鐵路網絡安全面臨的嚴峻形勢和主要對策研究

劉大為

隨著信息化和數字化技術在國家政治、經濟、軍事、科技、文化等領域的深入應用，云計算、大數據、物聯網、人工智能和移動通信等新一代技術的大規模發展，網絡空間與現實社會進一步交融，已成為人類生產活動的“第二空間”。然而，信息化、數字化的發展也導致網絡安全的影響范圍逐步擴大，影響程度愈發增強。面對日益復雜的網絡安全形勢，我國持續強化網絡安全戰略地位，不斷完善網絡安全法律法規，持續加大關鍵信息基礎設施、重要數據和個人信息等領域的保護力度。面對網絡空間安全新形勢、新挑戰和新要求，深入貫徹網絡強國思想，不斷強化網絡安全理念，持續增強鐵路網絡安全管理能力、技術能力、運營能力，以及核心信息技術自主可控能力，構建安全可控的鐵路網絡綜合防御體系。

1 國內外網絡安全態勢

近年來，隨著網絡空間范圍的不斷延伸，影響逐步擴大，以及國際局勢的復雜動蕩，網絡空間整體安全態勢愈發復雜，對抗強度大、攻擊針對性強、手段多樣等特點逐步凸顯。

1.1 對抗趨勢突出

隨著國家運轉、行業發展、人民生活等社會活動進一步向網絡空間延伸，網絡攻擊所帶來的影響已從數字空間延展至物理空間，個人沖突、行業競爭乃至國家博弈都通過網絡進行。由于網絡空間的難以追溯性，以及攻擊工具的日趨自動化和智能化，導致實施網絡攻擊的成本顯著降低。據相關報告顯示，2022年上半年全球遭到DDoS攻擊的次數創2019年以來新高，是2021年同期的3倍［1］。

1.2 攻擊目標升級

隨著網絡空間向物理空間的延伸，網絡攻擊的目標已從互聯網時代的網絡公民向網絡空間時代的政府、企業和組織轉變。攻擊目的也從簡單的信息竊取，上升為敲詐勒索、破壞業務運行、危害國家社會和人民安全的犯罪行為。政府機構、電力、金融、交通、通信、醫療和能源等關鍵信息基礎設施，已成為黑客組織重點攻擊目標，多個國家陸續公布了針對本國關鍵信息基礎設施的攻擊事件［2］。

1.3 攻擊方式演化

伴隨攻擊目標的升級，有組織、有目的的攻擊方式逐漸增加，通過供應鏈的迂回攻擊方式成為新熱點。從歐盟網絡安全局（ENISA）發布的供應鏈攻擊威脅局勢報告來看，2021 年供應鏈攻擊數量較上一年增加了4 倍之多［3-4］。此外，部分攻擊組織與網絡黑色產業緊密合作，直接獲取敏感數據、0 day 漏洞。特別是量子攻擊系統作為高度工程化、自動化的網絡攻擊平臺，可以劫持全世界任意地區、任意網上用戶的正常網頁瀏覽流量，進行0 day漏洞利用攻擊并遠程植入后門程序［5］。

1.4 防護難度增大

隨著傳統產業信息化和數字化轉型升級加速，越來越多的業務依托于信息系統，導致信息資產呈幾何級增長，海量數據應運而生，由此帶來了信息基礎設施和數據資產的管理挑戰。根據國際非營利組織身份盜竊資源中心（ITRC）發布的《2021 年度數據泄露報告》來看，2021 年數據泄露事件達1 862 起，超過2020 年的1 108 起和2017 年的1 506 起［6］。遠程辦公的普及和5G、物聯網等技術的發展使得網絡邊界逐漸模糊，基于邊界安全的傳統防護思路難以契合當前安全需求。

