网络空间漏洞国家管理的观察与思考.docx

??

?

??

网络空间漏洞国家管理的观察与思考

?

??

?

?

?

?

?

?

?

???

?

?

?

?

?

一网络空间漏洞管理的本质过程和目标职能

（一）网络空间漏洞管理是动态过程，目标是提升网络空间可用性

1.网络空间漏洞管理是对弱点的过程管理

网络空间漏洞是指计算机系统的硬件和软件、网络通信协议、网络系统安全策略方面存在的缺陷。攻击者能够在未授权的情况下，利用这些缺陷，访问网络，窃取数据或操控数据，以及瘫痪网络的功能，甚至对网络系统制造物理性破坏。在商业世界，漏洞主要是计算机系统设计和操作中出现的错误所致，这些错误存在于从协议规范到物理硬件等各个信息系统层，能够使信息的完整性、可获得性和必威体育官网网址性受损。这些错误通常存在于软件中，网络漏洞还可能是恶意用户故意编写和部署的自动恶意代码。

美国国防部对“漏洞”的定义是，易受攻击性或利用信息安全系统设计、程序、实施或内部控制中的弱点，不经授权就可获得信息或进入信息系统。这里的关键词是“弱点”，是“系统缺陷或者脆弱性、威胁对系统缺陷的接入能力、攻击者利用系统缺陷的能力”三要素的交集。攻击者常常利用这些弱点来实现自己的目的。漏洞是现实世界向网络空间映射过程中的扭曲化表现，是从“用网”到“被用网”从而产生网络空间安全问题的根本，是影响信息化成果社会应用的主因。漏洞管理是伴随着所有网络应用与服务的全过程，直接影响网络服务的可用性。

2.网络空间漏洞管理就是要克服短板

网络空间是“系统之系统”，网络中任何一个漏洞都有可能会严重破坏一个机构的安全态势，这就是网络安全中的“短板效应”。从理论上说，任何系统或网络中的弱点都是可防范的。但前提是系统或网络中的弱点要做到能够被发现，并且提出技术上可行的解决方案，并积极实施系统升级，修复漏洞，有时甚至需要放弃原有的系统设计架构，采用新型系统架构，从而提升网络安全。

3.网络空间漏洞管理是首席信息安全官的主要职责

信息资产已经成为公司、公共机构、防务机构的重要资产，为了确保这些重要的信息系统及驻留其上的信息的安全，这些组织和机构就不得不健全网络安全风险评估和管理制度。网络空间漏洞管理是网络安全风险评估和管理制度的重要内容之一。网络空间漏洞管理是包括挖掘、识别、分类、披露、利用、修复等六大类相关过程的周期性实践过程。这个过程是不断循环往复的、迭代的，是不断积累计算机和网络系统安全技术，发现新的漏洞并进行分类，发布威胁信息，任何对网络系统进行整体升级的过程。在美国，商业部门、公共部门、国防部和各个军种都建立了完善的首席信息安全官制度，网络空间漏洞管理是首席信息安全官领导的网络安全体制的重要组成部分。

4.网络空间漏洞管理的目标是加强披露和修补能力

一般来说，漏洞主要覆盖信息系统的三个领域：技术体系、业务架构和管理过程。三大类漏洞又普遍存在于公共因特网、国家关键信息基础设施和国家关键军事信息基础设施中。用户的网络安全意识水平参差不齐，以及网络安全保障能力的局限性，导致这些设施中很多已知漏洞长期客观存在，无法得到全面及时的修复。根据专业统计分析，90%的网络空间威胁来自利用现有网络空间的残留漏洞。所以网络空间漏洞管理的首要职能是加强漏洞披露与修补能力，减少已知漏洞的网络空间存在。

（二）网络空间漏洞管理的基本方式是公私合作，为国家安全提供非对称能力

1.网络空间漏洞管理需要各类行为体的协同

因为漏洞具有广泛性、隐蔽性、长久性和必然发现性[1]，因此，漏洞的管理过程涉及信息产业相关企业、社会用户和国家管理当局等三大类行为体。而各类行为主体内部以及相互之间又是一种利益博弈的关系。网络空间漏洞管理必须抓住这种关系的本质，从利益协调角度，疏导各类行为体在漏洞管理六类职能中的行为，通过法律、政策、制度，甚至是利益驱动，借以公私合作的方式，向网络空间提供高水平的、及时迅捷的漏洞管理能力。

尽管网络技术因军事运用而生，但现在私营公司已经成为网络技术发展和应用的主体，私营公司也是网络技术投资的主力，尖端的网络安全技术也掌握在互联网科技公司中。它们不仅向各行业各领域提供产品和运维服务，而且针对自己的信息产品，一般的信息科技公司还会不断发布补丁程序。普通民众是网络使用的主体，如能让巨大的网民群体养成正确的网络安全使用习惯，正确配置自己的网络系统设置，及时安装补丁程序，更新系统，那么就能有效减少网络漏洞的威胁；而国家政府则应运用法律权力和行政监管手段，通过建立标准化的国家漏洞管理制度，加强网络安全技术教育和培养网络安全文化，更好地履行公共职能。

2.网络空间漏洞管理的漏洞利用政策是国家软实力的重要组成

网络空间安全的基本特征是战略上的非对称性，这导致网络空间各类行为体之间的敏感性和脆弱性同时并存。网络空间漏洞利用就是凭借网络空间的这种战略非对称性，平衡国家在网络空间战略