解決網(wǎng)絡(luò)安全人才短缺的關(guān)鍵是打破目前網(wǎng)絡(luò)安全就業(yè)的“學(xué)歷優(yōu)先”屏障，通過“教育左移”和“認(rèn)證優(yōu)先”讓青少年盡早接觸網(wǎng)絡(luò)安全教育。
根據(jù)VPN提供商Sufshark的最新數(shù)據(jù)，2023年第一季度至第二季度，全球數(shù)據(jù)泄露數(shù)量增長(zhǎng)了156%，今年第二季度共有1.108億個(gè)賬戶被泄露，相當(dāng)于每分鐘就有855個(gè)賬戶被泄露。在網(wǎng)絡(luò)威脅愈發(fā)猖獗的當(dāng)下，網(wǎng)絡(luò)安全建設(shè)該何去何從？
網(wǎng)絡(luò)勒索軟件持續(xù)威脅
2023年5月，美國(guó)德克薩斯州達(dá)拉斯市政府遭受了一次嚴(yán)重的勒索軟件攻擊，該事件造成了聽證會(huì)和陪審團(tuán)值班的停擺，最終導(dǎo)致達(dá)拉斯市法院大樓被迫關(guān)閉。此次事件還對(duì)更廣泛的警務(wù)活動(dòng)產(chǎn)生了間接影響，引發(fā)了長(zhǎng)時(shí)間、大范圍的混亂。然而，在勒索軟件攻擊逐漸成為常態(tài)的當(dāng)下，這一嚴(yán)重事件并未引起廣泛關(guān)注。
實(shí)際上，全球范圍內(nèi)的政府、學(xué)校、醫(yī)院、企業(yè)和慈善機(jī)構(gòu)每周都會(huì)遭受不同程度的網(wǎng)絡(luò)勒索攻擊，這些攻擊大都會(huì)造成嚴(yán)重的經(jīng)濟(jì)和社會(huì)損失。
根據(jù)最新的調(diào)查結(jié)果，勒索軟件的贖金金額在過去一年幾乎翻了一番，達(dá)到了150萬美元。英國(guó)網(wǎng)絡(luò)安全公司Sophos研究發(fā)現(xiàn)，勒索軟件的平均贖金金額從2021年的81.2萬美元上升到了150萬美元。2023年，英國(guó)組織的平均支付金額甚至高于全球平均水平，達(dá)到了210萬美元。
十年前，勒索軟件還只是一種理論上的可能性和小眾威脅，如今已被視為現(xiàn)代社會(huì)的一大挑戰(zhàn)。其持續(xù)助長(zhǎng)犯罪并造成難以計(jì)數(shù)的損失，應(yīng)引起人們的高度關(guān)注。勒索軟件將在未來幾年甚至幾十年內(nèi)持續(xù)構(gòu)成挑戰(zhàn)，或?qū)⑷谌胝＝?jīng)濟(jì)生活，企業(yè)將面臨持續(xù)的攻擊威脅。而背后的網(wǎng)絡(luò)犯罪團(tuán)伙通常保持匿名，很少受到實(shí)質(zhì)性追究。
為了減輕這種負(fù)面影響，人們必須提高對(duì)這一威脅的認(rèn)知。各方應(yīng)加大對(duì)網(wǎng)絡(luò)安全的各種投資，從員工培訓(xùn)到建立支持報(bào)告事件的組織文化。此外，還需加大對(duì)恢復(fù)計(jì)劃的投資，包括有效備份、內(nèi)部專業(yè)知識(shí)、保險(xiǎn)和久經(jīng)考驗(yàn)的應(yīng)急計(jì)劃。
根本而言，每個(gè)人都需要更好地隱藏和保護(hù)自己的數(shù)字密鑰和敏感信息，如此方能有望抵御下一代勒索軟件攻擊者的威脅。
網(wǎng)絡(luò)安全人才嚴(yán)重匱乏
不斷演變的勒索軟件及其他類型的網(wǎng)絡(luò)攻擊對(duì)網(wǎng)絡(luò)安全人才提出了更高的要求，但如今網(wǎng)絡(luò)安全人才嚴(yán)重短缺，這對(duì)于變化莫測(cè)的網(wǎng)絡(luò)安全領(lǐng)域顯然是致命的。根據(jù)世界經(jīng)濟(jì)論壇發(fā)布的《2023年全球網(wǎng)絡(luò)安全展望》報(bào)告，電力、支付和醫(yī)院等行業(yè)面臨的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)最大，因?yàn)檫@些領(lǐng)域在招募熟練網(wǎng)絡(luò)安全專業(yè)人員方面存在不足?？偟膩碚f，網(wǎng)絡(luò)人才短缺問題已成為全球性挑戰(zhàn)。
