NotPetya、WannaCry、ShadowPad、Sunburst……這些惡意軟件或許不為人們所熟知，但它們卻時刻危害著全球互聯(lián)網(wǎng)安全。
2022年初，一名19歲黑客通過第三方應(yīng)用程序遠(yuǎn)程入侵了分布在13個國家的20余輛特斯拉汽車，獲得了鎖定和解鎖汽車、打開和關(guān)閉車燈的權(quán)限，甚至實現(xiàn)了無鑰匙駕駛。2021年，位于都柏林的信息技術(shù)服務(wù)公司遭受惡意軟件攻擊，這家公司為全球幾百家網(wǎng)絡(luò)安全承包商提供安全軟件。黑客利用勒索軟件感染了該公司客戶的系統(tǒng)，向每家公司索取5萬至500萬美元來交換解密密鑰。同年，一家美國信息技術(shù)軟件公司也遭到攻擊，隨后黑客滲透了總統(tǒng)辦公室、財政部和商務(wù)部等9個美國聯(lián)邦機構(gòu)。
這些攻擊有著相似的特點：黑客攻擊軟件供應(yīng)商或信息技術(shù)公司，進(jìn)入這些公司客戶系統(tǒng)的后門，一次性感染成百上千個系統(tǒng)。公司的業(yè)務(wù)流程相互連接，一旦某個環(huán)節(jié)受到影響，多米諾骨牌效應(yīng)就會隨之產(chǎn)生，信息通信技術(shù)供應(yīng)鏈的可靠性面臨嚴(yán)峻挑戰(zhàn)。
01
問題所在
近年來，針對信息通信技術(shù)供應(yīng)鏈的網(wǎng)絡(luò)攻擊數(shù)量不斷增加。據(jù)歐盟網(wǎng)絡(luò)安全局統(tǒng)計，2021年發(fā)生的相關(guān)攻擊數(shù)量較2020年增加了4倍。漏洞可能發(fā)生在信息通信技術(shù)生命周期的任意階段，包括開發(fā)、制作、分發(fā)、獲取和部署等在內(nèi)的各個環(huán)節(jié)，由此產(chǎn)生了綜合性的網(wǎng)絡(luò)攻擊風(fēng)險。
鑒于各個機構(gòu)、行業(yè)和國家信息技術(shù)系統(tǒng)的關(guān)聯(lián)日益緊密，網(wǎng)絡(luò)攻擊的危害將造成越來越大的影響。據(jù)Gartner公司在2019年開展的調(diào)查，60%的機構(gòu)需要與1000多個第三方開展業(yè)務(wù)合作。2022年5月，美國Verizon通信公司發(fā)布的《2022年數(shù)據(jù)泄露調(diào)查報告》（以下簡稱《報告》）顯示，世界各地都出現(xiàn)了供應(yīng)鏈遭受攻擊的情況。
越來越多的不法分子通過勒索軟件的攻擊來進(jìn)行敲詐。2019年至2020年，在卡巴斯基公司的用戶中，遭遇針對性勒索軟件攻擊的用戶數(shù)量增加了767%，以政府和企業(yè)等為主?！秷蟾妗分赋?，勒索軟件的威脅將繼續(xù)增加，2022年幾乎70%的惡意軟件入侵事件中有勒索軟件存在。
目前，盡管網(wǎng)絡(luò)攻擊對政府和企業(yè)造成的危害更嚴(yán)重，但普通民眾也無法置身事外。病毒通過軟件更新就可以入侵?jǐn)?shù)百萬用戶的電腦；針對食品雜貨連鎖企業(yè)的攻擊，能讓無數(shù)超市臨時關(guān)閉；醫(yī)療或公共服務(wù)機構(gòu)的軟件系統(tǒng)遭受破壞，可能導(dǎo)致基礎(chǔ)公共服務(wù)中斷……這些攻擊產(chǎn)生的危害將波及千家萬戶。
02
及早應(yīng)對
越來越多的國家意識到供應(yīng)鏈遭受網(wǎng)絡(luò)攻擊引發(fā)的潛在風(fēng)險，紛紛采取行動。2020年以來，亞太地區(qū)許多國家發(fā)布或更新了網(wǎng)絡(luò)安全國家戰(zhàn)略，包括新加坡、馬來西亞、澳大利亞和日本。越南、印度和印度尼西亞將發(fā)布網(wǎng)絡(luò)安全國家戰(zhàn)略和實施辦法。
但是，由于信息通信技術(shù)供應(yīng)鏈的安全涉及數(shù)量眾多、范圍廣泛的利益相關(guān)方，解決方案會更加復(fù)雜。一些國家在采取行動的過程中，重點關(guān)注保護(hù)關(guān)鍵信息基礎(chǔ)設(shè)施的信息通信技術(shù)供應(yīng)鏈。
