全球网络安全形势与网络安全治理的路径

　　在百年未有之大变局及俄乌冲突影响下，大国在网络空间的冲突进一步加剧，网络安全对国际关系的影响更加明显。国家成为全球网络安全领域的决定性力量，具有影响力的网络行动大多可溯源到国家行为体或由政府支持的组织或个人。通过网络手段来达成国家的战略目标不仅成本低而且风险小。以美国为例，其已经明确将进攻性网络理念作为网络司令部的指导方针，开展了前置防御、前沿狩猎等多种形式的网络行动。与此同时，国家不断开展的网络行动也提升了网络防御的难度，各国的国家安全风险更多地暴露在网络空间。随着网络安全形势的恶化，网络空间正从概念上的主权化阶段过渡到军事化和国家安全化背景下实质性的主权化阶段，这不仅加剧了各方在网络空间治理进程中的博弈，而且正在重新塑造网络空间秩序的未来。

　　全球网络安全形势的新特点

　　网络空间已经成为大国博弈的主战场，国家在网络安全领域的冲突不断加剧。全球网络安全陷入军事化、国家安全化和国际安全化的三重挑战中，不仅对网络空间发展构成严重制约，也对全球和平与安全带来威胁。

　　第一，大国在网络空间军事冲突不断，成为国际安全领域新的不稳定因素。俄乌冲突使得网络军事行动经历了从幕后走向台前、从准备就绪到全面实施的过程。俄罗斯和乌克兰作为冲突双方在网络空间多次交手，美国也多次披露在俄乌冲突期间针对俄罗斯开展了一系列网络军事行动。网络行动实战化加剧了网络空间整体军事化的进程。俄乌冲突之前，全球已有77个国家和地区组织建立了网络军事机构。在俄乌冲突的刺激下，更多的国家会加强网络军事能力建设。不仅如此，各国都在密切关注网络行动在俄乌冲突中的使用情况，并将其作为下一步提升网络作战能力和实施网络作战行动的参考。

　　网络空间军事化是一只“潘多拉魔盒”，一旦打开就难以关上，将给网络空间的和平与发展带来巨大挑战。网络技术、服务和产品普遍具有军民两用性，对军事属性的强调，会极大阻碍和破坏各国在民用网络领域的合作。例如在俄乌冲突期间，美国及其盟友切断了对俄罗斯的芯片出口，导致包括家电、电子产品在内的俄罗斯相关制造企业因无法获得芯片而被迫停产。随着网络空间军事化程度的不断提升，对信息通信产品的限制会越来越多，市场在推动网络空间发展方面也会面临更多约束。

　　第二，随着网络空间国家安全化的步伐加快，各国纷纷用国家安全思维来应对网络安全威胁，“泛安全化”阻碍了各国在网络空间的合作。在不断军事化的同时，网络空间还经历着国家安全化的过程。网络空间国家安全化主要表现在三个方面：一是政府网络系统信息化程度越来越高，集中了大量核心数据，是他国网络情报机构的重点攻击目标；二是民用能源、交通、金融等各个领域关键基础设施的信息化、数字化、网络化程度越来越高，一旦遇到问题被迫终止服务，必将给国家安全带来重大挑战；三是网络空间存储的个人数据和重要数据越来越多，一旦这些数据泄露都将成为国家安全面临的重大风险。

　　在国家安全化的影响下，网络空间正在经历三大转变：一是关键的信息通信技术、服务和产品的国产化转向，各国普遍更担心国外的设备存在安全风险与隐患；二是数据存储的本地化趋势加强，数据流向境外不仅会存在泄漏风险，也会被其他国家用于情报目的从而危害本国国家安全；三是技术标准、信息共享等以往被视为与政治关联度不高的领域被赋予更多安全内涵，已有的国际合作也受到国家安全思维很大影响，各国技术机构在日常的交流、合作与共享中变得更加谨慎。以欧盟为例，其在很短时间内就从网络空间“全球公域”的拥趸，转向了强调数据主权、技术主权和数字主权，以维护自身在网络空间的国家安全。网络空间国家安全化在很大程度上会加剧国家间的对抗，降低开展国际合作的意愿和动力，客观上对数字经济发展和数据全球流动造成阻碍，从而影响数字技术和经济的全球化进程。

　　第三，网络安全不断向传统国际安全领域渗透，增加了国家间新的冲突。在政治安全领域，“虚假信息宣传”尽管在各国的表现不同，但已经是各国政府普遍面临的政治安全挑战，甚至在很大程度上引发了大国之间激烈的冲突。在国际安全领域，网络安全被广泛认为是影响“战略稳定”的因素。“核武器的指挥与控制系统”面临越来越多网络攻击的风险，一旦冲突发生，将产生难以估量的后果。此外，网络空间成为打击恐怖主义和跨国有组织犯罪的新战场，较之恐怖主义组织和犯罪组织在网络行动中的高效、协调，国际社会在应对方面的合作却明显滞后和难以开展。