根據(jù)ThreatX最新發(fā)布的《2023年網(wǎng)絡(luò)安全人才全球調(diào)查》報(bào)告，全球仍有超過340萬個(gè)網(wǎng)絡(luò)安全職位空缺。主要因?yàn)槠髽I(yè)招聘對(duì)安全人才的要求過高，以及網(wǎng)絡(luò)安全教育和培訓(xùn)的社會(huì)覆蓋面太窄等。隨著新興技術(shù)在整個(gè)組織中的廣泛應(yīng)用，這一人才缺口將進(jìn)一步擴(kuò)大。
解決網(wǎng)絡(luò)安全人才短缺的關(guān)鍵是打破目前網(wǎng)絡(luò)安全就業(yè)的“學(xué)歷優(yōu)先”屏障，通過“教育左移”和“認(rèn)證優(yōu)先”讓青少年盡早接觸網(wǎng)絡(luò)安全教育。
此外，還應(yīng)消除“專業(yè)人士必須具備IT安全或工程領(lǐng)域的技術(shù)背景”這一誤解。加強(qiáng)宣傳工作，提高人們對(duì)網(wǎng)絡(luò)安全職業(yè)路徑的認(rèn)識(shí)，確保該行業(yè)向所有人開放。
另外，應(yīng)大力擴(kuò)充人才庫(kù)。招聘者需要明確定義網(wǎng)絡(luò)安全職位的要求，重點(diǎn)關(guān)注應(yīng)聘者的能力，考慮到候選人的多樣性背景。為提高員工的留任率，公共和私營(yíng)機(jī)構(gòu)應(yīng)提供激勵(lì)措施。首席執(zhí)行官和決策者應(yīng)該提高對(duì)網(wǎng)絡(luò)安全技能缺口及其對(duì)經(jīng)濟(jì)和安全影響的認(rèn)識(shí)，在組織內(nèi)部和跨部門建立可持續(xù)的網(wǎng)絡(luò)人才梯隊(duì)。
面對(duì)網(wǎng)絡(luò)安全人才短缺的情況，各國(guó)紛紛采取措施。2023年8月，美國(guó)國(guó)家網(wǎng)絡(luò)總監(jiān)辦公室發(fā)布了《國(guó)家網(wǎng)絡(luò)人才和教育戰(zhàn)略》，標(biāo)志著美國(guó)啟動(dòng)了一項(xiàng)為期數(shù)年的系統(tǒng)性培養(yǎng)網(wǎng)絡(luò)安全技能和能力計(jì)劃。
這份戰(zhàn)略文件包括所有美國(guó)人基礎(chǔ)網(wǎng)絡(luò)技能的配備、改革網(wǎng)絡(luò)教育、擴(kuò)充和強(qiáng)化美國(guó)網(wǎng)絡(luò)勞動(dòng)力以及提升聯(lián)邦網(wǎng)絡(luò)勞動(dòng)力四大方面。每個(gè)方面都包括了一系列措施，涉及教育、招聘、職業(yè)發(fā)展及聯(lián)邦勞動(dòng)力政策等多個(gè)層次。這些措施旨在協(xié)助現(xiàn)有網(wǎng)絡(luò)技能從業(yè)人員提升他們的技能水平，鼓勵(lì)新員工和少數(shù)族裔員工進(jìn)入網(wǎng)絡(luò)安全領(lǐng)域。白宮表示，填補(bǔ)全國(guó)數(shù)十萬個(gè)網(wǎng)絡(luò)職位空缺是國(guó)家安全的當(dāng)務(wù)之急。
加強(qiáng)網(wǎng)絡(luò)安全生態(tài)建設(shè)
針對(duì)網(wǎng)絡(luò)安全新形勢(shì)，2023年7月，美國(guó)白宮發(fā)布了《國(guó)家網(wǎng)絡(luò)安全戰(zhàn)略實(shí)施計(jì)劃》（簡(jiǎn)稱《實(shí)施計(jì)劃》）。該計(jì)劃是美國(guó)政府對(duì)其2023年版《國(guó)家網(wǎng)絡(luò)安全戰(zhàn)略》的執(zhí)行補(bǔ)充，與《基礎(chǔ)設(shè)施投資和就業(yè)法案》《芯片與科學(xué)法案》《通脹削減法案》一同被視為美國(guó)政府重建國(guó)家基礎(chǔ)設(shè)施和重振美國(guó)制造業(yè)的重要舉措。
