建立鐵路網(wǎng)絡(luò)空間安全治理新格局的實(shí)踐探索

孫遠(yuǎn)運(yùn)

（中國國家鐵路集團(tuán)有限公司 科技和信息化部，北京 100844）

信息技術(shù)的廣泛應(yīng)用和網(wǎng)絡(luò)空間興起發(fā)展，極大地促進(jìn)了經(jīng)濟(jì)社會(huì)繁榮進(jìn)步，同時(shí)也帶來了新的安全風(fēng)險(xiǎn)和挑戰(zhàn)[1]。近年來，國家級有組織的網(wǎng)絡(luò)攻擊持續(xù)發(fā)生，數(shù)據(jù)泄露事件頻發(fā)，國家政治、經(jīng)濟(jì)、文化、社會(huì)及公民在網(wǎng)絡(luò)空間的合法權(quán)益面臨嚴(yán)峻威脅。鐵路安全事關(guān)國家安全和公共安全，規(guī)模龐大、影響廣泛的鐵路信息系統(tǒng)全天候不間斷運(yùn)行，面臨的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)與日俱增。進(jìn)一步提升鐵路網(wǎng)絡(luò)安全治理能力，已成為鐵路助力國家網(wǎng)絡(luò)安全治理體系和治理能力現(xiàn)代化的必然要求，為此，本文采用多維度分析法，分析我國網(wǎng)絡(luò)空間治理現(xiàn)狀，系統(tǒng)總結(jié)鐵路網(wǎng)絡(luò)安全治理實(shí)踐和取得的成效，并從不同維度提出相應(yīng)改進(jìn)路徑。

1 我國網(wǎng)絡(luò)空間安全治理現(xiàn)狀分析

政治（P，Political）、經(jīng)濟(jì)（E，Economic）、社會(huì)（S，Social）和技術(shù)（T，Technological）分析，即PEST分析，是指宏觀環(huán)境的分析，不同行業(yè)根據(jù)自身特點(diǎn)，分析的具體內(nèi)容會(huì)有差異，但一般都包括政治、經(jīng)濟(jì)、社會(huì)和技術(shù)?；诖朔N分析方法，本文從4個(gè)維度分析我國網(wǎng)絡(luò)空間安全治理現(xiàn)狀。

1.1 政治和法律維度

我國網(wǎng)絡(luò)安全已上升到國家戰(zhàn)略，相關(guān)政策布局和法律體系不斷完善，為指導(dǎo)我國網(wǎng)絡(luò)安全工作，以及維護(hù)國家在網(wǎng)絡(luò)空間的主權(quán)、安全、發(fā)展和利益提供了良好的政策保障。以《中華人民共和國網(wǎng)絡(luò)安全法》為基礎(chǔ)的網(wǎng)絡(luò)安全法律法規(guī)體系已成為國家網(wǎng)絡(luò)安全保障體系的重要組成部分；將于2021年9月1日正式實(shí)施的《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》[2]更是為我國深入開展關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作提供了有力的法治保障。

1.2 經(jīng)濟(jì)和產(chǎn)業(yè)維度

伴隨各類新興技術(shù)的研究發(fā)展、融合應(yīng)用的推廣落地，以及政策紅利的持續(xù)釋放，在數(shù)字經(jīng)濟(jì)的背景下，我國網(wǎng)絡(luò)安全產(chǎn)業(yè)發(fā)展勢頭和規(guī)模持續(xù)向好，網(wǎng)絡(luò)安全應(yīng)用市場廣泛，其中， 政府、電信與金融領(lǐng)域應(yīng)用網(wǎng)絡(luò)安全產(chǎn)品和服務(wù)最多[3]，眾多細(xì)分領(lǐng)域的安全需求成為推動(dòng)網(wǎng)絡(luò)安全產(chǎn)業(yè)持續(xù)增長的動(dòng)力。但在發(fā)展持續(xù)向好的背后，我國網(wǎng)絡(luò)安全產(chǎn)業(yè)發(fā)展不平衡、不充分的問題依然突出，特別是在內(nèi)部業(yè)務(wù)數(shù)字化和外部監(jiān)管合規(guī)壓力倍增的現(xiàn)狀下，普適性安全教育投入方面仍然較少，網(wǎng)絡(luò)空間安全人才基數(shù)仍需進(jìn)一步擴(kuò)充。

