罗伯特·马德林(Robert Madelin) 谈网络攻击如何威胁现代社会的根基。本次访谈是 风险应对网络(Risk Response Network)“如果……会怎样?”系列的一部分。
根据您的研究,您认为最被低估的风险是什么?
就被低估的风险而言,我想说,由于非典(SARS)和禽流感,公共卫生风险如今已得到更多重视。但如果我从那个领域转到信息社会(大约两年前我就是这样),我会说,这一风险就是人们对规模相当的网络安全问题完全缺乏意识。
一个被低估的关键风险是全球网络大流行,无论是意外事故、恐怖分子还是国家发动的攻击,都会破坏我们赖以生存的全球互联网系统。这可能是针对互联网本身的攻击,也可能通过对其他某种网络化系统的冲击而发生,例如全球空中交通管制或全球能源基础设施。
您会如何将这一风险设定为一种假设情景,具体来说,如果这场全球网络大流行真的发生会怎样?
我认为我们所说的,例如是一种震网(Stuxnet)式的情景:一种有针对性的“病症”被开发出来,却可能以非预期的方式扩散。就像人类疾病的传播一样,它可能从一个密集节点蔓延到另一个密集节点。有些地方(与大流行病类似)可能较晚受到波及,而伦敦、东京或首尔等其他地方可能较早受到波及。这可能是某个问题的病毒式扩散,也可能是同时发生的多起攻击,或是局部性的疫情,这取决于它究竟如何感染网络化系统。
根据您的分析,这种情景可能如何演变?
崩溃的密集节点越多,后果就越严重。但在任何特定地方,我认为这一点被低估了:这将是对现代社会运转方式的一次攻击,其后果被低估了,因此这绝不仅仅关乎互联网,也不仅仅是互联网工程师的问题。就像大流行病蔓延一样,这就是您将面对的那类挑战:电子通信严重中断三四天。
当我们在大流行情景中审视这些风险时,整个供应链在这样的时间跨度内便开始受到影响。智能电网一旦瘫痪,后果很快就会显现,24小时之内就能看到。超市也是如此:如果冷藏系统发生故障,食品很快就会变质。
谁会受到最大影响,又会以何种方式受到影响?
关于谁和如何:谁的问题是,它会通过网络化系统影响到每一个人。至于如何,首先是通过交通、通信和物流,接着是电力和供水系统。
您认为我们对这种突发情况的准备有多充分?
就集成信息系统中网络大流行的风险而言,IT领域之外没有人对此进行过足够深入的思考。
那么,您应对这一风险的首要缓解方法是什么?
第一种方法是跨部门伙伴关系,我们已开始部署,只是进展相当缓慢。它涉及众多不同行业的企业、政府和民间社会共同努力,从横向上提高认识。
另一种方法是由政府强制要求采取更适当的安全措施。这不仅仅是说某个政府或欧盟的防火墙不够完善,而是要真正思考我们如何建立并改进安全体系。这不仅是分别考察家庭或企业的安全,而是全面提高标准。
想必协同联动的政府也将是其中的一部分,因为应对这类风险的缓解措施会跨越不同的部委?
当然,协同联动的政府绝对是其中一部分。这也正是我在(欧盟委员会)卫生部门从事卫生工作时所经历的挑战:当你发现这类问题并对同事说我们必须采取行动时,同事们却说不用担心,大家都别着急。我想说,安全界、北约(NATO)界和民间社会正开始思考这些问题,但是各自平行思考,而不是共同思考。
从风险的另一面来看,您看到了哪些机遇?
最明显的机遇是,人们开始对这一风险足够担忧,从而在全球层面实现协同联动的政府治理。这样,我们就更有可能让互联网这条通途保持畅通无阻,这显然对我们所有人至关重要,对数字经济的增长也至关重要。
去年夏天在多维尔举行的八国集团(G8)峰会上,这一点已十分明显:网络安全问题太大,任何单一国家都无法独自解决。我们需要加大力度,协调各方努力。这对于无国界、全球化的互联网经济至关重要。
我们是在谈论修订《布达佩斯公约》(关于网络犯罪),因为它如今显然已相当过时?
嗯,那是八国集团具有里程碑意义的时刻:我们看到俄罗斯和美国公开表示确实需要在这方面合作,中国也首次表示让我们来谈谈这个问题。不过我认为,我们现阶段未必需要说要一项新公约。现阶段我们需要的是联系,而不是规则。
主要问题在于我们看待世界的方式。每个人仍然看到的是国界,而不是一个整体的世界。但在互联网这个在线世界中,我们如何协同?这体现在数据保护、网络犯罪、网络安全标准和知识产权的法律处理方式上。缺失的一环是一项总体原则,能够调和属地管辖权与只有互联网才能带来的效率。
一旦涉及管辖权,你就会一再遇到同样的问题。这意味着你必须逐项、逐个领域地加以处理。在版权方面,互联网绝不应颠覆版权法。此外还有紧迫的数据保护问题。因此,你必须把它提升到更具战略性的层面。问题不在于我们是否需要互联网,而在于我们需要一项针对互联网经济的“布雷顿森林”式协议,但它不应取消各国的自主裁量权。
您是否认为这是一个如何才能最好地在网上保护我们国家利益的问题?
我们需要把国家自主裁量权及其与互联网治理的关系更明确地界定出来,同时受公共卫生和公共秩序方面常见例外情形的约束。除非我们有一个基于申诉的体系,否则国家管辖权可能凌驾于全球互联网治理之上。有些人会说,世界贸易组织(World Trade Organization)和其他场合已经处理过这个问题,但我不太确定这种说法是否正确。
图片:代表们在马尼拉举行的亚洲开发银行年会上上网(路透社)
罗伯特·马德林(Robert Madelin) 现任欧盟委员会(European Commission)信息社会与媒体总司司长(布鲁塞尔),同时是世界经济论坛全球议程理事会“ 媒体、娱乐与信息