中科院院士谈网络安全：如何确保核心技术自主可控？

今天是第六个全民国家安全教育日，网络安全是国家安全的重要组成部分，当前我国网络安全发展态势如何？如何确保核心技术安全可控？中国科学院院士冯登国从三方面谈了对于“十四五”时期网络安全发展的一些思考。

随着大数据、物联网、人工智能（AI）、工业控制系统、卫星通信、移动通信、区块链等技术的发展和应用，能源、交通、通信、金融、医疗等领域与新技术新应用深度融合，越来越多的国家在战略层面向网络空间倾斜，围绕网络空间的技术对抗、压制和博弈也不断加剧，控制网络空间的信息权和话语权成为新的国家战略制高点。

国际网络安全形势日益严峻，高级持续性威胁（APT）攻击、AI 对抗攻击、关键信息基础设施攻击、勒索软件等各种网络安全事件造成巨大危害和损失。纵观当前发展形势，网络安全呈现出以下明显的发展态势。

美国于 2015 年 4月发布《网络空间战略》，明确提出要提高网络空间的威慑和进攻能力。2018 年 9月18日发布的《2018 国防部网络战略概要》直接将中国、俄罗斯列为“给美国造成战略威胁的国家”，并强调从军事、经济和科技等领域与中俄展开全方位的网络安全博弈。

该战略概要还放宽了使用数字武器保护国家的规定，允许军方和其他机构进行网络操作。2019 年以来，美国政府部门陆续针对华为、腾讯、字节跳动等我国企业进行打击和限制，抑制我国信息技术的创新能力，以期获取网络空间的竞争优势和控制权。

当前，涉及国计民生的大数据平台、云计算平台、工业控制系统、物联网等关键信息基础设施，以及正在步入千家万户的智能家电、智能驾驶汽车等，逐渐成为网络攻击的重要目标。传统的关键信息基础设施由于历史原因，大量关键系统的安全防护能力滞后。以工业控制系统为例，为了保证业务的连续性和可靠性，一批老旧系统仍在运行。

当前，各类智能设备的技术更新迅速，产品迭代快，而对应的安全防护技术却没有跟上，进一步加剧了网络安全风险。众多攻击者纷纷利用云平台、物联网设备作为跳板机或控制端发起网络攻击。据不完全统计，利用云平台对我国境内目标发起的 DDoS 攻击次数占比已达到 78.8%。

针对重要行业部门的 APT 攻击多发频发。APT 攻击是高技术手段支撑的、有组织发起的、对重点目标实施的高破坏性、高隐蔽性攻击，对国家安全、经济发展、社会稳定和公民组织构成严重威胁。

政府部门、金融、电力、通信、交通等基础设施成为 APT 攻击的主要目标，攻击者通过长时间的信息收集、试探、诱导、渗透、植入，结合未知漏洞利用、安全机制绕过、社交工程欺骗等多种技术手段，躲避安全防护机制，最终达到入侵和窃取机密数据、恶意控制目标设施、让正常运行的设施瘫痪等破坏性目的。

APT 攻击技术手段是各国情报组织、网络战部队发展的重要能力，也是当前黑产集团获利的重要工具。随着未来各国斗争的日益加剧和我国互联网经济的繁荣，我国各类信息系统将成为 APT 攻击的重要目标，对APT 攻击的防御将成为常态化需求。

近年来，操作系统、数据库等安全受到广泛重视，安全防护有所加强。但由于其基础性地位，个别漏洞造成的危害越来越严重，基础系统的安全性问题仍不容忽视。

特别是近年来出现的 Intel 熔断、幽灵等 CPU 漏洞，Raw Hammer 等存储硬件漏洞，均可以被软件方式利用攻击，危害严重，且修复难度很大，给网络安全带来严峻挑战。而我国无论是从设计角度避免漏洞、从产品检测角度发现漏洞，还是从实际使用时防御漏洞，都缺乏相应的理论、技术和产品支撑。

我国在这方面的积累还比较薄弱，但这一问题已经非常严峻且现实地摆在我们面前。

目前，随着我国5G、物联网、大数据等广泛应用，越来越多的传统行业都在进行数字化转型，新技术、新业态在带来新机遇的同时，也暴露出越来越多的网络安全风险和问题。结合我国的现状，笔者对我国的网络安全战略重点有以下基本判断。

