展望2019年，全球网络安全形势仍然严峻，个人信息与商业数据遭遇大规模泄露与违规利用，针对关键信息基础设施的恶意网络攻击频发，各国在网络空间对抗态势进一步加剧。面对新情况，如何加强网络安全建设才能更好地应对网络安全威胁？

2018年，我国网络安全技术产品取得新成就，人才队伍建设不断加强，网络安全产业发展势头强劲，网络安全形势整体向好。展望2019年，全球网络攻击事件将更加频发，全球网络对抗态势将进一步升级，各国将更加重视数据安全治理。我国网络安全能力建设工作将继续强化，但需要处理好网络威胁监测技术仍待加强、信息技术产品生态亟待建立、网络可信身份生态建设尚需强化和关键信息基础设施的网络安全保障体系仍不完善等问题，以提升我国网络安全保障能力。

对2019年形势的基本判断

（一）全球网络攻击事件更加频发。世界经济论坛《2018年全球风险报告》中首次将网络攻击纳入全球风险前五名，成为2018年全球第三大风险因素。一是软硬件设备安全漏洞频出给生产生活带来严重威胁。1月，英特尔公司爆出“幽灵”“熔断”两个处理器漏洞，导致恶意程序可获取敏感信息。英国皇家战略研究所公布报告，指出当前核武器系统存在大量明显安全漏洞，网络攻击破坏核武器控制装置的风险极大。3月，英国政府通信总部发现家用新型智能电表存在安全漏洞，威胁数百万物联网设备安全，甚至可能影响国家电网的正常运转。4月，黑客利用思科高危漏洞发起攻击，20余万台思科设备受到影响。二是多行业关键信息基础设施遭受攻击。1月，荷兰三大银行网络系统在一周内不断遭受分布式拒绝服务攻击。6月，美国赛门铁克公司发现黑客组织针对美国和东南亚国家卫星通信、电信、地理太空拍摄成像服务和军事系统进行网络攻击。9月，西班牙巴塞罗那港与美国圣地亚哥港相继遭受网络攻击。11月，美国国土安全部称黑客多次试图破坏美选举系统。三是个人信息与商业数据遭遇大规模泄露与违规利用。4月，美媒报道特朗普大选期间聘用的“剑桥分析”从2014年起违法收集脸谱网上5000多万名美国用户的数据，用于预测和影响选民的大选投票取向。9月，脸谱网称遭受黑客攻击，5000多万用户的个人隐私信息面临风险。

2019年，随着人们生产生活对网络信息系统依赖性的增强，网络攻击事件的数量仍将不断增多，影响范围也将更加广泛。

（二）各国更加重视数据安全治理。数据已成为国家重要战略资源和生产要素，针对数据的网络攻击以及数据滥用问题日趋严重，提升数据安全治理水平刻不容缓。一是进一步完善数据安全保护法律法规。5月，欧盟《通用数据保护条例》（GDPR）正式生效，欧盟国家，如爱尔兰、西班牙、比利时与塞尔维亚等国参照GDPR研究制定或发布国内数据保护相关规定;非欧盟国家，如阿根廷、巴西、伊朗、印度、泰国等国也调整其数据保护法规与GDPR保持一致。二是加紧研究数据跨境流动规则。4月，巴西向世界贸易组织提交文件，敦促对互联网数据流动的规则展开讨论。7月，日本和欧盟达成协议，将实现双方数据自由流动。10月，欧盟议会通过《欧盟非个人数据自由流动条例》， 消除欧盟成员国数据本地化的限制。三是大力推进数据安全执法检查。1月，美国联邦贸易委员会对伟易达处以65万美元罚款，因其安全漏洞导致数百万家长和孩子的数据遭曝光。2月，比利时一法院判定，脸谱网在比利时网民不知情的情况下搜集和保存其上网信息，违反比利时隐私法。8月，韩国政府开始对20家跨国公司在韩办事处开展用户数据安全审查。10月，欧洲数据保护监督官员称，预计2018年底对外公布第一批依据GDPR处罚的情况，并实施制裁。

