于志刚:网络安全对公共安全、国家安全的嵌入态势和应对策略

2014年是中国接入国际互联网20周年。20年来，中国互联网抓住机遇，快速推进，成果斐然。据中国互联网网络信息中心发布的报告，截止2013年底，中国网民规模突破6亿，其中通过手机上网的网民占80%；手机用户超过12亿，国内域名总数1844万个，网站近400万家，全球十大互联网企业中我国有3家。2013年网络购物用户达到3亿，全国信息消费整体规模达到2.2万亿元人民币，同比增长超过28%，电子商务交易规模突破10万亿元人民币。中国已是名副其实的“网络大国”。对此，中国国家层面不仅有政治上的正式提出，而且有作为国家意志集中表现的法律演进，其背后体现的是网络安全实体内容的研究。

(一)“网络安全”在国家战略层面上的正式提出

2014年2月27日，“中央网络安全与信息化领导小组”宣告成立，中共中央总书记、国家主席、中央军委主席习近平亲自担任组长，李克强、刘云山任副组长，体现了中国在保障网络安全、维护国家利益、推动信息化发展的决心。次日，江西省成立省委书记任组长的“江西省网络安全与信息化领导小组”，之后，各省纷纷成立自己的“网络安全与信息化领导小组”，全国自上而下的网络安全与信息化领导小组快速体系化。

新加坡《联合早报》援引学者的观点认为，网络安全涉及到政治安全、国防安全以及社会安定的问题，无论是对于中国或是其他主权国家都是非常重要的战略课题，由中国最高领导人习近平出任领导小组组长，国务院总理李克强，及主管意识形态工作的中共中央政治局常委刘云山担任副组长，可以兼顾到国防军事、国务院系统及意识形态三个安全战略规划。《联合早报》的这一评论，可以说是从非法律视角出发看待网络安全和信息化领导小组而得出的观点。但无论如何，都凸显了网络安全问题已经成为国家政治生活中的一个不可回避的问题，也就是一个必然在法律制度上必然需要回应的问题。

2014年2月27日，“中央网络安全与信息化领导小组”在宣告成立的同时举行了第一次会议，习近平在会议上指出：“没有网络安全，就没有国家安全；没有信息化，就没有现代化。”那么，什么是“网络安全”？是传统的“数据”安全？“系统”安全？还是网络的“运行”安全？抑或是更大范围、更高层次上的“安全”？这是一个需要认真思索的问题。同时，“网络安全”和“国家安全”的关系，更是成为一个国家发展的战略问题。

(二)“网络安全”在法律用语层面和实体内容上的双重演进

伴随着网络的代际演变和网络思维的逐渐形成，网络“安全”的外延和内涵都发了巨大的变化，这是隐性的变化。与此同时，也在法律用语层面上有一个演进过程，这是显性的变化。

但是，既使从初期最狭窄的“计算机信息系统”的角度来思索，“计算机信息系统”安全也不是一个孤立的概念，计算机和网络已经是社会中不可或缺的一部分，计算机信息系统安全也就自然是社会安全的一部分。作为一种整体的安全状态，计算机信息系统安全之中既包括个人的财产安全、隐私的保障，也包括社会的整体财产安全和秩序稳定，因此，计算机信息系统安全是一个包含诸多法益的整体概念。所有的网络攻击行为都会侵害计算机信息系统安全，但是其表现并不是一致的，有的网络攻击行为表现为对个人财产权的侵害，有的网络攻击行为侵犯了个人的隐私权(在我国法律体系中表现为对个人名誉权的侵害)，还有的网络攻击行为可能是危害社会的整体秩序与和谐，网络攻击行为侵害的具体法益可能各有不同，然而，所有的网络攻击行为所侵害的法益都是通过侵害计算机信息系统来实现的，它所侵害的法益也都必然包括在计算机信息系统安全的整体范畴之内。从这个角度来看，无论是过去的计算机信息系统安全，还是现在的网络安全，它的实体内容都必须结合系统、网络的社会性质来确定，而不能单纯以它们的物理性质和运行功能作为判断的全部内容。

可见，传统的网络安全是网络的物理安全，是狭义的网络安全，网络的物理架构决定了这是网络安全效益放大至公共安全和国家安全的出发点。“系统安全”的刑法保护中(刑法第285条)包含的“国家事务、国防建设、尖端科学技术领域”就暗含了网络安全成为公共安全和国家安全的可能领域，而这一可能在当前网络阶段几乎每天都在成为现实。而且在草案起草时提议过的领域和现在理论界多次提起的领域，例如航空、交通、医院等领域，都正在成为威胁公共安全和国家安全的常见领域。

(一)背景变化：网络发展的代际演变和技术效应

互联网过去20年的变化，以技术升级为背景的代际演变和由此体现出的技术投放于社会的效应，是思考“网络安全”问题的基础。

1、互联网的代际演变和对于社会运行的影响。过去20年互联网的代际发展或者说演变，对于公众和社会发展、运行状态的影响是极为深远的。互联网技术发展产生的社会效应，主要源于以下几个技术效应：

(1)互联网的代际过渡：从以“联”为主到以“互”为主。网络实现了从“互联网1.0”向“互联网2.0”的过渡，实际上体现为从以“联”字为中心的互联网向以“互”字为中心的互联网的代际过渡，以此为背景，“点对点”行为成为网络行为的主流。“点”指代的是单个网络参与者，在网络上则代表着独立的个人计算机终端。“互联网1.0”时代，网络的主导力量是商业机构和门户网站，个人是网络信息的接收者而非网络活动的主动参与者，网络利益集中于或大或小的计算机信息系统，此时的网络违规、违法和犯罪行为基本上是个人对于大型机构所属计算机信息系统的攻击，形式上表现为“弱者”(个人)对于“强者”(机构)的挑战。“互联网2.0”时代，网络成为了人们的基本生活平台，普通网民成为网络的主要参与者，网络违规、违法和犯罪也迅速改变了攻击方向，开始以攻击普通公众为主要选择。因此，在“互联网1.0”时代，实施网络违规、违法尤其是网络犯罪的人被公众誉为“技术天才”、“网络英雄”，而在“互联网2.0”时代，它们成为了普通的违法犯罪者，失去了往日的光环。“互联网2.0”时代“点对点”的“互动”特征表明，个人与个人之间的一一对应关系开始在网络上得以复制和实施，几乎所有发生在现实空间中的行为都可能被复制、实施在网络空间。

