周鸿掉:漏洞是网络安全命门 人才对抗是网络安全本质

　　作者：李静 来源：中国经营报

　　近年来，随着我国网络技术水平的不断提升，基于互联网诞生的新产业新模式如雨后春笋般涌现，而随之而来的网络安全问题也越来越受到关注与重视。日前，全国政协委员、360集团董事长兼CEO周鸿掉在两会间隙接受《中国经营报》记者采访时表示，网络安全已经从“信息安全”向“大安全”时代转变，网络安全的影响也随着互联网像水电一样成为社会运行的基础设施，影响到整个社会的方方面面。为此，周鸿掉表示自己这次上两会，从专业领域角度带来了几个提案都和网络安全息息相关，希望能够帮助国家真正提升网络安全水平。

　　工业互联网需要“网络安全”护航

　　周鸿掉表示，近年来工业互联网的发展使得现实世界和网络世界深度联通，导致网络空间的攻击穿透虚拟空间，直接影响到工业运行安全，并扩散、渗透到城市安全、人身安全、关键基础设施安全，乃至国家安全，造成的后果日益严重。网络安全从“信息安全”时代进入了“大安全”时代，工业互联网已成为国与国之间网络战的攻击目标。

　　工业企业对网络安全不够重视，安全能力普遍缺乏，门户洞开。随着工业领域网络化、智能化的推进，工业控制系统的安全隐患越来越突出。

　　另外，网络安全企业的产品和服务适配度不高，难以满足工业实际需要；以及工业企业和网络安全企业单打独斗多，深度合作少都是目前存在的问题。

　　针对这些问题，周鸿掉提出相应方案：

　　制定让工业企业上网络安全系统的强制性政策。

　　不少工业企业出于成本、当下运行的稳定等考虑，对网络安全系统重视不够。很多工业控制系统使用期超过10年，为保证控制的稳定性，工控系统没有安装任何补丁，也没有安装杀毒软件，存在极大的安全隐患。建议制定工业企业上网络安全系统的强制性政策，让工业运行系统与网络安保系统融为一体，确保工业发展长治久安。

　　鼓励工控系统制造企业、工业企业和网络安全企业深度合作。

　　工业互联网安全覆盖面广、业务差异大、敏感度高，建议制定加快促进工业企业与网络安全企业合作的鼓励政策，成立国家级企业，选择汽车、航空航天、能源等重点产业进行集中攻关，合作研发高精尖安全产品和解决方案，共同打造高效、安全的工业互联网。

　　产业政策要重视对工业互联网安全的倾斜。

　　虽然我们已经逐渐意识到网络安全的重要性，但是安全不创造价值的观念依然普遍存在，相关投入依然不足。美国的网络安全投入占IT投入10%，而我国只有2%。建议国家加大对这方面的投入，以网络安全保护产业价值。

　　漏洞是网络安全的“命门”，需要强化管理

　　周鸿掉认为，漏洞是网络安全的“命门”。软硬件系统漏洞使得攻击者可以利用漏洞窃取信息或者控制、破坏目标系统，从而引发各种网络安全问题。

　　我国在网络安全漏洞管理方面存在对漏洞不重视、修复不及时现象，以及缺少具体的漏洞修复管理细则和处罚机制等问题。为强化网络安全漏洞管理，降低被攻击风险，提高我国网络安全防护能力，周鸿掉建议：

　　建立漏洞管理全流程监督处罚制度。

　　尽快制定覆盖网络安全漏洞发现、审核、披露、通报、修复、追责等全流程的管理细则，强制要求漏洞必须及时修复，对漏洞修复时间以及违规处罚措施予以明确规定。此外，应建立监督检查机制和力量，及时发现未及时修复漏洞的行为，并追究相关单位和责任人责任。

　　强制执行重要信息系统上线前漏洞检测。

　　对涉及国计民生、国家关键信息基础设施的重大信息系统工程和项目，一方面在其上线运行或交付使用之前，应强制要求进行网络安全漏洞的自检和备案，尤其应加强源代码层面的安全缺陷和漏洞检测。另一方面，国家网络安全主管部门应对上线系统进行抽检，发现问题及时整改。同时，应引导和鼓励软硬件系统开发企业加强安全开发规范和流程，尽量在源头避免网络安全漏洞的出现。