《實(shí)施計(jì)劃》整體上延續(xù)了美國(guó)2023年版《國(guó)家網(wǎng)絡(luò)安全戰(zhàn)略》的核心戰(zhàn)略及實(shí)施原則。這些主要戰(zhàn)略包括：關(guān)鍵基礎(chǔ)設(shè)施的保護(hù)、對(duì)抗和遏制威脅行為者、引導(dǎo)市場(chǎng)力量以促進(jìn)網(wǎng)絡(luò)安全和彈性、投資于未來的網(wǎng)絡(luò)安全策略及建立國(guó)際伙伴關(guān)系以實(shí)現(xiàn)共同目標(biāo)等五個(gè)方面。而實(shí)施原則方面包括：要求網(wǎng)絡(luò)空間中實(shí)力較強(qiáng)的參與者承擔(dān)更多的安全責(zé)任，以及增加激勵(lì)措施以促進(jìn)長(zhǎng)期投資等兩個(gè)方面。以下是主要內(nèi)容概述：
一是強(qiáng)化基礎(chǔ)設(shè)施防護(hù)。美國(guó)網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局（CISA）將與美國(guó)國(guó)家網(wǎng)絡(luò)總監(jiān)辦公室（ONCD）合作，更新《美國(guó)國(guó)家網(wǎng)絡(luò)事件響應(yīng)計(jì)劃》（NCIRP），以更好地貫徹“一呼百應(yīng)”（A call to one is a call to all）的事件響應(yīng)政策。例如，美國(guó)聯(lián)邦政府將加強(qiáng)對(duì)關(guān)鍵部門的審查，確保其符合網(wǎng)絡(luò)安全硬性要求。此次更新的NCIRP還將提供外部合作伙伴指導(dǎo)，進(jìn)一步提升基礎(chǔ)設(shè)施的安全性。
二是強(qiáng)化威脅實(shí)體應(yīng)對(duì)。美國(guó)聯(lián)邦政府將依托CISA和聯(lián)邦調(diào)查局（FBI）共同主持的聯(lián)合勒索軟件特別工作組（JRTF），繼續(xù)打擊勒索軟件和其他網(wǎng)絡(luò)犯罪活動(dòng)。與此同時(shí)，CISA還將領(lǐng)導(dǎo)一項(xiàng)附加計(jì)劃，為高風(fēng)險(xiǎn)的勒索軟件組織提供培訓(xùn)、網(wǎng)絡(luò)安全服務(wù)、技術(shù)評(píng)估、事前規(guī)劃和事后響應(yīng)等支持，以減輕網(wǎng)絡(luò)攻擊的影響。
三是強(qiáng)化市場(chǎng)力量塑造。CISA將繼續(xù)與相關(guān)機(jī)構(gòu)合作，以推動(dòng)軟件物料清單（SBOM）的實(shí)施，提高網(wǎng)絡(luò)安全市場(chǎng)活動(dòng)透明度，使市場(chǎng)參與者能夠更好了解其供應(yīng)鏈風(fēng)險(xiǎn)，并要求供應(yīng)商對(duì)安全開發(fā)負(fù)責(zé)。此外，CISA還將成立國(guó)際SBOM工作組，探討建立全球可訪問不再更新的軟件數(shù)據(jù)庫(kù)的需求等事宜。
四是強(qiáng)化技術(shù)標(biāo)準(zhǔn)把控。美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）將召集跨部門的國(guó)際網(wǎng)絡(luò)安全標(biāo)準(zhǔn)化工作組，協(xié)調(diào)解決國(guó)際網(wǎng)絡(luò)安全標(biāo)準(zhǔn)化的主要問題，并加強(qiáng)美國(guó)聯(lián)邦機(jī)構(gòu)的參與。此外，NIST還將完成抗量子公鑰加密算法等多項(xiàng)標(biāo)準(zhǔn)的制定。
