刘大为

随着信息化和数字化技术在国家政治、经济、军事、科技、文化等领域的深入应用，云计算、大数据、物联网、人工智能和移动通信等新一代技术的大规模发展，网络空间与现实社会进一步交融，已成为人类生产活动的“第二空间”。然而，信息化、数字化的发展也导致网络安全的影响范围逐步扩大，影响程度愈发增强。面对日益复杂的网络安全形势，我国持续强化网络安全战略地位，不断完善网络安全法律法规，持续加大关键信息基础设施、重要数据和个人信息等领域的保护力度。面对网络空间安全新形势、新挑战和新要求，深入贯彻网络强国思想，不断强化网络安全理念，持续增强铁路网络安全管理能力、技术能力、运营能力，以及核心信息技术自主可控能力，构建安全可控的铁路网络综合防御体系。

1 国内外网络安全态势

近年来，随着网络空间范围的不断延伸，影响逐步扩大，以及国际局势的复杂动荡，网络空间整体安全态势愈发复杂，对抗强度大、攻击针对性强、手段多样等特点逐步凸显。

1.1 对抗趋势突出

随着国家运转、行业发展、人民生活等社会活动进一步向网络空间延伸，网络攻击所带来的影响已从数字空间延展至物理空间，个人冲突、行业竞争乃至国家博弈都通过网络进行。由于网络空间的难以追溯性，以及攻击工具的日趋自动化和智能化，导致实施网络攻击的成本显著降低。据相关报告显示，2022年上半年全球遭到DDoS攻击的次数创2019年以来新高，是2021年同期的3倍［1］。

1.2 攻击目标升级

随着网络空间向物理空间的延伸，网络攻击的目标已从互联网时代的网络公民向网络空间时代的政府、企业和组织转变。攻击目的也从简单的信息窃取，上升为敲诈勒索、破坏业务运行、危害国家社会和人民安全的犯罪行为。政府机构、电力、金融、交通、通信、医疗和能源等关键信息基础设施，已成为黑客组织重点攻击目标，多个国家陆续公布了针对本国关键信息基础设施的攻击事件［2］。

1.3 攻击方式演化

伴随攻击目标的升级，有组织、有目的的攻击方式逐渐增加，通过供应链的迂回攻击方式成为新热点。从欧盟网络安全局（ENISA）发布的供应链攻击威胁局势报告来看，2021 年供应链攻击数量较上一年增加了4 倍之多［3-4］。此外，部分攻击组织与网络黑色产业紧密合作，直接获取敏感数据、0 day 漏洞。特别是量子攻击系统作为高度工程化、自动化的网络攻击平台，可以劫持全世界任意地区、任意网上用户的正常网页浏览流量，进行0 day漏洞利用攻击并远程植入后门程序［5］。

1.4 防护难度增大

随着传统产业信息化和数字化转型升级加速，越来越多的业务依托于信息系统，导致信息资产呈几何级增长，海量数据应运而生，由此带来了信息基础设施和数据资产的管理挑战。根据国际非营利组织身份盗窃资源中心（ITRC）发布的《2021 年度数据泄露报告》来看，2021 年数据泄露事件达1 862 起，超过2020 年的1 108 起和2017 年的1 506 起［6］。远程办公的普及和5G、物联网等技术的发展使得网络边界逐渐模糊，基于边界安全的传统防护思路难以契合当前安全需求。

2 铁路网络安全现状及形势

2.1 国家政策法规提出更高的网络空间防护要求

为落实国家总体安全观［7］，我国出台多项政策法规，不断强化网络安全防护要求，促进网络空间安全治理。

2.1.1政策规划层面

从国家顶层设计文件《“十四五”规划和2035 远景目标纲要》，到国家网信工作部署安排《“十四五”国家信息化规划》，再到交通行业发展规划《“十四五”现代综合交通运输体系发展规划》，通过层层规划，逐级推进，不断强化网络安全的战略地位。

2.1.2法律法规层面

我国持续完善法律法规，网络安全工作已进入法制化轨道。《中华人民共和国网络安全法》以及配套的法律法规，从网络运行安全和信息安全两个维度，对网络安全工作进行了细化要求。

2.1.3网络运行安全维度

我国发布了《网络安全等级保护条例》和《关键信息基础设施安全保护条例》，对网络安全等级保护工作、关键信息基础设施安全保护工作的保护对象、关键流程、重点措施和责任义务等都进行了逐项明确。《网络安全审查办法》在关键信息基础设施供应链安全要求的基础上，对网络安全和数据安全提出了要求，进一步加强了关键信息基础设施运营者的网络安全保护责任。

2.1.4信息安全维度

《数据安全法》规定了数据处理者的安全保护责任，明确了建立数据安全管理制度、加强风险监测、开展风险评估、不得窃取数据等职责，标志着数据安全治理进入强监管时代。《数据出境安全评估办法》提出了事前评估和持续监督相结合、风险评估与安全评估相结合的具体原则，对数据处理者提出了更具体的数据保护要求。