(2)移动互联网时代：由固定终端到移动终端的飞跃式变化。伴随着移动上网技术的成熟和智能手机等移动终端的快速普及，可以在任何有网络信号的地点随时登录网络的特点直接推动了网络的又一次飞跃式发展：“移动互联网”时代开始到来。在此之前，人们无论是上网工作、生活，还是实施违法犯罪行为，都要依赖于固定的IP地址，“点对点”行为的背后实际上是固定两点之间的行为，违法、违规、失德和犯罪行为的查证较为容易，这一点也制约或者说影响着人们实施违法违规失德和犯罪行为的可能性和决心。移动互联网时代的到来，彻底改变了失德违规违法犯罪的发案规律和快速提升了此类的发案总量。人们可以在任何时间、地点随时上网，在另一个侧面意味着违法犯罪人可以在任何时间、地点随时实施网络违法违规失德和犯罪行为，而且，受害人也可能是处于移动中的任何人，因此，网络违法违规失德和犯罪在发案规律、加害人和被害人之间的关系上越来越趋同于传统空间中的行为，网络违法违规失德和犯罪行为将逐步发展为“传统违法违规失德和犯罪行为的网络化”由一个理论判断开始逐渐成为现实。以此为背景，传统违法违规失德和犯罪从“现实社会”向“网络空间”再到“移动网络”的“行为漂移”过程基本完成。

(3)三网融合对于上网终端的影响：从“三屏鼎立”到“三屏合一”。三网融合的发展和趋势，把人们的生活、工作、娱乐方式相互融合，让手机、电视、计算机成为可以随时切换的显示屏。三网融合是一种广义的、社会化的说法，在现阶段它是指在信息传递中，把广播传输中的“点”对“面”，通信传输中的“点”对“点”，计算机中的存储时移融合在一起，更好为人类服务，它并不意味着电信网、计算机网和有线电视网三大网络的物理合一，而主要是指高层业务应用的融合。在世界范围内，每个家庭的三块屏幕(电视、计算机和手机)在过去是相互独立的，“三屏融合”快速推进了“三屏合一”，三屏的融合，不仅仅对于社会管理是个巨大的挑战，对于传统的立法、司法和法学理论的冲击也是现实且深刻、深远的，信息的灌输、网络攻击的触角走向、住宅虚拟墙门户的消融，等等，都对人类行为和与此相关的法律规则形成了难以想象的冲击和影响。

2、网络的层级结构。网络空间有三个层级结构：第一层结构是技术层面，具体地说，是组成互联网的计算机与网络底层协议。第二层级结构是应用层面。随着互联网的发展，它的应用功能越来越多，例如，通信功能、娱乐功能、学习功能，等等。第三层结构是意识层面，即网络具有意识形态性。近10余年来，网络逐步完成了由信息媒介工具向基础的生活、工作平台的转变，成为涵盖社会主流人群的基本应用手段，网络在深度社会化的过程中逐步形成了有别于传统空间的独立的自主意识。

从三个层面的关系来看：(1)技术层面是功能层面的基础，互联网任何功能的发挥都是建立在网络的技术基础之上的。(2)互联网的应用层级是最重要、最广泛的层面，它是网络社会治理的基础。(3)意识层面依赖于应用层面，没有应用层面培养起来的网民对网络的粘合度，互联网的意识形态层面也无从谈起，网络人口的比例越高，网络的意识形态性就越强。(4)三个层面之中，意识层面形成的时间最晚，却在网络的社会治理中占有的比重越来越大，日渐受到世界各国的普遍重视。互联网的分层结构告诉我们：任何单向度地看待互联网的观点都是失之片面的，互联网的治理策略应当是多元的，必须采取分层化的网络治理模式，不能仅仅限于技术层面。

3、网络社会的整体特点：应用层级中的无中心性和无国界性。网络的功能是以层级化方式体现的。但是，就网络的应用层面而言，它又具有明显的去中心化和扁平化。传统社会是一种金字塔结构，比如在行政区划上，分为中央、省、市、县、乡等，层级化结构的最大特点是上下级之间地位的不对等性，而且存在一个核心性的角色。但是，网络社会呈现出明显的无中心性，网络参与者至少在形式上是平等的。(1)无中心性，是对于一国之内的网络社会而言的，在角度上具有内向性。(2)网络的无国界性，是就整个网络社会而言的。网络空间的扁平化趋势日益加剧，与网网相连、无限延展的特点相结合，网民之间几乎就没有国与国之间的边界感觉，跨国的矛盾汇集、意见交汇日益普遍。在网络畅通的情况下，网民之间的真正障碍不再是国界和物理空间，而是语言。目前通晓多国语言，或者说无障碍地使用英语上网的群体仍然只是极少数精英阶层，如果语言这一障碍在上网者群体中逐渐消逝，网络的无边界性会达到极致，由此更会无限地加大网络的无中心性。

从国家层面上讲，可以说对于网络的技术层面的控制依然有力，但是，控制的效果越来越不尽如人意。在技术层面上，除了在极端情况下特定区域内采取物理隔绝等方式强行断网之外，网络的无中心和无边界性将会导致技术层面的控制越来越困难，必须日益重视应用层面上的管理。而在应用层面上，孤立的、分散的个人往往是网络新闻、信息等社会内容的制造者，尤其是微博等新兴的传播工具的出现，导致传统的删贴等管理手段甚至无法有效切断信息传播的路径。传统的管理体制可以通过控制“中心节点”(例如，每一级政府、新闻机构、组织人事部门等等)的方式控制整个社会，但是在网络中，政府必须直面成千上万的独立的个体，这种网络监管的负担是不堪其负的。可以说，网络给社会管理造成的最大障碍，就是网络的无中心结构。

