【科技参考】欧盟构筑网络防护盾

敏感数据的违规获取、大量虚假情报、网络间谍和对重要基础设施的攻击，这些都不再是未来的威胁，而是影响个人、企业和政府的现实事件。虽然它们还没有大范围大规模发生，也远未达到网络战争的程度，但不可否认的是，网络攻击正成为一种新的侵略模式，既可能实现某些国家的压倒性战略优势，也可能动摇某些国家的稳定，或造成严重的经济损失。

欧盟和成员国应该有所心理准备，在迄今难以想象的某种情况下，可能会遭受致命的网络攻击，因此必须对此做出应对计划。

欧盟网络安全的现状及存在问题

2015年4月《欧洲安全议程》发布。基于此，欧盟委员会在2016年4月提出要建立一个有效的真正的安全联盟，并发布了欧洲共同安全的路线图，强调跨国威胁无法以一国之力解决。2016年9月，Julian King 被任命为欧盟安全联盟专员。

网络安全是欧盟安全联盟的核心工作内容之一。2016年7月，欧盟通过“网络和信息系统安全（NIS法令）”，2018年9月起在各成员国执行，目的是实现所有成员国的网络安全防护能力相当，增进互信和信心，确保有效的信息交换和合作。

2015年《欧盟数字化单一市场战略》指出，要实现电子产品和电子服务在欧洲的发展与繁荣，互信与安全的重要性不可忽视。在其规制和政策框架下，欧盟共计有四类网络安全主管机构。

一是在传统信息技术安全领域，计算机紧急情况应对小组（CERTs）或计算机安全事故反应小组（CSIRTs）作为一线行动机构，负责处理欧盟和成员国层面问题，应对具体的信息安全事件和网络威胁。欧盟计算机紧急情况应对小组（CERT-EU）资源有限，仅有员工30人，只向欧盟机构提供服务。在国家层面，小组的结构在形式上和功能上都存在明显差异。尽管欧洲的 CERTs 小组之间开展了一定程度的技术合作，但目前只有10个成员国参与其中，包括挪威和瑞士。新成员需要进行申请，并具备一定能力才能加入。

除此之外，欧盟已建立网络和信息安全机构（ENISA），致力于成为欧盟内部网络和信息安全的专业知识中心。主要目标是提高成员国对网络安全问题的认识，支持欧洲和国家网络安全战略的发展，促进能力建设和合作。

二是在执法领域，欧洲刑警组织的欧洲网络犯罪中心（52人），为成员国打击网络犯罪提供重要支撑，已成为网络犯罪执法的专业关键枢纽，职能包括推动国际信息交换、提供网络情报、法医分析、法律援助和专家支持。

三是在情报服务领域，情报服务一般在国家层面开展，在欧盟范围内有一定程度的合作。欧洲机构最主要的联结点是情报中心（3人），隶属于欧盟对外事务部。

四是在外交和防务领域，欧盟对外事务部有一个3人小组，通过外交途径应对强制性网络操作、帮助第三国进行能力建设；欧洲防御机构（EDA）也有一个3人团队支持成员国加强网络防御能力建设，推进合作。此外，欧盟军事参谋部（EU Military Staff）（3人）为欧盟共同安全和防卫政策（CSDP）的军事战略规划、行动和任务执行提供专业的网络安全知识。

由于体制、技术、法律、预算和文化原因，这些不同部门之间的相互交流极其有限。此外，成员国之间由于网络安全的规制和方法不同，水平不在同一个层次，因此也很难开展真正有效的合作。

这种碎片化的机制在面临复杂的网络攻击时会有较大的局限性。比如，IT 响应小组通常会关注受到攻击的系统本身，这些系统一般是在他们的地理辖区之内。但在实践中，如果有来自警察或者法律部门的参与，或者其它国家IT响应小组的参与，对于危机处理将更有效。

