國際視野｜日本網絡安全戰略發展及實施情況

本文刊登於《網信軍民融合》雜誌2018年12月刊

【編者按】日本是世界上信息化程度最高、網絡信息技術最發達的國家之一，同時也是對網絡安全最為重視的國家之一。近年來，為全面有效地推進網絡安全政策，日本政府接連推出了2013年版、2015年版和2018年版《網絡安全戰略》，詳細闡述日本政府的網絡安全理念，明確提出網絡安全的戰略目標、基本原則和行動方向，成為指導和加強國家網絡安全建設的綱領性文件。同時，日本政府還於2014年通過《網絡安全基本法》，對網絡安全戰略的法律地位進行明確。從日本網絡安全戰略的發展及實施情況看，日本高度重視自身網絡安全能力建設及擴大其在網絡安全國際舞臺上的影響，某種程度上表明網絡安全建設已成為日本實現所謂“國家正常化”的重要抓手之一。

一、戰略演進

隨著信息安全、網絡安全認識的不斷加深，日本網絡安全戰略的發展演進大致經歷了“戰略萌芽”、“戰略確立”和“戰略深化”三個階段。

這一階段的主要特徵是信息安全政策從日本IT 戰略中獨立出來，其標誌是 2010 年《保護國民信息安全戰略》的出臺。為尋找新的經濟增長點和彌補與美國的信息技術差距，日本政府於 2000 年11 月推出《IT 國家基本戰略》，並於 2001 年 1 月頒佈《IT 基本法》，同時在內閣成立高度信息通信網絡社會推進戰略本部（簡稱 IT 戰略本部），全面推進“IT 立國”戰略。與此同時，日本政府開始將信息安全推上日程。2000 年 7月，日本政府推出《信息安全政策指導方針》。2003 年 10 月，日本經濟產業省出臺《信息安全總體戰略》，將信息安全提升至國家安全層面。為加強信息安全措施，日本政府於 2005 年 4 月成立內閣官房信息安全中心（NISC:National Information Security Center），同年 5月於IT 戰略本部下成立信息安全政策委員會（ISPC），並將 NISC 作為 ISPC 的事務局。之 後，ISPC 於2006 年 2 月出臺《第一期信息安全基本計劃》，提出要實現利用信息技術“推動日本經濟可持續發展”、“改善國民生活水平”、“應對信息安全威脅”三大基本目標，以及將日本建設成為“世界上信息最安全國家”的最終目標，同時提出未來三年政府與民間各主體適當分擔責任的新協作體制；2009 年2 月推出《第二期信息安全基本計劃》，提出要建立一套穩定可靠的快速反應機制來應對網絡威脅。2010 年 5 月，ISPC 在前兩期信息安全基本計劃的基礎上又制訂了《保護國民信息安全戰略》，旨在通過關鍵基礎設施的保護努力提高日本的信息安全水平，成為日本重要的國家戰略之一。該戰略的核心內容具有預防性、適應性和主動性三個特徵，意指日本信息安全政策應當立足於預防網絡攻擊，強化應急處置；信息安全政策應當具有較強的網絡環境適應能力；以及信息安全政策應當主動應對網絡安全問題。

（二）戰略確立階段：制訂網絡安全戰略

這一階段的主要特徵是網絡安全政策從信息安全政策中獨立出來，其標誌是 2013 年《網絡安全戰略》的出臺。《保護國民信息安全戰略》出臺之後，隨著網絡技術的迅猛發展與廣泛應用，網絡空間迅速擴展並持續向現實空間滲透，與此同時網絡空間威脅持續增長，變得日益嚴重化、普遍化和全球化，從 IT 戰略中脫離獨立的信息安全戰略已無法適應應對網絡威脅挑戰的需求。而放眼海外，為應對網絡空間威脅的嚴峻挑戰，歐盟及美國、英國、德國、法國、韓國等國家已紛紛出臺國家網絡安全戰略。在此大環境背景下，日本政府為推行與網絡空間安全相關的措施，並區別於此前確保信息安全的努力，於是將網絡安全從信息安全中獨立出來，並於 2013 年 6 月發佈首份《網絡安全戰略》，從國家層面對網絡安全建設進行設計和指導。該戰略確立了構建“世界領先、強大而充滿活力的網絡空間”、實現“網絡安全立國”的目標，並提出未來三年的行動方向和強化措施。2014 年 11 月，日本出臺《網絡安全基本法》，以法律條文的形式明確網絡安全的概念、各參與主體的責任及網絡安全戰略的理念等事項，是日本進一步將網絡安全從信息安全中剝離的重要文件。