　　全球网络安全治理进程及其面临的挑战

　　斯诺登事件之后，网络安全治理更加受到各国普遍关注。随着网络安全形势的进一步恶化，网络安全治理成为全球治理领域的优先议题。以联合国信息安全政府专家组（UNGGE）、打击网络犯罪公约特委会和信息安全开放式工作组为代表的国际治理机制正起着引领网络空间治理进程的作用。同时，传统的治理机制开始将网络安全视为新的治理领域，例如欧安组织、东盟地区论坛、上合组织、金砖国家等国际组织纷纷加强了在网络安全方面的讨论。此外，多利益攸关方组织也在积极参与网络安全治理，对上述两类治理机制形成补充。然而，上述治理进程的推进也面临来自各方的较大阻力。

　　第一，联合国在网络空间全球治理的权威性面临挑战。一方面是因为联合国决议本身的约束性和履约度较低；另一方面则是因为联合国机制中的治理议题范围狭窄导致治理效率低下，无法对网络安全议题开展广泛讨论。联合国信息安全政府专家组被认为是网络空间全球治理领域最权威、最有影响力的治理机制。专家组有三大核心任务：讨论国际法在网络空间的适用性、达成负责任的国家行为准则和制定信任措施。在长达20多年的治理进程中，专家组发布了4份报告，各国主要围绕上述三大任务达成了一系列共识。然而，主要大国却相互指责对方没有遵守已有共识。由于专家组的共识被定性为自愿遵守、非约束性，大国不遵守共识严重冲击了专家组的权威性。同时，网络空间的虚拟性、隐蔽性增加了国际社会从技术层面建立核查和监督机制的难度。不仅如此，专家组将核心任务仅聚焦于上述三大领域，对广泛的网络安全威胁缺乏关注，开展的讨论也极为有限。例如，专家组并没有对信息通信技术（ICT）供应链安全、数据安全、虚假信息宣传等议题开展讨论。专家组机制的缺位导致国际社会在应对网络安全挑战方面缺乏共同规范。

　　第二，区域性组织普遍积极应对网络安全治理问题，具有代表性的如东盟地区论坛、欧安组织和上合组织等。区域性组织在全球网络安全治理中主要担负三大任务：一是从区域层面推动落实联合国信息安全政府专家组达成的共识。以东盟为例，在2019年第四届东盟网络安全部长级会议上，各国部长重申了落实专家组共识中自愿性原则的立场，并设立协调委员会以制订一项长期的区域行动计划。二是协调组织内部不同国家之间的立场，更好地参与联合国层面的谈判。2021年9月17日，上合组织成员国元首理事会通过《上合组织成员国保障国际信息安全2022—2023年合作计划》，强调各成员国要继续开展合作保障国际信息安全，同时继续在联合国和其他国际平台的相关谈判机制框架内开展合作。三是制定信任措施。尽管在全球层面制定信任措施是专家组的三大任务之一，但一直有声音认为，在当前情况下，在区域和双边层面达成共识更具可行性。欧安组织在这方面的建树颇为典型。2016年3月，欧安组织常设理事会通过了“关于欧安组织建立信任措施(CBM)”的第1202号决议，以减少因使用信息通信技术(ICT)引起的冲突风险。自此，欧安组织建立信任的措施由2013年初创时的11项增至16项。

　　区域性组织是全球网络安全治理的重要组成部分，但受制于主要大国之间的分歧，区域性组织能够发挥作用的空间有限。一方面，美国作为网络空间具备霸权实力的国家，在其进攻性网络理念指导下，不断开展全球网络监听，针对中国、俄罗斯等竞争对手开展“前置防御”“持续交手”，主张进行所谓“不升级的冲突”。在这种进攻性理念影响下，各国之间难以建立真正的信任。另一方面，以联合国信息安全政府专家组为代表的国际治理机制在规则建立方面存在重大分歧，不同地区大国在“进攻性”与“防御性”网络政策方面“各持己见”。前者认为，网络空间中遍布国家的战略性目标，具备网络实力的行为体无法遏制自己的冲动，势必会猎取这些目标。后者则认为前者的网络行动会侵犯他国的网络主权，危及受害国的国家安全，主张各国应禁止开展进攻性网络行为。网络行动的隐蔽性和冲突烈度低、溯源难等特点决定了网络行动难以得到监督与核实。支持“进攻性”的一方难以信任支持“防御性”的一方会遵守这一主张。

　　第三，多利益攸关方机制是全球网络安全治理的重要组成部分，并已经开始在网络安全领域发挥作用。国家是传统国际安全领域的主要行为体，非国家行为体参与国际安全治理的程度有限。然而，即便在网络安全这一国家是主要行为体的领域，多利益攸关方的积极参与也至关重要。目前，以联合国信息安全开放式工作组和巴黎和平论坛（Paris Peace Forum）为代表的多利益攸关方机制已经开始活跃在网络空间国际治理中，并提出了一系列关于网络空间安全的倡议。多利益攸关方的参与有助于提升治理机制的效用和影响力，在一定程度上对国家是否落实相关的规范发挥监督作用。同时，由于网络安全的技术性门槛，以及很多议题涉及军事和国家安全，多利益攸关方组织参与的空间也受到约束。