2 鐵路網絡安全現狀及形勢

2.1 國家政策法規提出更高的網絡空間防護要求

為落實國家總體安全觀［7］，我國出臺多項政策法規，不斷強化網絡安全防護要求，促進網絡空間安全治理。

2.1.1政策規劃層面

從國家頂層設計文件《“十四五”規劃和2035 遠景目標綱要》，到國家網信工作部署安排《“十四五”國家信息化規劃》，再到交通行業發展規劃《“十四五”現代綜合交通運輸體系發展規劃》，通過層層規劃，逐級推進，不斷強化網絡安全的戰略地位。

2.1.2法律法規層面

我國持續完善法律法規，網絡安全工作已進入法制化軌道。《中華人民共和國網絡安全法》以及配套的法律法規，從網絡運行安全和信息安全兩個維度，對網絡安全工作進行了細化要求。

2.1.3網絡運行安全維度

我國發布了《網絡安全等級保護條例》和《關鍵信息基礎設施安全保護條例》，對網絡安全等級保護工作、關鍵信息基礎設施安全保護工作的保護對象、關鍵流程、重點措施和責任義務等都進行了逐項明確。《網絡安全審查辦法》在關鍵信息基礎設施供應鏈安全要求的基礎上，對網絡安全和數據安全提出了要求，進一步加強了關鍵信息基礎設施運營者的網絡安全保護責任。

2.1.4信息安全維度

《數據安全法》規定了數據處理者的安全保護責任，明確了建立數據安全管理制度、加強風險監測、開展風險評估、不得竊取數據等職責，標志著數據安全治理進入強監管時代。《數據出境安全評估辦法》提出了事前評估和持續監督相結合、風險評估與安全評估相結合的具體原則，對數據處理者提出了更具體的數據保護要求。

2.2 鐵路網絡安全防護面臨的風險挑戰

鐵路信息化建設起步較早，目前已形成覆蓋鐵路五網三級的網絡安全保障體系架構。近年來，全路貫徹國家網絡安全的部署要求，推進網絡安全等級保護制度落實，重要系統和基礎設施安全防護水平穩步提升，信息化保障能力持續增強。但是，隨著信息技術的快速發展、網絡攻擊方式的演化升級，鐵路網絡安全工作任重而道遠。

2.2.1網絡安全和信息化管理有待全面對標和深度融合

鐵路信息系統呈現數量眾多、部署分散、部分系統功能單一的特點，存在開發標準、數據標準、接口標準不統一的問題。早期建設的信息系統為實現“同步規劃、同步建設、同步使用”，導致網絡安全防護能力沒有完全匹配信息化發展進程。同時，伴隨著鐵路信息系統的建設，已形成覆蓋基礎設施、應用系統、終端外設、開發運維服務等龐大的供應鏈條，供應鏈的安全威脅和挑戰逐步增大。

2.2.2識別認定、安全防護、監測預警等安全能力有待加強

當前，鐵路網絡資產管理多以財務資產臺賬和運維管理平臺為基礎，管理重點為軟硬件設備本身及其部署環境，對重要數據、相關供應鏈的針對性管控和防護有限。鐵路網絡空間雖已進行網絡及安全區域劃分，具備了一定的邊界防御能力，但由于互聯網暴露面分散，難以形成統一有效的互聯網出口風險管控。網絡安全防御能力建設多側重于網絡邊界訪問控制，網絡內部從主機和終端到應用、數據等深層次、細粒度的防御能力有所欠缺。部署的各類病毒查殺、防火墻、安全網關、入侵檢測、訪問控制等安全措施，往往僅針對單一系統或行為，全局化監測預警能力尚未形成。

2.2.3實戰化、常態化網絡安全運營能力有待提升

近年來，全路高度重視重要時期的網絡安全保障工作，通過前期準備、安全值守、總結提升等工作機制，有效保障重要活動的順利開展。但全球網絡安全態勢復雜多變，安全事件頻發，實戰化、常態化網絡安全防護已成為趨勢。既有的以安全合規為目標，以監督檢查為主要手段的安全防護思路，難以應對持續化、突發性的網絡威脅。

