信息安全问题的特点和趋势(一)
【内容提要】文章对信息安全问题的主要特点和趋势从其高度脆弱性和风险性、安全攻击源和防范对象的不确定性、信息空间活动主体的虚拟实在化、反传统的技术维度和复杂的“人-机”关系、网络世界的互联互动与全球“即时效应”、信息安全的不对称性和反传统的力量对比格局等诸多方面进行了阐述。
【摘要题】信息法学
【关键词】信息/信息安全/安全战略/信息空间……
【正文】
国家安全面临的新形势的出现，主要归因于信息空间和网络世界史无前例的本质和特性。概括起来看，信息安全问题具有下述主要特点和趋势。
1社会总体信息结构的高度脆弱性和风险性
以网络为基础的社会总体信息结构（军事、经济、政治、管理，乃至交通、通讯、医疗等一切方面）具有高度脆弱性和风险性，从而使信息安全威胁对于全社会产生极强的破坏性和弥漫性。
随着计算机的大面积应用，越来越多的机构不得不重新布局以与技术的发展保持一致。在这个过程中，社会作为整体，变得越来越依赖于大型与微妙相结合的技术系统。网络成为国家控制经济和安全的不可缺少的技术盔甲，它的安全、持续运转，成为维系社会秩序的先决条件。今天不单是全球化金融系统利用网络在世界范围内转移资金、大
多数公司把财务记录储存在计算机内，甚至国家的整个军用和民用基础设施都越来越依赖于网络。如今网络不仅是信息传递的工具，而且是控制系统的中枢；不仅国防设施要靠网络指挥，包括电话网、油气管道、电力网、交通管理系统、金融系统和卫生保健系统等事关国计民生的各个方面，都越来越依赖于网络的安全性。在严重不公、缺乏合适的国际治理机制的现时代，难以控制的技术漏洞必然会导致不可避免的安全攻击和灾难。正如GeorgeK.Walker所概括的：“全球范围内正在出现一场由有形生产和破坏方式向无形生产和破坏方式过渡（转变）的革命性变化，信息战（信息恐怖主义）正是作为这种全球性革命变化一部分的冲突的示范性表现。”1]
正因为如此，美国等国家都已把防范与对抗对关键信息基础设施的信息攻击和破坏作为新时代国家安全战略的重点。美国国家安全委员会安全基础设施保护与反恐怖主义全国协调员RichardClarke1999年10月14日在一个招待会上发表主题演讲时，就曾一针见血地指出了美国信息系统的脆弱性和易受攻击性。他指出：“我们未来的敌人会寻找其他比通过常规军事途径与我们争斗更能保证成功的途径。用五角大楼的话说，他们会寻找‘不对称机会’（asymmetricalopportunities）；或者用报界的说法，他们会寻找我们的‘致命要害’（Achilleshell），在芝加哥、纽约。”他对这种危险的分析是具有启示意义的。在过去8年中美国开展了一场信息技术革命，世界其他国家尾随其后追赶这场革命浪潮。信息技术革命对于我们美国的经济是一件了不起的事情，生产力大幅
度提高，效率飞升，但与此同时，也正是因为信息技术革命（的神奇之功），我们把自己暴露在易受攻击的脆弱地位。因而，他第一个在美国发出了耸人听闻的预言：“我们可能会遭遇电子珍珠港事件。”2]“不管信息威胁采取什么方式，美国都将面临一个相互联系更为密切的世界。正如中央情报局的报告所指出的那样，信息技术在全球扩散的反射作用是我们最大的弱点。我们的“联网”社会使我们全体（尤其是企业，因为企业必须与顾客公开交流）处于敌人攻击的高风险区。一般来说，信息技术的传播和全球数字网络的发展意味着我们对于国家安全的考虑受到更大范围的挑战。我们应该从全球安全的角度来思考问题，要清晰地认识到，世界其他地方的自由和繁荣与美国国内利益是密不可分的。”3]