（三）戰略深化階段：戰略和機構雙升級

這一階段的主要特徵是網絡安全戰略及組織機構的升級，其標誌是 2015 年版、2018 年版《網絡安全戰略》的出臺，以及“網絡安全戰略本部”及“內閣網絡安全中心”（NISC ：National Center of Incident Readinessand strategy for Cybersecurity）的成立。一是組織機構升級。根據《網絡安全基本法》，日本政府於 2015 年 1月將信息安全政策委員會升級為獲得法律授權的“網絡安全戰略本部”，作為日本推進網絡安全政策的最高指揮機構。與此同時，日本還將內閣官房信息安全中心升級編成“內閣網絡安全中心”。升級後，兩個組織機構的工作職能都獲得了大幅拓展。二是網絡安全戰略升級。為有效應對不斷演變的網絡威脅，日本政府於 2015 年 9月、2018 年 7月兩次發佈了升級版《網絡安全戰略》，這是建立在《網絡安全基本法》之上的戰略升級。其中，2015 年版戰略提出了“努力確保自由、公平和安全的網絡空間，促進社會經濟提高活力和可持續發展，構建讓人民安全安心生活的社會，促進國際社會的和平穩定和保障日本的國家安全”的願景目標，確立了日本未來三年網絡安全政策的基本方向，相較 2013 年版戰略更加強調網絡安全防禦機制的積極主動性，並且實現戰略的基本原則和措施更加具體明確。2018 年版戰略延續了2015 年版戰略提出的願景目標和基本原則，重點是結合網絡威脅的發展演變對實現戰略目標的政策方法和行動措施進行了調適，更加強調服務提供者的任務保證、網絡安全的風險管理以及和平時期個人與組織的參與和協作。

二、主要內容

日本 2018 年版《網絡安全戰略》主要包括網絡空間的發展變化、增長的網絡空間威脅、戰略的願景和目標、實現目標的措施，以及推進體制建設等五個部份內容。在該戰略文件中，日本政府重點闡明瞭未來的網絡安全基本立場，並明確未來三年網絡安全建設的行動計劃。

（一）願景目標

新戰略堅定維護日本在網絡安全方面的基本立場，並基於該立場以及當前對網絡空間及其未來情景的理解，提出了網絡安全基本願景。一是堅持網絡安全的基本立場。包括《網絡安全基本法》的目標和 2015 年版《網絡安全戰略》提出的基本理念與基本原則。在此立場下，日本將採取包括政治、經濟、技術、法律、外交等在內的有效手段，持續遏制惡意行為者的活動和保障公民的安全與權利。其中，《網絡安全基本法》的目標包括“社會經濟活力提高和可持續發展”、“實現國民安全安心生活的社會”以及“促進國際社會的和平穩定和保障日本的國家安全”等 3 個。2015 年版《網絡安全戰略》提出的基本理念是構建“一個自由、公平和安全的網絡空間”，為實現《網絡安全基本法》的目標做貢獻；五項基本原則分別為“確保信息自由流通”、“法治”、“開放”、“自治”和“多方合作”。

（二）行動計劃

1、促進社會經濟活力提高和可持續發展。一是推動網絡安全作為價值創造的驅動力。政府將與私營部門和學術界合作，幫助企業高管提升網絡安全風險管理的意識；通過與私營部門合作促進網絡安全保險的使用等措施，激勵企業持續網絡安全投資；與私營部門合作分析先進技術的使用風險並研擬對策，促進企業利用先進技術支持網絡安全業務的創新。二是通過多元連接構建供應鏈進而創造價值。政府將與私營部門合作，制定供應鏈網絡安全框架，使供應鏈中的中小企業等易於實施網絡安全措施；建立供應鏈網絡安全保障體系，包括設備及其生成數據與相關服務的可信證明系統、可信設備及服務清單的管理系統等。三是公私合作構建安全的物聯網系統。

2、建設人民安全安心生活的社會。一是保護人民和社會的措施。將與網絡企業合作推行“積極網絡防禦”措施，包括利用技術誘導攻擊方式收集攻擊者信息、促進威脅信息共享利用、促進可靠信息基礎設施發展、與加密貨幣服務提供商合作等，構建安全安心的網絡空間使用環境；強化打擊網絡犯罪措施，包括加強網絡犯罪情報資料掌握、提高調查取證能力、提高分析最新數字設備或惡意軟件的技術能力等。