1.3 社會(huì)和保障維度

隨著信息化和全球經(jīng)濟(jì)化相互促進(jìn)，互聯(lián)網(wǎng)已經(jīng)融入社會(huì)生活的方方面面，也深刻改變了人們的生產(chǎn)和生活方式，但同時(shí)，網(wǎng)絡(luò)安全威脅和風(fēng)險(xiǎn)也與日俱增。在新一輪產(chǎn)業(yè)數(shù)字化轉(zhuǎn)型的大背景下，互聯(lián)網(wǎng)已成為驅(qū)動(dòng)產(chǎn)業(yè)創(chuàng)新變革的先導(dǎo)力量，能源、電力、通信、交通等領(lǐng)域的關(guān)鍵信息基礎(chǔ)設(shè)施是經(jīng)濟(jì)社會(huì)運(yùn)行的神經(jīng)中樞，是網(wǎng)絡(luò)安全的重中之重，也是可能遭到重點(diǎn)攻擊的目標(biāo)，為此，其相關(guān)保護(hù)體系得到持續(xù)優(yōu)化。在大數(shù)據(jù)時(shí)代，個(gè)人信息已成為一種重要的社會(huì)資源，我國高度重視大數(shù)據(jù)時(shí)代帶來的隱私威脅，不斷強(qiáng)化個(gè)人信息保護(hù)力度，在執(zhí)法監(jiān)管與社會(huì)監(jiān)督多管齊下的有力舉措下[4]，多措并舉協(xié)同聯(lián)動(dòng)的個(gè)人信息保護(hù)體系建設(shè)已初見成效。

1.4 技術(shù)和創(chuàng)新維度

中華人民共和國工業(yè)和信息化部公布的《2020年網(wǎng)絡(luò)安全技術(shù)應(yīng)用試點(diǎn)示范項(xiàng)目名單》[5]，涵蓋新型信息基礎(chǔ)設(shè)施安全、網(wǎng)絡(luò)安全公共服務(wù)、網(wǎng)絡(luò)安全“高精尖”技術(shù)創(chuàng)新平臺等3個(gè)大類共計(jì)177個(gè)項(xiàng)目，充分體現(xiàn)了國家對網(wǎng)絡(luò)安全技術(shù)創(chuàng)新應(yīng)用的迫切需求和政策支持。技術(shù)創(chuàng)新應(yīng)用在對整個(gè)經(jīng)濟(jì)社會(huì)發(fā)展的融合、滲透和驅(qū)動(dòng)作用日益明顯的同時(shí)，也帶來巨大的風(fēng)險(xiǎn)挑戰(zhàn)，導(dǎo)致網(wǎng)絡(luò)空間威脅和風(fēng)險(xiǎn)日益增多。更為嚴(yán)峻的是，我國科技，尤其是上游核心技術(shù)受制于人的現(xiàn)狀仍未得到徹底解決。目前，國內(nèi)重要信息系統(tǒng)、關(guān)鍵信息基礎(chǔ)設(shè)施中使用的核心信息技術(shù)產(chǎn)品和關(guān)鍵服務(wù)大多依賴國外[6]，信息技術(shù)應(yīng)用創(chuàng)新（簡稱：信創(chuàng)）生態(tài)體系的搭建和核心競爭力的提升問題亟待解決。

2 鐵路網(wǎng)絡(luò)空間安全治理的實(shí)踐成效

鐵路部門深入貫徹、積極落實(shí)網(wǎng)絡(luò)強(qiáng)國戰(zhàn)略部署[7]，網(wǎng)絡(luò)空間安全治理工作取得了顯著成效，為鐵路發(fā)展保安全、強(qiáng)管理、增效益提供了強(qiáng)有力的安全保障。

2.1 網(wǎng)絡(luò)安全體制機(jī)制基本構(gòu)建，制度保障體系初步形成

堅(jiān)決貫徹落實(shí)網(wǎng)絡(luò)安全工作責(zé)任制[8]明確要求，2018年，中國國家鐵路集團(tuán)有限公司（原中國鐵路總公司，簡稱：國鐵集團(tuán)）成立了網(wǎng)絡(luò)安全和信息化（簡稱：網(wǎng)信）領(lǐng)導(dǎo)小組。國鐵集團(tuán)和所屬各單位網(wǎng)信領(lǐng)導(dǎo)小組實(shí)行雙組長制和雙副組長制；鐵路站段等二級單位網(wǎng)信領(lǐng)導(dǎo)小組組長由主要負(fù)責(zé)人擔(dān)任。同時(shí)，堅(jiān)持做好網(wǎng)絡(luò)安全制度保障工作，以國家政策法規(guī)為指引，健全完善鐵路網(wǎng)絡(luò)安全有關(guān)管理制度和標(biāo)準(zhǔn)，先后印發(fā)了《中國鐵路總公司網(wǎng)絡(luò)安全管理辦法》《網(wǎng)絡(luò)安全事件調(diào)查處理和定責(zé)考核管理辦法》等制度文件，基本構(gòu)建了覆蓋國鐵集團(tuán)、鐵路局集團(tuán)公司、鐵路站段的網(wǎng)絡(luò)安全管理規(guī)章制度體系。