美国“保护信息基础设施总统委员会”在对物质攻击和信息攻击的威胁作评估时得出如下结论：“虽然利用物质缺陷的物质手段对我们目前的基础设施来说依然是一种非常令人头痛的威胁。但我们遇到的几乎每一个团体都表示了对新的信息缺陷和威胁的担心。他们都强调在信息威胁变成现实、造成极大的系统破坏之前，必须想出办法来保护我们的基础设施。”1997年6月，美国国家安全部执行的一项代号为“合格接受者”的演习，进一步证实了关键系统具有受到可能的信息攻击的缺陷。演习的目的是确定美国军事电脑和某些民用基础设施易受信息攻击的弱点。根据报告，以两人为单位的小组攻击特定的部分军用基础设施，包括在夏威夷管辖亚洲10万军队的美国太平洋司令部。其中一
人扮演攻击者的角色，另一个人监督攻击活动，确保它按预定计划进行。国家安全部的黑客只使用互联网上到处可以得到的黑客工具，便成功地入侵了许多系统。他们的结论是，军用基础设施能够遭到破坏，军队部署能够被干扰。这次演习也包括攻击电力系统和911应急系统，结果它们的服务都遭到了破坏。对于911系统，他们假定，如果发送足够多的电子邮件给互联网用户，告诉他们911系统有问题，许多好奇的人一定会立即打电话给911，从而使系统超载。对民用基础设施没有实施实际的攻击。
2安全攻击源和防范对象的不确定性
安全攻击源和安全防范对象的模糊性、多元性和广谱化，使安全限界的确定十分困难，并向安全防卫提出了前所未有的挑战。
在某些情况下，某一事件从个人关注、地区事务、公司事件或是政府问题上升到成为国家安全的关注对象，具有一个分界线。随着国家变得日益依赖于信息科技和由它们所提供的能力，以及传统边界的模糊化，确定这条分界线会越来越困难，可能会有越来越多的问题被解释成为国家安全关注点。其中的艺术和必须注意的要点是决定这一分界线会在何时、何地发生。很明显，信息时代的国家安全分析家，规划者和决策制定者们，必须能够辨别针对国家安全的挑战和威胁中的高风险度和低风险度行为，从本质上来说，也就是确定什么是国家安全问题和其他非紧迫性关注点之间的分界线。
传统边界的模糊化是确定分界线的主要困难。由于在信息社会中，公
用和私人网络互联，军用和民用网络互联，各国之间的网络都已联为一体，各类用户数量极大，你很难搞清进攻是来自国内还是国外，也很难搞清楚某次进攻究竟应算是犯罪活动，还是战争。比如说，一个弱国，可以收买个人或犯罪团伙，对强国发动战略信息战进攻，可是你却找不到主使者。总而言之，你很可能不知道谁在被攻击，被谁攻击……或谁在主使。在对互联网上恐怖分子所带来的危险提出警告时几乎并不存在着这种危险是来自于国内还是国外的区别。类似的，国家安全威胁概念已经被扩大，并包含了传统上届于犯罪现象而并非是国家安全方面的问题。国外与国内以及犯罪行为与国家安全威胁之间界线的消亡将会对基本的捍卫公民自由的制度产生深刻的影响。虽然这些界线已正在消失，但它们之间的模糊性可能会随着互联网的发展而变得更为显著。正如同美国总统关键基础设施保护委员会的报告（“基础设施报告”）所概括的，对于数码网络的攻击可能来自于普通的罪犯也可能会是恐怖分子攻击的一部分，而政府可能将不能够，至少是在最初阶段，鉴别出其中犯罪者。4]因此，如何防范和反击战略信息战进攻，由谁负责防范和反击，最根本的是以对付国外潜在敌人的方式还是以对付国内犯罪的方式进行防范和反击，都成了问题。这不仅牵涉到防范和反击的难度，而且牵涉到立法、执法，以及有效防范与保障公民基本权利的矛盾等问题。
对于国家安全战略家和规划者们来说，信息时代对信息安全威胁的范围更加广阔。特别困难的一个方面是从国家到个人的潜在攻击者的多
样性。例如跨国犯罪团体，恐怖主义组织，分裂主义集团和信徒在内的非国家行为者们都能够获得信息战武器或是雇佣信息战杀手。与政府行为相比，对它们的攻击可能会难以进行追踪、惩罚和阻止。这些日益分散的实体，由信息技术相互联系在一起。当非国家行为者发动攻击时，网络化通讯既能增加它们的潜力又能隐藏它们的踪迹。此外，信息革命正在部落、层级组织和市场之外，创造出网络这种新的人类基本组织方式。正如美国国防委员会的报告所强调的，这些行为者可能成为21世纪的主要安全影响源。