网络的无边界性结构促使了“地球村”在网络空间中的逐渐成形，矛盾的汇集和发酵变得更为容易，国内矛盾和国外干预因素结合的更为快捷和顺畅，原本属于极小的“星星之火”的国内偶发事件，通过网络借助于国内尤其是国外推波助澜式的“东风”之后，往往不经意之间具有了“燎原之势”。

4、网络在犯罪中的地位演变：由“犯罪对象”、“犯罪工具”发展到“犯罪空间”。从网络在网络犯罪中的地位来看，网络犯罪可以分为三个阶段：(1)第一阶段：作为犯罪对象。在第一代互联网时期，网络犯罪等同于高技术的计算机犯罪，此时，网络本身只是作为犯罪对象，此时的网络犯罪，更多地是一种犯罪学意义的犯罪称谓，基本等同于“计算机犯罪”。时至今日，作为犯罪对象的“网络”在不断扩大，从计算机信息系统到计算机网络，完成了从“计算机犯罪”到“网络犯罪”的称谓过渡和内容合一。(2)第二阶段：作为犯罪工具。伴随网络门槛的降低，网络成为平民化的网络，全社会对于网络的依赖性也日益增强，以此为背景，网络犯罪的类型开始转变，由以网络、计算机信息系统为犯罪对象，转变为以网络、系统为犯罪工具，即发展为利用网络的技术优势(例如，通讯的便捷性、主体的虚拟性，等等)来实施传统犯罪。换句话说，这一阶段网络犯罪中的“网络”开始变得仅仅具有工具属性，极少再作为犯罪对象出现，因此，此种背景下的网络犯罪，实际上就是利用网络实施某些传统犯罪。它和传统犯罪没有差别，就如同在冷兵器时代，犯罪分子使用冷兵器作案，热兵器出现后犯罪份子开始利用热兵器犯罪一样，网络犯罪本质上仍然无异于传统犯罪。(3)第三阶段：作为犯罪空间。网络的迅速发展和网络社会的快速形成，让人类社会的方方面面都刻上了网络的烙印，仅仅几年的时间，人类社会就进入了网络社会和现实社会并存的“双层社会”阶段，网络在网络犯罪中的地位，也从作为犯罪对象、犯罪工具进入了一个全新的阶段———网络空间成为一个犯罪的空间，成为了一个全新的犯罪场域。在信息时代，所有犯罪都可以在网络空间交叉融合，而且它们还可以实现线上和线下互动、现实空间和网络空间过渡。网络空间的存在，使得传统犯罪由“现实空间”一个发生平台增加为“现实空间”和“网络空间”两个平台，一个犯罪行为既可以是全部犯罪过程都发生于网络空间，也可以同时跨越网络空间和现实社会两个平台。

(二)“网络安全”范围的对内溢出：网络安全对于公共安全的承载态势

对于公共安全而言，它基本是一国国内的事务，不与其他国家产生关系。就“网络安全”对于公共安全的冲击而言，主要体现为“网络安全”的实体内容对于公共安全的碰撞与融合问题。伴随工业社会向信息社会转型速度的日益加快，经济社会发展和国家整体对于网络的依赖性快速增强，网络安全问题成为影响经济社会发展和公众工作、生活的中心问题。从这个意义上讲，“网络安全”的范围开始出现第一轮扩展，呈现出在一国范围内“对内溢出”的态势，开始承载信息社会的“公共安全”。

1、“公共安全”观念的法律与理论背景。刑法分则第二章保护的是公共安全。从罪名体系上来看，一般认为，该章第1条规定的“以危险方法危害公共安全”是“列举式+兜底式”的规定方式，因此，其他“危险方法”必须与前面“放火、爆炸、决水、投放危险物质”四个术语表述相对应的行为模式具有同质性，即在行为性质特征、危害结果特征、行为与危害结果的关系特征等方面属于同一类型，在立法上它没有被列举出来的原因，仅仅是因为在立法之初它尚不常见而已。而其后的条款分别规定了破坏交通工具、交通设施、电力设备、易燃易爆设备等基础设施的犯罪、劫持航空器、船只、汽车等危害公用设施的犯罪，以及破坏广播电视设施、电信设施等信息设施的犯罪。

可见，在“危害公共安全罪”这一章中，规定危害公共安全的罪名分为两种原因：(1)根据行为方式的特殊破坏性而规定危害公共安全的罪名，此类行为可能会对于生命、健康等人身利益或者财产利益等造成重大损害结果。(2)根据对象的公共性而规定罪名，也就是说，行为虽然在性质上不直接针对生命、健康等核心利益，但却针对众多人的利益。在对象承载社会公众利益的罪名中，涵盖的各种设施都承载了不同的生活和工作正常运行的利益。而最后的广播电视、电信设施更是紧随技术的发展，体现了技术革新与刑法的互动关系。在信息技术不断升级的当代，相信刑法应当做出最新的回应。“显然，规定在危害公共安全罪中的犯罪，并不都是侵害、威胁生命、身体的犯罪。例如，刑法第124条规定的破坏广播电视设施、公用电信设施罪以及对应的过失犯罪，通常并不直接侵害和威胁人的生命、身体，而是扰乱了公众生活的平稳与安宁。在当今社会，如果某种行为使得多数人不能观看电视、不能使用电话，就会使公众生活陷入混乱。刑法第114条、第115条所规定的犯罪，也包括对公众生活的平稳与安宁的保护。”