2.2 安全產(chǎn)品和服務(wù)市場化推進(jìn)，產(chǎn)業(yè)示范建設(shè)廣泛布局

立足網(wǎng)絡(luò)安全防護(hù)實(shí)際，積極推進(jìn)網(wǎng)絡(luò)安全產(chǎn)品研發(fā)和市場推廣，按照“消化吸收再創(chuàng)新”的原則，打造了一批技術(shù)過硬、易用性強(qiáng)的優(yōu)勢產(chǎn)品。產(chǎn)品體系涵蓋了網(wǎng)絡(luò)安全等級保護(hù)管理系統(tǒng)、移動(dòng)終端接入平臺、漏洞管理平臺、一次性密碼（OTP，One Time Password）動(dòng)態(tài)驗(yàn)證、網(wǎng)絡(luò)安全基線配置核查系統(tǒng)等，已經(jīng)在鐵路部分單位試點(diǎn)應(yīng)用和落地實(shí)施。同時(shí)，緊跟鐵路業(yè)務(wù)系統(tǒng)網(wǎng)絡(luò)安全需要，探索打造“全領(lǐng)域”服務(wù)模式，以等級保護(hù)為基礎(chǔ)，逐步拓寬服務(wù)面，全力做好攻防演習(xí)、安全檢查、宣傳教育等各項(xiàng)安全保障工作。在此基礎(chǔ)上，著眼于為安全技術(shù)研究、信創(chuàng)體系完善、系統(tǒng)安全測試、安全人才培訓(xùn)等工作提供有力支撐，積極推進(jìn)網(wǎng)絡(luò)安全靶場實(shí)驗(yàn)室、鐵路商用密碼安全評估實(shí)驗(yàn)室和鐵路信創(chuàng)適配實(shí)驗(yàn)室的規(guī)劃建設(shè)。

2.3 安全保護(hù)體系逐步構(gòu)建完善，個(gè)人數(shù)據(jù)安全有力維護(hù)

在切實(shí)落實(shí)網(wǎng)絡(luò)安全等級保護(hù)工作的基礎(chǔ)上，重點(diǎn)從機(jī)制制度、檢測評估和防護(hù)措施等層面著手推進(jìn)鐵路關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作。研究制定《關(guān)鍵信息基礎(chǔ)設(shè)施認(rèn)定規(guī)則》等規(guī)則制度，積極組織開展鐵路關(guān)鍵信息基礎(chǔ)設(shè)施認(rèn)定工作，推動(dòng)建立關(guān)鍵信息基礎(chǔ)設(shè)施風(fēng)險(xiǎn)評估機(jī)制，以資產(chǎn)評估為核心，針對每一項(xiàng)需要保護(hù)的資產(chǎn)，識別可能被威脅利用的弱點(diǎn)，分析并及時(shí)整改其存在的脆弱性；推進(jìn)制訂了各關(guān)鍵信息基礎(chǔ)設(shè)施專項(xiàng)應(yīng)急預(yù)案，定期組織開展應(yīng)急預(yù)案演練，并在重要保障期間，組織對關(guān)鍵信息基礎(chǔ)設(shè)施進(jìn)行全面安全檢查和集中重點(diǎn)盯控。同時(shí)，特別針對部分涉及資金交易、個(gè)人敏感信息交互的關(guān)鍵信息基礎(chǔ)設(shè)施，采用密碼技術(shù)進(jìn)行加密以實(shí)現(xiàn)信息隱藏；進(jìn)一步優(yōu)化完善鐵路12306互聯(lián)網(wǎng)售票系統(tǒng)隱私權(quán)政策，嚴(yán)格落實(shí)國家網(wǎng)絡(luò)安全有關(guān)隱私保護(hù)和數(shù)據(jù)安全要求。

2.4 示范工程促進(jìn)技防能力提升，信創(chuàng)體系構(gòu)建有序推進(jìn)

