法國網絡空間安全治理體系

盧英佳

摘要：本文總結法國網絡空間安全政策體系的演變和趨勢，從機構管理體系、政策發布等方面進行分析，探索其對我國網絡空間安全管理的啟示意義。

[關鍵詞]網絡空間安全 治理 戰略政策

法國政府一直以來都頗為重視網絡空間安全，持續不斷制定了一系列政策法規，并通過成立專門機構、應用新技術等綜合手段管理網絡，經過多年的發展，法國的網絡空間安全政策體系愈加成熟，形成了一個完整、多元、適變的框架體系。本文對法國的網絡安全管理機構及網絡空間安全政策法規進行歸納梳理，總結法國網絡空間安全政策體系的演變和趨勢，從機構管理體系、政策發布等方面進行分析，探索其對我國網絡空間安全管理的啟示意義。

1 法國網絡空間安全機構管理體系概述

隨著網絡和信息技術的進步，網絡犯罪及網絡間諜活動不斷加劇，網絡空間安全面臨的挑戰變得更為多樣化，開始覆蓋各個領域。法國政府為保障網絡空間安全，成立了專門機構進行管理。

1.1 政府總體防御

法國政府機構網絡安全工作由國防和國家安全總秘書處（SGDSN）領導，具體負責以下三項任務：

（1）協調信息系統安全的部際工作;

（2）規定行政部門的預防安全措施，監測執行情況，在發生重大危機時，可采取反制措施;

（3）協調政府保護信息系統的行動，在遭遇網絡攻擊時采取技術措施，降低攻擊造成的損失。

2009年7月，法國政府根據2008年發布的《國防白皮書》，成立了國家級信息安全機構一國家信息系統安全局（ANSSI）。ANSSI的職能是負責制定官方的通信系統的安全標準，對信息安全基礎設施進行審計，檢測和協調網絡事件的應急反應，發展國際合作和培訓管理人員。ANSSI下設COSSI（信息系統安全運營中心），COSSI的任務是為指定的關鍵基礎設施信息系統檢測和緩解攻擊。COSSI下設CERT（法國計算機應急響應中心），CERT的職責是24小時監控互聯網，加強對政府機關信息系統的網絡安全警戒，嚴查網絡攻擊源，防范和應對網絡攻擊。

1.2 法國軍隊信息系統防御

2017年1月，法國成立網絡司令部。由海軍副將阿諾（ArnaudCoustilliere）擔任指揮官，2017年9月改由少將奧利維爾·邦尼特擔任指揮官。網絡司令部下屬三大中心：

（1）計算機防御控制分析中心（CALID），成立于2006年，總部位于巴黎和雷恩。2019年1月成為網絡司令部的下屬機構，負責處理和響應網絡攻擊。

（2）網絡防御儲備和運營準備中心（CRPOC），成立于2015年，位于布列塔尼和巴黎。負責招募新人和管理預備役人員，同時還負責組織國內和國際網絡防御演習以及內部培訓。

（3）信息系統安全審計中心（CASSI），成立于2008年，2019年1月隸屬于網絡司令部，其審計任務涉及兩個領域：信息系統安全（ISS）和危害、干擾信號（SPC）。2018年頒布《2019-2025年軍事規劃法案》，計劃到2025年再增加16億歐元用于網絡行動以及1，500名從事網絡工作的人員，共計4，000名網絡軍事人員。

2 法國網絡空間安全治理政策分析

自2008年以來，法國政府已起草了多個高級別政策文件，包括《法國信息系統防御和安全戰略》、《國家數字安全戰略》等作為網絡空間的綜合性戰略，力主向全球推廣自己的互聯網管理理念，以期帶領歐盟擺脫對美國的技術依賴，挑戰美互聯網企業的壟斷地位

2.1 《法國信息系統防御和安全戰略》（2011）

體現法國有意參與全球網絡空間戰略博弈的積極姿態。《戰略》提出了關于網絡安全戰略的四個目標：

（1）成為網絡防御的世界級強國;

（2）通過保護主權信息，確保法國決策自由;

（3）加強國家關鍵基礎設施的網絡安全;

（4）確保網絡空間安全。

為實現目標必須落實的七項重點工作有：

（1）防范并分析形勢，以便做出合理決策;

（2）檢測并阻止攻擊，通報并實時監控潛在的受害者;

（3）提高和保持科研、技術、預警和人力資源能力，以維持必要的自主性;

（4）保護國家信息系統和關鍵基礎設施運營商，以獲得更好的國家抗擊強度;

（5）修訂法律以適應技術變革和新應用層出不窮的趨勢;

（6）在信息安全、打擊網絡犯罪和網絡防御等方面開展國際合作，以更好保護國家信息系統;

