【摘 要】 本文从加强智慧城市网络安全管理，应对和化解智慧城市网络安全威胁的角度，深入分析智慧城市网络安全管理的现状及存在的不足，并从4个方面提出了有针对性的建议。

【关键词】 智慧城市 网络安全 管理路径

1 引言

目前，我国智慧城市建设正在如火如荼地展开。随着新一代信息技术的快速发展和网络安全风险的趋高态势，智慧城市也面临着日益突出的网络安全风险。面对巨大的智慧城市网络安全风险，亟须建立健全智慧城市网络安全管理体系，从管理机制、制度规范、实施措施等方面加强体系建设，努力化解网络安全风险，促进智慧城市健康可持续发展。

2 智慧城市网络安全管理现状

2.1 顶层设计待健全

一是需出台网络安全工作顶层规划。智慧城市是集各类技术、多种应用、海量数据于一体的复杂系统，云计算、大数据、人工智能、物联网、空间地理信息集成等新一代信息技术在智慧城市中的深入应用，使得智慧城市呈现出数字化、网络化、信息化、智慧化的特征，面临的网络安全问题也更加多样，需要科学的网络安全顶层设计与规划。当前的智慧城市建设，一方面缺乏网络安全规划的总体安排、统一安全框架的设计理念和系统方法，尚未形成跨层级、跨地域、跨系统、跨部门、跨业务的网络安全整体保障体系；另一方面缺乏网络安全管理集中领导、统一部署和统筹推进的制度设计，安全管理工作不到位。

二是需健全技术与管理标准体系。国家有关机构正在组织制修订智慧城市相关标准规范，积极引导智慧城市建设，但其中关于网络安全保障的标准内容缺乏系统性、完整性、可操作性。截至目前，智慧城市建设的国家级标准包含GB/T 34680.4-2018《智慧城市 顶层设计指南》、GB/T 36622.3-2018《新型智慧城市评价指标》等在内的28项标准以及《国家智慧城市试点暂行管理办法》等管理制度，上海、江苏等地也都出台了智慧城市建设相关标准和管理制度。然而，基于智慧城市网络安全的标准规范，仅出台GB/T 37971-2019《信息安全技术 智慧城市安全体系框架》，智慧城市各类技术应用、业务场景的安全标准规范，以及智慧城市网络安全管理、监督、评价的标准指南，还存在体系化欠缺。

三是需提升安全意识，增加安全投入。部分智慧城市建设单位还未建立站在国家安全的高度看待网络安全的意识，安全保障建设与信息化建设不同步，“重应用，轻安全”“先建设，再规范”的思想观念仍然存在。不少项目的安全投入与高额的建设资金相比显得极不相称，有限的安全投入仅以合规为目的，安全产品的堆砌无法有效应对安全风险，总体系统较为脆弱。一些机构和公民对网络安全的重要性认识不够，基本防护技能掌握不足，由此引发的安全事件层出不穷。

2.2 组织与管理机制待加强

一是安全工作需强化总体部署与统筹联动。国家新型智慧城市建设部际协调工作组由国家发展改革委和中央网信办共同担任组长单位，25个部委共同组成。各个地方在智慧城市建设中的牵头单位大不相同，地方智慧城市建设中往往缺乏对安全工作的总体引领，在安全管理工作中彼此缺乏协调，系统性、统筹性的安全管理机制缺失，智慧城市网络安全管理工作易流于无序。

二是安全责任需落实到位。各个地方在智慧城市建设中，明确有建设与运营管理的责任主体，但网络安全管理与监督的责任主体比较模糊，缺少对组织、人员、活动、过程的全程监督与有效管理。此外，由于智慧城市建设涉及众多建设与运营单位，以及技术、产品、数据、应用、服务的供应单位，各自应承担的网络安全职责及责任制度不清晰，缺乏有效的制度约束，对于具体工作人员也缺乏相应的安全责任规定。

