欧盟网络安全局：国家网络安全战略以提高公民意识为愿景

11月29日 ，欧盟网络安全局（ENISA） 发布了《国家网络安全战略：以提高公民意识为愿景》的文章。现在此作部分摘译，以供读者参考。

（图片来源：ENISA）

一、欧盟的国家网络安全战略 (NCSS) 研讨会

欧盟网络安全局 (ENISA) 在其第 9 届国家网络安全战略(NCSS)研讨会框架下发布了《提高网络安全意识》的报告，旨在帮助欧盟成员国提高公民的网络安全能力。

报告称，每年网络攻击的数量不断增加，再加上缺乏适当的指导方针和培训，凸显了对网络安全意识的迫切需要。与此同时，关于网络安全问题和提高意识的交流并不是一项简单的工作。欧盟成员国需要为实现这一目标采取具体行动，当相应的愿景纳入其国家网络安全战略时，这一目标更有可能取得成功。在此背景下，欧盟网安局 组织了第 9届国家网络安全战略(NCSS)研讨会，这是一项年度活动，专门讨论欧盟成员国为提高网络安全意识而遵循的发展和良好做法。

旨在强调“提高认识作为国家网络安全战略的一个关键要素”的该报告是欧盟网安局专家在研讨会期间提交的主要成果。研讨会还宣布了国家能力评估框架（NCAF）工具，并讨论了欧洲信息中心框架的开发。

《提高网络安全意识》报告的目标

报告的最终目的是通过分析提高公民网络安全意识的最佳做法，协助欧盟成员国努力进一步建设其网络安全能力。全面介绍和分析了欧盟成员国的国家意识活动和计划。

为此，报告深入探讨了会员国所遵循的方法和方针，其中包括规划、提高认识活动、绩效指标和所产生的影响；通过确定良好做法、挑战和经验教训，报告还就如何提高国家意识提高活动的有效性提出了建议。

报告建议

为了提高国家意识提高活动的有效性，建议集中在以下四个方面：

· 通过国家网络安全战略(NCSS)建设网络安全意识能力，以促进利益相关者了解提高网络安全意识的范围和必要性，以及它的适用对象和主要目标是什么。

· 通过对威胁环境进行分析和报告，定期评估网络安全趋势和挑战。作为提高意识的重要一步，因为更广泛的公众是最终接收者。

· 衡量网络安全行为，通过考虑欧盟公民对网络安全的思考和行为模式，提供网络安全的定量衡量。

· 通过以专业的方式启用适当的消息传递来规划网络安全意识活动。

受众

· 来自国家当局的专家负责设计和实施网络安全意识提高活动，以及负责国家网络安全战略。

· 对网络安全意识和技能感兴趣的欧洲机构。

· 商业和工业部门。

· 研究人员和学术界。

二、欧盟网安局关于国家网络安全战略(NCSS) 的其他活动

为了支持欧盟国家当局提高其实施和评估国家网络安全战略的能力，欧盟网安局还参加的活动包括：

· 引入国家能力评估框架工具（NCAF 工具）

欧盟网安局于2020年12 曾发布国家能力评估框架(NCAF)报告，该报告为成员国提供了一种方法来评估其网络安全能力并通过评估其国家网络安全战略(NCSS)目标来衡量其在国家层面的成熟度。继NCAF报告之后，欧盟网安局还引入国家能力评估框架工具（NCAF工具）。

· 为什么国家能力评估框架 (NCAF) 工具很重要？

NCAF工具为成员国提供了必要的手段，以支持对其网络安全能力的评估，与国家网络安全战略的目标和目标相关。使用欧盟网安局的NCAF工具，负责或参与国家网络安全战略(NCSS) 的设计、实施和评估的政策制定者、专家和政府官员，可以节省时间和资源，来简化和加快这一过程。通过进行此类评估，成员国可以提高对网络安全成熟度的认识，确定需要改进的领域，并在国家层面进一步发展网络安全能力。

· 欧洲信息中心框架的开发

NCSS研讨会也展示了欧洲信息中心发展的概念框架。欧洲信息中心预计将被开发并作为网络安全信息的一站式商店，公众可直接访问。通过这样一个专用门户，欧盟网安局旨在通过及时和用户友好的方式向整个欧盟的利益相关者提供相关信息和知识，进一步促进欧洲的网络弹性。该信息中心还可以通过支持欧洲企业和公共部门官员等促进和访问有关网络安全的相关信息，作为提高认识的工具。