例如，美國國土安全部于2018年建立信息通信技術(shù)供應(yīng)鏈風(fēng)險管理工作組，建立公私部門合作伙伴關(guān)系，推動形成風(fēng)險管理策略的共識，增強全球信息通信技術(shù)供應(yīng)鏈的安全性。該工作組已發(fā)布關(guān)于分享供應(yīng)鏈風(fēng)險信息的準(zhǔn)則，以及管理服務(wù)供應(yīng)商客戶的風(fēng)險因素。
2021年，澳大利亞網(wǎng)絡(luò)安全中心發(fā)布指南，指導(dǎo)企業(yè)識別供應(yīng)鏈相關(guān)的網(wǎng)絡(luò)安全風(fēng)險，采取相應(yīng)的應(yīng)對措施。
新加坡網(wǎng)絡(luò)安全局宣布將啟動關(guān)鍵信息基礎(chǔ)設(shè)施供應(yīng)鏈項目，要求相關(guān)方采納供應(yīng)鏈風(fēng)險管理的國際最佳實踐方案和標(biāo)準(zhǔn)。
03
前方道路
信息通信技術(shù)供應(yīng)鏈具有全球性的特點，我們需要在不同層面開展強有力和更具協(xié)調(diào)性的應(yīng)對措施。
在全球?qū)用妫?/strong>各國以及國際刑警組織、聯(lián)合國、東盟和歐洲刑警組織等國際組織已經(jīng)采取行動、加強合作，共享實踐經(jīng)驗。
多邊平臺：如今，聯(lián)合國政府專家組和開放工作組成為各國建立網(wǎng)絡(luò)領(lǐng)域共識和制定相關(guān)規(guī)范的平臺。聯(lián)合國互聯(lián)網(wǎng)治理論壇等會議提供了在工作層面深入探討的機會，卡巴斯基與合作伙伴于2020年召開研討會，討論加強全球信息通信技術(shù)供應(yīng)鏈保障、提升透明度的必要性和方法。
雙邊伙伴關(guān)系：亞太地區(qū)國家已就網(wǎng)絡(luò)安全的不同領(lǐng)域簽署合作備忘錄，中國、越南、印度、日本、新加坡和韓國等，取得了重要進(jìn)展。
盡管這些平臺在建立共識、交流經(jīng)驗、協(xié)調(diào)標(biāo)準(zhǔn)等方面發(fā)揮著重要作用，但關(guān)鍵是要增加針對全球信息通信技術(shù)供應(yīng)鏈韌性的討論，因為這個議題涉及不同類型的行為主體，對全球產(chǎn)生廣泛的影響。
在國家層面，政府必須通過制定法律、規(guī)章、指南、培訓(xùn)要求等舉措，持續(xù)推動在不同領(lǐng)域建立起網(wǎng)絡(luò)安全的基本標(biāo)準(zhǔn)。
考慮到信息通信技術(shù)供應(yīng)具有綜合性的特點，政府需要建立核心原則、技術(shù)標(biāo)準(zhǔn)、法律法規(guī)框架，保證不同利益相關(guān)方在維護(hù)網(wǎng)絡(luò)安全方面承擔(dān)的責(zé)任程度保持一致。政府除了推動相關(guān)措施落地，還可以發(fā)布通用性的網(wǎng)絡(luò)安全風(fēng)險評估工具。
在個人層面，每個人都有責(zé)任維護(hù)網(wǎng)絡(luò)安全。在這方面，開發(fā)應(yīng)用產(chǎn)品和維護(hù)軟件系統(tǒng)的企業(yè)需要發(fā)揮引領(lǐng)作用。
維護(hù)網(wǎng)絡(luò)安全事關(guān)每一個人，因為最薄弱的環(huán)節(jié)往往對集體網(wǎng)絡(luò)安全的實現(xiàn)產(chǎn)生決定性的作用。想要保持網(wǎng)絡(luò)安全方面的領(lǐng)先地位，不能只是忙于應(yīng)對網(wǎng)絡(luò)威脅，關(guān)鍵要放眼長遠(yuǎn)，設(shè)計網(wǎng)絡(luò)安全生態(tài)系統(tǒng)，建立暢通的人才通道，達(dá)到計算機應(yīng)急響應(yīng)組織、取證分析團(tuán)隊和信息技術(shù)部門的要求，以“通過設(shè)計獲得安全”的理念來建設(shè)關(guān)鍵信息基礎(chǔ)設(shè)施。
來源：中國網(wǎng)信雜志