2019年，数据安全风险将更加突出，各国将继续完善相应法规体系，积极开展相关执法检查。

（三）我国网络安全能力建设工作将不断强化。为了应对日益复杂的网络安全形势，确立网络空间优势，我国不断从技术研发、人才培养等方面加强网络安全能力建设。一是不断推出网络安全新技术新产品。8月，阿里云发布云盾Web应用防火墙，能够对网站业务流量进行恶意特征识别及防护，将正常、安全的流量回源到服务器。8月，启明星辰发布物联网安全接入防护系统IoT-VBox，该系统能够全面监测物联网系统中各终端的安全状况，同时开发了在线物联网终端学习算法，对终端的数据流内容进行建模，当终端被植入木马后，能够实现阻断报警防护。9月，永信至诚推出e春秋网络安全实验室靶场平台，并利用该系统承办了多次大型网络安全竞赛。二是不断加强网络安全人才培养力度。一方面，武汉市和四川省政府先后出台《关于支持国家网络安全人才与创新基地发展若干政策的通知》和《信息安全专项资金补贴》等政策，加强对网络安全高层次人才的培养和引进。另一方面，网络安全竞赛如火如荼的开展。8月由公安部和国家密码管理局指导的“网鼎杯”顺利举行，大赛吸引了超过两万名选手参赛。11月，由中央网信办指导的“湖湘杯”网络安全技能大赛顺利开展，该比赛是2018中国（长沙）智能制造大会的重要组成部分，目的是发现和培养高端网络安全人才。三是网络安全企业通过多渠道合作优化网络安全生态环境。3月，华为主导发起“华为安全商业联盟”，通过联合安全解决方案深度整合联盟伙伴的安全服务，解决单一厂商较难为用户提供全面完整网络安全解决方案的问题。8月，腾讯联合启明星辰、卫士通、立思辰等在内的15家上市公司，成立上市企业协作共同体，旨在搭建中国互联网安全企业的协同平台。

2019年，我国将继续加强对网络安全核心技术研发的支持，强化网络安全复合型人才的培养力度，鼓励企业通过多种方式开展合作，进一步提高我国的网络安全能力。

（四）我国网络安全产业发展环境将进一步优化。近年来，我国对网络安全的重视程度日益提高，围绕网络安全法不断推出法律法规，网络安全产业发展环境不断优化。网络信息内容管理方面，国家互联网信息办公室发布了《互联网新闻信息服务管理规定》和《互联网信息内容管理行政执法程序规定》，一方面规范传统新闻媒体的互联网新闻采编、转载和传播行为，另一方面规范互联网信息内容管理执法全流程。此外，国家互联网信息办公室还出台了多项法律文件，规范微博、公共账号、群组和社区论坛等主体的网络信息内容发布行为。关键信息基礎设施安全保护方面，出台了《关键信息基础设施安全保护条例（征求意见稿）》，从关键信息基础设施范围、运营者安全保护、产品和服务安全等方面阐述了相关保护条例。网络产品和服务管理方面，出台了《网络产品和服务安全审查办法（试行）》，对安全审查的试用范围、内容和机构等进行了规定。个人信息和重要数据保护方面，《个人信息和重要数据出境安全评估办法（征求意见稿）》对出境数据评估的条件和内容做了阐述。

2019年，我国将会继续完善网络安全相关法律法规，出台系列网络安全标准体系，进一步优化网络安全产业的发展环境。

需要关注的几个问题

（一）我国网络威胁监测技术仍待加强。在网络攻防技术发展日新月异的今天，我国应对网络安全威胁的能力相对于发达国家处于劣势。一是信息技术安全监测能力不强。我国对进口网络信息技术和产品的监测分析以合规性评测为主，很少涉及软件核心技术，规模化、协同化漏洞分析评估能力较低，难以发现产品的安全漏洞，同时在大数据分析、可信云计算、安全智能联动等重要方面的技术实力不足，难以应对新兴信息技術产品的安全监测工作。二是网络攻击追溯能力不足。目前，我国对于海量网络数据缺乏有效的分析方法，对APT等新型安全威胁的监测技术不成熟，即便监测到这种威胁，由于缺少回溯手段，也难以找出攻击源头。

（二）我国网络可信身份生态建设尚需强化。《网络安全法》明确提出，“国家实施网络可信身份战略，支持研究开发安全、方便的电子身份认证技术，推动不同电子身份认证之间的互认”。然而目前，我国网络可信身份生态建设仍需强化。一是网络可信身份体系建设缺乏顶层设计，统筹规划和布局尚不明晰。我国还未明确将网络身份管理纳入国家安全战略，也未形成推进网络可信身份体系建设的整体框架和具体路径。二是身份基础资源尚未实现广泛的互联互通，基础设施重复建设现象严重。由于缺乏战略设计和统筹规划，我国网络可信身份基础设施共享合作相对滞后，导致基础可信身份资源数据库还未实现广泛的互通共享，使得数据核查成本较高、效率较低。三是认证技术发展滞后，还不能满足新兴技术和应用的要求。云计算、大数据、移动互联网、工业互联网等新一代信息技术不断涌现，新兴技术和应用环境中数据的传输、存储、处理等方式与传统信息技术及应用存在重大差异，已有身份认证技术、手段和机制还不足以支撑新技术、新应用的发展。因此，亟需开展针对性的研究，尽快制定国家网络可信身份战略，创建可信网络空间。