3、促進國際社會的和平穩定和日本的國家安全。一是維護自由、公平和安全的網絡空間。將通過國內多利益相關方的協調合作維持自主和可持續發展的網絡空間生態系統，並向國際社會傳播自由、公平和安全的網絡空間理念；積極促進網絡空間國際法治建設，包括促進現有國際法在網絡空間的適用、與外國執法機構合作打擊網絡犯罪等。二是提高日本防禦、威懾和態勢感知能力。確保防禦能力：將推進網絡安全措施，保障政府機構國安任務的執行、關鍵基礎設施和其他社會系統運營商社會服務的提供，保護日本的先進技術與國防相關技術；促進國防部和自衛隊加強保護其行動所依賴的網絡基礎設施，提高網絡防禦部隊抵禦網絡攻擊的能力；加強網絡空間中恐怖組織活動信息的收集分析，並與國際社會合作採取必要措施打擊恐怖組織惡意使用網絡空間的活動。提高威懾能力：密切協調盟國和志同道合國家，利用政治、經濟、技術、法律和外交等有效手段對破壞國家安全的網絡威脅實施果斷響應；加強政府機構之間的響應協調，增強執法機關和自衛隊的能力；與各國建立信任措施，避免不必要的誤會與衝突。加強網絡態勢感知：提高政府機構信息收集分析能力，包括開發和保護高水平人才，開發和利用檢測、調查、分析網絡攻擊的技術等；促進政府內部及與盟國和志同道合國家之間的威脅信息共享。

4、網絡安全跨領域措施。一是人才開發與保障。政府將與產業界、學術界及公共部門合作，加強戰略管理層、業務層及技術層人員的培訓，並促進中小學的師資培訓、學生基礎教育以及高等教育階段的人才開發；加強各機構人才的保障和開發；與主要國家建立人才開發合作機制。二是促進技術研發。促進實用技術的研發，包括設備和軟件安全檢查技術、網絡攻擊檢測與防禦技術、加密技術等；著眼信息技術和社會中長期演變的應對，促進網絡安全各學科研究的協調統一。三是促進全體用戶參與合作。制定培養公眾網絡安全意識的綜合戰略與行動計劃，以及建立有效促進各利益相關者分工協作的機制等。

三、保障措施

為有效推進網絡安全戰略各項措施，順利實現網絡安全戰略目標，日本政府近年來積極推動多項保障措施，包括出臺多項配套法規政策、加強組織機構職能建設、組建網絡空間防衛力量、構建網絡安全管理機制、加強意識宣傳及人才培養等。

（一）出臺多項配套法規政策

自首份網絡安全戰略推出以來，日本政府陸續出臺了多項法規政策，用以保障網絡安全戰略的穩步實施。法律法規方面：包括 2014 年 11月通過的《網絡安全基本法》、2016 年 12 月推出的《促進公私部門數據利用基本法》等。其中，《網絡安全基本法》旨在加強日本政府與民間在網絡安全領域的協調和運用，其主要內容包括：一是明確了網絡安全的概念，界定了中央政府、地方政府和其他相關利益相關方的作用和職責；二是以法律條文形式明確了涉及《網絡安全戰略》的修訂、公佈和資金保障等相關事項；三是

（二）加強組織機構職能建設

為統籌推進網絡安全建設，日本政府近年來重視持續推進以網絡安全戰略本部和內閣網絡安全中心為核心的職能機構建設。日本政府在 2013 年版《網絡安全戰略》中提出，要進一步加強內閣官房信息安全中心（2005 年 4月成立）作為日本構建“世界領先、強大而富有活力的網絡空間”最高指揮機構的職能，包括從根本上加強政府機構網絡安全跨部門監視和應急協調小組（GSOC）、通過政府部門與相關專業機構各項職能的機制化合作加強網絡安全事件的動態響應等。2015 年 1月，日本政府根據《網絡安全基本法》將信息安全政策委員會升格編成網絡安全戰略本部，同時將內閣官房信息安全中心升格編成內閣網絡安全中心，升格後兩個組織機構的工作職能獲得了大幅拓展。2015 年版《網絡安全戰略》明確，網絡安全戰略本部是推進《網絡安全戰略》的最高指揮機構，內閣網絡安全中心是網絡安全戰略本部的事務局，主要負責推進基於本戰略的各項網絡安全措施。2018 年版《網絡安全戰略》指出，內閣網絡安全中心將促進有關政府機構不斷提高網絡安全能力，確保本戰略各項措施的穩步執行；網絡安全戰略本部將與 IT 戰略本部密切合作並與國家安全保障會議密切協調，處理與網絡安全相關的重大事項。

