网安要闻 | 2024全国两会：关于加强网络安全的共性能力建设推动产业转型升级的提案

背  景

产业共性能力是产业体系中跨越主体和领域广泛使用，并对产业具备枢纽或支撑作用的关键环节。产业现代化的关键往往是依托共性能力和技术，形成链式分工协同和广泛生态。例如计算机产业中的CPU和操作系统、互联网产业中的互联网平台、新能源汽车产业中的电池和电机等，都是促成相关产业实现现代化的共性能力。

网络安全是国家重要战略新兴产业，具有鲜明的新质生产力潜质，但从共性能力和现代产业视角观察，也能发现产业存在的问题。

问  题

一是横向生长、低质竞争，背离现代产业运行模式。网络安全领域本身有需求细分特点，叠加于历史上的行业壁垒、复杂的产品资质体系等因素，导致市场供给形态由大量碎片化赛道组成。有效安全价值的效能要素尚未成为市场竞争的主导要素，关系和渠道依然占据关键作用。由于效能导向不足，最低价中标成为主要的竞争手段。由于难以取得价值深耕和差异性创新带来的溢价，规模型企业普遍走向横向生长模式：既忽略自身能力栈的支撑能力，无节制拓展自身产品赛道幅宽，片面追求适配场景全覆盖，有限研发能力被迅速摊薄，又依托于廉价、开源的能力获取，来进一步支撑产品幅宽和能力栈补齐，导致整体供给能力一定程度上处于“样样通，样样松”的状态，不仅检测防护能力参差不齐，甚至有些产品自身的代码安全工程能力也十分低下，反而造成了安全隐患。

二是共性能力频谱不清晰，在战略对位上存在结构性盲点。我国网络安全共性能力建设已经有很多特色和亮点，网安标准体系、国家漏洞库建设都比较成熟，行业最佳实践等工作也不断进步。但从共性能力体系全局来看，对标世界先进国家，依然还有较大提升空间。例如，在公共安全方法框架体系方面缺少类似CSF、Defend的结构性框架，在威胁模型和知识体系方面缺少类似MITRE ATT&CK的共性知识体系，在系统配置加固等微观安全策略层面缺少类似STIG这样的共性策略集合等。虽然国内产业界进行了部分的理念推广和实践跟进，但由于外方的相关封锁，有的不具备完整引进消化的可能性，有的和国内场景的适配度不够。我们面临的综合风险与挑战，也决定了我们需要建设自己完整的公共能力体系。

三是缺乏对共性能力创新主体的正向激励和保障。现代产业的共性能力广泛赋能产业场景，有较高开发门槛，需要规模化团队长期投入，需要持续创新和快速运行迭代。需要极高的研发和运营成本。网络安全产业的关键共性能力是威胁检测能力。以反病毒引擎研发维护为例，需要检测与识别的恶意代码总量，已经超过5万个家族、1500万个变种，覆盖超过百亿样本空间，日均新增超过200万个。需要大规模算力和规模性人力，才能有效支撑其研发和持续更新。但网络安全关系型市场的属性特点，导致价值分配以客户界面和直接供应商为主导，加之上游安全能力是被前端产品封装的隐性价值，在价值链视角缺失的情况下，对于承担关键性研发和运营成本的创新主体，很难形成对等的回馈和保障。

建  议

一是推进网络安全产业的结构转型。中国网络安全产业要成为真正的新质生产力，应积极强化共性能力建设，依托共性能力引擎，塑造分工协同、良性竞争的网安产业生态，按照现代产业体系的大分工和大协同发展范式完成现代产业范式破局。建议对网络安全产业进行合理的布局规划引导，鼓励专精、扶持优势能力发展，抑制低效投入，促进合理分工，引导网络安全行业有序协同发展。

二是梳理共性能力需求频谱，建立共性能力链规划。深入研究网络空间的国家安全共性能力需求，对标分析发达国家共性知识与能力建设现状，与一体化国家战略体系和能力建设要求对齐，构建包括共性方法、共性技术、共性知识、共性平台在内的功能能力价值链，重点围绕安全规划方法框架、威胁和安全能力知识图谱、公共安全算力平台等进行建设，确立公共资源的运营主体。通过专项投入支持等方式，弥补我国网络安全能力体系中的共性能力差距。

三是对供给高水平共性能力的创新主体进行激励和保障。积极展开领域共性能力应用现状和共性能力创新主体调研，了解创新主体面临的困难和问题。围绕下一代安全引擎、安全加固内核、安全芯片等共性能力进行重点支持，鼓励对AI安全等新场景研发共性安全能力，降低AI领域创业安全成本。对运营共性安全能力的平台建设在建设资金、用电、带宽等方面，给予算力中心建设一致的补贴。强制推进软硬件产品供应链透明化，实现上游能力供应方在最终客户场景的“露出”，反向推动产品厂商选择能力型供应方，既有利于供应链安全治理，也强化了共性能力创新主体的责任感和荣誉感。