鐵路網(wǎng)絡(luò)安全技術(shù)能力主要包括入侵防范、邊界防護(hù)、計(jì)算環(huán)境、應(yīng)用安全、數(shù)據(jù)安全、可信驗(yàn)證等內(nèi)容。采用試點(diǎn)先行、全面推廣的實(shí)施策略，有序推進(jìn)鐵路領(lǐng)域重要信息系統(tǒng)一體化安全保障示范工程（簡稱：鐵網(wǎng)護(hù)欄工程）建設(shè)，初步構(gòu)建了符合實(shí)際、突出重點(diǎn)、防護(hù)得當(dāng)?shù)蔫F路網(wǎng)絡(luò)安全技術(shù)保障體系，鐵路系統(tǒng)性風(fēng)險(xiǎn)防范能力和網(wǎng)絡(luò)安全保障水平進(jìn)一步增強(qiáng)，網(wǎng)絡(luò)安全技術(shù)防護(hù)能力進(jìn)一步提升。同時(shí)，積極推進(jìn)信創(chuàng)國產(chǎn)化工作，開展國產(chǎn)化產(chǎn)品的應(yīng)用研究和適配工作，搭建了鐵路信息化應(yīng)用國產(chǎn)化適配平臺，完成了相關(guān)產(chǎn)品開發(fā)、國產(chǎn)操作系統(tǒng)適配測試、鐵路電子公文系統(tǒng)和電子支付系統(tǒng)的國產(chǎn)化適配等工作，推進(jìn)鐵路信創(chuàng)體系有序構(gòu)建。

3 鐵路網(wǎng)絡(luò)空間安全治理的改進(jìn)路徑探索

進(jìn)入新發(fā)展階段，面對深刻變化的鐵路內(nèi)外部環(huán)境，鐵路部門要貫徹新發(fā)展理念，堅(jiān)持正確方向，釋放產(chǎn)業(yè)支撐效能，強(qiáng)化核心重點(diǎn)防護(hù)，推進(jìn)創(chuàng)新技術(shù)融合，構(gòu)建鐵路網(wǎng)絡(luò)安全治理新發(fā)展格局。

3.1 加強(qiáng)政治引領(lǐng)，突破制度落地實(shí)施瓶頸

鐵路網(wǎng)絡(luò)安全治理工作要嚴(yán)格落實(shí)網(wǎng)絡(luò)安全工作責(zé)任制要求，確保網(wǎng)絡(luò)安全責(zé)任清晰、主要目標(biāo)明確、工作任務(wù)和保護(hù)措施具體，不斷強(qiáng)化網(wǎng)絡(luò)安全工作的政治引領(lǐng)和指導(dǎo)力度，堅(jiān)決杜絕不重視網(wǎng)絡(luò)安全工作的情況發(fā)生。同時(shí)，本著“于法周延、于事簡便”的原則，要在制度規(guī)章和標(biāo)準(zhǔn)細(xì)則上深入細(xì)化，明確等級保護(hù)測評、風(fēng)險(xiǎn)評估、密碼測評、產(chǎn)品檢測等方面的具體要求和實(shí)施指南，并加大檢查考評力度，建立網(wǎng)絡(luò)安全定期巡視巡查制度，對發(fā)現(xiàn)的問題實(shí)行閉環(huán)管理，逐項(xiàng)督促，落實(shí)整改，確保做到有制可依、有制必依、依必見效。

3.2 依托產(chǎn)業(yè)示范，促進(jìn)服務(wù)支撐能力提升

隨著我國對網(wǎng)絡(luò)安全產(chǎn)業(yè)的重視程度不斷增強(qiáng)，各項(xiàng)政策規(guī)劃為網(wǎng)絡(luò)安全產(chǎn)業(yè)的發(fā)展提供了有力保障和明確指引。要對標(biāo)先進(jìn)典型，充分結(jié)合自身實(shí)際，加快推進(jìn)網(wǎng)絡(luò)安全技術(shù)研究中心和靶場實(shí)驗(yàn)室等的建設(shè)[9]，構(gòu)建集訓(xùn)、試、測、仿、技術(shù)服務(wù)、資源共享等為一體的網(wǎng)絡(luò)安全產(chǎn)業(yè)支撐機(jī)構(gòu)，積極創(chuàng)新網(wǎng)絡(luò)安全服務(wù)模式，依托技術(shù)研究中心和實(shí)驗(yàn)室的平臺優(yōu)勢，全面開展網(wǎng)絡(luò)安全技術(shù)研發(fā)，擴(kuò)展等級保護(hù)測評工作深度，加快信創(chuàng)網(wǎng)絡(luò)安全防護(hù)產(chǎn)品研制，推進(jìn)網(wǎng)絡(luò)安全大數(shù)據(jù)和商用密碼應(yīng)用，組織開展網(wǎng)絡(luò)安全攻防技能競賽，構(gòu)建涵蓋咨詢規(guī)劃、研究開發(fā)、檢測試驗(yàn)、演練和培訓(xùn)等的全生命周期服務(wù)保障體系，為鐵路網(wǎng)絡(luò)安全工作提供全流程支撐和個(gè)性化服務(wù)。

