解決網(wǎng)絡(luò)安全人才短缺的關(guān)鍵是打破目前網(wǎng)絡(luò)安全就業(yè)的“學(xué)歷優(yōu)先”屏障，通過“教育左移”和“認(rèn)證優(yōu)先”讓青少年盡早接觸網(wǎng)絡(luò)安全教育。
根據(jù)VPN提供商Sufshark的最新數(shù)據(jù)，2023年第一季度至第二季度，全球數(shù)據(jù)泄露數(shù)量增長了156%，今年第二季度共有1.108億個賬戶被泄露，相當(dāng)于每分鐘就有855個賬戶被泄露。在網(wǎng)絡(luò)威脅愈發(fā)猖獗的當(dāng)下，網(wǎng)絡(luò)安全建設(shè)該何去何從？
網(wǎng)絡(luò)勒索軟件持續(xù)威脅
2023年5月，美國德克薩斯州達(dá)拉斯市政府遭受了一次嚴(yán)重的勒索軟件攻擊，該事件造成了聽證會和陪審團(tuán)值班的停擺，最終導(dǎo)致達(dá)拉斯市法院大樓被迫關(guān)閉。此次事件還對更廣泛的警務(wù)活動產(chǎn)生了間接影響，引發(fā)了長時間、大范圍的混亂。然而，在勒索軟件攻擊逐漸成為常態(tài)的當(dāng)下，這一嚴(yán)重事件并未引起廣泛關(guān)注。
實(shí)際上，全球范圍內(nèi)的政府、學(xué)校、醫(yī)院、企業(yè)和慈善機(jī)構(gòu)每周都會遭受不同程度的網(wǎng)絡(luò)勒索攻擊，這些攻擊大都會造成嚴(yán)重的經(jīng)濟(jì)和社會損失。
根據(jù)最新的調(diào)查結(jié)果，勒索軟件的贖金金額在過去一年幾乎翻了一番，達(dá)到了150萬美元。英國網(wǎng)絡(luò)安全公司Sophos研究發(fā)現(xiàn)，勒索軟件的平均贖金金額從2021年的81.2萬美元上升到了150萬美元。2023年，英國組織的平均支付金額甚至高于全球平均水平，達(dá)到了210萬美元。
十年前，勒索軟件還只是一種理論上的可能性和小眾威脅，如今已被視為現(xiàn)代社會的一大挑戰(zhàn)。其持續(xù)助長犯罪并造成難以計(jì)數(shù)的損失，應(yīng)引起人們的高度關(guān)注。勒索軟件將在未來幾年甚至幾十年內(nèi)持續(xù)構(gòu)成挑戰(zhàn)，或?qū)⑷谌胝＝?jīng)濟(jì)生活，企業(yè)將面臨持續(xù)的攻擊威脅。而背后的網(wǎng)絡(luò)犯罪團(tuán)伙通常保持匿名，很少受到實(shí)質(zhì)性追究。
為了減輕這種負(fù)面影響，人們必須提高對這一威脅的認(rèn)知。各方應(yīng)加大對網(wǎng)絡(luò)安全的各種投資，從員工培訓(xùn)到建立支持報告事件的組織文化。此外，還需加大對恢復(fù)計(jì)劃的投資，包括有效備份、內(nèi)部專業(yè)知識、保險和久經(jīng)考驗(yàn)的應(yīng)急計(jì)劃。
根本而言，每個人都需要更好地隱藏和保護(hù)自己的數(shù)字密鑰和敏感信息，如此方能有望抵御下一代勒索軟件攻擊者的威脅。
網(wǎng)絡(luò)安全人才嚴(yán)重匱乏
不斷演變的勒索軟件及其他類型的網(wǎng)絡(luò)攻擊對網(wǎng)絡(luò)安全人才提出了更高的要求，但如今網(wǎng)絡(luò)安全人才嚴(yán)重短缺，這對于變化莫測的網(wǎng)絡(luò)安全領(lǐng)域顯然是致命的。根據(jù)世界經(jīng)濟(jì)論壇發(fā)布的《2023年全球網(wǎng)絡(luò)安全展望》報告，電力、支付和醫(yī)院等行業(yè)面臨的網(wǎng)絡(luò)安全風(fēng)險最大，因?yàn)檫@些領(lǐng)域在招募熟練網(wǎng)絡(luò)安全專業(yè)人員方面存在不足。總的來說，網(wǎng)絡(luò)人才短缺問題已成為全球性挑戰(zhàn)。