（三）我国关键信息基础设施的网络安全保障体系仍不完善。关键信息基础设施是国家至关重要的资产，一旦遭到破坏、丧失功能或者数据泄露，不仅将可能导致财产损失，还将严重影响经济社会的平稳运行。随着金融、能源、电力、通信等领域基础设施对信息网络的依赖性越来越强，针对关键信息基础设施的网络攻击不断升级，且带有国家背景的高水平攻击带来的网络安全风险持续加大。但我国关键信息基础设施的安全保护力度仍然不足。一是网络安全检查评估机制不健全。当前的网信安全检查侧重漏洞发现，缺乏对漏洞修复的激励措施，同时缺少对漏洞的危害等级的评估体系。二是关键信息基础设施安全保障工作存在标准缺失的问题。尽管行业内已加速开展相关标准的研究工作，包括安全保障指标体系、安全检查评估指南以及信息共享规范等方面，但仍缺少金融、电力和通信等细分领域的安全保障标准研究。面对日益严峻的网络安全挑战，我国应尽快完善关键信息基础设施安全保障体系。

应采取的对策建议

（一）开展信息技术产品的审查工作，提升新兴领域的安全防范能力。开展信息技术产品，尤其是新兴领域信息技术产品的审查工作。一是加紧出台大数据、人工智能、云计算、物联网等新兴技术领域的政策法规，强化信息技术产品审查工作的重要性。二是积极制定新兴领域信息技术产品的安全保护标准，界定相关产品的核心功能和技术，构建评估产品安全性的指标和实施方案。三是构建信息技术产品的安全审查机制，定期开展安全审查，加强新兴领域信息技术产品的安全监督工作，对发现的问题及时进行整改，同时加大安全事件的执法力度，依法依规对涉事企业进行严厉处罚。四是提升安全审查的技术手段，推动网络安全态势感知平台的建立，实现业务监控、溯源取证、安全事件响应等功能。

（二）提升研发实力，构建核心技术生态圈。一是统一信息领域核心技术发展思路。形成信息技术产品安全可控评价标准，组织开展评价工作，引导厂商提升自主创新能力和产业生态掌控能力。二是优化核心技术自主创新环境。强化企业的创新主体地位，着力构建以企业为主体、市场为导向、产学研相结合的技术创新体系。提高企业创新积极性，继续以基金等形式支持企业通过技术合作、资本运作等手段争取国际先进技术和人才等，为企业充分利用国际资源提升能力提供支撑。三是构建核心技术生态圈。依托政府、军队等安全要求较高的应用领域，结合应用单位基本需求，制定自主生态技术标准，统一相关技术产品的关键功能模块、技术接口等，引导企业协同创新，推动产业上下游企业团结协作，打造核心技术生态圈。

（三）借助“一带一路”积极与其它国家合作，增强我国网络空间话语权。借助“一带一路”积极与其它国家开展一系列信息技术领域的合作，一方面有效带动我国基础信息设施发展相对滞后的中西部地区，增强其抵御外部网络侵略的意识与力量，筑就我国的“网络长城”;另一方面形成信息技术研发和信息技术产品推广的跨境联盟，更大程度地释放互联网所集聚的能量，推动网络强国建设，在通信、交通、金融等领域积极参与国际行业标准的制定，增强我国在世界范围内网络空间的话语权与影响力。

（四）推进网络可信身份建设，构建可信网络空间。一是做好网络可信身份体系的顶层设计。借鉴国外做法，结合我国国情，明确我国网络可信身份体系框架、各参与方在其中的角色和职责，并细化网络可信身份体系建设的路径，明确组织、资金等各方面保障，从法律法规、标准规范、技术研发、试点示范、产业发展等多方面推进体系建设。二是建设并推广可信身份服务平台，推动可信身份资源共享。通过建设集成公安、工商、CA机构、电信运营商等多种网络身份认证资源的可信身份服务平台，提供“多维身份属性综合服务”，包括网络身份真实性、有效性和完整性认证服务，最终完成对网上行为主体的多途径、多角度、多级别的身份属性信息的收集、确认、评价及应用，实现多模式网络身份管理和验证。三是推动多种网络可信身份认证技术和服务发展，充分利用现有技术和基础设施，加快开发安全和方便的网络身份技术，跟踪大数据、生物识别和区块链等新兴技术的发展，不断提高技术的先进性。

（五）加强安全制度建设，全面保护关键信息基础设施。一是建立健全关键信息基础设施保护制度。明确保障关键信息基础设施安全保障的基本要求和主要目标，提出工作任务和措施。二是研究制定关键信息基础设施网络安全标准规范。研制关键信息基础设施的基础性标准，推动关键信息基础设施分类分级、安全评估等标准的研制和发布。三是建立健全关键信息基础设施安全监管机制。一方面，健全关键信息基础设施安全检查评估机制，面向重点行业开展网络安全检查和风险评估，指导并监督地方开展安全自查，组织专业队伍对重点系统开展安全抽查，形成自查与重点抽查相结合的长效机制;另一方面，完善关键信息基础设施安全风险信息共享机制，理顺信息报送渠道，完善监测技术手段和监测网络，加快形成关键信息基础设施网络安全风险信息共享的长效机制。