（7）信息共享、動員，以便法國人能夠采取措施應對與信息系統安全相關的挑戰。“七項重點工作”涵蓋了網絡技術研發、網絡空間管理、網絡人才培養、網絡風險監控、網絡管理立法、網絡國際合作等各方面，構成立體防御體系。

2.2 《國家數字安全戰略》（2015）

《國家數字安全戰略》指出，網絡空間已成為不公平競爭和間諜活動一個新的領域，網絡謠言、不實宣傳、恐怖主義和犯罪行為在網絡空間層出不窮，通過加強數字安全，目的是要建立一個安全、穩定和開放的網絡空間。《戰略》提出五大目標：

2.2.1 保障根本利益，維護國防和國家信息系統和關鍵基礎設施的安全，避免重大網絡安全危機

通過發展自主的數字專業技術，確立獨立自主的戰略思維，確保法國在網絡空間的基本利益。同時，法國將繼續加強國家關鍵基礎設施的安全和網絡攻擊應對能力，在發生重大網絡攻擊的情況下，通過擴大與私人利益相關者的合作，保證采取有效措施。

2.2.2 建立數字信任，保護隱私和個人數據，防范網絡惡意行為

保護企業和個人隱私非常重要，將采取必要的保護措施和補救措施。開發數碼防偽系列產品，補救措施將針對網絡惡意行為的受害者，為其提供技術和法律援助。

2.2.3 提高安全意識，加強初級培訓和繼續教育

隨著信息化的普及，部分人群仍然對風險缺乏充分的認識，因而需要采取措施，提高風險意識。此外，為滿足不斷增長的來自公共和私營部門的網絡安全需求，應加強這一領域的專家培養。

2.2.4 制訂相關政策，促進數字化技術企業出口和國際化發展

全球增長的數碼市場，提出了相關的安全需求，為法國數碼產品提供了機遇，法國可提供適合本國安全級別的服務。通過支持投資、創新和出口，也可通過政府采購等方式，國家將制訂相應政策，確保法國企業在良好的環境中提供安全的產品和服務。

2.2.5 維護歐洲數字戰略的自主性，網絡空間的穩定性

在網絡空間國際關系的調整已成為一個重大問題。法國將與歐盟成員國推動建立一個歐洲數字戰略路線圖。保障網絡空間的自主權。法國也將強化在國際機構的影響力，為網絡保護能力弱小的國家提供支持，同時也要加強自身的網絡安全能力，促進網絡空間的整體穩定性。

2.3 《網絡防御戰略評論》白皮書（2018）

2018年2月，法國國防和國家安全總秘書處（SGDSN）發布《網絡防御戰略評論》（Revue strategique de Cyberdefense），文中提出了法國網絡防御模式，分析其特點，提出六項任務及網絡防御的四大操作鏈。

法國的網絡防御模式將進攻能力和防御能力區分開來，通過將網絡保護的任務和手段與情報和進攻行動的目標區分開來，加強了國家對政府和經濟領域的信息系統安全的干預，重點領域分工，尊重個人隱私，允許私人行為者與負責網絡保護的國家服務之間建立信任關系。

法國網絡防御模式共有六項任務：預防、預測、保護、監測、歸因、應急響應（補救措施、犯罪懲罰及軍事行動）。

預防是指用戶對數字風險認知不足，關鍵基礎設施的服務商必須遵守網絡安全規則，企業和個人都要提高網絡安全風險意識，采取防范措施。

預測指的是通過了解攻擊群體來預測攻擊的發生。目前，攻擊模式（MOA）大約分三類：戰略型MOA：攻擊所用的手法非常先進，攻擊持續時間長，速度快，大規模攻擊，針對重要基礎設施，威脅國家主權。積極進攻型MOA：攻擊模式不屬于第一"類，但針對的是法國利益。其他MOA：不屬于前兩類，對于此類攻擊已有解決方案或情報報告。

保護：保護信息系統是抵御網絡攻擊的關鍵，無論是國家還是私營部門，都必須加強保護措施，為網絡攻擊者設置障礙，同時盡量預測攻擊。這是保證信息系統安全性和可恢復性的唯一選擇。

監測：監測網絡攻擊是消除網絡威脅的關鍵任務。攻擊發生后，檢測攻擊的影響，識別攻擊者的操作方式，ANSSI負責協調情報部門和政府機構，除了協調工作，ANSSI還負責監測對政府系統的攻擊，還需確保軍隊的安全。對于民用系統，需要在系統內部部署傳感器，進一步研發新的監測策略，或可得到入侵信息。