三是安全保障效能评价改进措施需完善。在国家已组织开展的两次新型智慧城市建设评价工作中，设置了不同的网络安全指标项和权重分值，从评价结果分析，各地在网络安全指标项的差距不大，并没有实际反映出智慧城市面临的网络安全问题及安全管理现状。从指标设置来看，网络安全的重要性仍需加强，需探索完善更加科学、能够真实反映安全风险状况及安全管理成效的评价方法，以此促进智慧城市网络安全保障能力的提升。从各地智慧城市管理来看，自身也缺乏对网络安全保障体系的评估与安全措施优化机制，缺少自我检查与能力提升措施。

2.3 安全管控措施待完善

一是针对接入智慧互联网络的海量终端需加强安全认证与管控。智慧城市拥有庞大的物联感知终端和应用终端，存在突出的安全隐患。首先是终端设施的物理防护、物理环境、网络通信存在的安全风险，影响感知系统与业务应用系统的安全稳定运行。其次是智能家居终端、智能工控设备等物联网技术设备本身的安全防护薄弱，极易遭受攻击或被利用发起攻击，造成系统瘫痪。再次是物联感知设施的接入、运行、运维存在未授权访问、窃取、损坏和干扰的安全风险，数据采集与指令执行存在可靠性、可用性、准确性的安全隐患。最后是终端系统的接入、升级、运行存在的安全风险，对应用的安全稳定及数据防护产生影响。

二是面对大数据广泛应用与深度融合需制定精细化管理举措。智慧城市搭建了云计算、大数据等平台，汇集了大量政府、公共服务机构、金融机构、企业、公民等的敏感信息和重要数据，包含关键信息基础设施建设运行数据，随着跨层级、跨地域、跨系统、跨部门、跨业务的数据汇集、共享、开放的应用场景与日俱增，数据采集的无序、数据存储与传输的防护不足，遭受黑客攻击和信息泄露风险增大，对个人财产、经济运行、公共利益和国家安全带来严重威胁。

三是关于对外依赖性强的关键核心技术产品需采取有效保障措施。我国在智慧城市涉及的传感器技术、网络技术、智能信息处理等领域，已有一定的技术积累和产业化能力，然而在关键核心技术与产品上仍存在对外依存度过高的问题，高端芯片、操作系统、数据库、工业控制系统、仿真软件等领域仍被国外巨头企业垄断，安全可控水平较低。一方面由于对技术与产品的掌控有限，安全漏洞不易被发现，危害产品和数据的保密性、完整性和可用性等；另一方面则是在国际竞争格局不稳定的境况下，面临被“卡脖子”的威胁，供应链安全风险异常严峻。

3 加强智慧城市网络安全管理的政策建议

3.1 加强网络安全管理的顶层设计与制度建设

一是构建全国垂直的管理与监管体系。明确全国统一的智慧城市网络安全主管部门，采取“一线牵”的方式构建全国体系，指导地方主管部门统筹开展智慧城市网络安全管理与监管，协调网络安全领域相关主管部门在各自职责范围内统筹推进智慧城市网络安全工作。

二是建立智慧城市分级的网络安全管理框架。不同的城市由于行政级别、区域特征、经济规模、社会形态、发展水平等存在差异，面临的网络安全问题不尽相同。可考虑从行政级别、城市人口数量、经济产值规模等不同要素划分智慧城市等级，按照分级分标准的方式采取相应的网络安全管理措施。

三是建立与现有法律法规、标准体系衔接的管理制度。网络安全领域已建立以法律、法规、规范性文件、标准为体系的制度框架，制定智慧城市网络安全相关制度应与网络安全法、密码法以及正在制定的数据安全法、个人信息保护法、关键信息基础设施安全保护条例等法律法规做好衔接，充分运用和发挥现有法律体系的制度效能，构筑智慧城市网络安全的基础屏障。

3.2 制定主体明确、责任清晰的安全责任制度

一是各级管理部门应注重制度建设。智慧城市网络安全管理部门包括国家及地方相关主管部门、项目建设主管部门。国家主管部门应建立和完善智慧城市网络安全标准，监督、评估相关政策和管理机制，发挥统筹、指导、检查的作用。地方主管部门应依据国家政策方针，结合地方实际制定具体管理措施，组织开展相关工作。项目建设主管部门应按照“谁主管、谁负责”的原则，贯彻落实相关政策与举措。网络安全相关主管部门应依照政策与法规要求，在各自职责领域加强监督与管理。