2.2 铁路网络安全防护面临的风险挑战

铁路信息化建设起步较早，目前已形成覆盖铁路五网三级的网络安全保障体系架构。近年来，全路贯彻国家网络安全的部署要求，推进网络安全等级保护制度落实，重要系统和基础设施安全防护水平稳步提升，信息化保障能力持续增强。但是，随着信息技术的快速发展、网络攻击方式的演化升级，铁路网络安全工作任重而道远。

2.2.1网络安全和信息化管理有待全面对标和深度融合

铁路信息系统呈现数量众多、部署分散、部分系统功能单一的特点，存在开发标准、数据标准、接口标准不统一的问题。早期建设的信息系统为实现“同步规划、同步建设、同步使用”，导致网络安全防护能力没有完全匹配信息化发展进程。同时，伴随着铁路信息系统的建设，已形成覆盖基础设施、应用系统、终端外设、开发运维服务等庞大的供应链条，供应链的安全威胁和挑战逐步增大。

2.2.2识别认定、安全防护、监测预警等安全能力有待加强

当前，铁路网络资产管理多以财务资产台账和运维管理平台为基础，管理重点为软硬件设备本身及其部署环境，对重要数据、相关供应链的针对性管控和防护有限。铁路网络空间虽已进行网络及安全区域划分，具备了一定的边界防御能力，但由于互联网暴露面分散，难以形成统一有效的互联网出口风险管控。网络安全防御能力建设多侧重于网络边界访问控制，网络内部从主机和终端到应用、数据等深层次、细粒度的防御能力有所欠缺。部署的各类病毒查杀、防火墙、安全网关、入侵检测、访问控制等安全措施，往往仅针对单一系统或行为，全局化监测预警能力尚未形成。

2.2.3实战化、常态化网络安全运营能力有待提升

近年来，全路高度重视重要时期的网络安全保障工作，通过前期准备、安全值守、总结提升等工作机制，有效保障重要活动的顺利开展。但全球网络安全态势复杂多变，安全事件频发，实战化、常态化网络安全防护已成为趋势。既有的以安全合规为目标，以监督检查为主要手段的安全防护思路，难以应对持续化、突发性的网络威胁。

2.2.4信息技术自主可控应用能力有待提高

自主可控是保障信息系统安全的先决条件，也是支撑网络空间安全的基础要素。目前，铁路基本实现了信息系统应用软件的自主研发，但是铁路信息系统软、硬件基础设施自主可控程度较低，存在供应链断供、技术封锁、恶意攻击和植入后门的安全风险，信息技术自主可控应用能力有待进一步提高。

3 铁路网络安全应对措施

铁路行业应积极适应网络安全新特点，按照国家有关政策法规的要求，从网络安全管理、网络安全技术、网络安全运营和核心技术自主可控等方面持续提升。

3.1 完善铁路网络安全管理体系

3.1.1落实网络安全责任制

压紧压实党委网络安全责任制［8］，将网络安全工作作为各级领导班子目标管理，与中心工作一同部署、一同落实、一同检查、一同考核。完善健全考核机制，将考核内容、方法、程序，考核结果作为对部门、所属企业负责人综合考核评价的重要内容。强化全员网络安全意识，充分认识网络安全极端重要性，树立底线思维，增强网络安全敬畏感和责任心，建立健全网络安全事件定责和考核机制。

3.1.2依法开展网络安全日常管理

“三法一条例”是网络安全、数据安全、关键信息基础设施安全、个人信息安全的根本保障，是做好新时代网信工作、推进网络强国建设的法治基础。开展网络安全等级保护常态化管理，落实信息系统定级、备案、测评、整改的过程管理，实现对系统网络安全防护能力的有效提升；规范开展关键信息基础设施的认定工作，明确运营部门的责任和义务，定期进行风险评估和应急演练，确保关键信息基础设施的运营安全；建立数据分类分级保护制度，制定重要数据目录，加强对重要数据的保护工作。

3.1.3强化系统开发建设安全

紧紧把握安全技术措施与信息系统“同步规划、同步建设、同步使用”的原则。强化等保三级及以上系统的网络安全技术方案编制，落实新建信息化项目的网络安全投资比重，从制度上充分保障网络安全的配套建设。建立健全网信安全机制，完善网络安全专项检查标准规范，定期开展技术检查和安全审计，常态化开展安全监管，从根本上解决弱口令、违规上线和私搭乱建等突出问题。

3.1.4加强供应链安全管理

铁路信息系统和网络覆盖广泛，供应链具有链条长、节点多、品类杂、交叉嵌套等特点，管理难度较大。需通过制度、程序和技术等措施，面向物资、设施、人力资源、信息技术和应用系统，开展供应链安全风险防范。重点覆盖产品供应商、制造商、分销商，以及各类服务商，在业务风险、操作风险、市场风险、人员风险、法规风险等方面建立有效防控机制，降低供应链安全风险。