（三）組建網絡空間防衛力量

為應對持續升高的網絡空間威脅，確保日本的網絡空間安全，日本政府十分重視通過網絡防衛力量的建設，加強互聯網絡的監控和網絡攻擊的應對。一是建立專職網絡戰部隊。日本政府在 2013 年版《網絡安全戰略》提出，將新建網絡防衛隊以加強自衛隊應對網絡攻擊的能力。2014 年 3月，日本正式成立由防衛相直轄的網絡防衛隊。這是日本自衛隊第一支專職網絡戰部隊，由來自陸上、海上及航空自衛隊的人員組成，主要擔負網絡安全情報的蒐集分析、防衛省和自衛隊網絡的實時監控，以及網絡攻擊事件的應對等任務。網絡防衛隊成立初期約有90 人，至 2018 年底約有 150 人，日本防衛省計劃至 2019 年底將其擴充至 220 人。二是建立“準軍事網絡安全部隊”。日本警察廳於 2013 年 4月在東京、大阪、福岡等共 13 個都道府縣的警察總部內設立了網絡攻擊特別搜查隊，專門負責應對網絡攻擊；同年 5月設立了黑客攻擊分析中心，負責指揮日本全國警察開展調查、信息蒐集分析工作。此外，日本政府還在所有省廳成立了網絡攻擊防範小組，負責應對黑客的網絡攻擊。2015 年版《網絡安全戰略》還提出，將從質量和數量兩方面增強執法機構、自衛隊和其他組織的網絡防衛能力，以應對日益多樣複雜的網絡攻擊。

（四）構建網絡安全管理機制

隨著網絡威脅和風險日益突出，單純依靠政府部門或軍隊進行防禦已無法滿足網絡防禦的現實需求，為此日本政府明確將“多方合作”作為實現網絡安全戰略目標的基本原則之一，並推動建立了危機處理協調、網絡安全情報共享等管理機制，用於增進各方在網絡安全領域的合作。一是危機處理協調機制。對於網絡安全的危機管理，《網絡安全基本法》規定：日常網絡安全危機管理，由網絡安全戰略本部的事務局即內閣網絡安全中心負責應對；大規模網絡安全突發事件，由內閣危機管理監、負責危機管理的內閣官房副長官助理、緊急事件應對室負責應對；發生武力攻擊時，由國家安全保障局應對。二是網絡安全情報共享機制。為促進政府各部門、政府與民間、國家與國家之間密切網絡安全情報合作，日本已於網絡安全領域建立了由政府跨部門情報共享、官民情報共享、國際情報共享三個子機制共同構成的龐大而複雜的情報共享機制體系。其中，日本防衛省於 2013 年 7月成立了網絡防禦委員會（CDC），用以強化與民間企業之間的情報共享；日本政府於 2018 年 11月與東盟國家建立了網絡攻擊情報共享機制，各國網絡安全事務官員可通過設立的專門信息網站共享網絡攻擊的相關情報信息和應對網絡攻擊的措施。

（五）加強意識宣傳及人才培養

為應對網絡空間威脅的持續增長，日本政府近年來積極採取措施加強公眾網絡安全意識宣傳和網絡安全人才培養，希望藉此促進網絡安全防禦力和網絡空間活力的提升。一是公眾網絡安全意識宣傳。日本政府於每年 2 月 1 日至 3 月 18 日舉辦“網絡安全月”活動，通過網絡安全研討會、論壇、沙龍等活動形式加強網絡安全知識普及和意識宣傳。日本政府還於每年 10 月舉辦“國際網絡安全運動”（International Cyber Security Campaign），用以促進網絡安全的國際合作和意識宣傳。另外，日本總務省設立有國家網絡安全意識教育網站，用於宣傳介紹網絡安全威脅、傳播網絡安全知識和提供各種基本防護工具，為公眾和中小企業加強網絡安全措施提供服務和幫助。二是網絡安全人才培養。日本的網絡安全建設也同許多國家一樣面臨著人才嚴重短缺的問題，根據日本經濟產業省的調查數據，截至2016 年日本網絡安全人才缺口約 13 萬人。為解決人才短缺問題，日本政府先後於 2014 年 5月、2017年 4月分別推出《新信息安全人才培養計劃》和《網絡安全人才培養計劃》，其中後者著眼保障 2020 年東京奧運會和殘奧會期間的網絡安全，計劃在未來三年大力加強人才培養。2018 年版《網絡安全戰略》明確提出，將加強戰略管理層、業務層和技術層的

