数博会聚焦：“一带一路”数字丝绸之路急需网络保镖

5月26日，2017中国国际大数据产业博览会在贵阳开幕，360威胁情报中心发布《“一带一路”企业安全研究报告》（以下简称“报告”），这是首份针对参与“一带一路”建设央企的网络安全与信息化建设状况的专题报告。报告详述了央企在“一带一路”建设中面临的网络安全挑战，并呼吁国家有关部门出台政策鼓励网络安全企业随“一带一路”走出去为央企保驾护航，实现发展与安全同步推进，保卫好这条21世纪的数字丝绸之路。

企业普遍被信息基础设施与数据传输困扰

报告显示，根据调研结果，走出去的央企普遍认为，受限于当地的经济发展状况、信息基础设施建设水平，以及央企自身业务特点，在境外通讯、境外项目管理、远程数据传输、IT系统“云化”等重要的常用业务上方面的安全需求非常迫切，否则将给经营业务带来较大制约。

以电子邮件为例，这是国外使用的较多的通讯工具，是央企和境外客户交流的主要途径。但很多企业的邮件出现过丢失问题，给沟通双方都造成困扰，甚至有央企被迫在海外建中转服务器，但问题依然难以解决。

如何保障数据的安全加密、存储和传输，是很多在沿线国家开展业务的央企面临的突出问题，很多涉及商业机密的数据，苦于找不到安全、适合的传输方案，甚至出现有企业被迫采用“密码本+功能手机发短信”的方式传输重要数据。尤其是云数据安全方面，很多央企都担忧云端的数据可能会遭到窃取。

随着“一带一路”的深耕，我国央企在当地的一些工程建设、业务运营过程中，逐步在增加IT投入与信息化管理手段，使得越来越多的信息系统和数据暴露在开放的互联网上。随着暴露面不断扩大，原有的网络安全防范措施也将受到新的挑战。

数家央企都把APT列为最需要关注的威胁之一

根据调查研究，木马病毒、钓鱼网站、信息泄露以及APT攻击等网络中常有的威胁方式均在参与“一带一路”建设的央企中出现。

“一带一路”项目中，包含很多涉及国与国之间的能源、交通、水利、民航等领域的重大合作，这些合作与国家的政治、经济、外交政策有很大相关性，因而包含诸多敏感的机密信息。

作为“一带一路”先行者的央企，其网络信息系统中既有商业秘密，同时还可能涉及到国家机密，例如某些边境上的港口、码头、水利工程建设项目，包含的部分地理位置数据，还有一些海洋勘探数据等，就属于国家机密数据。一直以来，这些机密都是境外APT组织攻击的主要目标。

根据国内多家安全厂商对APT的持续跟踪研究，国际上的APT组织对我国的攻击活动一直比较活跃，仅2016年就曝出36份针对中国的APT事件相关报告。

处于“一带一路”推进一线的央企极可能成为境外APT组织首当其冲的目标。报告指出，根据本次调研，以及结合2015年、2016年以来国内主流安全厂商发布的APT专题报告，目前能源、基建、交通等领域的央企，在东南亚、中东地区受到APT攻击的威胁最大。在360威胁情报中心分发给央企的问卷调查中，数家央企几乎都把APT列为最需要关注的威胁之一。

在被调研的14家央企中，某大型企业员工就曾遭钓鱼网站的攻击。在该企业的日志中，曾短时间内出现大量企业员工账号境外登录失败记录。这些办公帐号的异常登陆行为均来自国外，犯罪分子利用搭建的假冒网站套取了多个员工的账号密码。

网络安全应纳入整体规划与发展同步推进

在大数据和云计算环境下，网络空间安全面临更加复杂和严峻的形势，离开安全谈价值，一切都是空谈。因此，“一带一路”沿线各国需要加强合作，处理好跨境数据流动，网络空间治理等问题，才能推动共赢发展，连接起21世纪的数字丝绸之路。

境外项目和业务的信息化建设对这些参与“一带一路”建设的央企来说，一方面是提升海外项目整体运营效率、加强企业内部精细化管理的内在要求，一方面也是保护重要数据安全的刚性需求。

报告呼吁，我国“走出去”的央企应该加强统筹，未雨绸缪，将网络安全建设纳入到企业“一带一路”整体规划中，实现发展与安全同步推进，做好心理、策略和技术人员三大准备，对网络攻击、信息泄密等风险高度重视，不能懈怠；要制定针对境外业务场景、境外业务特点的安全策略，例如建立相关的安全规范、机制、标准，做好整体安全态势监控等，最大程度减少安全盲区，降低内外部安全风险；并建议国家相关主管和监督部门，出台政策鼓励网络安全企业随“一带一路”走出去为央企保驾护航，将积极性较高的央企以及有意愿、有实力的安全厂商组织起来，共同参与建立境外的安全信息共享机制。

还应加大网络安全人才培养扶持，逐步建立完善由央企、安全公司、科研院校各方力量共同参与的人才培养体系，为“走出去”的央企提供充足的实用型技术人才，为我国央企乃至更多企业“走出去”，打下长远基础。