6月27日，中国管理科学学会智慧应急与安全管理专业委员会换届大会暨第一届学术交流会在杭州召开。会上，智慧应急与安全管理专业委员会主任委员杜跃进围绕网络空间安全应急作了专题学术报告。现将报告整理成文，以飨各位同仁。

杜跃进
中国管理科学学会智慧应急与安全管理专业委员会主任委员
浙江大学计算机科学与技术学院求是特聘教授

讨论未来的智慧应急，首先要回答一个看似简单、实则并不容易回答的问题：数字文明快速发展之后，我们究竟需要什么样的应急能力？今天，生产方式、生活方式和治理模式都在变化，我很难一次性给出完整答案。当然，难以给出完整答案并不意味着无从着手。我国网络空间安全应急已经走过二十余年，其中既有成功经验，也有深刻教训。回到这段实践，厘清我们如何从过去走到今天，有助于认识融合空间中的应急能力应当从哪里起步。

一、从网络空间应急实践中重新认识“能力”

2001年，“红色代码”蠕虫在不到24个小时内感染全球35万余台主机，传播速度一度达到每分钟约2000台，并造成巨额经济损失。当时人们更多关注感染规模、传播速度和经济损失。现在回看，更重要的问题其实是：面对这类快速蔓延可以导致网络基础设施大规模瘫痪的事件，留给监测发现、分析判断和响应处置的有效时间究竟有多少？

这就是应急的“黄金时间”（错过了这个时间就已经无法控制局面）。网络安全事件传播越快，对发现、判断和处置的时间要求就越高。如果发现不及时、判断不准确、处置工具没有准备好，再先进的技术也可能来不及发挥作用。实践中不断优化建立的国家网络安全应急能力不能被理解为某个产品、某套设备或某支队伍，而是一套完整的可衡量的体系，由组织与专业人员、技术与工具平台、流程与知识资源共同构成。技术很重要，但技术并不等于能力；产品的功能和性能指标，也不能直接等同于实际的应急效果。

网络空间安全应急的一条重要经验，是不断“左移”。所谓“左移”，就是把工作尽量向事件发生之前延伸，通过日常监测、机理分析、威胁跟踪、趋势研判和预案演练，减少“突发”带来的被动，这也是在争取时间。应急不是“急应”，不能只理解为事件发生后的快速响应。一次应急处置结束后，还要继续追问：哪些风险原本可以更早发现，哪些防护环节存在缺口，哪些资源应当提前配置，哪些环节升级改造以适应新的威胁手段。只有把应急响应中暴露的问题反馈到预防、防护、检测和恢复环节，才可能用应急带动整个安全流程的改进。

另一条经验是“扩张”。网络威胁跨地域、跨机构传播，任何单一主体掌握的信息都可能不完整。只有建立广泛、高效的合作网络，才能更早知道其他地区和机构正在发生什么，更准确地判断事件性质和演化趋势。看起来，这是协作范围在空间上的扩张；实际上，仍然是在争取时间。我国较早建设国家级计算机安全应急响应合作体系并推动国际合作，关键价值正在于把分散的信息、专业力量和应急资源连接起来，缩短从发现到有效响应的时间。

这些实践最终指向四种基本能力，可以概括为“预、知、控、生”：“预”是风险预判和事前准备，“知”是及时发现和准确研判，“控”是阻断传播并控制损害，“生”是在冲击之下维持最重要的功能。局部设备可以受损，部分业务可以降级，但核心数据、关键系统和基本生产能力必须得到保障。判断安全能力是否有效，最终要看业务结果，而不能只看技术系统是否恢复。

二、当“牛顿”遇上“孙子”：融合空间重塑应急逻辑

今天讨论智慧应急，已经不能再把网络空间与现实空间割裂开来。2021年，美国大型成品油管道运营商遭受勒索攻击，信息系统停运很快影响到现实世界的能源供应；自动驾驶车辆因通信、计算或系统异常停驶，直接把网络空间的安全问题转化为城市交通保障问题。网络安全事件正在向现实空间传导，伴随着数字化智能化的发展，可能进一步引发生产安全、社会安全乃至公共卫生领域的应急事件。