3、 《提高网络安全意识》报告的目录和摘要

（图片来源：ENISA）

（一）目录

执行摘要

1 前言

1.1目的、范围和目标

1.2方法和方法学

1.3受众

1.4定义

1.5结构

2 建设提高网络安全意识的能力

2.1 具有清晰认知愿景的NCSS

2.2协调提高认识活动和机构间合作

2.3资源分配

2.4与媒体的合作。

3定期评估网络安全趋势和挑战

4衡量网络安全行为

5网络安全意识宣传活动的规划

5.1关于有效宣传活动的主要挑战和经验教训

6建议

6.1网络安全意识能力建设

6.2网络安全趋势和挑战的定期评估

6.3衡量网络安全行为

6.4网络安全意识宣传活动的规划

（2） 摘要

（图片来源：ENISA）

尽管网络安全是当今各国政府面临的最重要挑战之一，但公众意识仍然有限。几乎每个人都听说过网络安全及其重要性；然而，公民的行为并不总是反映出高度的意识。网络安全对于个人、公共和非公共组织至关重要，但遵守安全惯例往往被证明是困难的。

本报告旨在通过分析提高公民网络安全意识的最佳做法，协助欧盟成员国进一步建设其网络安全能力。它提供了关于如何更好地沟通网络安全的建议。

由于我们在社会的各个方面都依赖信息和通信技术（ICT），因此对网络安全意识和技能的需求变得越来越迫切。最近的技术进步和智能设备的引入迫使政府和私人组织提高对网络威胁和网络安全的认识。

疫情使网络威胁形势进一步复杂化。2020年3月，疫情导致了社会疏远措施和旅行限制。全球降低感染率的努力导致了远程工作的迅速发展。在很短的时间内，IT安全专业人员必须应对在家办公带来的挑战，如员工使用家庭互联网访问基于云的应用程序、公司软件、视频会议和文件共享时的企业数据移动。尽管硬件和软件解决方案可能已经到位，以保护组织的数据安全，但通常没有既定的政策来帮助员工克服他们在将工作场所移出传统办公环境时面临的威胁和漏洞。

由于缺乏适当的指导方针、培训和网络安全意识，远程工作人员可能会无意中将业务暴露在网络威胁之下。经常报告的此类错误的例子包括将工作设备连接到公共Wi-Fi网络、未经授权与家庭成员共享公司设备、未经许可将工作设备连接到个人设备、使用个人设备访问工作应用程序、下载未经授权的应用程序等。所有这些习惯都会增加数据暴露的风险。

简言之，关于网络安全问题的沟通是一项复杂的工作。在本报告中，我们收集了信息，并评估了欧盟成员国不同网络安全意识实践和过程的强度、规律性和多样性。我们介绍了会员国如何在社会上提高网络安全意识，并将网络安全意识纳入其国家网络安全战略（NCSS）。此外，我们在以下四个领域提出建议：建设网络安全意识能力、定期评估趋势和挑战、衡量网络安全行为和规划网络安全意识活动。

四、国家网络安全战略(NCSS)

为了应对当前和新兴的网络安全威胁，欧盟成员国不断制定和调整其网络安全战略。NCSS是其制定战略原则、指导方针和目标以及在某些情况下制定具体措施以减轻与网络安全相关的风险的主要文件。

为了加强关键基础设施抵御各种威胁并维护欧盟公民的信任，欧盟委员会于2013年提出了网络和信息安全指令（NIS 指令）。2015年12月，欧洲议会和理事会就委员会的提议达成一致。欧洲议会于 2016年7月通过了最终指令，并于 2016 年 8 月生效。 NIS 指令是 2013年欧盟网络安全战略下的主要立法提案，目的是提高欧盟成员国的国家网络安全能力，加强成员国、公共和私营部门之间的合作，同时还要求关键部门的公司向国家当局报告重大事件并采用风险管理实践。

NIS指令的主要条款之一要求欧盟成员国制定并采用NCSS。自 2012年以来，欧盟网安局通过提供有关如何开发、实施和更新NCSS、分析现有战略和概述良好做法的指南，一直在支持欧盟成员国制定、实施和评估其NCSS。

五、欧盟网安局简介

成立于2004年的“欧盟网络与信息安全局（European Union Agency for Network and Information Security，ENISA）”,以欧盟层级网络安全职能部门的角色，为欧盟及其成员国提供增强信息与网络安全相关的建议和协助，此外，保护能源、交通、金融市场、银行业、医疗保健及数字资产等欧洲大陆关键基础设施的安全，也是该局的核心职能。该局的自身定位是帮助欧盟及其成员国为应对未来的网络攻击做好充分准备。该局与欧盟计算机应急响应小组（CERT-EU）和欧洲警察组织（Europol）下属的欧洲网络犯罪中心（European Cybercrime Center）建立了紧密联系。

（图片来源：ENISA）

如需获取《提高网络安全意识》报告的详细电子版pdf（54页）及机翻译文，请移步三正科技公司知识星球（二维码附于文后）。

（来源：ENISA等。本文参考内容均来源于网络，仅供读者了解和掌握相关情况参考，不用于任何商业用途。侵删）