全国政协委员周鸿祎： 漏洞是网络安全的“命门” 人才对抗是网络安全本质

近年来，随着我国网络技术水平的不断提升，基于互联网诞生的新产业新模式如雨后春笋般涌现，而随之而来的网络安全问题也越来越受到关注与重视。日前，全国政协委员、360集团董事长兼CEO周鸿祎在两会间隙接受《中国经营报》记者采访时表示，网络安全已经从“信息安全”向“大安全”时代转变，网络安全的影响也随着互联网像水电一样成为社会运行的基础设施，影响到整个社会的方方面面。为此，周鸿祎表示自己这次上两会，从专业领域角度带来了几个提案都和网络安全息息相关，希望能够帮助国家真正提升网络安全水平。

工业互联网需要“网络安全”护航

周鸿祎表示，近年来工业互联网的发展使得现实世界和网络世界深度联通，导致网络空间的攻击穿透虚拟空间，直接影响到工业运行安全，并扩散、渗透到城市安全、人身安全、关键基础设施安全，乃至国家安全，造成的后果日益严重。网络安全从“信息安全”时代进入了“大安全”时代，工业互联网已成为国与国之间网络战的攻击目标。

工业企业对网络安全不够重视，安全能力普遍缺乏，门户洞开。随着工业领域网络化、智能化的推进，工业控制系统的安全隐患越来越突出。

另外，网络安全企业的产品和服务适配度不高，难以满足工业实际需要；以及工业企业和网络安全企业单打独斗多，深度合作少都是目前存在的问题。

针对这些问题，周鸿祎提出相应方案：

制定让工业企业上网络安全系统的强制性政策。

不少工业企业出于成本、当下运行的稳定等考虑，对网络安全系统重视不够。很多工业控制系统使用期超过10年，为保证控制的稳定性，工控系统没有安装任何补丁，也没有安装杀毒软件，存在极大的安全隐患。建议制定工业企业上网络安全系统的强制性政策，让工业运行系统与网络安保系统融为一体，确保工业发展长治久安。

鼓励工控系统制造企业、工业企业和网络安全企业深度合作。

工业互联网安全覆盖面广、业务差异大、敏感度高，建议制定加快促进工业企业与网络安全企业合作的鼓励政策，成立国家级企业，选择汽车、航空航天、能源等重点产业进行集中攻关，合作研发高精尖安全产品和解决方案，共同打造高效、安全的工业互联网。

产业政策要重视对工业互联网安全的倾斜。

虽然我们已经逐渐意识到网络安全的重要性，但是安全不创造价值的观念依然普遍存在，相关投入依然不足。美国的网络安全投入占IT投入10%，而我国只有2%。建议国家加大对这方面的投入，以网络安全保护产业价值。

漏洞是网络安全的“命门”，需要强化管理

周鸿祎认为，漏洞是网络安全的“命门”。软硬件系统漏洞使得攻击者可以利用漏洞窃取信息或者控制、破坏目标系统，从而引发各种网络安全问题。

我国在网络安全漏洞管理方面存在对漏洞不重视、修复不及时现象，以及缺少具体的漏洞修复管理细则和处罚机制等问题。为强化网络安全漏洞管理，降低被攻击风险，提高我国网络安全防护能力，周鸿祎建议：

建立漏洞管理全流程监督处罚制度。

尽快制定覆盖网络安全漏洞发现、审核、披露、通报、修复、追责等全流程的管理细则，强制要求漏洞必须及时修复，对漏洞修复时间以及违规处罚措施予以明确规定。此外，应建立监督检查机制和力量，及时发现未及时修复漏洞的行为，并追究相关单位和责任人责任。

强制执行重要信息系统上线前漏洞检测。

对涉及国计民生、国家关键信息基础设施的重大信息系统工程和项目，一方面在其上线运行或交付使用之前，应强制要求进行网络安全漏洞的自检和备案，尤其应加强源代码层面的安全缺陷和漏洞检测。另一方面，国家网络安全主管部门应对上线系统进行抽检，发现问题及时整改。同时，应引导和鼓励软硬件系统开发企业加强安全开发规范和流程，尽量在源头避免网络安全漏洞的出现。

强制召回存在重大网络安全漏洞产品。

对存在严重网络安全漏洞，可能导致大规模用户隐私泄露、人身伤害或者影响民生服务、关键基础设施正常运行的软硬件产品，尤其是物联网、智能汽车等产品，应借鉴汽车行业的做法，对存在重大网络安全漏洞产品的实施强制召回，避免造成更大的损失。

鼓励政企单位采用众测众包方式发现和收集漏洞。