圖片來源@視覺中國
文 | 張國果
隨著華為被美國列入“實體清單”，壞消息接踵而來。
海康威視遭遇美國供應商斷供不久，美國國土安全部就向美國企業發出警告，中國製造的無人機可能令企業數據面臨風險，大疆岌岌可危……很明顯，此次兩大經濟體之間的博弈，鋼鐵和大豆只是預演，信息化與網絡安全領域才是主戰場。
在芯片和作業系統“慘遭不幸”之後，網絡安全這道屏障還會固若金湯嗎？
最後一道屏障
科技戰一旦大規模蔓延，網絡安全將面臨嚴峻的威脅。
在一些重要的領域，例如能源、有色金屬、精密機械製造等行業，一旦出現商業機密外泄，很容易給企業帶來毀滅性的損失，甚至威脅到國家利益。
因網絡漏洞受到黑客攻擊從而威脅國家安全的例子數不勝數。
2010年，伊朗核設施遭遇來自國外的“震網”病毒攻擊，美國利用MS10-046、西門子SIMATIC WinCC系統0 Day漏洞攻擊鈾濃縮設備，直接導致該國核設施1000多台離心機癱瘓——不少國外機構及媒體推論，這背後一個主要原因就在於，伊朗核設施相關信息控制系統缺乏自主防護能力。
2015年聖誕節的前兩天，烏克蘭首都基輔部分地區和烏克蘭西部的140萬名居民突然發現家中停電。這次停電不是因為電力短缺，而是遭到了黑客攻擊。黑客利用欺騙手段讓電力公司員工下載了一款惡意軟體“BlackEnergy”(黑暗力量)。該惡意軟體最早可追溯到2007年，由俄羅斯地下黑客組織開發並廣泛使用，包括用來“刺探”全球各國的電力公司。
2017年“想哭”病毒爆發後，網絡攻擊發生了一些新的變化。
網絡攻擊不再重視個人電腦，而是大規模侵佔學校、醫療、公眾事務甚至機場的網絡設施，直接鎖死公用網絡，造成的危害幾何級上升。事實上，銀行、政府、大型企業、軍事設備、基礎設施的網絡也接二連三被攻克。針對非個人網絡的大規模攻擊正在成為漸漸主流。
網絡戰時代，國家重要網絡基礎設施跟整個民用網絡密不可分，所有網絡攻擊是無差別的攻擊，目的就是打擊基礎設施，最後讓整個社會停擺。
如果網絡攻擊讓你家裡停電、打不了車、飛機停飛、高鐵停運，這樣的網絡戰效果比傳統作戰效果更好。
總而言之，隨著技術的發展，互聯網沒有變的更安全，反而是網絡攻擊的技術越來越先進，破壞力愈發強勁。
對於當下的中國而言，種種不利因素疊加，網絡安全問題格外凸顯。
第一，中國目前用了很多“別國”的系統，不少重要基礎設施、信息系統和個人電腦中採用的核心零組件屬“非國貨”，存在著木馬、漏洞和後門等嚴重安全風險，這就為國外監視和控制提供了可能，給國家的網絡安全埋下很大隱患。
處理器、作業系統等核心部件均有可能被“做手腳”，從而可能通過預設的操作監控用戶行為、竊取敏感信息、造成病毒爆發等，導致個人的隱私、企業信息的安全甚至國家的安全均難以得到保證。
第二，隨著信息化不斷提升，最近幾年大數據、雲計算、人工智能、物聯網、移動通信各種各樣信息化技術，用得越多，給網絡安全帶來巨大的壓力。系統越複雜，對安全防護能力的要求就越高。
根據研究機構Gartner 公司的調查，2017年全球有84億台物聯網產品正在使用，比2016年增長31％，預計到2020年將達到204億台。預計到2020年，物聯網預計將產生驚人的經濟影響，其市場規模高達8．9兆美元，如果安全問題不能夠很好解決，那麽物聯網設備所承擔的風險將無法估量。
中國在科技上的迅速發展，讓智能設備數量的爆炸式增長，中國有 5 億台電腦，15 億部手機，未來甚至可能有百億規模的智能設備，面對新形勢，需要有新的安全策略來應對。
現狀不容樂觀
中國在信息化投入上不比其他國家低，但我們在網絡安全方面投入嚴重不足。
2017年，安全領域創業企業總融資額創新高。據不完全統計，網絡安全領域當年全球投資300億美元，國內僅為5．4億美元；據分析，在歐美發達國家和地區，企業在網絡安全方面的投入佔IT方面投入達到10％－13％，國內僅1％－3％。
與投入相比，中國工業企業對自身企業安全建設水準卻“迷之自信”，在一項企業網絡安全調查中，36.7%的被調查者認為自己所在企業網絡安全建設水準達到行業領先；僅有2.9%的被調查者認為自己所在的企業網絡安全建設水準處於“裸奔”狀態。就實際情況來看，工業企業對自身安全建設程度普遍“自我感覺良好”，實際上是一種過度樂觀的狀態。