2、系统安全：信息时代的公共安全。在整个“互联网1.0”时期，网络在网络犯罪中是作为“犯罪对象”出现的，网络犯罪基本上是利用计算机网络技术针对系统、数据、网络等进行攻击的犯罪，也就是说，此时的“网络犯罪”实际上是指以数据、系统为犯罪对象的计算机犯罪。造成此种现状的原因，可能是在“互联网1.0”时代，网络利益集中于或大或小的计算机信息系统，人与人之间的“互动”未能实现，人与系统之间的互动是唯一可能，因此，当时的网络犯罪几乎100%是个人对于大型机构所属计算机信息系统的攻击，表现为“弱者”(个人)对于“强者”(机构)的对抗和挑战。但是，在整个“互联网1.0”时代，无论是北约军事系统被攻破，还是日本皇宫网站被黑，虽然都成为轰动一时的新闻，却都没有影响到社会生活的正常运行。究其原因在于，国家、社会和民众对于系统和网络的依赖程度整体不高，网络对于公众而言，只是一个信息平台，尚未生长成为一个工作平台和生活平台；网络对于政府和社会而言，也主要只是一个信息发布平台，尚未成长成为一个经济社会发展必须的技术运行和管理调控平台。

但是，在“互联网2.0”时代一切发生了变化，信息社会快速生成，信息技术彻底改变了社会结构和国家管理模式，网络快速生长成为了国家、社会运行的基础平台，成为了公众工作、生活的基本平台，无论是国家、社会还是普通公众，对于网络的整体依赖程度急速跃升。网络由无限延展的系统组成，计算机信息系统和网络承载的责任日益显现，系统崩溃的可怕后果、影响范围的无限波及可能和实际上可能造成极其严重的社会危害性，尤其是造成社会运行、公众工作和生活的停顿和混乱程度、范围，足以说明网络系统安全的公共安全属性。以首都机场为例，2002年7月23日，首都机场离港电脑系统出现故障，导致近6000旅客无法办理登机手续，滞留在候机大厅，仅仅2个小时的故障，共有194个航班延误，受影响乘客总数不少于2万人，故障原因是离港系统前端的电脑软件发生内部文件冲突;之后，2006年、2008年，首都机场再次发生此类事件；再如，最为典型的1个例子是“5.19”断网事件，2009年5月19日，某家DNS域名解析网站遭到僵尸网络的流量攻击，并引发一个媒体播放软件的域名解析错误，最终导致9个省市的电信网络大范围瘫痪。可以说，网络发展到今天，网络系统安全已经与生命、健康等公众核心利益、国家和社会运行的关键领域直接相关，毫无疑问成为公共安全，尤其是关键领域的信息系统安全，例如，已经成熟使用的机场导航、交通红绿灯等控制系统、银行等金融系统、医院等医疗保障系统，等等，都成为影响不特定多数人的生命、健康等核心利益的公共安全。

3、没有网络安全就没有公共安全：信息社会发展的必然结果。网络犯罪虽然目前已经发展到第三个阶段，即网络作为“犯罪空间”的阶段，但是，从网络犯罪的当前构成结构来看，三种类型的网络犯罪在现阶段处于并存状态，当然，三者在犯罪案发比例、涵盖的罪名范围、影响社会的广度和深度，以及发案规律、未来消减方向等方面完全不同，网络犯罪在发展历史上三个阶段的先后出现和在现阶段汇聚为同时并存的三种基本网络犯罪类型，是一个客观上应当认清的现实罪情。目前，以网络犯罪作为“犯罪对象”的犯罪虽然在网络犯罪中的发案总比例快速下降，但是，发案量依然不容小视，而且对于公共安全的影响可能性与日俱增，尤其是三网融合后的“大网络”作为犯罪对象的几率将呈几何式倍增，“无所不网”的现状将会经常使得刑法中的“公共安全”问题成为理论和实践的焦点。

因此，在当代信息社会，网络系统安全就是公共安全，没有网络系统安全就没有公共安全。理由如下：(1)严重的危害结果，尤其是对于公众生命、健康等核心利益和国家关键领域安全的危害和影响。这一问题近年来已经受到最高司法机关的重视，在相关司法解释中已经予以确认。例如，2004年最高人民法院《关于审理破坏公用电信设施刑事案件具体应用法律若干问题的解释》(以下简称《电信解释》)第1条规定：“造成火警、匪警、医疗急救、交通事故报警、救灾、抢险、防汛等通信中断或者严重障碍，并因此贻误救助、救治、救灾、抢险等，致使人员死亡一人、重伤三人以上或者造成财产损失三十万元以上的”，属于刑法第124条规定的“危害公共安全”。此处的“破坏”直接危害了网络系统安全承载的人身核心利益;再如2011年“两高”《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》(以下简称《系统安全解释》)第4条提到，“破坏国家机关或者金融、电信、交通、教育、医疗、能源等领域提供公共服务的计算机信息系统的功能、数据或者应用程序，致使生产、生活受到严重影响或者造成恶劣社会影响的”，此种关键领域的系统安全直接被认定为公共安全。(2)巨大的波及范围，实际上，它在公共安全问题上，反映了网络系统安全指向的犯罪对象“不特定性”的日益增大，网络系统安全动辄涉众，成为公共安全问题。《电信解释》第1条提到，“造成二千以上不满一万用户通信中断一小时以上，或者一万以上用户通信中断不满一小时的;在一个本地网范围内，网间通信全阻、关口局至某一局向全部中断或网间某一业务全部中断不满二小时或者直接影响范围不满五万(用户×小时)的；造成网间通信严重障碍，一日内累计二小时以上不满十二小时的”，属于刑法第124条规定的“危害公共安全”。此处，大范围的通信网络的信息安全(具体是正常传播而非泄露问题)，直接成为司法实践中的公共安全问题。《系统安全解释》第4条还提到“造成为一百台以上计算机信息系统提供域名解析、身份认证、计费等基础服务或者为一万以上用户提供服务的计算机信息系统不能正常运行累计一小时以上的”，此处的为众多系统提供服务的系统安全当然应当认定为公共安全。此外，对于系统应用安全的干扰，基于对“不特定多数人”的影响也已经发展成为公共安全问题。例如，多年来一些软件开发商以保护版权为名，采用惩罚性的技术保护措施，危害、波及的计算机恐怕已经不能以万计，已经体现出对于网络空间中公共安全的实体危害。例如，微软黑屏事件是近年来典型的软件开发商滥用软件技术保护措施的案例，更为著名的事件是江民公司的锁定硬盘数据逻辑锁事件，在定性上都应当认定为危害公共安全。

