数字政府网络和数据安全总体情况如何？

数字政府作为数字中国、数字经济的重要基础，已成为提升国家治理能力现代化的重要战略举措和推进服务型政府建设的有力抓手。

2022 年，国务院印发《关于加强数字政府建设的指导意见》，提出加强数字政府建设是适应新一轮科技革命和产业变革趋势、引领驱动数字经济发展和数字社会建设、营造良好数字生态、加快数字化发展的必然要求，是建设网络强国、数字中国的基础性和先导性工程，是创新政府治理理念和方式、形成数字治理新格局、推进国家治理体系和治理能力现代化的重要举措。近几年，数字政府建设践行以人民为中心的发展思想，借助信息化技术，在政务服务一网通办、省域治理一网统管、政府运行一网协同、政务数据一网共享等方面取得了显著的成绩，极大提升了政府效率和公共服务水平，进而促进社会和谐稳定、社会经济发展和人民幸福生活，形成了整体联动的数字化治理新格局。但是，随着数字政府建设的深入，数字政府成为政府服务的主要形式之一，同时，各地数字政府承载的政府数据价值也越来越高，保障数字政府网络和数据。

我国以总体国家安全观为指导，不断完善网络和数据安全法制体系，坚决维护网络安全、数据安全和公民个人信息安全。2017 年 6 月 1 日，《中华人民共和国网络安全法》正式施行，这是我国网络安全领域的首部基础性、框架性、综合性法律。之后，相继颁布《中华人民共和国密码法》《中华人民共和国数据安全法》《关键信息基础设施安全保护条例》《中华人民共和国个人信息保护法》等法律法规，出台《云计算服务安全评估办法》《网络安全审查办法》等政策文件，发布了《网络数据安全管理条例（征求意见稿）》并将之列为国务院 2023 年度立法工作计划。特别是，2023年，中共中央、国务院印发《数字中国建设整体布局规划》，提出强化数字中国关键能力，“筑牢可信可控的数字安全屏障。切实维护网络安全，完善网络安全法律法规和政策体系。增强数据安全保障能力，建立数据分类分级保护基础制度，健全网络数据监测预警和应急处置工作体系”，为数字政府网络和数据安全工作指明了方向。

中国政府整体经历了“政府信息化—电子政务—数字政府”三个阶段。“政府信息化”阶段是以政府为中心，以提高行政效率为目标，数据作为一种资料，不对外公开，处于“保密状态”；“电子政务”阶段，政府逐渐把信息技术作为改进组织内部效率的工具，“块”状的各级政府开始建设政府门户网站，推出政务微博，及时回应公众网络参与需求，积极改进政府服务质量，数据作为一种工具，在《政府信息公开条例》的规范和要求下，逐渐开始对外公开，保障公众的知情权；“数字政府”阶段是以推进国家治理体系与治理能力现代化为目标，实现了向以人民为中心的行政理念转变，政府数字化转型过程中，由于缺乏相应的技术资源，便与互联网企业合作建设与运营数字公共服务平台，平台成为资源配置的重要方式，优化了公共资源的使用效率，数字政府正式进入了以数据为核心的建设阶段，数据治理、数据资产化成为关键，呈现普惠化、智能化、平台化、集约化、自主化趋势。同时，政府网络作为政府关键信息基础设施，承载了全国一体化政务服务业务和重要数据，政府网络一旦遇到安全风险，可能导致重要信息丢失甚至暴露，带来难以估量的损失，因此，数字政府对网络安全提出了泛在化、生态化、要素化、交叉化等新的挑战，亟需建立兼顾发展与安全的数字政府网络和数据安全综合保障体系。

数字政府网络和数据安全，是指政府在引领驱动数字经济发展和数字社会建设、营造良好数字生态、加快数字化转型的过程中，通过采取必要措施确保政府信息化服务不中断，数据处于有效保护、合法利用、有序流通的状态，以及政府网络空间安全具备持续安全状态的能力。数字政府网络和数据安全既涵盖网络安全和数据安全，也体现了兼顾发展与安全的内涵。一是网络安全方面，指通过采取必要的措施，防范对政府网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使数字政府的网络处于稳定可靠运行的状态，以及保障数字政府网络数据的完整性、保密性、可用性的能力，支撑政府信息化设施的安全运行和合法使用。二是数据安全方面，指通过采取必要措施，确保政府数据处于有效保护和合法利用的状态，以及具备保障持续安全状态的能力，实现数据作为关键要素安全有序的流通和使用。三是兼顾发展与安全内涵方面。发展层面，政府数据作为我国重要的生产要素，政府网络和数据安全体现了国家对政务网络和政务数据的管辖权和所有权的数据主权深意，保障政府数据在安全合规的前提下有序流通；安全层面，数字政府网络安全保障了网络内数据创建、存储、使用、共享、保护和删除全生命周期的安全，并对跨网流通的数据实施安全管控，同时，数据加密、数据脱敏等数据安全技术的提高也保障了政府网络信息和数据信息的安全。