根據(jù)ThreatX最新發(fā)布的《2023年網(wǎng)絡(luò)安全人才全球調(diào)查》報告，全球仍有超過340萬個網(wǎng)絡(luò)安全職位空缺。主要因?yàn)槠髽I(yè)招聘對安全人才的要求過高，以及網(wǎng)絡(luò)安全教育和培訓(xùn)的社會覆蓋面太窄等。隨著新興技術(shù)在整個組織中的廣泛應(yīng)用，這一人才缺口將進(jìn)一步擴(kuò)大。
解決網(wǎng)絡(luò)安全人才短缺的關(guān)鍵是打破目前網(wǎng)絡(luò)安全就業(yè)的“學(xué)歷優(yōu)先”屏障，通過“教育左移”和“認(rèn)證優(yōu)先”讓青少年盡早接觸網(wǎng)絡(luò)安全教育。
此外，還應(yīng)消除“專業(yè)人士必須具備IT安全或工程領(lǐng)域的技術(shù)背景”這一誤解。加強(qiáng)宣傳工作，提高人們對網(wǎng)絡(luò)安全職業(yè)路徑的認(rèn)識，確保該行業(yè)向所有人開放。
另外，應(yīng)大力擴(kuò)充人才庫。招聘者需要明確定義網(wǎng)絡(luò)安全職位的要求，重點(diǎn)關(guān)注應(yīng)聘者的能力，考慮到候選人的多樣性背景。為提高員工的留任率，公共和私營機(jī)構(gòu)應(yīng)提供激勵措施。首席執(zhí)行官和決策者應(yīng)該提高對網(wǎng)絡(luò)安全技能缺口及其對經(jīng)濟(jì)和安全影響的認(rèn)識，在組織內(nèi)部和跨部門建立可持續(xù)的網(wǎng)絡(luò)人才梯隊(duì)。
面對網(wǎng)絡(luò)安全人才短缺的情況，各國紛紛采取措施。2023年8月，美國國家網(wǎng)絡(luò)總監(jiān)辦公室發(fā)布了《國家網(wǎng)絡(luò)人才和教育戰(zhàn)略》，標(biāo)志著美國啟動了一項(xiàng)為期數(shù)年的系統(tǒng)性培養(yǎng)網(wǎng)絡(luò)安全技能和能力計(jì)劃。
這份戰(zhàn)略文件包括所有美國人基礎(chǔ)網(wǎng)絡(luò)技能的配備、改革網(wǎng)絡(luò)教育、擴(kuò)充和強(qiáng)化美國網(wǎng)絡(luò)勞動力以及提升聯(lián)邦網(wǎng)絡(luò)勞動力四大方面。每個方面都包括了一系列措施，涉及教育、招聘、職業(yè)發(fā)展及聯(lián)邦勞動力政策等多個層次。這些措施旨在協(xié)助現(xiàn)有網(wǎng)絡(luò)技能從業(yè)人員提升他們的技能水平，鼓勵新員工和少數(shù)族裔員工進(jìn)入網(wǎng)絡(luò)安全領(lǐng)域。白宮表示，填補(bǔ)全國數(shù)十萬個網(wǎng)絡(luò)職位空缺是國家安全的當(dāng)務(wù)之急。
加強(qiáng)網(wǎng)絡(luò)安全生態(tài)建設(shè)
針對網(wǎng)絡(luò)安全新形勢，2023年7月，美國白宮發(fā)布了《國家網(wǎng)絡(luò)安全戰(zhàn)略實(shí)施計(jì)劃》（簡稱《實(shí)施計(jì)劃》）。該計(jì)劃是美國政府對其2023年版《國家網(wǎng)絡(luò)安全戰(zhàn)略》的執(zhí)行補(bǔ)充，與《基礎(chǔ)設(shè)施投資和就業(yè)法案》《芯片與科學(xué)法案》《通脹削減法案》一同被視為美國政府重建國家基礎(chǔ)設(shè)施和重振美國制造業(yè)的重要舉措。