网络安全的演进过程与经济社会发展、公众生活网络依赖程度的提高同步，伴随着社会整体对于网络依赖性的进一步提升，网络安全对内溢出发展成为公共安全的一个组成部分的情况将日趋严重，从这个角度来看，网络安全基本上可以视为就是公共安全。尤其是由于网络的紧密联系性和无限的快速蔓延性，即使行为人意图攻击特定目标，在客观上所造成或可能造成的后果和范围也往往是难以控制的，但是，却是行为人主观上容易预料的。因此，信息时代对于“公共安全”的认识必须把网络中的系统安全纳入审视的范畴。

(三)“网络安全”范围的内外融合：网络安全对国家安全的嵌入态势

在网络实现了从“互联网1.0”到“互联网2.0”的过渡之后，网络犯罪快速进入了第二阶段和第三阶段，无论网络在网络犯罪中是作为“犯罪工具”还是“犯罪空间”，网络对于国家安全的影响都日益增大。尤其是伴随着网络的“无中心性”和“无国界性”特点，在网络犯罪进入第三阶段之后，网络空间成为国家安全问题中的一个重要领域，网络安全不再是过去的系统安全问题，也不再是系统安全受到冲击和破坏之后引发的公共安全问题(对内)，而是开始在形式上和实体上都跨越“国界”，开始成为关系到国家安全的关键问题。

1、网络安全：以国家安全为背景的概念界定。以此为背景，10余年来信息安全是都是国家安全的一个基本构成要素，网络安全是居于信息安全之下的“载体安全”之一，是当代国家安全的三级要素；网络空间(即网域)安全则是国域安全的构成要素，是当代国家安全的二级要素。这正是信息安全、网络安全、网络空间安全与国家安全之间的一种事实关系。从这个角度来看，可以把“网域”和“网络”看作外延完全相同而内涵略有不同的两个概念，即两个具有全同关系的概念，其中“网域”在内涵上侧重“空间”，即指“网络空间”；“网络”在内涵上侧重“实体”，即指“网络实体”。这样一来，在当代国家安全体系中，信息安全不是作为国家安全的种概念上属于国家安全，而是作为国家安全整体中的一个组成部分或构成要素被包括在国家安全之中。同样，网络安全也不是作为信息安全的种概念上属于信息安全，而是作为整个信息安全之下的载体安全的构成要素包括在信息安全之中，从而成为国家安全的三级构成要素。与此不同，作为国域安全的一个构成要素，网域安全是国家安全的二级要素(见下图)。

图1：“当代国家安全体系的信息安全、网络安全和网域安全”

应当认为，出于“为国家安全立学”的目的，固然可以将网络安全分为网络实体安全与网络空间安全，然后在分别归到国家安全体系12种要素中的“国域安全”与“信息安全”之下，认为二者分别是一种一一对应的种属关系。但是，定位于网络安全对于法律上的国家安全和公共安全的冲击，就必须考虑网络安全整体对于国家安全各个要素和公共安全各个要素的交叉融合关系，才能在未来的法律应对中，对于国家安全和公共安全体系进行全面的保护。换言之，法律必须呼应法律关系，而法律关系承载的是实体的内容，而非价值无涉的物理空间。

具体而言，在网络安全认定为公共安全之后，怎么认定网络安全为国家安全？首先要明确国家安全的实体内容。在刑法上，章节罪名体系编排是按照其重要性和紧密性编排的。同样作为安全犯罪，危害国家安全罪和危害公共安全罪分别位于刑法分则第一章和第二章，可见二者的重要性和紧密性。顾名思义，二者的区别在于“国家”和“公共”的区别。二者的区别应当在于：(1)国家安全在性质上包括主权、领土、政权和社会制度方面的安全，而公共安全不包括。依照刑法的罪名设置，国家安全即中国的主权、领土完整和安全，人民民主专政政权和社会主义制度。按照刑法第102条至第112条的规定，可以将危害国家安全罪分为危害国家、颠覆政权的犯罪，叛变、投敌的犯罪，和间谍、资敌的犯罪。依据1993年《国家安全法》的规定，结论也是如此。(2)国家安全在性质上也可以包括多数人的生命、健康或财产安全，但是在程度上必然要求比“公共”更大的影响范围。从这个角度讲，《国家安全法》和“危害国家安全罪”两者可以说都是名不副实。在法律名称上使用了“国家安全一词，但内容却是国家安全中的很小一部分内容。这也是最近《国家安全法》进入修正议程，被修正为《反间谍法》的原因之一，而全局意义上的《国家安全法》已经启动了重新起草的工作。“国家安全”和“公共安全”的第一个区别主要是对外而言，是针对危害一国主权、领土、政权和社会等制度的国家、组织甚至个人，如此一来，在网络安全就是公共安全的背景下，作为公共安全的网络安全加上国家安全的核心因素，包括主权、领土、政权和社会制度等因素本身，就会涉及到国家安全;第二个区别主要是针对网络安全问题波及的范围而言，因此，即使没有核心因素，如果特定网络安全问题足以通过影响一定范围的社会稳定而动摇国家，也将是国家安全问题，例如，苹果公司不对用户进行有效通知、传输数据未经用户同意的前提下，搜集由定位功能产生的高度敏感因素的用户数据，涉及到无数用户的个人方方面面的安全，即使不被用于直接针对中国的主权、领土、政权和社会制度等因素本身，也可以认定为对国家安全其他要素造成威胁。