问题的根源在于物理世界、数字世界与人类社会已经开始深度融合：Safety与Security相互交织，信息技术（IT）与运营技术（OT）加速融合，数据与业务紧密耦合，人工智能也在进入具体业务流程。传统物理世界中的许多安全问题，可以借助工程技术加以测量和控制；网络空间则经常面对蓄意攻击，需要研究对手的动机、策略和行为。前者更多属于“牛顿的世界”，后者还要懂“孙子兵法”。到了融合空间，应急管理既要把握设备运行和自然演化规律，也要识别人的意图及不断变化的攻击方式。

这种融合首先改变了问题的复杂程度。网络空间中的一项局部处置措施，可能在现实世界产生新的连锁影响；对单个系统有效的安全方案，放到城市或行业的整体运行中，未必仍然有效。城市是有“呼吸”的复杂系统，物流、人流、信息流和业务流共同维持其正常运转。风险管控既要切断威胁传播渠道，又不能阻断维持城市运行的“大动脉”。如果不了解真实业务场景，只围绕技术和数据作判断，就可能解决了一个局部风险，却引发更大的系统性问题。

这种融合还带来了前所未有的不确定性。人工智能既可以提高监测预警、态势研判和辅助决策能力，也可能成为新的重大风险来源。网络安全最初主要面对个体犯罪分子，后来需要应对有组织的网络攻击势力，如今还可能面对行为难以完全预知的智能系统。风险不可能被彻底消除，未来也必然会出现已有预案尚未覆盖的新情况。智慧应急不能把目标设定为绝对的“零风险”，而应保证未知风险出现以后，系统仍然可控，核心功能仍能维持。

三、以真实场景和协同生态建设智慧应急能力

智慧应急首先要解决当前的问题，提高应急工作的效率和效果；同时也要为未来作准备，增强对重大风险的管控能力。更进一步，还应以应急能力建设为牵引，推动安全与发展统筹以及整体安全能力体系建设。归根结底，是要解决一些地方和组织中应急工作“有责任、缺能力、撞大运”的现实难题，使责任主体真正具备与职责相匹配的履职能力。

能力建设的第一步，是把能力定义清楚、衡量清楚。脱离场景谈能力，很容易停留在概念层面。国家公共互联网应对大规模网络安全事件，可以把发现和有效响应时间作为重要指标；城市、行业和企业则需要围绕自己的关键业务、风险特征和承受能力，具体界定“黄金时间”，明确“预、知、控、生”在不同场景中的实际要求。能力只有可定义、可衡量、可检验，建设工作才有依据。

研究必须由场景带动。智慧应急不是把人工智能、大数据、机器人和无人机等技术简单叠加起来。技术只有进入真实业务场景，与业务流程和管理机制融为一体，才能检验是否真正有效。数据也是如此。原始数据不会自动形成应急能力，必须经过采集、标注、加工、治理和分析，才能用于脆弱性评估、态势推演、预案推演和模拟决策。从真实场景出发，才能逐步带动战略、策略、技术、产品和标准的发展。

能力建设还要依靠生态。智慧应急涉及数据采集与加工、技术研发、决策支持、协作平台、救援装备、人员培训、应急演练和测试验证等多个环节，任何单一机构都难以独立完成。政府、高校、科研机构、企业和专业组织应发挥各自优势，把真实问题、专业知识、技术产品和实践资源连接起来。治理也不能只依靠自上而下的行政推动，而要找到关键抓手，调动多方力量，形成长期协作机制。

融合空间中的智慧应急仍处于起步阶段，许多认识需要在实践中反复检验。与其追求一步到位，不如先把方向看准，在行动中小步推进、持续修正。智慧应急能力建设没有捷径，唯有坚持脚踏实地、实事求是和长期主义，从具体场景和现实问题做起，逐步补齐组织、团队、平台、资源与流程。多一个平台，多一个战友；多一分努力，多一分力量。把分散的专业力量和实践资源真正汇聚起来，才能形成适应数字文明的智慧应急能力。

供稿：中国管理科学学会智慧应急与安全管理专业委员会

【转载自：中国管理科学学会】