提升国家数据基础设施内生安全水平

　　数字经济时代，数据如同血液一般，流淌在社会的每一个角落，推动着经济蓬勃发展，也深刻地影响着我们的生活。然而，随着数据的广泛应用和价值的不断提升，以AI为代表的新技术尤其是DeepSeek等开源大模型的普及，使得数据安全风险也日益凸显。

　　全国人大代表，江苏省电子信息产品质量监督检验研究院党委书记、院长吴兰在今年的全国两会议案中，重点关注了国家数据基础设施内生安全。她表示，随着数字经济的快速发展，数据面临的安全风险呈现多元化态势，成为制约数字经济健康发展的一大瓶颈。政产学研各方要形成合力，推动提升国家数据基础设施内生安全水平。

　　数据基础设施安全面临挑战

　　“随着网络空间的不断扩大，网络攻击规模逐渐扩大、手段也越发复杂，攻击行为变得更加难以识别和控制。”吴兰表示，当前，数据勒索事件层出不穷，需要数据在“采集—传输—存储—计算”等环节都具备机密性、完整性保护能力，而传统外置式安全防护方案无法提供相应的安全防护手段。尤其是当前的数据在“计算”环节都是明文存在于CPU、内存、GPU等设备，成为整个系统安全的风险点。

　　面对新形势下计算、存储、网络安全风险，各国都在通过立法、安全认证以及新的安全技术重新构建网络防御体系，数据基础设施安全能力正形成以设备设施原生安全为基础的内生安全防护体系。

　　内生安全是将安全能力内置到信息化环境中，通过信息化系统和安全系统的聚合、业务数据和安全数据的聚合、IT人才和安全人才的聚合，实现自主、自适应和自成长的安全机制。这种机制强调从体系内部构建安全机制，优势在于其深度整合与智能化，为云网边端提供了一个无缝融合的安全框架，适应不断变化的威胁环境。

　　我国近期发布的《国家数据基础设施建设指引》提到逐步建设国家级、区域级、行业级数据基础设施，提供芯片、软件、硬件、协议等内置后门、漏洞安全威胁的内生防护能力，确保数据的可信性、完整性和安全性。

　　实际上，业内已经积极开展内生安全技术研究，尤其重视以密码和硬件安全技术形成“计算”环节防护方案，如机密计算技术，构建数据存储、流通和利用环节的安全闭环。数据基础设施的安全强度取决于链条最弱的一环，“既要重视CPU、GPU、存储、网络等芯片层面的安全防护能力，又要在数据存储方面增强防勒索能力，还要形成基础设施级的整体安全防护能力”。

　　内生安全底座未稳创新基因待激发

　　吴兰表示，虽然我国产业界正在积极研究安全技术和实施方案，但仍有几个关键问题亟待解决。首先，国产化芯片、基础软件的内生安全技术和应用未得到充分重视。吴兰介绍，近年来国内产业界相继加大了自主创新力度，但在计算、存储、网络的内生安全技术创新和生态培育上存在不足，基本上是采用传统外置式安全防护方案，大量设备对抗攻击的安全能力考虑不充分，关键的业务系统数据（如密钥）缺乏硬件可信根保护，无法应对不断出现的各类新型网络攻击，网络安全事件频发。

　　其次，我国内生安全体系化标准和测评能力存在明显缺失。目前还没有数据基础设施安全等级标准作为建设参考，缺失“端到端”全生命周期机密性、完整性、可用性保护的标准，内生安全检测尚无标准可参考。吴兰介绍，由于安全的高度专业性，我国目前缺少权威机构对芯片、设备、系统等内生安全能力进行测评和认证，规划设计和建设单位缺少依据进行数据基础设施相关产品选型和系统安全防护方案设计。

　　最后，对内生安全技术创新应用的指导不足，具备内生安全能力的数据基础设施部署过少。我国计算、存储、网络设备提供商已经加大内生安全创新研究与应用力度，如机密计算、硬件加密、数据防勒索、可信数据流通等，在基础设施产品和解决方案中，融入必要的信任与安全防护机制。“但具备内生安全能力的产品在现网部署比例低，这导致数据基础设施面临更加严峻的安全形势。”吴兰说。

　　以标准评测技术攻关引领发展

　　吴兰建议通过开展数据基础设施内生安全技术体系研究、内生安全核心技术攻关、标准和评测体系研制、加大试点示范等措施，提升国家数据基础设施安全水平。

　　一是建议相关部门指导和组织产业界研究并出台内生安全技术和标准体系。研究和定义以数据为对象的内生安全能力要求、体系架构、技术标准和部署要求等。梳理我国内生安全技术及基础设施部署情况，组织专家组论证，对成熟的、具有国际领先水平的技术、产品和方案，直接推标，加快推广。对具有较高创新水平的内生安全技术，组织开展技术验证和试点示范，同步开展标准化和评测体系研究，加速推广应用。

　　建议设立专项，在机密计算、国密加速、后量子密码、可信数据流通等内生安全技术领域，组织我国安全领域产学研用力量，开展内生安全关键技术攻关；推动硬件加密、数据防勒索、可信数据交换、数据认证、数据授权等内生安全核心技术突破，积极应对人工智能时代的数据安全挑战。

　　二是建议组织开展数据基础设施内生安全能力评测。建议相关部门牵头组织相关机构研制芯片级、基础软件级、设备级、系统级内生安全测评认证体系，开展内生安全等级认证，为数据中心、算力中心以及关键数据基础设施的规划建设提供依据。

　　三是建议相关部门加强内生安全数据基础设施规划指导和建设指引。提供数据基础设施内生安全规划和建设指引，不断提升电信、金融、电力、互联网、能源、交通、教育、医疗等领域的内生安全设备设施应用比例，强调新建数据中心、算力中心以及网络基础设施建设应满足内生安全标准，逐步升级和改进存量数据基础设施的内生安全能力。采用具有内生安全能力的设备和系统做数据存储和容灾备份，提升防勒索能力。持续监测关键数据基础设施的安全态势，设立常态化安全检查和评测、重点督办等机制，确保数据基础设施运行处于较高的安全水平。

　　在关于加强远程协同办公系统信息安全保护的建议中，吴兰提到，远程协同办公系统已经广泛应用到我国各行各业，2023年中国视频会议行业市场规模达168.2亿元，2024年约为200.7亿元，市场呈增长趋势。但当前现存的认证标准相对陈旧，如各认证要求依据的标准为GB/T 18336-2015，依据的是2015年的标准。部分认证要求无级别差异，无法驱动各厂商进行有效改进。吴兰建议，建立远程协同办公系统安全认证标准的迭代和等级规范，并对视频会议系统的应用场景进行分级，逐步推行基于场景的分级认证策略。例如，结合全球认证现状、应用场景及被攻击后造成的社会影响，对视频会议系统进行等级划分可以分为：基础级，如教育、服务业等数据敏感性低的行业；标准级，制造业、中小企业需要保护基本数据的行业；增强级，医疗、金融、跨国企业数据相对需要加强保护；机密级，政府、军工等涉及国家机密或核心基础设施数据的部门。根据不同的级别实施不同的认证策略，“建议首先在机密级行业逐步制定、实施视频会议系统中各产品、服务的强制认证及评测标准，从而保护国家机密和基础设施中协同办公系统端到端的安全”。（记者　杨赞）