可见，第二种区别情形只是网络安全问题的影响力范围问题，容易理解为何作为公共安全的网络安全，可以成为国家安全。那么，网络安全如何成为事关一国主权、领土、政权和社会制度等核心领域的安全问题？前已述及，在“网络作为犯罪工具、犯罪空间”时，网络形成了无中心、无国界性的特点，此时，“网络安全”的范围开始从对内溢出，转向“内外融合”。对内，网络作为犯罪工具与国家安全的实体要素交叉融合，成为国家安全的重要基础；对外，与网络空间和传统国域扁平交织，成为最新的国域安全。无论是利用网络作为犯罪工具(最近轰动全国的哈工大学生、广州大学生成为境外间谍案件，都是在网络上被引诱和吸收成为间谍)，还是利用网络作为犯罪空间(例如，中央民族大学教师的分裂国家宣传网站)，网络安全对于国家安全的影响，远远不限于“系统、数据”安全和网络运行安全(虽然它们也是网络安全的组成部分，也当然是国家安全的组成部分)。因此，网络安全对于国家安全的冲击和影响，必须受到应有的重视。

2、网络安全与国家安全的空间关系:空间安全是最新的国域安全(网域安全)。“美国国防部得出结论说，来自另一国家的电脑破坏行径可构成战争行为。该结论首次为美国使用传统军事力量对付网络攻击打开了方便之门。”网络空间的争夺和保卫已经上升到国家对战略空间的控制权的范畴。

可见，在国家安全方面，网络发展为犯罪的平台和空间，也就是说，网络空间成为蕴含一国主权、领土、政权和社会制度等国家安全核心要素的的最新国域问题。特别是，网络内容安全问题越来越对外溢出为国家安全问题。2014年8月26日国务院授权重组的国家互联网信息办公室负责互联网信息内容管理工作，就有“维护国家安全和公共利益”的考虑。例如，暴恐音视频问题，不仅仅是公共安全中的恐怖主义问题，而且是国家安全中的恐怖主义、分裂主义和极端主义问题。过去传统空间的危害国家安全犯罪，例如煽动分裂国家，无论是发案率，还是影响力，都不可与网络空间的危害国家安全犯罪同日而语。可以说境内外敌对势力日常的网络宣传攻势，就是网络安全中的“内容安全”成为国家安全中的“文化安全”乃至“政治安全”问题的过程。因此，网络空间成为最新国域，必然意味着没有网络实体安全就没有国家实体安全。

3、网络安全与国家安全的实体关系：没有网络实体安全就没有国家实体安全。没有网络信息安全就没有国家信息安全。网络不仅仅是给国家安全提供了新的电子表现形式，而且新的网络给国家安全提供了新的利益载体。但是，网络信息安全的重要性不仅仅在于网络上直接表现的信息形式体现着国家安全，而且表现为网络中的数据可以间接形成国家安全。(1)传统国家安全中的“信息”体现为国家有关部门或个人精心形成的国家情报、国家秘密、军事秘密的书面形式，而在网络时代初期，这些书面形式成为电子形式，但是，不管是什么形式，危害国家安全者都可以“拿来就用”，直接获取其中表现的国家安全信息。这也是大部分人心目中的网络信息案件就是国家信息安全的含义。(2)在将计算机系统互相联接在一起的互联网时代，数据的作用、数据的规模等方面都发生了质的变化，整个社会快速进入了大数据和云技术时代。诸如网页浏览痕迹、下载记录、关键词搜索记录等信息数据，在各行各业的网络使用中已经形成了海量的数据规模(Volume)、快速的数据流转和动态的数据体系(Velocity)、多样的数据类型(Variety)、巨大的数据价值(Value)即称之为“4V”的四大特征，恰恰是这些数据才是“大数据”的重要甚至将来可能是最核心的组成部分。跨视角、跨媒介、跨行业的海量数据的集合，由于提供安全、快速、便捷的数据存储和网络计算服务的云计算的出现，成为了信息再生“潜力无限”的“聚宝盆”。如此一来，危害国家安全者可以通过获取大数据，进行云计算而间接获取其中承载的国家安全信息，从而危害到国家安全方方面面的内容。这种国家信息安全的重要性正随着大数据时代和云计算时代的日益成熟而与日俱增，但是，恰恰这种国家信息安全为许多人所忽视。客观地讲，网络安全冲击信息安全、资本控制信息传播的问题越来越普遍。这也就不难理解2014年7月，俄罗斯议会通过了一项互联网监管新规，要求互联网公司所存储的俄罗斯公民的个人数据，必须存储在俄罗斯国内服务器上。该法案倡导者Vadim Dengin认为，这一新法将防止俄罗斯公民个人信息被传至海外、进而被不法分子所利用。分析人士指出，俄罗斯立此新规，似乎主要目标针对Facebook和Twitter等境外网站，迫使它们必须使用在俄罗斯境内的服务器存储用户数据。再如，国内“现在所使用的通用芯片，都依赖于美国，95%的操作系统来自微软。从移动领域来看，三大操作系统平台都来自美国。而这些领域又是中国网络安全隐患的根本所在”;此外，“西方出口到我国的关键大型设备和工业控制软件中，秘密预设后门是一个不争的事实……，无论是开放的国际互联网，还是封闭的企业内联网，在现有技术框架下，利用硬件和软件中的后门或漏洞，西方国家一定程度上能够实现对我信息系统的远程监控。”

在网络空间，监控他国和他人成为某些国家和机构的“家常便饭”，甚至寻找代理人，煽动“独狼行动”的案例也是层出不穷。例如，中国最近公布的学生间谍案件，固然表明了国家开始表示重视国家安全中的网络信息安全问题，但这只是冰山一角，犯罪黑数难以预测。不管是数据存储、操作系统还是远程监控，都涉及直接危害国家的信息安全和间接危害这两种国家信息安全威胁。