歸因：在發現網絡攻擊后，必須能夠追蹤到攻擊者，以便對其提起法律訴訟或做出適當的反擊，如果涉及政治，則需要發現和獲取事實證據，警察和軍隊或會介入。

應急響應：受到攻擊后需要迅速恢復受攻擊的系統，同時確保攻擊者不能輕易地再次進行攻擊，此項工作也被成為補救。由負責信息系統的人士進行，以確保信息系統的健壯性。

網絡防御的四大操作鏈

保護：保護鏈覆蓋了網絡戰爭的各個層面，在遭受網絡攻擊的情況下，預防、預測和保護是確保國家安全必不可少的步驟。根據《法國信息系統防御和安全戰略》，法國國防和國家安全總秘書處（SDGSN）負責統籌防御措施，法國信息系統安全局（ANSSI）具體執行相應業務，網絡司令部則負責國防部的行動。

軍事行動：該軍事行動是由法國總統直接領導的國家級防御行動。

情報：情報鏈涵蓋了為情報目的而采取的所有行動，2015年頒布的《情報法》為情報部門搜集情報數據提供了依據，根據《情報法》，法國國家情報技術控制委員會（CNCTR）在總理授權下在法國國內開展情報活動，法國國家文本和詞匯資源中心（CNALT）提供的網絡信息共享服務必須經過情報檢查。

司法調查：司法調查鏈包括警察、憲兵和司法部門的行動。根據規定，警察和憲兵隊在司法當局（檢察官和法官）的監督下工作，各部門分工負責調查服務，法國對內安全總局（DGSI）負責實現數據搜集的操作，法國跨部門技術援助服務組織（SIAT）負責提供滲透技術，國家數字司法調查技術機構（ANTEN）通過司法攔截平臺（PNI）進行調查工作。

3 法國網絡空間安全治理體系建設對我國的啟示

2019年新年伊始，法國國家信息與自由委員會即發布公告稱，由于美國谷歌公司違反了數據隱私保護相關規定，法國將對其處以5000萬歐元罰款。這是依據去年新生效的歐盟《通用數據保護條例》開出的首個罰單。而在去年11月的第十三屆互聯網治理論壇上，法國總統馬克龍呼吁制定管理互聯網和確保網絡安全的通用規則，強調企業參與的重要性，大型科技公司比政府更有能力決定如何阻止黑客攻擊，數字盜竊和其他形式的網絡入侵。法國比舉表達出其主導歐盟互聯網治理的意愿。

法國的網空治理體系相關經驗值得我國借鑒，具體如下：

3.1 頂層設計優化配置，總體布局網空安全

在機構的設置上，法國設置專門的國家網絡安全機構，以總理牽頭，國防與安全總秘書長具體直接管理的方式，統籌管理網絡安全相關工作，協調處理網絡安全工作中產生的重大問題。網空安全政策形式重在以頂層設計、站在全局高度的戰略規劃，網空安全政策目標主要集中于維護關鍵基礎設施安全、保護公眾隱私、預防網絡攻擊和犯罪行為等方面。政府從一開始的重點針對防范國家信息基礎設施的大規模黑客攻擊轉向避免重大網絡安全危機、角逐全球網絡空間戰略博弈。在技術上，法國積極倡導新技術、新應用的研發以獲得自主權。法國的一系列網空政策法規在維護國家網絡安全，保障國家和公民的網絡權益上起到了不可或缺的作用。

3.2 提高安全意識，培養專業人才

法國在其2015年發布的新戰略中，強調網絡空間安全技術防護的同時，也注重提高公眾的網絡空間安全意識，提出以適當的教育和職業培訓來提高網絡空間安全意識。當前，網絡攻擊能力越來越強、攻擊手法越來越專業化，只有提高全產業鏈所有人員的信息安全能力才能有效保障網絡空間安全。網絡空間安全知識涉及硬件、系統、固件、通信等領域，需加強培養全面的專業技術人才，通過培訓的方式提高研發人員、生產人員的安全技能，通過宣傳教育的方式提高普通用戶安全意識，從多方位保障網絡空間安全。因而，法國網空治理經驗可為我國提供有益的啟示

3.3 重視國際合作，積極發展新技一術新應用

法國在網絡空間安全管理的過程中，非常重視和其他國家的合作，積極發展新技術、新應用。近期，法國和德國已同意通過JEDI聯合研究中心合作發展人工智能，兩國政府都承諾提供各種激勵措施，鼓勵公司參與競爭，開展具有競爭優勢的人工智能項目，法國總統馬克龍業已招募世界著名的數學家Cedric Villani為其政府起草人工智能戰略。當前我國網絡空間政策法規體系總體還較為封閉，在大數據和云環境背景下，積極接軌國際治理體系攜手保證全球網絡空間安全，對于一個高速成長的網絡大國而言，既是責任也是權利。