　　强制召回存在重大网络安全漏洞产品。

　　对存在严重网络安全漏洞，可能导致大规模用户隐私泄露、人身伤害或者影响民生服务、关键基础设施正常运行的软硬件产品，尤其是物联网、智能汽车等产品，应借鉴汽车行业的做法，对存在重大网络安全漏洞产品的实施强制召回，避免造成更大的损失。

　　鼓励政企单位采用众测众包方式发现和收集漏洞。

　　网络安全漏洞的挖掘和发现具有一定的偶然性，需要集合民间智慧。建议借鉴美国在安全漏洞收集和挖掘方面的做法。一方面，加强政企单位与专业网络安全企业的深度合作，帮助政企单位及早发现和修复漏洞。另一方面，充分发动民间安全研究力量发现和收集漏洞，提高网络安全整体防护能力。

　　网络安全人才培养需要“职业化”

　　网络安全的本质是人与人的对抗。近年来，国家网络安全人才培养取得重要进展，但与打造网络强国对人才的需求规模相比还存在较大差距，目前我国网络安全人才培养体系主要存在四大问题：人才缺口巨大；高校人才培养难以满足网络安全实战需求；网络安全职业培训质量有待提高；网络安全从业人员缺乏必要的职业技能鉴定。周鸿掉对此提出解决方案：

　　大力支持网络安全企业设立相关教育培训机构。

　　支持网络安全企业开办教育培训机构，邀请具有丰富实战经验的技术专家担任讲师，结合网络安全行业的最新需求，在网络安全企业进行实战演练，建立快速、规模化培养实战型网络安全人才的机制。希望政府在办学资质审批、资金、场地、税收等方面提供一定的便利和优惠政策。

　　开展网络安全学科联合建设。

　　为提高网络安全高等教育的实战水平和技术能力，建议鼓励高校和科研院所与优秀网络安全企业联合建设网络安全学院，开办网络安全专业学科。双方共同开发课程、共建实验室，并在企业设立实习基地，实现课堂教学、学生培养、实习实践的有机结合，提升网络安全学科水平和学生就业竞争力。

　　把网络安全纳入职业技能鉴定体系。

　　建议政府部门与优秀网络安全企业联合制定网络安全职业技能标准，对网络安全从业人员进行必要的水平评价，满足行业人才需求。经主管部门认可的相关机构职业培训后，向网络安全从业人员颁发初级、中级、高级认证证书，规范网络安全就业环境，为网络安全人才创造良好的就业机会。

　　鼓励政企单位上报网络攻击事件

　　习总书记在419网信工作座谈会上指出，我们存在“谁进来了不知道、是敌是友不知道、干了什么不知道”的情况，指出了我们对网络攻击情况不掌握、不了解、不全面的问题。

　　政企单位上报网络攻击事件存有遭受网络攻击时不愿及时上报的现象，并且缺乏相应的鼓励上报措施。对此周鸿掉建议：

　　出台鼓励网络攻击事件上报的相关政策。

　　建议在现有《网络安全法》基础上进行细化补充，出台鼓励政企单位上报网络攻击信息的政策法规。对网络攻击事件应进行分级分类监管，对遭受国家级网络攻击的，可以酌情减免责任。此外，对主动及时上报事件和积极应急处置的单位，给予酌情减免责任和处罚的机会，并帮助其安全整改。

　　规范网络攻击事件上报流程。

　　对政企单位上报网络攻击事件的具体流程和方法进行规范，形成可操作的实施细则，明确受报主体、上报时限，采取书面报告、当面汇报、技术接口等方式，主要上报攻击事件发生时间、造成的危害、处置应对情况和后续风险评估等内容。

　　加大对知情不报企业查处惩戒力度。

　　政企单位负有向主管部门主动及时上报网络攻击事件的义务，并承担相应法律责任。建议有关部门不断完善网络安全监管技术手段，加大网络执法力度，对知情不报、销毁证据、有意隐瞒、歪曲事实的相关单位予以严肃查处。

　　鼓励政企单位选用网络安全企业专业服务。

　　当前许多政企单位缺乏应对网络威胁的能力，一旦遭受网络攻击，难以研判攻击状况。应鼓励政企单位积极选用网络安全企业的监测预警、应急处置、攻击取证服务。在发生网络攻击时，及时向监管部门提供相关证据和解释说明，防止被错判、误判。