没有其他实体的网络安全就没有国家的其他实体安全。实体的网络安全内容不仅仅是作为国家安全要素之一的信息安全的载体安全，而且是其他国家安全要素的重要基础。即使是在将计算机和信息安全作为科技安全的一个要素的国家安全理论中，也认为信息安全会在政治、经济、军事方面表现出来。其实，这个问题的答案在习总书记的讲话中已经明确———“没有网络安全，就没有国家安全”，“而且，这个小组不是单纯的信息化领导小组，而是把网络安全放在更突出的位置，与国家信息化整体战略一并考虑，具有重大战略意义。”可见，网络安全不是对于某一个国家安全要素如信息安全产生影响，而是对国家安全体系这一整体产生影响信息化也不是对于经济现代化、科技现代化产生作用，而对整个现代化进程产生作用。换言之，网络安全也冲击和融合着其他的国家安全要素:其一，网络安全冲击经济安全，“全球前5市值的互联网公司，3家是美国公司，2家是中国公司；前7中，有4家是美国公司，3家是中国公司。”其二，资源安全，有西方分析家指出，中国的水电站大坝、石油天然气管道和其他一些由计算机控制的公共基础设施，都容易受到网络攻击。这样通过攻击网络安全就能影响一国的能源等资源安全。其三，文化安全，“黑客是最低级的网络战，最高级的网络战则是可以仅凭通过文化力量潜移默化地影响另一个国家的人民。”其四，军事安全，虽然互联网产生的初衷，是用于军事对抗为目的，它应当归属于传统安全的效用范畴。近几年来，网络军事安全问题愈演愈烈，中国的网络空间基本处于不设防的状态，而联合国裁军机构报告称，世界上有46个国家建立了网络作战部队，100多个国家在发展网络战装备。近两年周边国家韩国、日本、印度以及朝鲜都开始有所动作，美国、英国、日本、以色列、法国则正式宣布开发进攻性武器，提高网络攻击能力。由此看来，网络攻击战使传统的国家军事安全问题逐渐开始演变为非传统安全问题，使得国家军事安全形势更加严峻和复杂。

4、结论：网域空间中网络安全实体内容转化为国家安全要素。如果说第四空间“太空”随着人类空间活动向纵深垂直发展是无边无际的，那么第五空间“网域”不仅在扁平方向发展是无边无际的，而且它在同一个平面上也能随着人人相连、人物相连和物物相连的数量增多和程度强化而变得无穷无尽。所以网络空间的“国域化”可能性是无穷无尽的，网络安全的实体内容转化为国家安全的体系要素的可能性也是无穷无尽的。国家安全中的前四大国域“海、陆、空、天”本身是立体的垂直结构，但是，网络空间本身应当理解为各个节点互相连接的扁平结构，因此，当网络空间这一“第五空间”嵌入前四大国域时，也将呈现出一个横截面，由此可见网络空间中的活动与前四大国域中的活动越是密不可分，网络空间的“国域化”程度就越高，网络安全的实体内容也就可能转化为国家安全的体系要素。

可见，传统的国家安全体系呈现为层层细分关系的“种属型”垂直结构并无不当，但是当网络安全冲击和融入传统的国家安全之后，更为恰当的国家安全体系应当呈现为交叉融合关系的“交织型”扁平结构(见下图)。可见，网络安全各种实体内容“在网络空间”这一最新“国域”对于国家安全体系要素的冲击与融合，不仅仅是承载着“信息主权”，而且是蕴含着整个网络空间的控制权力；不仅仅是承载着信息安全，而且是经济安全、资源安全、文化安全、军事安全等众多国家安全要素的重要基础。

图2 ：网络安全背景下国家安全体系的“交织型”扁平结构

网络安全在客观上革新了公共安全、国家安全的内容体系与呈现方式，应当在国家意志上进行及时的反馈，做到国家战略和法律体系中的“公共安全”、“国家安全”观念与网络时代的安全实践情况的名实相符。

(一)总路线图：网络安全的国家战略与立法规划

立法规划上，网络安全立法的路线图和“总施工图”应当思维清晰，实现双法的同时并进。一是《国家安全法》的另起炉灶，重新构建信息时代的国家安全战略，重新划定《国家安全法》的打击范围和主要目标。而现行的《国家安全法》修正为《反间谍法》，层级降格，成为新的《国家安全法》的一个下位法；二是《网络安全法》加紧制定，在目标上追求“公共安全”和“系统、数据安全”的双保护目标，同时，致力于构建制裁以危害“系统、数据安全”造成危害“公共安全”严重后果的从严评价体系，成为集实体与程序于一身的法律。以《国家安全法》和《网络安全法》的双轨并行，全面贯彻“没有网络安全就没有国家安全”的国家安全战略。

(二)具体思路：国内法上的实体内容与法律文件协调

国内法律对于作为公共安全和国家安全的网络安全保护策略应当包括两方面：一是通过成本相对立法更低的法律解释，延伸现有法律规定的打击半径；二是增设必要的新规定，包括增设新罪名。

1、对于网络安全成为公共安全的态势，需要法律解释和立法修补的梯次应对。其一，刑法现有规则的扩容解释。适时解释“危害公共安全罪”类罪名即刑法分则章名中的“公共安全”，是面对网络安全对于“公共安全”的全面渗透和碰撞的必然选择和速效选择，只有尝试解释类罪名称中的“公共安全”这一关键词才能获得更大的实践效益。从可操作性上来讲，解释的“类罪名”之中的“公共安全”，而非第114条“以其他危险方法危害公共安全”中的“其他危险方法”和“公共安全”，更不是像2004年《电信解释》那样以解释造成的实体危害后果为判断是否属于危害公共安全的标准，似乎更为合乎刑法的基础理论或者说解释的“游戏规则”，否则，在行为方式上有类推解释之嫌：“以其他危险方法”只是刑法第114条、第115条的“兜底”规定，而不是刑法分则第二章的“兜底”规定。因此，无论是直接解释章名中的“公共安全”，还是在刑法分则第二章中增设一个条文专门解释章名中的“公共安全”的含义，或者通过立法解释去解释章名中的“公共安全”的含义，以此来将所有攻击网络或者利用网络作为平台、作为空间的危害公共安全的行为纳入到刑法的打击半径之内，都是一个可行的方式。其二，增设必要的新规定，包括增设新罪名。“公共安全”的信息时代含义需要通过单行规定予以明确，但是，更为妥善的方案是在立法上增加罪名，规定各种新型的危害公共安全的行为类型。因为以上论述只是对公共安全的法益进行了扩大解释，但如果认定为第114条规定的“以其他危险方法”危害公共安全，则在行为方式上有类推解释之嫌。至于增设条款的体系性位置，通过刑罚比较和行为方式类比，将来增设具体罪名时，可以参照刑法第119条广电、电信规定的体系性位置。再者，应当在行政法上进行体系的应对。