实现欧洲网络安全的四个建议

1. 从技术合作到政治合作

NIS 法令是加强国家和选民相互信任与合作的关键所在。致力于提升国家网络安全能力，创造一个更公平的竞争环境，例如要求所有成员国指定国家计算机安全事故反应小组（CSIRTs）、保证小组具备足够的资源能执行相关任务、履行相关责任。

NIS 法令致力于通过建立一个新的“CSIRT网络”来加强跨国界技术合作，由成员国、欧盟委员会和欧盟网络与信息安全局（ENISA）的代表组成，旨在促进战略合作、交流最佳实践。

NIS 法令所建立的合作网络将非常新颖，当务之急是加速推出这一全新框架，并充分挖掘所有进行有效合作的可能性。然而，鉴于网络威胁发展迅速，正在进行的提高成员国网络适应能力的工作也应以同样速度向前推进、同时保证给予充分的资源配套。另外，一个基于国家间松散合作、大多数交流活动属于自愿性的系统是否能保证欧盟的网络安全，需要对这个问题做出评估。

2. 建立欧洲网络协调平台

欧盟委员会计划发布一个“合作蓝图”，鼓励成员国充分发挥 NIS 法令所提到的合作机制的作用，目的是让欧盟具备应对大规模网络事件的能力。希望可以为国家计算机安全事故反应小组（CSIRTs）更系统性地交换信息提供便利并加速成员国之间的沟通进程。 因此，需要建立欧洲网络安全协调平台。

平台可以采取多种形式建成，其中一个选项是仿效欧洲反恐协调员的职位设置，设立欧洲网络安全协调员一职，协调员向欧洲理事会汇报工作；鉴于协调员要与多个国家当局进行协调，这一职位也可以设在欧盟委员会；又或者，至少协调员能与欧盟安全委员保持密切协商。协调员职责涉及国防、外交、安全、司法、内部市场、技术、数字化、科研等方方面面，需要使用现有的欧盟内部资源，特别有赖于欧盟计算机紧急情况应急小组（CERT-EU）和欧盟网络与信息安全局 （ENISA）的资源和技术力量。

欧洲网络安全协调平台的职能包括以下方面：

侦察。负责收集监督成员国与欧盟机构的信息数据，分析数据之间的各种联系。因此，需要保证数据的互操作性、建立数据分享机制。目前已经开始着手促进执法部门和欧盟国家计算机安全事故反应小组（CSIRT）之间的信息共享。

预防。基于所掌握的信息与数据，提供网络攻击风险评估，相应制定威慑措施和应对战略；参照相关指标监督国家网络安全能力建设的发展，指标包括网络安全的支出占 GDP 的比例；模拟测试相关网络系统抵御攻击的能力。

合作。与欧洲理事会（特别是与欧洲反恐协调员）等相关机构密切配合。平台应依托于欧盟网络安全军事管理部门，如欧洲对外事务部下属的欧盟军事参谋部。这样可以更好地促进各国国防部的交流，与北约密切合作，保证欧盟范围内军事与民用系统的安全。同时，还应建立一个高度安全的欧盟机构内部网络，允许通过与国家安全通信系统的连接交换涉密信息。

保护。大力支持欧盟机构，建立成员国增进合作的框架，帮助欧盟开展更好的协调与合作应对未达到“华盛顿公约”第五条规定规模的大型网络攻击。需要制定应对大规模网络事件的通用协议。

起诉。尽管起诉属于成员国和欧洲刑警组织的职责，协调平台对网络事件的处理“涉及从预防到起诉的整个过程”。 欧洲刑警组织欧洲网络犯罪中心（EC3）负责执法，目前已与计算机安全事故反应小组（CSIRTs）和欧盟网络与信息安全局 (ENISA)通过召开会议与建立顾问小组的形式展开交流。在执行NIS法令方面，需要开展国际合作，CSIRT 成员在符合本国规定的前提下与国家执法部门与国家数据保护部门进行协商与合作。

