國內外網絡安全現狀與存在的問題發布時間:2021/7/29 14:50:51 閱讀次數:

  

國內外網絡安全現狀與存在的問題

1、我國網絡安全現狀

隨著人工智能、大數據、5G等新興技術的發展,企業面臨的威脅日益增加。相關數據顯示,在2015年至2025這十年間,網絡攻擊引發的全球潛在經濟損失可能高達2940億美元。網絡風險的升級,讓政府、企業和個人都對該風險愈加關注。各國紛紛頒布數據保護方面的法律法規,我國自2017年6月 開始實行《網絡安全法》。2019年5月,我國發布了等級保護2.0 國家標準,增加了個人信息保護、云計算擴展等要求。

國家互聯網應急中心發布的《2019年上半年我國互聯網網絡安全態勢》顯示,2019年上半年,我國互聯網網絡安全狀況具有四大特點:個人信息和重要數據泄露風險嚴峻;多個高危漏洞曝出給我國網絡安全造成嚴重安全隱患;針對我國重要網站的DDoS攻擊事件高發;利用釣魚郵件發起有針對性的攻擊頻發。

國家互聯網應急中心從惡意程序、漏洞隱患、移動互聯網安全、網站安全以及云平臺安全、工業系統安全、互聯網金融安全等方面,對我國互聯網網絡安全環境開展宏觀監測。數據顯示,與 2018 年上半年數據比較,2019 年上半年我國境內通用型“零日”漏洞收錄數量,涉及關鍵信息基礎設施的事件型漏洞通報數量,遭篡改、植入后門、仿冒網站數量等有所上升,其他各類監測數據有所降低或基本持平。

企業面臨的網絡風險或者網絡威脅主要有以下幾種形式:

1、網站入侵、網頁內容篡改

表現形式:黑客利用網站漏洞侵入網站,篡改網頁內容,甚至貼上反動標語。
后果:造成嚴重的政治影響,對企業公關形象產生負面影響,被監管部門處罰,影響正常業務開展。

2、數據泄露

表現形式:生產運營中積累大量客戶數據的企業遭受黑客攻擊,數據被竊取并用于非法用途,如2018年華住酒店的客戶數據泄露事件、2017年美國Equifax數據泄露事件等。
后果:面臨監管處罰,美國Equifax為1.5億用戶數據泄露支付了至少5.75億美元的罰款。此外,還可能面臨第三方的索賠。

3、網絡勒索

表現形式:遭受網絡勒索軟件攻擊,需向對方支付勒索金后方可解鎖相關軟件或數據。2017年6月馬士基總部IT系統遭到勒索軟件攻擊,集團全球系統癱瘓,碼頭停止作業,最長的一周后才恢復運營。
后果:支付勒索款項造成經濟損失;或者生產經營中斷造成營業中斷損失,營業中斷損失是目前大家公認的網絡安全風險中最大的風險。馬士基網絡癱瘓事件導致的直接損失超過了3億美金,營業中斷的損失金額未見公開披露。

4、分布式拒絕服務攻擊

表現形式:網站受到來自多個站點的同時攻擊,使網站服務器充斥大量要求回復的信息,消耗網絡帶寬或系統資源,導致網絡或系統不勝負荷以至于癱瘓而停止提供正常的網絡服務。
后果:網站無法提供正常服務,通過網站接受訂單服務被中止,同樣造成營業中斷的后果。如上,網絡風險的增加和不確定性,為網絡安全保險的“萌芽”提供了“土壤”,后期會做詳細介紹。


2、國際網絡安全現狀

全球網絡攻擊事件更加頻發

世界經濟論壇《2018年全球風險報告》中首次將網絡攻擊納入全球風險前五名,成為2018年全球第三大風險因素。

一是軟硬件設備安全漏洞頻出給生產生活帶來嚴重威脅。1月,英特爾公司爆出“幽靈”“熔斷”兩個處理器漏洞,導致惡意程序可獲取敏感信息。英國皇家戰略研究所公布報告,指出當前核武器系統存在大量明顯安全漏洞,網絡攻擊破壞核武器控制裝置的風險極大。3月,英國政府通信總部發現家用新型智能電表存在安全漏洞,威脅數百萬物聯網設備安全,甚至可能影響國家電網的正常運轉。4月,黑客利用思科高危漏洞發起攻擊,20余萬臺思科設備受到影響。