从近年来美国对我国的各种遏制、打压手段来看，无论是公开的制裁还是非公开的各类网络攻击，在网络空间，我们正面临着日益严峻的压力，这是必须引起正视的现实问题。

我国是信息技术应用大国，互联网经济繁荣，这是我国未来发展的重要方向，但也必然对网络空间安全防御提出更高的要求。可以预见，未来信息技术和产业的繁荣，仍需要技术、市场的高度开放和融合，需要国际社会的广泛参与。

在这样的背景下，我们需要持续强化网络安全能力建设，提升关键信息基础设施安全保障水平，加大数据安全保护力度，开展新技术网络安全防护，不断从安全防御、安全治理和安全威慑等方面提升我国网络安全保障能力和水平，特别是具备与美国等国家的网络空间对抗的实力，争夺更大的网络空间话语权。

2018 年以来发生的中美贸易战使我们深刻认识到：核心技术是国之重器，发展核心技术是强国之道。我国对美国等西方国家的制造业及其核心技术高度依赖，供应链安全受到严重威胁。

在这种大背景下，我们需要确保信息和产品在开放融合的背景下实现供应链安全。应该如何布局，如何实现团结一部分朋友，同时形成一定的威慑、制约能力，这是值得深思的问题。

考虑到当前网络空间的对抗形势，关键核心技术自主可控是我们不得不努力的方向。自主可控和安全是两个不同层面的概念，自主可控为安全提供基础支撑，主要解决供应链安全。自主可控也要开放创新，不能闭门造车、闭关自守，要向全世界提供中国理念、技术、产品、服务和解决方案。自主可控要充分汲取和可控利用世界先进理念、技术、产品、服务和解决方案。

我们要两手抓，一方面，要独立自主地创新发展关键核心技术，把关键核心技术牢牢掌握在自己手里，赢得主动权和制衡权；另一方面，也要加大可控利用国际先进技术和产品的力度与深度。

要以政府引导为主，辅以市场化手段，调动和利用国内各方资源和力量，以保障信息技术产品供应链安全为最终目标，传好实验室、转移转化和产业化三阶段九级科技创新链之间的接力棒，强化缺失或薄弱的链条，打造完整的科技创新链。

我国目前拥有最大的信息技术研发团体，高校、研究所、企业等储备了大量的研发技术人才。这些年，我国企业的研发实力和研发投入已经在市场上有所展现。高校、研究所的研究水平也有大幅度的提升。

当然，仍存在一些问题，比如，企业对前沿技术探索能力有限、有众多成果仅停留在研究论文层面。这都是产业和科研团队的协调问题，如何实现我国当前信息技术人才资源的有效配置，是解决这一问题的核心。

要解决这一问题，我们首先应对这个问题有正确的认识 —— 是发展的一个必然过程——形成一个科学合理的产学研协作机制远比解决一个具体的技术、产品问题要难。

我们需要逐步探索，既需要管理部门逐步认识、摸索、设计出更合理的管理制度，更需要企业、科研队伍逐步互相理解、了解定位，找到合作共赢的价值之路。近年来已经出现了企业与科研院所投入增加、合作逐步深入的成功案例，这是一个好的趋势。

针对现状，最根本的是要发挥社会主义制度的优越性，集中力量办大事，加强统筹协调。特别是我们要搞清楚哪些是市场的一般性需求，哪些是国家的战略性需求，哪些是技术发展的关键瓶颈，哪些是技术自身的循环递进。

对于国家战略性需求、关键性的瓶颈，这些项目要么技术难度大、研发成本高、周期长，要么短期效益不高、市场规模不大、企业不愿意投入，政府应当主动作为、加强引导；而对于一般性技术项目，研发成本低、周期短、短期效益高、回报快，企业投资意愿很强，就应该让市场自身推动。

我们的国家重大战略立项应避免被市场需求、舆论导向所左右，避免陷入盲从和急躁的漩涡。对于基础性研究，由于风险高，离市场比较远，国家应加大投入，特别注重“建立以信任为前提的顶尖科学家负责制”，在方向规划上和组织实施中，尽量减少行政干预，尊重科学规律，支持自由研究。

来源：《网络传播》杂志