五是強(qiáng)化國(guó)際網(wǎng)絡(luò)合作。美國(guó)國(guó)務(wù)院將發(fā)布《國(guó)際網(wǎng)絡(luò)空間和數(shù)字政策戰(zhàn)略》，并加強(qiáng)相關(guān)工作人員在網(wǎng)絡(luò)空間和數(shù)字政策領(lǐng)域的知識(shí)和技能培訓(xùn)，以建立國(guó)家和地區(qū)機(jī)構(gòu)間的網(wǎng)絡(luò)協(xié)作團(tuán)隊(duì)，推動(dòng)與合作國(guó)家之間的協(xié)同工作。
構(gòu)建安全的數(shù)字未來
除美國(guó)外，歐盟也有所行動(dòng)。歐盟的《數(shù)字服務(wù)法案》（DSA）于2023年8月25日正式生效。該法案將通過歐盟委員會(huì)（而非各國(guó)的數(shù)據(jù)保護(hù)機(jī)構(gòu)）集中執(zhí)法，適用于所有用戶數(shù)量超過4500萬的在線平臺(tái)。DSA的內(nèi)容主要涵蓋以下七個(gè)方面：
規(guī)定了針對(duì)線上非法商品、服務(wù)或非法內(nèi)容的打擊措施，例如建立了用戶標(biāo)記線上非法內(nèi)容的機(jī)制，并與“可信標(biāo)記者（trusted flaggers）”合作。
為網(wǎng)絡(luò)市場(chǎng)商家的可追溯性設(shè)立了新規(guī)定，有助于識(shí)別非法商品的賣家，從而更好地保護(hù)消費(fèi)者。
有力保障用戶的基本權(quán)利，如允許用戶質(zhì)疑平臺(tái)內(nèi)容審查的決定。
要求網(wǎng)絡(luò)平臺(tái)在各種問題上采取透明措施，包括提高推薦算法和定向廣告的透明度。
規(guī)定了VLOPs（Very Large Online Platforms）在風(fēng)險(xiǎn)管控方面的責(zé)任，包括對(duì)其風(fēng)險(xiǎn)管理措施進(jìn)行獨(dú)立審計(jì)，以預(yù)防系統(tǒng)被濫用于非法內(nèi)容和虛假宣傳活動(dòng)，如操縱競(jìng)選、犯罪活動(dòng)和傳播恐怖主義及虛假信息。
允許研究人員訪問最大平臺(tái)的關(guān)鍵數(shù)據(jù)，以幫助其了解在線風(fēng)險(xiǎn)的演變過程。
建立了相應(yīng)的監(jiān)督架構(gòu)，通過新設(shè)立的歐洲數(shù)字服務(wù)委員會(huì)來應(yīng)對(duì)數(shù)字空間的復(fù)雜性。在監(jiān)督方面，歐盟各成員國(guó)將發(fā)揮主要作用，而歐盟委員會(huì)將加強(qiáng)對(duì)VLOPs的執(zhí)法與監(jiān)督。
DSA將在整個(gè)歐盟范圍內(nèi)統(tǒng)一適用，以促進(jìn)跨境數(shù)字創(chuàng)新，并確保所有歐盟用戶公平享受數(shù)字創(chuàng)新帶來的便利，同時(shí)受到同等水平的保護(hù)?？梢哉f，DSA的通過標(biāo)志著歐盟數(shù)字領(lǐng)域立法的良好開端，也是歐盟制定統(tǒng)一數(shù)字規(guī)則圖景的重要一步。
歐盟委員會(huì)主席烏爾蘇拉·馮·德萊恩對(duì)此表示：“今天DSA達(dá)成的協(xié)議，不論從速度還是實(shí)質(zhì)內(nèi)容上都具有歷史意義。DSA將提升歐盟內(nèi)所有網(wǎng)絡(luò)服務(wù)的基本規(guī)則，確保網(wǎng)絡(luò)環(huán)境的安全，同時(shí)保障言論自由和數(shù)字貿(mào)易的機(jī)會(huì)。它將落實(shí)這一原則：線下非法的內(nèi)容或行為，在線上同樣被視為非法；規(guī)模越大，互聯(lián)網(wǎng)平臺(tái)的責(zé)任越大。”這表明，歐盟即將進(jìn)入數(shù)字領(lǐng)域的有序、強(qiáng)監(jiān)管時(shí)代。
本文同時(shí)刊登于《中國(guó)教育網(wǎng)絡(luò)》2023年8月刊
All Rights Reserved
地址：河北省保定市南二環(huán)路1689號(hào)
郵編：071000