2.2.4信息技術自主可控應用能力有待提高

自主可控是保障信息系統安全的先決條件，也是支撐網絡空間安全的基礎要素。目前，鐵路基本實現了信息系統應用軟件的自主研發，但是鐵路信息系統軟、硬件基礎設施自主可控程度較低，存在供應鏈斷供、技術封鎖、惡意攻擊和植入后門的安全風險，信息技術自主可控應用能力有待進一步提高。

3 鐵路網絡安全應對措施

鐵路行業應積極適應網絡安全新特點，按照國家有關政策法規的要求，從網絡安全管理、網絡安全技術、網絡安全運營和核心技術自主可控等方面持續提升。

3.1 完善鐵路網絡安全管理體系

3.1.1落實網絡安全責任制

壓緊壓實黨委網絡安全責任制［8］，將網絡安全工作作為各級領導班子目標管理，與中心工作一同部署、一同落實、一同檢查、一同考核。完善健全考核機制，將考核內容、方法、程序，考核結果作為對部門、所屬企業負責人綜合考核評價的重要內容。強化全員網絡安全意識，充分認識網絡安全極端重要性，樹立底線思維，增強網絡安全敬畏感和責任心，建立健全網絡安全事件定責和考核機制。

3.1.2依法開展網絡安全日常管理

“三法一條例”是網絡安全、數據安全、關鍵信息基礎設施安全、個人信息安全的根本保障，是做好新時代網信工作、推進網絡強國建設的法治基礎。開展網絡安全等級保護常態化管理，落實信息系統定級、備案、測評、整改的過程管理，實現對系統網絡安全防護能力的有效提升；規范開展關鍵信息基礎設施的認定工作，明確運營部門的責任和義務，定期進行風險評估和應急演練，確保關鍵信息基礎設施的運營安全；建立數據分類分級保護制度，制定重要數據目錄，加強對重要數據的保護工作。

3.1.3強化系統開發建設安全

緊緊把握安全技術措施與信息系統“同步規劃、同步建設、同步使用”的原則。強化等保三級及以上系統的網絡安全技術方案編制，落實新建信息化項目的網絡安全投資比重，從制度上充分保障網絡安全的配套建設。建立健全網信安全機制，完善網絡安全專項檢查標準規范，定期開展技術檢查和安全審計，常態化開展安全監管，從根本上解決弱口令、違規上線和私搭亂建等突出問題。

3.1.4加強供應鏈安全管理

鐵路信息系統和網絡覆蓋廣泛，供應鏈具有鏈條長、節點多、品類雜、交叉嵌套等特點，管理難度較大。需通過制度、程序和技術等措施，面向物資、設施、人力資源、信息技術和應用系統，開展供應鏈安全風險防范。重點覆蓋產品供應商、制造商、分銷商，以及各類服務商，在業務風險、操作風險、市場風險、人員風險、法規風險等方面建立有效防控機制，降低供應鏈安全風險。

3.2 健全鐵路網絡安全技術體系

3.2.1強化網絡安全頂層設計

牢固樹立網絡安全“一盤棋”思想，完善網絡安全工作格局，持續落實“實戰化、體系化、常態化”和“動態防御、主動防御、縱深防御、精準防護、整體防護、聯防聯控”的“三化六防”措施［9］。落實分區分域措施，堅持對網絡分區隔離，對應用服務分域管理。開展對數據安全、供應鏈安全、關鍵信息基礎設施保護等具體措施的研究。

3.2.2持續開展信息資產識別梳理

對信息資產的有效識別是開展安全防護、檢測評估、監測預警和應急處置等工作的基本前提。建立健全信息資產管理系統，打通信息系統工程建設、資產管理、運行維護等環節，從時間、空間、權屬等多維度對資產進行精細化、動態化、全生命周期管理，統籌兼顧相關部門的實際業務需求，形成資產信息共享聯動機制，保持動態更新，做到底數清晰。

3.2.3收斂互聯網暴露面

落實互聯網接入、終端使用和網站（應用）安全管理制度，逐步實現互聯網接入通道的集中接入和集中統一管理，業務服務類和上網訪問類的互聯網通道力爭實現物理隔離。與行車安全、運輸生產相關以及涉及公民個人信息的系統不能部署在互聯網上，信息應用系統未經批準不能與互聯網相連。對已經在互聯網上部署的系統開展安全評估和整改，并逐步遷移到鐵路內網。