《實(shí)施計(jì)劃》整體上延續(xù)了美國2023年版《國家網(wǎng)絡(luò)安全戰(zhàn)略》的核心戰(zhàn)略及實(shí)施原則。這些主要戰(zhàn)略包括：關(guān)鍵基礎(chǔ)設(shè)施的保護(hù)、對抗和遏制威脅行為者、引導(dǎo)市場力量以促進(jìn)網(wǎng)絡(luò)安全和彈性、投資于未來的網(wǎng)絡(luò)安全策略及建立國際伙伴關(guān)系以實(shí)現(xiàn)共同目標(biāo)等五個方面。而實(shí)施原則方面包括：要求網(wǎng)絡(luò)空間中實(shí)力較強(qiáng)的參與者承擔(dān)更多的安全責(zé)任，以及增加激勵措施以促進(jìn)長期投資等兩個方面。以下是主要內(nèi)容概述：
一是強(qiáng)化基礎(chǔ)設(shè)施防護(hù)。美國網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局（CISA）將與美國國家網(wǎng)絡(luò)總監(jiān)辦公室（ONCD）合作，更新《美國國家網(wǎng)絡(luò)事件響應(yīng)計(jì)劃》（NCIRP），以更好地貫徹“一呼百應(yīng)”（A call to one is a call to all）的事件響應(yīng)政策。例如，美國聯(lián)邦政府將加強(qiáng)對關(guān)鍵部門的審查，確保其符合網(wǎng)絡(luò)安全硬性要求。此次更新的NCIRP還將提供外部合作伙伴指導(dǎo)，進(jìn)一步提升基礎(chǔ)設(shè)施的安全性。
二是強(qiáng)化威脅實(shí)體應(yīng)對。美國聯(lián)邦政府將依托CISA和聯(lián)邦調(diào)查局（FBI）共同主持的聯(lián)合勒索軟件特別工作組（JRTF），繼續(xù)打擊勒索軟件和其他網(wǎng)絡(luò)犯罪活動。與此同時，CISA還將領(lǐng)導(dǎo)一項(xiàng)附加計(jì)劃，為高風(fēng)險的勒索軟件組織提供培訓(xùn)、網(wǎng)絡(luò)安全服務(wù)、技術(shù)評估、事前規(guī)劃和事后響應(yīng)等支持，以減輕網(wǎng)絡(luò)攻擊的影響。
三是強(qiáng)化市場力量塑造。CISA將繼續(xù)與相關(guān)機(jī)構(gòu)合作，以推動軟件物料清單（SBOM）的實(shí)施，提高網(wǎng)絡(luò)安全市場活動透明度，使市場參與者能夠更好了解其供應(yīng)鏈風(fēng)險，并要求供應(yīng)商對安全開發(fā)負(fù)責(zé)。此外，CISA還將成立國際SBOM工作組，探討建立全球可訪問不再更新的軟件數(shù)據(jù)庫的需求等事宜。
四是強(qiáng)化技術(shù)標(biāo)準(zhǔn)把控。美國國家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）將召集跨部門的國際網(wǎng)絡(luò)安全標(biāo)準(zhǔn)化工作組，協(xié)調(diào)解決國際網(wǎng)絡(luò)安全標(biāo)準(zhǔn)化的主要問題，并加強(qiáng)美國聯(lián)邦機(jī)構(gòu)的參與。此外，NIST還將完成抗量子公鑰加密算法等多項(xiàng)標(biāo)準(zhǔn)的制定。
