网络及信息安全讲座

一、形势•“审视我们面临的威胁，最现实的、日常大量发生的威胁不是从海上来，也不是从空中来，更不是从陆地上来，而是首先从网上来。”总书记谈到的“过关论”——刘云山：对新闻舆论工作，总书记针对互联网给舆论生态带来的前所未有的复杂变化，指出过不了互联网这一关，就过不了长期执政这一关，强调把网上舆论工作作为新闻舆论工作的重中之重来抓。四个“没有根本改变”内涵、意义美国垄断网络空间霸权的格局网络空间敌强我弱的态势敌对势力利用网络“扳倒中国”的图谋核心技术受制于人的局面一、跟美国国家安全局什么关系？美国国安局网络武器库意外泄露，后被攻击者将其中的“永恒之蓝”加以改造。二、跟微软什么关系？利用的是微软操作系统的漏洞，该漏洞早就被美国国家安全局掌握，并据此开发了针对性的网络武器。今年3月，微软已经发布了对该漏洞的补丁。三、美国网络武器库中一款被泄露的武器都如此厉害，我们是不是很危险？比能够想象到的还危险。总共泄露了500兆的工具，其中“永恒之蓝”才几百k。四、谁干的？不知道。二、网络强国战略有关要求网络安全和信息化是事关国家安全和国家发展、事关广大人民群众工作生活的重大战略问题，要从国际国内大势出发，总体布局，统筹各方，创新发展，努力把我国建设成为网络强国。中共中央总书记、国家主席、中央军委主席、中央网络安全和信息化领导小组组长习近平（2014年）2月27日下午主持召开中央网络安全和信息化领导小组第一次会议并发表重要讲话。2016年4月19日，中共中央总书记、国家主席、中央军委主席、中央网络安全和信息化领导小组组长习近平在北京主持召开网络安全和信息化工作座谈会并发表重要讲话。中共中央政治局10月9日下午就实施网络强国战略进行第三十六次集体学习。中共中央总书记习近平在主持学习时强调，加快推进网络信息技术自主创新，加快数字经济对经济发展的推动，加快提高网络管理水平，加快增强网络空间安全防御能力，加快用网络信息技术推进社会治理，加快提升我国对网络空间的国际话语权和规则制定权，朝着建设网络强国目标不懈努力。总书记：各级领导干部特别是高级干部，如果不懂互联网、不善于运用互联网，就无法有效开展工作。各级领导干部要学网、懂网、用网，积极谋划、推动、引导互联网发展。如何理解这段话，至少可以从四个角度去看提高驾驭互联网能力的迫切性。一是从确保政治安全的角度；二是从促进经济发展的角度；三是从完善国家治理的角度；四是从维护国家网络安全的角度。拓展经济发展新空间——着力推动互联网和实体经济深度融合发展，以信息流带动技术流、资金流、人才流、物资流，促进资源配置优化，促进全要素生产率提升，为推动创新发展、转变经济发展方式、调整经济结构发挥积极作用。推进治理体系和治理能力现代化——随着互联网特别是移动互联网发展，社会治理模式正在从单向管理转向双向互动，从线下转向线上线下融合，从单纯的政府监管向更加注重社会协同治理转变。要强化互联网思维，利用互联网扁平化、交互式、快捷性优势，推进政府决策科学化、社会治理精准化、公共服务高效化，用信息化手段更好感知社会态势、畅通沟通渠道、辅助决策施政。——要适应人民期待和需求，让亿万人民在共享互联网发展成果上有更多获得感。要促进基本公共服务均等化。要提升服务效率，让百姓少跑腿、信息多跑路，解决办事难、办事慢、办事繁的问题。网络安全是整体的而不是割裂的。在信息时代，网络安全对国家安全牵一发而动全身，同许多其他方面的安全都有着密切关系。网络安全是动态的而不是静态的。信息技术变化越来越快，过去分散独立的网络变得高度关联、相互依赖，网络安全的威胁来源和攻击手段不断变化，那种依靠装几个安全设备和安全软件就想永保安全的想法已不合时宜，需要树立动态、综合的防护理念。开放的，不是封闭的动态的，不是静态的整体的，不是割裂的共同的，不是孤立的网络安全五大特点相对的，不是绝对的网络安全是开放的而不是封闭的。