3.3 強(qiáng)化重點(diǎn)防護(hù)，貫徹以人為本核心原則

關(guān)鍵信息基礎(chǔ)設(shè)施和重要信息系統(tǒng)已逐漸成為網(wǎng)絡(luò)戰(zhàn)爭的主戰(zhàn)場，對其采取針對性的重點(diǎn)防護(hù)至關(guān)重要。要深刻把握“網(wǎng)絡(luò)安全為人民，網(wǎng)絡(luò)安全靠人民”這一網(wǎng)絡(luò)安全觀的核心要義，研究制定符合鐵路實(shí)際的個(gè)人信息保護(hù)制度和個(gè)人信息分級分類標(biāo)準(zhǔn)，區(qū)分信息使用權(quán)限，明確相應(yīng)級別的保護(hù)措施。同時(shí)，要嚴(yán)格按照最新法律法規(guī)和鐵路關(guān)鍵信息基礎(chǔ)設(shè)施認(rèn)定規(guī)則程序，加快鐵路關(guān)鍵信息基礎(chǔ)設(shè)施認(rèn)定進(jìn)程，健全關(guān)鍵信息基礎(chǔ)設(shè)施風(fēng)險(xiǎn)評估機(jī)制，推進(jìn)系統(tǒng)國產(chǎn)化工作，推進(jìn)網(wǎng)絡(luò)安全設(shè)備和關(guān)鍵信息基礎(chǔ)設(shè)施安全可控示范應(yīng)用，切實(shí)做好源頭管控。采取檢測認(rèn)證、供應(yīng)商安全評估、安全審查等多種手段，加強(qiáng)鐵路關(guān)鍵信息基礎(chǔ)設(shè)施供應(yīng)鏈安全管理。

3.4 完善信創(chuàng)體系，推進(jìn)創(chuàng)新技術(shù)融合發(fā)展

新技術(shù)、新應(yīng)用正在不斷融入鐵路業(yè)務(wù)、管理和服務(wù)之中，以人工智能、區(qū)塊鏈等為代表的新技術(shù)，以及建設(shè)智能鐵路帶來的新風(fēng)險(xiǎn)[10]，將為鐵路網(wǎng)絡(luò)安全帶來更大挑戰(zhàn)。要采用“適度超前”的思維，分析安全需求，積極制定與智能鐵路相匹配的網(wǎng)絡(luò)安全技術(shù)框架和實(shí)施方案，明確整體架構(gòu)、技術(shù)路線、技術(shù)策略，指導(dǎo)網(wǎng)絡(luò)安全建設(shè)及技術(shù)措施實(shí)施工作，以推動(dòng)新一代信息技術(shù)與鐵路網(wǎng)絡(luò)安全深度融合為牽引，打造現(xiàn)代智慧鐵路系統(tǒng)，強(qiáng)化科技創(chuàng)新的支撐引領(lǐng)能力。同時(shí)，按照“適配、示范、推廣”的技術(shù)路線，進(jìn)一步完善網(wǎng)絡(luò)安全信創(chuàng)體系，加強(qiáng)信創(chuàng)技術(shù)和產(chǎn)品攻堅(jiān)，推進(jìn)攻防技術(shù)裝備標(biāo)準(zhǔn)化配備、國產(chǎn)化產(chǎn)品替代和國產(chǎn)密碼應(yīng)用，全面提升核心信息系統(tǒng)安全可控度。

4 結(jié)束語

基于PEST的多維度系統(tǒng)分析，總結(jié)了鐵路網(wǎng)絡(luò)安全治理實(shí)踐及取得的成效，立足新發(fā)展階段，充分認(rèn)識鐵路網(wǎng)絡(luò)安全工作的重要性、復(fù)雜性和艱巨性。本文提出的改進(jìn)路徑還需分階段、分重點(diǎn)地逐步推進(jìn)實(shí)施，要始終堅(jiān)持多維度、多角度、多方面、多層次、多措并舉的分析方法，把握新發(fā)展階段鐵路網(wǎng)絡(luò)空間安全治理的新路徑，構(gòu)建鐵路網(wǎng)絡(luò)安全立體化綜合防御、協(xié)同共治的新發(fā)展格局，確保鐵路網(wǎng)絡(luò)和重要信息系統(tǒng)安全穩(wěn)定運(yùn)行。