2007年出台的《突发事件应对法》只针对“自然灾害、事故灾难、公共卫生事件和社会安全事件”，而未明确网络安全事件与它们的关系，无疑与该法第1条规定(立法目的)提到的“维护国家安全、公共安全”要求不相符合。

2、针对网络安全对于国家安全的嵌入态势，需要“三管齐下”的立体应对。其一，行政法性质的《国家安全法》的应对。国家安全法应当做到名实相符，必须系统规定网络安全对于国家安全的冲击和嵌入情形，为刑法这一保障法提供基础。其二，刑法上“危害国家安全罪”的体系扩容和关系理顺。首先应当统一规定网络空间安全这一国域的国家安全地位，为后续网络安全的实体内容进入国家安全内容体系奠定基础。例如，我国台湾地区“刑法”第104条(通谋丧失领域罪)规定：“通谋外国或其派遣之人，意图使中华民国领域属于该国或他国者，处死刑或无期徒刑。前项之未遂犯罚之。预备或阴谋犯第一项之罪者，处三年以上十年以下有期徒刑。”我国现行刑法的“领土”至少也得修改为类似这里的中国“领域”安全，才可以然后经过扩张解释或列举式的修改，以包括网域安全。如果是这样，那么在后续的条文中规定多种网络安全事件认定为危害国家安全的事件就顺理成章了。其三，军事刑法(如军人违反职责罪)中也应当进行相应的修改，跟上网络安全重新回归国家军事安全的趋势。因为国防利益实际上可以视为广义上国家安全的内容，军人违反职责罪中的部分罪名也属于此种情况。所以这是特别国家安全刑法保障的调整。

3、注重国内法保障的法律文件协调。以上探讨的主要是法律的实体内容应当如何规定的问题，但仍需要注意的是，《网络安全法》、《国家安全法》、《刑法》三者之间的分工协调问题：实体内容规定在哪里，则另当别论。《网络安全法》已经列入2014年立法计划，全新的《国家安全法》正在紧锣密鼓的起草过程中，而《刑法》也列入修法行列。《网络安全法》、《国家安全法》在制定过程中既可仅仅考虑为行政法，也可以突破刑事立法形式而成为实质意义上的附属刑法，也就是在规定网络安全为国家安全的基本论调之后，设立实体上的附属刑事条款，例如，严厉制裁设置暴恐宣传网站的行为等，都是网络安全相关立法中应当打击的内容。

(三)积极对外：国际法上的条约合作与管辖权限协调

习近平总书记指出，网络安全是全球性问题，我们应该倡导共同、综合、合作、可持续安全的理念，尊重和保障每一个国家的安全，加强国际和地区合作，共同应对日益增多的非传统安全威胁。对于没有网络安全就没有公共安全、国家安全的理论与实践，应当寻求国际法上的共识和共同行动。

1、努力寻求国际合作，共建国际规范。推动国际社会，共同治理网络空间，共同“制定相关的国际规则也十分必要”，要积极推动建立全球网络环境“联合国”，并推动相关国际公约的达成和实施。必须注意到，北约邀请20余名国际法学者和网络专家历时3年编撰而成塔林手册，主要研究现有国际法如何适用于新型网络战争环境，特别是“诉诸战争权”(关于国家使用武力的国际法)和“战时法”(关于武装冲突中行为准则的国际法)；手册具体罗列了95条硬性准则，并在每条准则下做出具体解释，包括所援引的国际法、对于条文的准确释义和适用范围、专家之间的不同观点等。因此，在网络犯罪公约的修正和网络战争法的制定上，中国必须根据网络作为犯罪对象、犯罪工具、犯罪空间的三分法，注意自身的网络安全现状和嵌入其他安全的趋向，切实维护网络安全及其背后的公共安全与国家安全等安全利益。

2、倡导有效管辖规则，强化司法实践。网络安全实体规则之外，管辖权限规是司法操作的关键。对于侵害国家安全的网络安全犯罪，应当扩张属地管辖权，认定行为地包括犯罪行为地和犯罪行为人当时所在地，而犯罪结果地则限定为直接故意下的实害联系地。也就是说，对于网络犯罪管辖权的认识，应当遵循的变化轨迹为：从要求“双重犯罪”的保护管辖到属地管辖，再到坚持属地管辖，并从犯罪地的两种类型(行为地和结果地)的扩张和限制出发，奠定网络犯罪管辖权的基础框架。侵害国家安全的网络犯罪行为应当一体纳入普遍管辖权的适用范围之内，否则无法实现危害国家安全犯罪行为转移到网络空间之后的有效管辖。以管辖权的明确为核心，完善现有网络犯罪公约，甚至牵头起草全新的网络犯罪、网络战争公约，是国际社会和国家安全形势的现实要求。

“互联网虽基于传统安全背景产生，但在当今时代，其已然成为了影响国家政治、经济、文化、外交等诸多领域的最主要安全因素，已经超脱了传统安全的范畴，成为了国际社会共同面对的非传统安全问题。”客观地讲，网络成为当代影响最为重大、影响领域最为广泛的科学技术，也将是未来长期占主导地位的科学技术，而网络安全问题也是对国家治理和法律应对冲击最大的领域。在此背景下，研究网络安全对于公共安全、国家安全的碰撞与融合，进行国家战略和法律体系的调整思考，是当下急需的。中国对此不应回避，而应当积极反应，及时调整国家战略和法律制度，并注重国际合作，力求输出符合中国国家利益的网络安全观念和规则，才能最大化地保护、管理和控制中国的公共安全与国家安全。

排版 | 云琪布日