因为来自于信息时代科技的能力，跨国公司和非政府组织对一个国家达成其国家安全目标的能力提出挑战和造成威胁变得更为可能和可行。这种行为者具有很强的广谱性，而且常常以虚拟团体形式出现，这就更增加了划分边界的困难。既然信息时代的科技将会对分布广泛的具有类似利益、前景或目标的个人和组织之间进行方便的沟通提供帮助和支持，因此，信息时代将可能会见证在国内政策或国际事务对某些问题具有发言权，并使“虚拟”实体的建立和扩散发挥作用。这些虚拟实体中的某一部分的存在可能会是短暂的，并且只专注于某个单一问题。虽然虚拟实体中的绝大部分可能会被基础完善的国家行为者们所忽略，但某些在特定问题上具有强烈观点以及具有高度发展的科技技能的虚拟实体也可能会成为国内和国际舞台上的参与者。并不难以设想，一个具有高度科技技能的种族、宗教或环境运动激进小集团获得了一个虚拟的身份，并要求一个国家或是一家公司要么采取某种特定行动，
要么就遭受从一个未经确认的网址所发动以电子化方式造成的极端不利的后果。这类威胁和要求，可能会很快变成国家安全问题，并因此而使信息时代复杂的国家安全决策环境变得更加复杂。
信息时代的科技将会产生具有科技能力的个人。不可避免的，电子化盗窃、勒索、贪污、数据更改和破坏服务等企图会发生。如果它们发生在一个特定的分界线之下，它们将不会构成国家安全问题。但是，如果其中的任何一些企图发生在一个特定分界线之上，它们也可能会成为国家安全问题。鉴于由信息时代科技所带来能力的性质以及以信息为基础的社会对它们依存度的提高，单个追求自己个人目的的具有超强能力的个人能够改变数据，破坏运作或危及对于国家安全来说至关重要的信息和通讯系统。这样，由于攻击的低成本投入，技术手段的易获取性，必将导致安全隐患源的弥漫性。这就构成了信息安全的重要特点和趋势。
3信息空间活动主体的虚拟实在化
信息空间活动主体身份的虚拟实在化，不仅与经济活动中的信用需要产生了矛盾，而且也给主体人格利益的保护带来诸多困难，从信息安全角度看，则成为重要的威胁隐患之一。
信息空间是由物理空间延伸、衍生而成的，但它所体现的仍然是人类社会的现实和标准。网络活动的法律主体和传统的市场经济的法律主体相比，有着明显的自身的和时代的特点。最突出的是活动主体身份的虚拟化。首先，在网络经济活动中，身份虚拟化从某种意义上减弱
了网上交易的可信性，甚至使网络活动的信用降至冰点。其次，权利客体的数字信息化与网络空间权利行使方式的网络化，使网络权利保护成为难题。网络给权利主体、客体、内容的认定均带来一定的困难，从而影响到对权利的切实保护。在网络经济时代，知识产权（或者说信息产权）已成为财产权的主导权利形态，其权利客体是在网络中储存流动的数字信息。其他传统财产，如物权与债权在网络空间也呈现出数字信息化的趋势，电子货币、电子证券等便是其典型表现形式。权利客体的数字信息化也从根本上改变着整个权利体系，许多传统的概念需要重新认识，众多围绕权利展开的行为也面临着重新定性。最后，在信息空间中，主体的身份主要以数码为识别标志，主体人格与身份呈虚拟特性。这种身份数字化趋势，使人们难以根据数码信息的指示来确定真正用户的真实身份，在许多情况下难以判断网络活动的主体归属。从而出现了许多与信息空间内主体身份特征有关的新问题：在网络更趋复杂化的条件下，主体形象在网络空间中的表现形式丰富多样，且与主体人格利益联系紧密；精神型与物质型人格利益以及财产权益交叉难分；主体的人格利益也更趋丰富，主观动机与客观效果常不一致；罪与非罪的界限常常难以清楚划定；而且不经意的操作失误也可能酿成严重后果。凡此种种，向我们显示，主体身份的虚拟化不仅与经济活动中的信用需要产生了矛盾，而且也给主体人格利益的保护带来诸多困难，从信息安全角度看，则成为重要的威胁隐患之一。4反传统的技术维度和复杂的“人-机”关系谜团
信息空间技术系统的非人化因素和非人化行为，给信息安全防范增加了反传统的技术维度和复杂的“人-机”关系谜团。