二是多行業關鍵信息基礎設施遭受攻擊。1月,荷蘭三大銀行網絡系統在一周內不斷遭受分布式拒絕服務攻擊。6月,美國賽門鐵克公司發現黑客組織針對美國和東南亞國家衛星通訊、電信、地理太空拍攝成像服務和軍事系統進行網絡攻擊。9月,西班牙巴塞羅那港與美國圣地亞哥港相繼遭受網絡攻擊。11月,美國國土安全部稱黑客多次試圖破壞美選舉系統。

三是個人信息與商業數據遭遇大規模泄露與違規利用。4月,美媒報道特朗普大選期間聘用的“劍橋分析”從2014年起違法收集臉譜網上5000多萬名美國用戶的數據,用于預測和影響選民的大選投票取向。9月,臉譜網稱遭受黑客攻擊,5000多萬用戶的個人隱私信息面臨風險。

2019年,隨著當前生產和生活對網絡信息系統依賴性的增強,網絡攻擊事件的數量仍將不斷增多,影響范圍也將更加廣泛。

全球網絡對抗態勢進一步升級

網絡空間已成為各國爭奪的重要戰略空間,2018年各國采取多種措施不斷謀求增強網絡防御和對抗能力,網絡空間對抗態勢不斷加劇。

一是頂層規劃中網絡對抗戰略意圖明顯。美國本年內發布兩項重要國防戰略,均顯示出明顯網絡對抗戰略意圖。7月,發布《2019年國防授權法案》,明確將中國、俄羅斯等國列為美國國家安全“威脅”,建議增加網絡沖突前線的軍事部署。9月,發布《國防部網絡安全戰略》,指出中國和俄羅斯對美國及其盟國的戰略性威脅正在增大,為防范網絡攻擊要進行先發制人。

二是完善網絡空間作戰機構設置。5月,美國網絡司令部升格為獨立作戰司令部。8月,日本防衛省宣布將組建專門部隊保護國防通信網絡免受攻擊。10月,北約提出將成立網絡指揮部,以全面及時掌握網絡空間狀況。

三是強化多方合作。一方面加強政企合作。5月,日本防衛省決定將部分網絡防衛任務委托民間企業。6月,美國組織軍隊、政府和產業界專業人員共同開展“網絡極限2018”演習。另一方面推動國際合作。4月,北約舉行“鎖定盾牌”網絡戰演習,吸引了來自30多個國家的千名網絡安全專家參加。6月,立陶宛宣布歐洲聯盟9個成員國將成立快速回應小組對抗網絡攻擊。

四是不斷深化網絡武器研發。4月,韓國國防部表示將在2019年前投入29億韓元開發智能型信息化情報監視偵察系統。7月,美國國防部開發新網絡武器系統,以發動對“伊斯蘭國”的在線攻擊,并保護美國免遭敵對政府的黑客攻擊。

2019年,隨著相關國家網絡空間政策的調整以及網絡軍事力量建設加速,網絡空間爭奪或將掀起新高潮。

各國將更加重視數據安全

治理數據已成為國家重要戰略資源和生產要素,針對數據的網絡攻擊以及數據濫用問題日趨嚴重,提升數據安全治理水平刻不容緩。

一是進一步完善數據安全保護法律法規。2018年5月,歐盟《通用數據保護條例》(GDPR)正式生效,歐盟國家,如愛爾蘭、西班牙、比利時與塞爾維亞等歐盟國家參照GDPR研究制定或發布國內數據保護相關規定,非歐盟國家,如阿根廷、巴西、伊朗、印度、泰國等國也調整其數據保護法規與GDPR保持一致。

二是加緊研究數據跨境流動規則。2018年4月,巴西向世界貿易組織提交文件,敦促對互聯網數據流動的規則展開討論。7月,日本和歐盟達成協議,將實現雙方數據自由流動。10月,歐盟議會通過《歐盟非個人數據自由流動條例》,消除歐盟成員國數據本地化的限制。

三是大力推進數據安全執法檢查。1月,美國聯邦貿易委員會對偉易達處以65萬美元罰款,因其安全漏洞導致數百萬家長和孩子的數據遭曝光。2月,比利時一法院判定,臉譜網在比利時網民不知情的情況下搜集和保存其上網信息,違反比利時隱私法。8月,韓國政府開始對20家跨國公司在韓辦事處開展用戶數據安全審查。10月,歐洲數據保護監督官員稱,在2018年底對外公布第一批依據GDPR處罰的情況,并實施制裁。