網絡安全人才培訓和學生的信息安全基礎教育。

四、主要特點

日本網絡安全戰略發展及實施的主要特點包括：

（一）注重積極網絡防禦策略

從日本 2015 年版及 2018 年版《網絡安全戰略》可看出，日本網絡安全建設推行的是“積極網絡防禦”政策。一是強調事前積極防禦措施。2015 年版《網絡安全戰略》提出，實現戰略目標的各項實施措施必須儘可能符合“從事後應對轉為事前防禦”和“從被動實施變為倡議主導”的政策方法；2018 年版《網絡安全戰略》更明確提出，日本政府施行“積極網絡防禦”策略，為促進事前積極防禦措施，政府將與網絡企業合作，利用技術誘導攻擊方式蒐集攻擊者信息，進而增進威脅信息的共享使用。二是重視提高網絡威懾力。日本網絡安全戰略體系以日美同盟為基礎，日本認為日美同盟應適應美國在網絡空間推行網絡威懾的這種趨勢，在網絡空間實施“威懾戰略”。2018 版《網絡安全戰略》提出，日本將通過增強執法機關與自衛隊的能力、協調有關國家利用各種有效手段果斷響應網絡威脅等舉措，提高日本的網絡威懾力。此外，日本政府 2018 年 12 月公佈的新版《防衛計劃大綱》也強調，自衛隊需具備“網絡反擊能力”。

（二）強調網絡安全國際合作

日本在前後三版的《網絡安全戰略》中均闡明瞭一個理念，即網絡攻擊可以輕易跨越國界，日本不可能獨自應對已擴至全球範圍的網絡空間安全風險，因此必須加強網絡安全國際合作，尤其是與盟國和志同道合國家的合作，以促進國際社會的和平穩定並保障日本的國家安全。正是基於這個理念，日本政府在《網絡安全戰略》中專門就網絡安全國際合作進行了行動部署，包括：利用各種國際場合表明日本的網絡安全基本立場，積極參與和促進網絡空間國際法治建設，加強與盟國及志同道合國家的威脅信息共享，以及支持發展中國家推進網絡安全能力建設等。其中日美合作方面值得一提的是，日美在 2015 年 4月發佈的修訂版《日美防衛合作指針》中，首次明確將網絡空間納入日美合作範疇，提出將加強情報共享、網絡安全、聯合演練等方面的合作。近年來，隨著美國“亞太再平衡戰略”、“印太戰略”的實施以及日美同盟關係的重新定位，日本急劇“右傾化”，謀求成為“正常國家”的步伐正在加快。初步分析，日本積極謀求在網絡安全的國際舞臺上發揮作用和擴大影響，除了促進國際社會的和平穩定和保障日本的國家安全外，應還有助力日本實現“國家正常化”的考慮因素在其中。

（三）突出關鍵基礎設施保護

日本認為，關鍵基礎設施（CI）是國民社會生活和企業經濟活動的基礎，若設施功能遭損害或破壞將造成嚴重後果，因此保護 CI 免遭網絡攻擊已成為國家安全保障和危機管理的重大課題，採取最佳的網絡安全措施至關重要。有鑑於此，日本政府前後三版《網絡安全戰略》都明確將 CI 保護列入規劃中。其中 2013 年版戰略要求針對 CI 制訂新的安全標準、加強供應鏈風險管理，以及建立威脅信息共享機制與信息安全評估認證機制等；2015 年版戰略提出要在公私合作的基礎上為 CI 保護提供服務，包括修訂擴大 CI 保護範圍、確保信息共享有效及時等；2018 年版戰略提出要通過推廣信息安全標準制定指南、將網絡安全措施定位為相關法令的安全規定等措施，保護 CI 安全。為落實戰略措施，日本政府還於 2014 年推出《CI 信息安全措施第 3期行動計劃》，將 CI 範圍由 10 個領域擴增為 13 個領域；2015 年於網絡安全戰略本部下設立 CI 專門調查會，作為日本 CI 保護領域的最高領導和決策機構，同時於內閣網絡安全中心下設 CI 保障組，負責 CI 保護政策的具體推行；2018 年推出《CI 信息安全標準制定指南》和《CI 信息安全措施第 4 期行動計劃（修訂版）》。

更多精彩內容，請關注網信軍民融合微信公眾號

投稿郵箱[email protected]

雜誌訂閱 雜誌郵發代號：80-875

閱讀更多 網信軍民融合雜誌 的文章

關鍵字: 信息安全 網信 網絡安全