技術受制于人的現象依然突出，網絡安全問題依然嚴峻。

范淵指出，隨著經濟和科技的發展，計算機和網絡開始走入普通人的生活，導致網絡犯罪呈現出簡單化的趨勢。以往的網絡犯罪，要求行為人具有相當程度的電腦編程、應用能力，才能實施破壞活動。而今卻不然，侵入并破壞計算機的安全系統成了一般網民就能辦到的事，因為在今天，打通或穿透整個系統的工具能在互聯網上輕易獲得，黑客們在互聯網上開設的教授“如何入侵計算機系統”的網站比比皆是，任何一名“上心”的網民均能在短時間內自我“培訓”成為一名黑客，只是普通人也可以利用現代科技帶來的便利走上網絡犯罪的道路，獲取非法利益，給社會環境的穩定帶來危害。另一方面，網絡犯罪實施起來極為便利，只需要一臺可以接入互聯網的設備，犯罪嫌疑人就可以在家、辦公室、網吧等場所實施犯罪，甚至可以利用聯網的手機來實施犯罪。而且網絡犯罪從始至終行為人都可以不用直接接觸被害人，這使得大部分的網絡犯罪行為呈現隱蔽性強的特點，而一旦犯罪成功其收益卻巨大。比如通過網絡實施詐騙，行為人可以通過多種方法騙取受害人錢財，金額可高達幾千萬，甚至上億。因此，網絡犯罪可謂是典型的低投入、高產出犯罪；反之，遏制、打擊網絡犯罪，卻需要付出相對大得多的成本，這也是導致鋌而走險的不法分子越來越多的原因之一。

這個新時代，安全和產業發生著非常重要的融合。同時可以看到一種趨勢，就是線上線下的融合。從城市的泛在感知中心，到城市的安全決策治理中心，線上線下的融合會變得非常明顯。包括政務、市政基礎設施、工業互聯網、市政交通、社會治安等等。并且，這樣的融合使網絡空間范疇發生了非常有意思的變化，包括城市級的網絡安全感知運營中心、物聯網終端安全感知中心、工業互聯網感知中心和輿情的感知中心，以及線上線下整個決策系統。

除此之外，大數據時代背景下，新的技術、新的需求和新的應用場景都給數據安全防護帶來了全新的挑戰。越來越多的城市基礎設施和工業控制系統也在嘗試網絡化，這就導致智慧城市所面臨的網絡安全風險，不僅是信息泄露、信息系統無法使用等“小”問題，更會對現實世界造成直接的、實質性的影響，比如設備運行異常（交通癱瘓、城市運行停滯）、設備運行停滯（停水、停電、停氣、停供暖）、設備損壞（零部件損壞甚至火災事故）、環境污染甚至人員傷亡等。

而從小處來說，對于個人而言，數據安全與個人生活息息相關，直接關系到每位公民的合法權益。一方面，網上購物、聊天、支付等活動，總會不經意地“出賣”自己的姓名、身份證號、電話、住址等個人隱私信息，隨著居民生活對智能網絡依賴性的增長，個人、家庭的生活信息通過物聯網、社交網絡全方位暴露，使得個人信息泄露風險加劇；另一方面，由于法律法規的缺乏，智慧城市應用服務提供商在利益的驅使下可能存在非法的采集用戶的個人隱私信息，非法出賣和利用非常規采集的個人信息與隱私數據。一旦個人信息泄露，被不法分子利用個人信息與特定個人之間的緊密關系實施各種犯罪，輕則遭遇廣告推銷垃圾短信，重則遭遇金融電信的精準詐騙，導致財產損失。

融合下的新安全

“在這個新時代，融合是非常重要的關鍵詞。”范淵強調說，“這個新時代，安全和產業發生著非常重要的融合。同時可以看到一種趨勢，就是線上線下的融合。從城市的泛在感知中心，到城市的安全決策治理中心，線上線下的融合會變得非常明顯。包括政務、市政基礎設施、工業互聯網、市政交通、社會治安等等。并且，這樣的融合使網絡空間范疇發生了非常有意思的變化，包括城市級的網絡安全感知運營中心、物聯網終端安全感知中心、工業互聯網感知中心和輿情的感知中心，以及線上線下整個決策系統。”

物聯網智能設備與網絡安全的融合

隨著網絡全球化，物聯網安全已不再僅僅局限于某座城市的輻射范圍內，而是需要集合各方力量來共同面對的全球安全威脅。

從目前已有的物聯網安全威脅案例可以看出，黑客通過利用物聯網漏洞，可以遠程控制或劫持設備、批量竊取大量用戶實時信息、監聽設備間或設備與云端通信、仿冒真實設備或用戶、破壞真實網絡，并通過越權或過度使用等造成物理破壞，甚至可以對用戶造成生命威脅。

物聯網安全威脅主要可以分為硬件設備安全、通信安全、網絡接口安全、移動應用安全、云端安全和通用缺陷六大類。物聯網安全的建立不能再走以往互聯網環境下網絡安全的“老路”，其治理理念和方法應引入更為具體的實際應用場景，其中智慧城市場景在物聯網應用中是一個比較成熟且影響范圍較廣的場景。