网络和数据安全已经成为影响国家安全和社会经济运行发展的关键因素，与公民的隐私安全和财产安全息息相关。大数据技术的快速发展加速推动全球政府治理方式的变革，打破各种信息“壁垒”和数据“孤岛”，推动政府数据跨部门、跨层级、跨区域共建共享共用，扩大政府数据应用场景，已逐渐成为基本态势。数字政府网络和数据为各部门的科学决策提供了支撑，给人民群众生活生产带来了便利的同时，也为不法分子树立了攻击目标，使得数字政府网络和数据面临的安全问题日益凸显，网络和数据安全形势愈加严峻。一是关键信息基础设施成为数字政府网络攻击的重点。政务、能源、电力、通信等领域的关键信息基础设施是经济社会运行的神经中枢，是网络安全的重中之重，但同时也是重点被攻击的目标。根据Check Point Research(CPR)发布的有关 2022 年网络攻击趋势的新数据，与2021 年相比，2022 年全球网络攻击增加了 38%，其中政府/军事部门，平均每周所遇攻击次数为 1661 次，与2021 同期相比增长了46%。

2022 年 3 月初，美国联邦调查局、网络安全和基础设施安全局联合发布了一份告警称，Ragnar Locker 勒索组织正大规模攻击美国关键基础设施，并确定至少有52 个关键基础设施被入侵，涉及关键制造业、能源、金融服务、政府和信息技术领域等领域。5 月，意大利参议院、上议院、国防部等多个重要政府网站遭到网络攻击，网站无法访问至少1个小时，受影响的还有国际空间站、国家卫生研究所、意大利汽车俱乐部等机构网站。攻击者利用网站漏洞、弱口令和安全配置缺失等脆弱性，针对政务网站实施攻击，导致政务网站页面篡改、信息泄露和网站瘫痪等，给政务网络安全带来严重危害，甚至危及国家安全和社会稳定。

二是政务数据信息泄露等网络安全事件频发。电子政务数据敏感度高，数据价值密集，与现有各类海量数据不断汇聚集中后，已经成为事关国家安全、经济发展、社会稳定的重要战略资源。随着政务大数据的多样化、规模化特点不断突出，其在政治、经济、社会等方面的重要性和价值不断增强，政务大数据成为网络攻击、窃密的重点目标，尤其是新技术、新应用的广泛发展，大量政务服务数据、日志信息、个人隐私信息和用户行为记录等的汇集和集中存储，增加了数据泄露的风险和危害程度。根据绿盟威胁情报中心统计，金融行业位居2021年涉及国内政府和企事业单位的源代码泄露事件首位，占比44%，其次是政府和能源行业，分别占比27%和9%。这些泄露代码会对组织和机构造成持续性威胁，攻击者可能利用泄露的源代码分析发现漏洞，并对系统安全进行渗透，上传恶意程序获取访问权限，从而窃取关键敏感信息，或进行勒索攻击，这些威胁隐患都将给组织带来不可预计的损失。

三是供应链攻击加剧数字政府网络安全风险。随着软件产业的快速发展，软件供应链也越发复杂多元。供应链攻击作为源头之害，其可导致信息泄露、弹窗攻击和被远程控制，数据遭窃取或篡改等危害，导致数字政府信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，Gartner 将其列为2022 年的第二大威胁，并预测到2025 年，全球45%的组织将遭受一次或多次软件供应链攻击。2020 年 12 月，美国知名 IT 公司SolarWinds 旗下的Orion网络监控软件更新服务器遭黑客入侵并植入恶意代码，利用这些恶意软件感染了 18,000 家私营企业和政府机构，受害部门包括美国国防部、财政部、国土安全部、商务部和国务院。由于恶意代码通常隐藏在很多合法代码中，供应链攻击通常难以发现，因此对于数字政府而言，尤其是涉及到国家安全和国民经济命脉的关联领域，如军工、电力电网、电信、航空运输和石油石化等，建议通过网络安全能力评估提升网络安全意识，加强对上游供应商发布的产品/补丁的审查，扩大审查范围，强化审查流程，以保障国民经济生活安全。

四是勒索攻击持续威胁数字政府网络安全。随着云计算、人工智能等新技术的快速普及和应用，勒索软件即服务成为当前网络攻击的新模式。几乎所有国家的政府、金融、教育、医疗、制造、交通、能源等行业均受到影响，可以说有互联网的地方就可能存在勒索攻击。勒索攻击使用的加密手段越来越复杂多样，绝大多数不能被解密，业内专家普遍认为遭受勒索攻击之后，没有“特效药”。《2022产业互联网安全十大趋势》指出，2022 年勒索模式趋向从数据敲诈向多重勒索、勒索病毒和供应链的组合攻击模式演变，勒索攻击的危害将进一步扩大。可以说，勒索攻击已经成为未来一段时期网络安全的最主要威胁之一。2022 年 4 月，哥斯达黎加遭Conti 勒索攻击，政府和经济遭遇打击，其新任总统宣布进入“国家网络安全紧急状态”。哥斯达黎加财政部、海关和人力资源社保机构等多个政府机构的网络系统遭袭，财政部的数TB 数据和800 多台服务器均受到影响，致使其国家财政部陷入瘫痪，不仅影响了政府服务，还影响了从事进出口的私营部门。这一系列针对哥斯达黎加政府的攻击，清楚地展示勒索软件攻击可能对政府组织造成深刻和破坏性后果，或将开启一个新的勒索软件时代。如果没有投入足够的资源进行勒索软件攻击准备和缓解，以及为全体工作人员等提供网络安全意识和技能培训以应对此类威胁，存在整个国家因为网络攻击而陷入瘫痪的风险。