　　全球网络安全治理的路径

　　当前全球网络安全治理主要遵循规范治理的思路，即通过联合国信息安全政府专家组建立网络规范，区域性组织和多利益攸关方机制予以推广和监督。选择非约束性、自愿遵守的规范作为网络空间国际治理的突破点，在初期有助于各方能够最大程度地开展对话，并迅速达成共识。随着治理进程的推进，这样的治理模式无法适应全球网络安全军事化、国家安全化和国际安全化的趋势。自愿遵守非约束的网络规范尽管对于网络空间秩序的构建具有重要作用，但无法应对大国进攻性网络行为对网络空间安全治理的破坏。因此，全球网络安全治理必须转向制定更具有约束力的国际条约。网络空间安全治理的未来还可以从制度层面进一步发挥联合国的作用，推动联合国信息安全政府专家组扩大网络安全议题的覆盖范围；建立网络安全领域的专门国际组织，并在网络行为核实方面发挥实质性作用；对网络霸权国家的进攻性网络行动予以有力监督；更充分地发挥多利益攸关方的作用，以此来推进网络安全全球治理的机制构建。

　　第一，推动联合国在网络安全治理领域发挥主导作用。尽管联合国在网络安全治理中的角色越来越得到各方的认可，但是质疑的声音和抵制的力量依旧存在，他们认为应当由非政府行为体来发挥主导作用。甚至在很长一段时间内，联合国自身对于是否要在网络安全领域发挥主导作用存有疑虑。这种观点忽视了网络安全治理的主要任务是建立网络军事规则、维护国家安全和打击网络犯罪等，国家已经成为网络安全领域最主要的行为体。目前，联合国在网络安全领域的主要作为，体现在信息安全政府专家组与打击网络犯罪公约特委会发挥作用上。从机制建设角度来说，还有大量的网络安全风险和挑战没有被纳入治理进程中，仅仅依靠这两个专家组远远无法满足国际社会对于网络安全治理的需要。联合国应给予网络安全高度重视，建立一个更加综合性的应对机制，将更多的网络安全议题纳入治理进程，全面反映国际社会对网络安全治理的需求。

　　第二，参照核武器等军控领域经验，建立国际网络安全领域的实体性国际机构。全球网络安全治理的核心任务是，落实联合国信息安全政府专家组所建立的规范。网络规范的落实除了道德约束之外，离不开权威的第三方机构监督与核实机制。这是因为网络行为具有抵赖性。网络空间的匿名、虚拟和跨国等特性有利于网络攻击背后的行为体隐藏身份，技术溯源也面临种种挑战。因此，在网络攻击被揭露后，绝大多数国家都不会承认。在这种情况下，就需要有一个权威和相对独立的第三方机构来开展溯源行动，为判断事件性质提供依据。

　　在国际军控领域，权威的第三方机构在国际治理和冲突解决的过程中发挥了重要作用。例如，在落实《不扩散核武器条约》（NPT）的进程中，国际原子能机构发挥了重要的监督和核实作用。如果没有国际原子能机构专家组的介入，很难想象各国会自觉接受《不扩散核武器条约》。在网络安全领域，反对建立网络安全溯源机构的主要声音来自美国，其认为溯源技术涉及核心网络技术能力甚至是情报能力，因此不会将这样的能力提供给联合国。最早提出要建立国际溯源组织的是来自于美国兰德公司的马丁·利比基教授，但美国政府对此持反对态度。随后美国学者不再关注这一议题，国际社会对这一问题的关注度也随之降低。

　　第三，充分发挥多利益攸关方在理论探索、能力建设和信息共享方面的作用，为网络安全治理提供实质性支撑。尽管在网络安全治理进程中存在如信息安全开放式工作组和巴黎和平论坛等多利益攸关方机制，也有机构向一些发展中国家提供相应的援助，以提升弱国的网络安全防护能力，但是由于缺乏联合国的组织协调及动员更多资源，多利益攸关方的参与仍仅限于务虚讨论，无法作出更多实质性的贡献。实际上，与网络安全相关的机构，如计算机应急响应机构、网络安全企业、行业协会等在网络安全领域拥有重要的技术资源。将这些分散在不同领域、不同国家的机构力量整合在一起，将有助于极大提升国际网络安全。

　　第四，强化对进攻性网络行为的监督。在大国进攻性网络行为的影响之下，网络空间的军事化和国家安全化导致网络空间越来越无序。在缺乏规则约束的情况下，一些网络大国各行其是，依据自身的利益制定网络空间战略，维护自身网络空间安全，导致网络空间的“巴尔干化”。与此同时，国家在网络空间的冲突不断，又缺乏相应的争端解决机制，进而对国际安全构成严重挑战。特别是一些国家积极发展进攻性网络力量，消极对待网络空间机制建设，严重阻碍了网络空间治理进程。例如，美国政府明确提出的持续性网络政策，强调“前置防御”“前沿狩猎”，意在干扰他国网络主权，将自身网络安全凌驾于对其他国家网络主权的侵犯之上。因此，国际社会应当对此类公然、肆意侵犯他国网络主权的行为予以监督和谴责。