二是建设与运营单位应履行安全责任制。智慧城市建设与运营单位包括建设单位、运营单位、服务单位及相关人员。建设与运营单位应依照相关政策、法律制度满足相关资质要求，履行网络安全相关职责义务，接受主管部门的监督与管理。对建设与运营人员应加强网络安全意识教育与岗位培训，建立责任到人的安全责任制度，加强人员上岗、换岗、离岗的流程管理。

三是使用者负有安全使用的义务。智慧城市使用者包括使用单位和个人。使用者应规范使用智慧城市应用与服务，树立网络安全意识，及时反映存在的网络安全问题。

3.3 强化项目管理，建立全流程的安全管控机制

一是落实“三同步”原则，加强过程管理。智慧城市建设应按照信息化与网络安全“三同步”的原则进行，结合新技术、新应用的发展特征与趋势，依照有关政策法规、标准规范的要求，设计满足现实需求的网络安全保障框架，同步规划、同步建设、同步使用，构建覆盖智慧城市建设与运营全过程的网络安全保障体系。

二是建立全流程的评审、检查、验收制度。智慧城市在建设与运营过程管理中应建立专家顾问机制，对智慧城市网络安全规划设计进行论证，对建设与运营过程中网络安全同步建设情况进行检查，对网络安全合规与达标情况进行评定，出现问题及时整改，通过专家评审的才可进入下一个环节。需要经过国家安全审查的相关产品与服务，应以通过安全审查作为验收的必要条件。

3.4 抓实关键环节，落实安全管理措施

一是强化数据治理与安全保障。全面梳理智慧城市应用的各类数据，根据数据的重要性和敏感程度、关联程度以及泄露后对个人、社会、国家的影响程度，制定数据分级分类标准和指南。依据相关法律法规和标准，采取加密、访问控制等措施加强对个人信息和重要数据的保护。对数据的采集、传输、存储、分析、应用、交易、共享、销毁等全生命周期管理建立清晰的规则并加强监管。发布、共享、交易或向境外提供重要数据应经相关主管部门批准。

二是落实供应链风险管理制度。智慧城市建设涉及的供应商数量众多、类型多样，繁多的产品与服务一方面存在全生命周期中的传统安全风险；另一方面存在供应中断的供应链风险，特别是严重依赖国外供应商的供应链所面临的风险尤为突出。智慧城市建设与运营应加强对产品与服务的全生命周期安全的监管，建立供应商评估、考核机制，加强对对外依赖性强的供应链监管，保障智慧城市持续稳定运行。

三是加强监测预警与应急处置的协同组织。建立全国联动的监测预警机制，将智慧城市监测预警平台接入联动系统，构建智能化、多维度的监测预警体系。联合政府部门、研究机构、企业等应急响应技术力量，建立覆盖数据采集、分析处理、预警发布、协同响应的整体应急处理机制，整体提升我国智慧城市网络安全监测预警和应急处置能力。

四是建立风险排查与评估改进机制。国家智慧城市网络安全主管部门应制定智慧城市网络安全评价指标体系和评价工作机制，统筹指导地方各级主管部门开展检查、评估、改进工作，就相关政策制度与法律法规落实情况、网络安全工作机制和制度的制定与执行情况、网络安全措施保障情况、安全投入与资源保障情况等进行评价与检查，督导智慧城市建设与运营单位及时整改发现的问题，提升网络安全保障能力。

4 结语

智慧城市建设要正确处理安全与发展的关系，智慧城市作为一个要素复杂、应用多样、不断演化的综合性复杂系统，片面追求快速高效而忽视安全管控的发展，必将造成巨大的安全隐患。加强智慧城市网络安全管理，以“整体、动态、开放、相对、共同”的网络安全观为指引，打造安全的智慧城市，将更好地发挥智慧城市服务成效，提升城市治理与服务品质，促进经济社会健康发展，推进国家治理体系和治理能力现代化。

（原载于《保密科学技术》杂志2020年11月刊）