只有立足开放环境，加强对外交流、合作、互动、博弈，吸收先进技术,网络安全水平才会不断提高。网络安全是相对的而不是绝对的。没有绝对安全，要立足基本国情保安全，避免不计成本追求绝对安全，那样不仅会背上沉重负担，甚至可能顾此失彼。网络安全是共同的而不是孤立的。网络安全为人民，网络安全靠人民，维护网络安全是全社会的共同责任，需要政府、企业、社会组织、广大网民共同参与，共筑网络安全防线。网信小组一次会议：网络安全和信息化是一体之两翼、驱动之双轮，必须统一谋划、统一部署、统一推进、统一实施。做好网络安全和信息化工作，要处理好安全和发展的关系，做到协调一致、齐头并进，以安全保发展、以发展促安全，努力建久安之势、成长治之业。为什么将“在发展中求安全”升级为“以发展促安全”？习近平总书记：不发展是最大的不安全。现在，在技术发展上有两种观点值得注意。一种观点认为，要关起门来，另起炉灶，彻底摆脱对外国技术的依赖，靠自主创新谋发展，否则总跟在别人后面跑，永远追不上。另一种观点认为，要开放创新，站在巨人肩膀上发展自己的技术，不然也追不上。这两种观点都有一定道理，但也都绝对了一些，没有辩证看待问题。一方面，核心技术是国之重器，最关键最核心的技术要立足自主创新、自立自强。市场换不来核心技术，有钱也买不来核心技术，必须靠自己研发、自己发展。另一方面，我们强调自主创新，不是关起门来搞研发，一定要坚持开放创新，只有跟高手过招才知道差距，不能夜郎自大。问题是要搞清楚哪些是可以引进但必须安全可控的，哪些是可以引进消化吸收再创新的，哪些是可以同别人合作开发的，哪些是必须依靠自己的力量自主创新的。当今世界，信息技术革命日新月异，对国际政治、经济、文化、社会、军事等领域发展产生了深刻影响。信息化的发展，正在塑造一个“一切皆由网络控制”的未来世界，网络空间的快速兴起，催生着“谁控制网络空间谁就能控制一切”的法则。特别是，泛在接入、广泛互联、跨界融合、高度智能的趋势，彻底颠覆了网络安全场景。巴纳拜·杰克(BarnabyJack)是一名出生于新西兰的黑客、程序员和计算机安全专家。他曾花了二年时间研究如何破解自动提款机。2010年7月28日，在美国拉斯维加斯举行的一年一度的白帽黑客会议上，杰克将2台ATM搬到黑帽会场上，他刚一执行破解程序，自动提款机便不断吐出钞票，在地上堆成一座小山。2013年，杰克重出江湖，打算在2013年7月31日开幕的白帽黑客会议上，展示一项更为惊人的黑客绝技:在9米之外入侵植入式心脏起搏器等无线医疗装置，然后向其发出一系列830V高压电击，从而令遥控杀人成为现实。杰克解释称，近几年生产的心脏起搏器一般都设有无线接收装置，以便可以在10米至15米范围内进行遥控调节，这正好给了黑客可乘之机。杰克发现，用无线输入特定命令之后，起搏器就会输出其序列号和型号，由此可以控制体内的起搏器。杰克开发了一款名为电鳗的程序，可以扫描一定范围内所有的心脏起搏器并入侵。习近平总书记：加快构建关键信息基础设施安全保障体系。金融、能源、电力、通信、交通等领域的关键信息基础设施是经济社会运行的神经中枢，是网络安全的重中之重，也是可能遭到重点攻击的目标。“物理隔离”防线可被跨网入侵，电力调配指令可被恶意篡改，金融交易信息可被窃取，这些都是重大风险隐患。不出问题则已，一出就可能导致交通中断、金融紊乱、电力瘫痪等问题，具有很大的破坏性和杀伤力。我们必须深入研究，采取有效措施，切实做好国家关键信息基础设施安全防护。全天候全方位感知网络安全态势。知己知彼，才能百战不殆。没有意识到风险是最大的风险。网络安全具有很强的隐蔽性，一个技术漏洞、安全风险可能隐藏几年都发现不了，结果是“谁进来了不知道、是敌是友不知道、干了什么不知道”，长期“潜伏”在里面，一旦有事就发作了。维护网络安全，首先要知道风险在哪里，是什么样的风险，什么时候发生风险，正所谓“聪者听于无声，明者见于未形”。