在智慧城市物聯網安全管理領域，首先需要建立嚴格的全流程、全生命周期的網絡安全管理。城市運營者在推進智慧城市建設中要同步加強網絡安全保障工作。在智慧城市建設過程中，興建重要物聯網信息系統，首要考慮并合理確定安全保護等級，在系統軟件的起步設計階段，就要同步設計安全防護方案；在系統實施階段，要加強對技術、設備和服務提供商的安全審查，同步建設安全防護手段；系統建設完成后，平穩運行是每個系統都需要完成的使命；在運行階段，更要加強各方面的安全管理，定期開展檢查、等級評測和風險評估工作，認真排查安全風險隱患，增強日常監測和應急響應處置恢復能力。

工業和互聯網的融合

工業和互聯網的融合，使網絡安全原來很多的隱患和攻擊可以直接觸及核心工業系統，尤其是工業的生產線。因此，安全是工業互聯網的三大核心內容之一。在工業互聯網總體框架下，安全既是一套獨立功能體系，又滲透融合在網絡和平臺建設使用的全過程，為網絡、平臺提供安全保障。一方面工業互聯網中的網絡和平臺設計建設、運營管理須臾離不開安全作為保障，安全更是終端設備和系統接入及使用工業互聯網的雙向前提條件；另一方面，安全也脫離不了網絡、平臺以及終端獨立存在；此外，工業互聯網環境中產生的工業數據全生命周期也需要安全保護。因此，構建工業互聯網安全保障體系可從平臺、網絡、終端、數據等四個方面考慮，涉及工業控制系統安全、企業信息管理系統安全、企業控制網絡及管理網安全、互聯網寬帶網絡安全、工業云安全和工業大數據安全等內容。

做好工業互聯網安全的整體保障，才能為工業互聯網提供一個安全可靠的發展環境。當前，應牢牢把握工業互聯網發展的關鍵窗口期，堅持以“本質安全、內外兼顧、業務有限、隱私可控”為安全保障原則，以頂層設計為基礎，以政策標準為引導，以態勢感知為條件，以檢查評估為抓手，以通報應急為重點，以公共服務為依托，以產業促進為根本，從加強政策規劃指引、夯實基礎性工作、打造公共服務平臺、促進產業發展等多方面入手，建立全面保障工業互聯網設備安全、網絡安全、平臺安全和數據安全的新型縱深防御安全架構，從整體上強化我國工業互聯網安全防護水平。

AI與安全的融合

從幾年前的AlphaGo 開始，到現在的網絡安全問題，都是人們關注的熱門話題。不同的是，AI是結構化問題，而網絡安全是非結構化問題。從目前的實踐中，我們發現AI和安全的融合在更大的意義上表現為通過大數據的學習，AI用于更加精準的發現包括未知的異常和變化，預測趨勢，通過自我學習來降低誤報，對網絡安全起到非常大的作用。

但是，范淵認為，AI與安全的結合，并不會消除安全崗位對人的需求。與之相反，通過觀察可以發現，大數據的分析人才、建模人才以后會變成非常熱門的需求人才。通過海量數據中篩選出線索，自動解決結構化問題，結合總結、利用安全專家經驗，關聯多源異構數據聯想、推理和判斷看似不想管的信息和事件，這樣人工智能加安全人才的解決方案，將會是未來最佳的安全解決方案。

數據安全與隱私保護的新挑戰

在智慧城市環境下，數據已成為關系城市經濟和社會發展的戰略性資源，對數據資源進行綜合分析和利用，是實現智慧城市各種應用場景的重要基礎，需要有效保護。但是智慧城市信息系統結構復雜，數據分布廣泛，數據安全防護的難度和差異度非常大，需要度數據安全防護提出總體的原則和策略，即全面覆蓋、分級保護、審計追責、守法合規等四個方面的要求。數據安全防護思路方面可以從時間、空間、業務三個維度考慮，其中數據的生命周期是時間維度，數據在智慧城市信息系統架構中所處的位置是空間維度，數據的狀態、類型及訪問需求是業務維度。具體的數據安全措施包括身份認證、訪問控制、授權管理、操作審計、邊界防護和數據加密。

與數據安全伴隨而生的，則是隱私保護問題。近年來，我國政府高度重視數據在經濟新常態中推動國家現代化建設的基礎型作用，陸續頒布、實施了一系列法律法規。特別是2017年6月1日正式實施的《中華人民共和國網絡安全法》，強調了中國境內網絡運營者對所收集到的個人信息所應承擔的保護責任和違規處罰措施。但相較于國外而言，我國還應立足國情，從實際情況出發，學習和借鑒國外立法與實踐經驗，制訂符合自身發展需要的法律體系。

雖然我國目前面臨的網絡安全問題日趨嚴峻，但我國面臨的問題也是世界面臨的挑戰。防范打擊日益復雜的網絡犯罪，需要不斷完善網絡立法，在應對網絡犯罪過程中提供新的規范支持和更為有效的制度支撐；需要在更大范圍內實現綜合協調、聯動融合；需要深入推進基礎信息化建設，充分運用大數據技術和信息化手段提升防控智能化水平，打造國家級網絡安全中心，在推進我國智慧城市建設的過程中，更需要同步完善網絡安全，提高城市應對網絡安全風險的防范能力。