3.2 健全铁路网络安全技术体系

3.2.1强化网络安全顶层设计

牢固树立网络安全“一盘棋”思想，完善网络安全工作格局，持续落实“实战化、体系化、常态化”和“动态防御、主动防御、纵深防御、精准防护、整体防护、联防联控”的“三化六防”措施［9］。落实分区分域措施，坚持对网络分区隔离，对应用服务分域管理。开展对数据安全、供应链安全、关键信息基础设施保护等具体措施的研究。

3.2.2持续开展信息资产识别梳理

对信息资产的有效识别是开展安全防护、检测评估、监测预警和应急处置等工作的基本前提。建立健全信息资产管理系统，打通信息系统工程建设、资产管理、运行维护等环节，从时间、空间、权属等多维度对资产进行精细化、动态化、全生命周期管理，统筹兼顾相关部门的实际业务需求，形成资产信息共享联动机制，保持动态更新，做到底数清晰。

3.2.3收敛互联网暴露面

落实互联网接入、终端使用和网站（应用）安全管理制度，逐步实现互联网接入通道的集中接入和集中统一管理，业务服务类和上网访问类的互联网通道力争实现物理隔离。与行车安全、运输生产相关以及涉及公民个人信息的系统不能部署在互联网上，信息应用系统未经批准不能与互联网相连。对已经在互联网上部署的系统开展安全评估和整改，并逐步迁移到铁路内网。

3.3 优化铁路网络安全运营体系

3.3.1培育网络安全人才队伍

“聚天下英才而用之，为网信事业发展提供有力人才支撑，网络空间的竞争，归根结底是人才竞争”［9］。推动全路网络安全人才队伍建设，提高信息化运维人员安全防范意识和能力，吸收引进和培养铁路网络安全专业人才，定期组织全路开展网络安全相关知识和技能培训，不断提高全路技术人员和网络安全专业人员的知识储备和实战水平。

3.3.2锤炼网络安全实战化能力

“网络安全的本质在对抗，对抗的本质在攻防两端能力较量”［10］。坚持上下结合、专兼结合、内外结合的原则，建立铁路行业网络攻防红蓝军队伍，构建攻防训练、实战演习的网络安全攻防靶场［11］。常态化开展关键信息基础设施、重要信息系统等的网络安全攻击渗透和安全测评，在培训锻炼专业攻防队伍的同时，及时发现信息系统安全漏洞，促进攻防能力建设和信息系统持续补强的良性循环。

3.3.3消除系统和资产安全风险

“必须坚持安全发展，扎实落实安全生产责任制，堵塞各类安全漏洞”［9］。明确每一个信息系统的网络安全主体责任归属，排查治理安全隐患，完善监管体制机制。针对操作系统、中间件、数据库、软件开发框架及各类应用组件，分类制定专项补丁处置机制，定期查询最新漏洞通报信息，及时处置中高危漏洞，切实消除信息系统安全隐患，杜绝系统带病运行。

3.3.4提升网络安全事件监控能力

“全天候全方位感知网络安全态势，增强网络安全防御能力和威慑能力”［11］。建立健全网络安全态势感知系统，结合系统运行实际情况，修正和优化态势感知系统预警规则，不断提高感知报警准确率，充分发挥态势感知系统作用，持续增强网络安全威胁发现、研判和预警能力。

3.4 构建信息技术应用创新产业体系

3.4.1深化信息技术应用创新顶层设计

信息技术应用创新是增强网络安全能力、提高科技自主水平、实现网络强国战略的重要举措，是新基建和关键信息基础设施的安全之基。积极稳妥推进信息技术应用创新，优化技术路线和实施路径，开展应用软件适配方法论、标准体系、管理体系，以及网络安全体系等研究工作，推动实现“安全可控”“技术升级”“应用重构”三位一体的工作目标。

3.4.2典型示范项目引路

本着先易后难、兼顾重点的方针，按照基础先行、先简后繁、先管理后生产、先边缘后关键的方式，分步推进试点适配验证以及试点项目，通过迭代实施，打造示范标杆，同步夯实数字化转型基础。通过试点先行，以点带面，形成可复制、可推广的典型经验，积极推动信创替代全面落地。

3.4.3构建铁路信创生态

以实现高水平科技自立自强为统领，以关键核心技术自主可控为主线，以持续深化信息技术应用创新为抓手，加快铁路行业信创产业基地的建设，联合相关行业、科研院所，逐步形成完备的铁路信创体系全产业链，不断提升信创行业影响力。

4 结束语

铁路作为国家重要基础设施、国民经济的大动脉和大众化的交通工具，在现代运输体系中发挥着重要作用。特别是铁路通信信号系统是列车安全运行的重要技术装备，其数字化和信息化程度更高，更需积极应对网络空间安全态势变化，以关键基础设施、数据资源和业务应用为保护对象，不断健全完善网络安全管理体系、技术体系、运营体系和信息技术应用体系，全面提升网络安全保障能力。