3.3 優化鐵路網絡安全運營體系

3.3.1培育網絡安全人才隊伍

“聚天下英才而用之，為網信事業發展提供有力人才支撐，網絡空間的競爭，歸根結底是人才競爭”［9］。推動全路網絡安全人才隊伍建設，提高信息化運維人員安全防范意識和能力，吸收引進和培養鐵路網絡安全專業人才，定期組織全路開展網絡安全相關知識和技能培訓，不斷提高全路技術人員和網絡安全專業人員的知識儲備和實戰水平。

3.3.2錘煉網絡安全實戰化能力

“網絡安全的本質在對抗，對抗的本質在攻防兩端能力較量”［10］。堅持上下結合、專兼結合、內外結合的原則，建立鐵路行業網絡攻防紅藍軍隊伍，構建攻防訓練、實戰演習的網絡安全攻防靶場［11］。常態化開展關鍵信息基礎設施、重要信息系統等的網絡安全攻擊滲透和安全測評，在培訓鍛煉專業攻防隊伍的同時，及時發現信息系統安全漏洞，促進攻防能力建設和信息系統持續補強的良性循環。

3.3.3消除系統和資產安全風險

“必須堅持安全發展，扎實落實安全生產責任制，堵塞各類安全漏洞”［9］。明確每一個信息系統的網絡安全主體責任歸屬，排查治理安全隱患，完善監管體制機制。針對操作系統、中間件、數據庫、軟件開發框架及各類應用組件，分類制定專項補丁處置機制，定期查詢最新漏洞通報信息，及時處置中高危漏洞，切實消除信息系統安全隱患，杜絕系統帶病運行。

3.3.4提升網絡安全事件監控能力

“全天候全方位感知網絡安全態勢，增強網絡安全防御能力和威懾能力”［11］。建立健全網絡安全態勢感知系統，結合系統運行實際情況，修正和優化態勢感知系統預警規則，不斷提高感知報警準確率，充分發揮態勢感知系統作用，持續增強網絡安全威脅發現、研判和預警能力。

3.4 構建信息技術應用創新產業體系

3.4.1深化信息技術應用創新頂層設計

信息技術應用創新是增強網絡安全能力、提高科技自主水平、實現網絡強國戰略的重要舉措，是新基建和關鍵信息基礎設施的安全之基。積極穩妥推進信息技術應用創新，優化技術路線和實施路徑，開展應用軟件適配方法論、標準體系、管理體系，以及網絡安全體系等研究工作，推動實現“安全可控”“技術升級”“應用重構”三位一體的工作目標。

3.4.2典型示范項目引路

本著先易后難、兼顧重點的方針，按照基礎先行、先簡后繁、先管理后生產、先邊緣后關鍵的方式，分步推進試點適配驗證以及試點項目，通過迭代實施，打造示范標桿，同步夯實數字化轉型基礎。通過試點先行，以點帶面，形成可復制、可推廣的典型經驗，積極推動信創替代全面落地。

3.4.3構建鐵路信創生態

以實現高水平科技自立自強為統領，以關鍵核心技術自主可控為主線，以持續深化信息技術應用創新為抓手，加快鐵路行業信創產業基地的建設，聯合相關行業、科研院所，逐步形成完備的鐵路信創體系全產業鏈，不斷提升信創行業影響力。

4 結束語

鐵路作為國家重要基礎設施、國民經濟的大動脈和大眾化的交通工具，在現代運輸體系中發揮著重要作用。特別是鐵路通信信號系統是列車安全運行的重要技術裝備，其數字化和信息化程度更高，更需積極應對網絡空間安全態勢變化，以關鍵基礎設施、數據資源和業務應用為保護對象，不斷健全完善網絡安全管理體系、技術體系、運營體系和信息技術應用體系，全面提升網絡安全保障能力。