感知网络安全态势是最基本最基础的工作。要全面加强网络安全检查，摸清家底，认清风险，找出漏洞，通报结果，督促整改。要建立统一高效的网络安全风险报告机制、情报共享机制、研判处置机制，准确把握网络安全风险发生的规律、动向、趋势。要建立政府和企业网络安全信息共享机制，把企业掌握的大量网络安全信息用起来，龙头企业要带头参加这个机制。《网络安全法》第三十一条国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。国务院拟以行政法规形式发布《关键信息基础设施安全保护条例》，近期已公开征求意见。《关键信息基础设施安全保护条例》第十八条下列单位运行、管理的网络设施和信息系统，一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的，应当纳入关键信息基础设施保护范围：（一）政府机关和能源、金融、交通、水利、卫生医疗、教育、社保、环境保护、公用事业等行业领域的单位；（二）电信网、广播电视网、互联网等信息网络，以及提供云计算、大数据和其他大型公共信息网络服务的单位；（三）国防科工、大型装备、化工、食品药品等行业领域科研生产单位；（四）广播电台、电视台、通讯社等新闻单位；（五）其他重点单位。三、《网络安全法》概况为什么要认真贯彻落实《网络安全法》？首先，这是每一个公民的基本义务。更重要的，《网络安全法》提出的是具有法律强制力的责任要求。落实网络安全责任制，就首先要落实《网络安全法》，否则，就要承担法律责任。我们长期面临的挑战，与其说是法制不健全，不如说是执法效率低下，一直以来，法律没有“牙齿”。但这次不一样了。媒体报道：“自《网络安全法》生效以来，与其相关的执法行为逐渐走向常态。本文收集了2017年6月1日至8月18日间各地落实《网络安全法》相关规定的执法案例，包括：腾讯微信、新浪微博、百度贴吧涉嫌违反《网络安全法》被立案调查；BOSS直聘被网信办责令整改；汕头某公司未及时履行网络安全义务，网警依据网安法责令改正；重庆一网络公司未留存用户登录日志被网安查处；四川一网站因高危漏洞遭入侵被罚；宿迁网警成功查处全省首例违反《网络安全法》接入违规网站案；山西忻州市某省直事业单位网站不履行网络安全保护义务被处罚；淘宝网、同花顺金融网、蘑菇街互动网等５家网站被责令限期整改。”全国人大常委会启动网络安全法、关于加强网络信息保护的决定执法检查新华社北京8月25日电(记者李亚红)为了解网络安全法、全国人大常委会关于加强网络信息保护的决定(简称“一法一决定”)实施情况，查找问题，剖析原因，提出建议，着力推进法律实施中重点、难点问题的解决，全国人大常委会将在多个省区市开展“一法一决定”执法检查。在全面检查“一法一决定”实施情况的基础上，执法检查组将重点对以下内容进行检查：开展“一法一决定”宣传教育情况；制定“一法一决定”配套法规规章情况；强化关键信息基础设施保护及落实网络安全等级保护制度情况；治理网络违法有害信息，维护网络空间良好生态情况；落实公民个人信息保护制度，查处侵犯公民个人信息及相关违法犯罪情况等。全国人大法工委经济法室：“学习好、宣传好、贯彻好这部法律，是我们当前的重要任务。全国人大常委会已经把网络安全法的实施情况列入2017的执法监督计划。通常的执法检查，一般是在法律施行一年或者若干年后进行,网络安全法施行半年就进行执法检查，体现了全国人大常委会对网络安全法实施情况的重视和关切。”《网络安全法》的出台，充分说明了以习近平同志为核心的党中央对网络安全工作的高度重视。习近平总书记：互联网不是法外之地。利用网络鼓吹推翻国家政权，煽动宗教极端主义，宣扬民族分裂思想，教唆暴力恐怖活动，等等，这样的行为要坚决制止和打击，决不能任其大行其道。利用网络进行欺诈活动，散布色情材料，进行人身攻击，兜售非法物品，等等，这样的言行也要坚决管控，决不能任其大行其道。没有