3. 保证价值链安全，清除漏洞

保证欧洲网络安全需要网络世界各方的积极参与，当今的网络世界里除了政府部门，私营部门和民间社会的作用也非常重要。

一是通过标准化和认证提高安全级别和竞争力。针对“物联网”建立覆盖欧洲的认证体系，确立最低标准、实现成员国国家认证系统与标识系统的互认，这样做可以提高公私部门的网络安全意识，让公众注意选择得到认证的产品、增强促进网络安全的产品的竞争力、促进金融、交通等传统行业的跨领域合作。这个认证系统还应鼓励促进网络安全的工业流程设计，要求关键硬件和软件符合认证要求，如：航空技术的设计。欧盟委员会计划在2017年年末出台“欧洲信息技术安全认证框架”，这是真正设定全球数字安全标准的机遇。但是，如果目前松散自愿式的模式继续下去，则不一定能建立执行这样一个有效的认证系统。

二是加强欧洲网络产业实力，在战略数字领域实现自主。为保证欧洲的战略利益，在开发和提供核心硬件、软件和服务方面应实现相关产业的独立自主，需加强欧洲网络产业的实力，建立欧洲自有供应链，通过教育、培训与认证培养配套技能。需要制定相应政策保证关键部件的供应安全，解决战略性网络安全资产海外并购所可能产生的问题。当前一个比较好的典范是“欧洲云倡议”。需要考虑在下一个“多年度财政框架”中建立“网络安全共同执行体”，促进市场与供应链的统一，加强欧洲内部合作，激发卓越科研与网络技术创新。

三是公有部门应加强与产业界合作，以更有效地发现和防范网络袭击。需以跨学科、跨行业的手段应对网络问题，前提是稳定持续地共享信息。目的是及早发现问题，了解可能发生的后果，并采取有效防范措施。因此，需加快建立“关键基础设施信息共享分析中心”。第一个这样的中心是90年代末应美国联邦政府要求设立的，主要作为行业成员主导的机构，负责收集、分析、传播网络安全信息，帮助关键基础设施所有者和运营者更好得保护相关设施、员工和顾客。中心并不监管或控制信息，而是组织行业内的关键各方进行定向信息的交流。如今，在美国共有24个这样的中心，覆盖汽车、航空、金融等领域。中心之间的协调和合作，及对外与公私部门的联系由一个专门的国家理事会（National Council of ISACs ）负责。欧洲目前的情况是，在能源、金融领域开始建设类似的中心，下一个可能建立中心的领域是交通。根据 NIS 法令，未来重点领域应包括能源、交通、银行业、健康、金融、国防、电信等。

四是开辟渠道听取民间社会、小型企业与个人举报小型网络事件。即使是举报最微不足道的网络事件也有助于增强公众的网络安全意识，发现新问题和新的薄弱环节。需要制定协议对网络攻击受害人予以支持，“欧洲网络安全协调平台”应指导成员国建立相应的国家网络事件服务台，制定支持网络攻击受害人的相关协定。国家服务台定期向协调平台汇报最新情况。

4. 开展国际合作

数字安全是全球事务。通过内部能力建设实现欧洲安全固然重要，但欧盟必须也要在国际网络空间框架建设中有所贡献。

全球互联网管理的重大变化发生在2016年10月，美国把域名系统的控制权移交给了非营利性质的互联网名字与编号分配公司（ICANN）。这种转变旨在实现共享管理，增强互联网的开放性和中立性。联合国在2004年设立了政府专家组，目的是检查网络空间已有的和潜在的威胁，并发现可能的解决方法。

建立一个各方同意的国际管理体制十分必要，要遵循三个原则：一是网络空间国际法要像陆地、海洋国际法等一样，在国际上具有很强的适应性；二是各国自动承认和平时期的行为规范准则，即不蓄意攻击关键基础设施；三是采取措施增进互信，降低风险，增加透明度。

istic