五是強(qiáng)化國際網(wǎng)絡(luò)合作。美國國務(wù)院將發(fā)布《國際網(wǎng)絡(luò)空間和數(shù)字政策戰(zhàn)略》，并加強(qiáng)相關(guān)工作人員在網(wǎng)絡(luò)空間和數(shù)字政策領(lǐng)域的知識和技能培訓(xùn)，以建立國家和地區(qū)機(jī)構(gòu)間的網(wǎng)絡(luò)協(xié)作團(tuán)隊(duì)，推動與合作國家之間的協(xié)同工作。
構(gòu)建安全的數(shù)字未來
除美國外，歐盟也有所行動。歐盟的《數(shù)字服務(wù)法案》（DSA）于2023年8月25日正式生效。該法案將通過歐盟委員會（而非各國的數(shù)據(jù)保護(hù)機(jī)構(gòu)）集中執(zhí)法，適用于所有用戶數(shù)量超過4500萬的在線平臺。DSA的內(nèi)容主要涵蓋以下七個方面：
規(guī)定了針對線上非法商品、服務(wù)或非法內(nèi)容的打擊措施，例如建立了用戶標(biāo)記線上非法內(nèi)容的機(jī)制，并與“可信標(biāo)記者（trusted flaggers）”合作。
為網(wǎng)絡(luò)市場商家的可追溯性設(shè)立了新規(guī)定，有助于識別非法商品的賣家，從而更好地保護(hù)消費(fèi)者。
有力保障用戶的基本權(quán)利，如允許用戶質(zhì)疑平臺內(nèi)容審查的決定。
要求網(wǎng)絡(luò)平臺在各種問題上采取透明措施，包括提高推薦算法和定向廣告的透明度。
規(guī)定了VLOPs（Very Large Online Platforms）在風(fēng)險管控方面的責(zé)任，包括對其風(fēng)險管理措施進(jìn)行獨(dú)立審計(jì)，以預(yù)防系統(tǒng)被濫用于非法內(nèi)容和虛假宣傳活動，如操縱競選、犯罪活動和傳播恐怖主義及虛假信息。
允許研究人員訪問最大平臺的關(guān)鍵數(shù)據(jù)，以幫助其了解在線風(fēng)險的演變過程。
建立了相應(yīng)的監(jiān)督架構(gòu)，通過新設(shè)立的歐洲數(shù)字服務(wù)委員會來應(yīng)對數(shù)字空間的復(fù)雜性。在監(jiān)督方面，歐盟各成員國將發(fā)揮主要作用，而歐盟委員會將加強(qiáng)對VLOPs的執(zhí)法與監(jiān)督。
DSA將在整個歐盟范圍內(nèi)統(tǒng)一適用，以促進(jìn)跨境數(shù)字創(chuàng)新，并確保所有歐盟用戶公平享受數(shù)字創(chuàng)新帶來的便利，同時受到同等水平的保護(hù)。可以說，DSA的通過標(biāo)志著歐盟數(shù)字領(lǐng)域立法的良好開端，也是歐盟制定統(tǒng)一數(shù)字規(guī)則圖景的重要一步。
歐盟委員會主席烏爾蘇拉·馮·德萊恩對此表示：“今天DSA達(dá)成的協(xié)議，不論從速度還是實(shí)質(zhì)內(nèi)容上都具有歷史意義。DSA將提升歐盟內(nèi)所有網(wǎng)絡(luò)服務(wù)的基本規(guī)則，確保網(wǎng)絡(luò)環(huán)境的安全，同時保障言論自由和數(shù)字貿(mào)易的機(jī)會。它將落實(shí)這一原則：線下非法的內(nèi)容或行為，在線上同樣被視為非法；規(guī)模越大，互聯(lián)網(wǎng)平臺的責(zé)任越大。”這表明，歐盟即將進(jìn)入數(shù)字領(lǐng)域的有序、強(qiáng)監(jiān)管時代。
本文同時刊登于《中國教育網(wǎng)絡(luò)》2023年8月刊