之所以出現這種矛盾情形，中國網絡安全公司的不爭氣難逃乾系。
國內網絡安全業界長久以來一方面極力推崇自主研發、自主創新；但在具體的產品實踐中，則又體現出自主研發創新能力和意願的不足，貼牌與OEM在行業內成為一種通行法則。而一些有一定自主研發能力的廠商，也通過OEM的方式補齊一個完整的產品線，從而來扮演全能力的解決方案供應商形象。
按照傳統安全公司的做法，對付網絡攻擊只是建立防火牆，安裝入侵檢測的設備，這都是以銷售為目的來推銷產品，事實上無法從根本上解決網絡戰的安全問題。
不僅如此，由於中國網絡安全產品的特殊性，全民對於網絡安全的認知存在偏差。
國內的互聯網安全廠商，崛起於互聯網免費模式，而各互聯網寡頭也紛紛跟進。國際的免費安全模式更多的是靠個人用戶免費來獲取用戶口碑，而在商業用戶和企業用戶收費的模式；而國內的模式實際上更多是迎合國內用戶更在意支出成本而忽視自我權益的價值取向，以免費服務形式引導用戶必須同意分享部分輕量級的隱私以及託管入口與流量的控制權。
這種模式導致中國網絡設備使用者的用戶體驗造成了一定的傷害，普遍對國內安全企業提供的網絡安全服務存在不信任。
但在基於免費的安全服務，接受這種推薦就是用戶要付出的代價。這也互聯網安全廠商必須維持巨大的裝機量才能保證生存，因此難免出現在用戶控制權上的纏鬥和相互絞殺，甚至有可能出現與灰色渠道和分發體系的“媾和”。而這顯然已經與安全行業應有的企業品質有所衝突。
邁入2019年，網絡安全風險加劇，網絡安全人才缺口也不斷加大。
根據《第十一屆網絡空間安全學科專業建設與人才培養研討會》得出的結論，“我國網絡空間安全人才年培養規模在3萬人左右，已培養的信息安全專業人才總量不足10萬，離目前需要的70萬差距巨大。而根據普華永道的報告，2019年網絡安全人才缺口可能達到150萬。
人工智能時代，機器雖然可以取代一部分機械重複的，但短期難以改變這個行業勞動密集的屬性，人才缺口越來越大同樣對中國網絡安全提出了嚴峻的挑戰。
複雜多變的網絡環境意味著更多的預判、更多的辨識和更多的定製化，意味著更多的人。雖然有點詭異，但要承認在面對複雜的網絡攻擊環境時，人的綜合判斷力與應對能力是軟體無法比擬的。
尤其在物聯網攻擊層面，實時監控、快速止損等操作都是目前機器無法取代的。為了應對黑客的低門檻高效率，最簡單的方式還是培養足夠多的白帽子與之對攻。
網絡安全任重道遠
面對日益複雜的網絡環境和層出不窮的網絡攻擊威脅，國家、企業升級的不僅是技術，而是常識。
中國的網絡安全的希望必須首先寄托在網絡安全產業的發展之上，必須有一批具有核心能力的強力企業，而這一點正在為更多人認同。
時代在變，企業必須從傳統意義上保護終端的安全思路走出來，變成保護數據、保護互動、保護硬體工作等方方面面的網絡安全思路，要用頂層思維審視所面臨的難題。
這就意味著，在整個國家的網絡安全防禦系統上，需要有一個頂層的設計，數據需要打通。現在個人用戶電腦裡裝了各種各樣的安全軟體，部門花錢裝了各種各樣的網絡安全設備。如果今天這些數據沒有打通。網絡安全企業看到的只是局部，無法判斷是惡意軟體，還是來自其他國家的網絡攻擊。只有通過聚合網絡安全大數據能力，才能真正看清楚網絡發生了什麽。
網絡安全領域受到數據不足的困擾，這很大程度上是因為公司企業極不情願報告負面消息。如果以往數據洩露及網絡攻擊的相關數據能跨企業共享，網絡防禦就能得到極大提升。
2017年6月1日，《網絡安全法》落地實施，這是我國首部網絡安全相關立法；這意味著，國家法治保障體系建設已初具規模。
2019年3月7日，國務院國有資產監督管理委員會發布了新版《中央企業負責人經營業績考核辦法》，該辦法將於自2019年4月1日起施行。與舊版的考核辦法不同的是，新的考核辦法中增加了對網絡安全事件的考核要求。
由此可見，國家層面已經網絡安全已經成為國家安全最重要的組成部分之一，接下來，就需要企業主體的責任和擔當，以確保相關法律法規的落地執行。
較量無聲，對抗無形，每時每刻，就在身邊。我們生活在一個和平的國家，而不是一個和平的世界。居安思危，是永不過時的話題。（本文首發鈦媒體）
香港九龍灣馬來街興發大廈15樓D室