2019年,數據安全風險將更加突出,各國將繼續完善相應法規體系,積極開展相關執法檢查。

3、我國網絡安全目前存在的問題

我國網絡威脅監測技術仍待加強

長期以來,我國網絡安全核心技術受制于人,在網絡攻防技術發展日新月異的今天,我國應對網絡安全威脅的能力相對于發達國家處于劣勢。

一是信息技術安全監測能力不強。我國對進口網絡信息技術和產品的監測分析以合規性評測為主,很少涉及軟件核心技術,規;、協同化漏洞分析評估能力較低,難以發現產品的安全漏洞“后門”,同時在大數據分析、可信云計算、安全智能聯動等重要方面的技術實力不足,難以應對新興信息技術產品的安全監測工作。

二是網絡攻擊追溯能力不足。目前,我國對于海量網絡數據缺乏有效的分析方法,對APT等新型安全威脅的監測技術不成熟,即便監測到這種威脅,由于缺少回溯手段,也難以找出攻擊源頭。

我國信息技術產品自主可控生態亟待建立

目前,我國對國外信息技術產品的依賴度較高,CPU、內存、硬盤和操作系統等核心基礎軟硬件產品嚴重依賴進口。如CPU主要依賴英特爾和AMD等廠商;內存主要依賴三星、鎂光等廠商;硬盤主要依賴東芝、日立和希捷等廠商;操作系統則被微軟壟斷。2017年,歐美跨國企業提升了核心技術的開放程度,國內信息技術產業曾出現新一輪引進式的創新熱潮。然而,2018年,隨著中興事件和中美貿易戰的持續發酵,各界人士逐漸在構建信息技術產品自主可控生態方面達成共識。一方面是亟需研發出可用乃是好用的核心信息技術產品;另一方面是急需對自主可控的網絡產品和服務進行評估、扶持和推廣,進而構建良好自主可控生態。

我國網絡可信身份生態建設尚需強化

《網絡安全法》明確提出,“國家實施網絡可信身份戰略,支持研究安全和方便的電子身份認證技術,推動不同電子身份認證之間的互認”。然而目前,我國網絡可信身份生態建設仍需強化。

一是網絡可信身份體系建設缺乏頂層設計,統籌規劃和布局尚不明晰。我國還未明確將網絡身份管理納入國家安全戰略,也未形成推進網絡可信身份體系建設的整體框架和具體路徑。

二是身份基礎資源尚未實現廣泛的互聯互通,基礎設施重復建設現象嚴重。由于缺乏戰略設計和統籌規劃,我國網絡可信身份基礎設施共享合作相對滯后,導致基礎可信身份資源數據庫還未實現廣泛的互通共享,使得數據核查成本較高、效率較低。

三是認證技術發展滯后,還不能滿足新興技術和應用的要求。云計算、大數據、移動互聯網、工業互聯網等新一代信息技術不斷涌現,新興技術和應用環境中數據的傳輸、存儲、處理等方式與傳統信息技術及應用存在重大差異,已有身份認證技術、手段和機制還不足以支撐新技術、新應用的發展。因此,亟需開展針對性的研究,盡快制定國家網絡可信身份戰略,創建可信網絡空間。

關鍵信息基礎設施網絡安全保障體系仍不完善

關鍵信息基礎設施是國家至關重要的資產,一旦遭到破壞、喪失功能或者數據泄漏,不僅將可能導致財產損失,還將嚴重影響經濟社會的平穩運行。隨著金融、能源、電力、通信等領域基礎設施對信息網絡的依賴性越來越強,針對關鍵信息基礎設施的網絡攻擊不斷升級,且帶有國家背景的高水平攻擊帶來的網絡安全風險持續加大。但我國關鍵信息基礎設施的安全保護力度仍然不足。

一是網絡安全檢查評估機制不健全。當前的網信安全檢查側重漏洞發現,缺乏對漏洞修復的激勵措施,同時缺少對漏洞的危害等級的評估體系。

二是關鍵信息基礎設施安全保障工作存在標準缺失的問題。盡管行業內已加速開展相關標準的研究工作,包括安全保障指標體系、安全檢查評估指南以及信息共享規范等方面,但仍缺少金融、電力和通信等細分領域的安全保障標準研究。面對日益嚴峻的網絡安全挑戰,我國應盡快完善關鍵信息基礎設施安全保障體系。

在此大環境下,網絡安全保險作為一種新的網絡安全風險管理方式得到

了學術界和產業界越來越多的關注,成為網絡經濟時代的一個新亮點。


国产精品亚洲日韩春色校园