E安全7月6日訊 加拿大2017年國家安全法案——C-59號法案。其概述了加拿大在國家安全層面勾勒出的發展願景。在這項“反恐怖主義”法案當中，加拿大政府明確希望全面改造決策機制，從而加強對反恐怖主義、監控與網路空間內相關事務的監督與部長級控制能力。
雖然這項全新舉措表明加拿大當局有意引導反恐行動迎來更為清晰的發展方向，但檔案中的其它內容還揭示了更多值得關注的重要資訊。
對於軍方網路作戰人員而言，加拿大政府投入巨大決心以明確決策流程並調整網路作戰行動的政策性規劃。這一決定對於加拿大乃至整個北約聯盟的網路空間戰略以及部隊發展可能具有深遠影響以及長期意義。儘管具體的立法內容可能還將視具體情況而有所修訂，但其採取的廣泛政策轉向已經表達出明確的網路防務計劃與審議要求，而且其它五眼聯盟成員國（包括英國、美國、澳大利亞與紐西蘭）政府對此抱有類似的態度。
考慮到這一重要的共通之處，其它合作伙伴所面臨的大量與網路行動相關的問題與爭議性因素也可能對加拿大政府的這項全新政策方針造成影響。最重要的是，C-59號法案囊括了最為核心的網路安全辯論與極具時代特徵的問題。因此，此項法案草案不應僅僅被視為加拿大一國在網路政策層面的起點，而是擁有著更加深遠的戰略意義。
C-59號法案到底就網路空間作出了怎樣的指導？
這份擬議法案（C-59號法案）所規定的重點網路行動包括計算機網路漏洞利用（簡稱CNE）、計算機網路攻擊（簡稱CAN）以及防禦性網路空間行動（簡稱DCO）。簡要概括來講，這些不同類別可以被歸納為對網路空間的間諜、破壞或者對自身網路空間的捍衛。需要強調的是，C-59法案的內容不僅包含這些條款，同時還對原本缺乏的另一大能力範疇作出了約定，即防禦性網路空間行動領域的響應行動（簡稱DCO-RA）。
與美國的網路行動原則非常相似，DCO-RA還提到可針對大量主權網路或者任務基礎設施實施攻擊行動，從而破壞敵對方的持續訪問、惡意活動或者破壞行為。儘管這樣的表述從概念上看非常簡單，但DCO-RA在實踐當中仍存在嚴重爭議，特別是考慮到其可能給第三方平民所帶來的負面影響。
在國家或者聯盟組織的網路行動當中，DCO-RA可能需要採取其它行動以配合並支援非網路作戰。這些作戰行動可能會對現有或者新發布的政府計劃與監督手段構成複雜的審計挑戰。著眼於過去，是否參與聯合行動之間存在著明確的界定標準，但未來的網路行動則可能意味著加拿大也許需要採取其本希望避免的各類海外行動（例如避免承諾提供部隊或者物資）。
雖然規範與參與規則（簡稱ROE）已經規定了網路行動當中對於獲准行為的具體限制，但其附帶效應仍然可能造成難於控制且意想不到的後續影響。具體來講，防禦性網路空間行為有可能面臨敵對方因誤解而造成其它影響或者意外後果的風險，也有可能在無意中造成緊張局勢升級。
網路攻擊、漏洞利用許可權受限
專家們經常強調稱，網路空間屬於一類攻擊（進攻）難度低於防禦難度的環境。
C-59號法案所賦予的新型網路攻擊與漏洞利用許可權必須同民眾資料、網路與公共事業防禦工作緊密協調。
網路風險管理與安全漏洞緩解優先順序排序必須與各國防及情報機構進行聯合規劃及協調。關鍵資訊基礎設施網路安全目前由加拿大公共安全部、各省級政府當局以及私營企業主負責實現。如果能夠將這兩類角色聯絡起來，則應該能夠顯著強化加拿大政府對於網路風險管理以及附帶效應的管理能力。但在C-59法案當中並沒有就這一目標的具體實現途徑作出明確描述。
也許法案建議的，建立新型審查機構NSIRA的方式能夠提供一種公開對現有規劃及協調方法進行討論的可行渠道。然而，法案當中對此僅透過模糊的語言進行了描述，且幾乎沒有闡明NSIRA職權的具體起始作用範疇。
各職能實體——包括CSIS、RCMP、DND以及CSE——可能會參與到機構間開發任務的討論與規劃流程當中。NSIRA與新成立的議會監督委員將審查這些機制，同時敦促各方遵守立法要求及政策指導。
國防部新增兩大職能角色
C-59法案這種不夠明確的責任分配方式實際上並未引發明顯爭議。事實上，防備責任主要由加拿大國防部承擔，CSE（即加拿大通訊安全機構）負責執行訊號情報行動，從而支援各聯盟成員國及加拿大自身的高優先順序任務。
C-59號法案澄清並擴充套件了上述任務領域，並新增了兩大職能角色：
主動防禦-國外防禦性網路行動（針對國外基礎設施以應對數字化攻擊）；
國外主動網路行動（針對國外基礎設施，旨在主動破壞各類指向加拿大或者其盟國的潛在威脅）。
然而，這項補充性條款也帶來了新的難題，即如何解釋具有冒犯性的防禦性網路行動。
不確定性、風險與監督
即使是經過精心策劃的網路行動也會給各第三方帶來風險。儘管能夠在一定程度上對此類風險進行管理，但卻無法完全消除。網路屬於一類不對稱領域，那些傳統能力較為有限的勢力方也有機會在網路空間挑戰明顯更為強大的對手。那麼，對於一切威脅的早期發現意味著什麼？
儘管參與五眼聯盟等網絡合作集團的各成員國彼此提供共通的威脅情報，但國家層面的威脅攔截行動仍然需要立足各國具體法律範圍之內去執行。這意味著破壞隱私及公民自由的擔憂需要被納入到對國內外網路行動的風險管理要求中來。
而這種要求的存在意味著各國在應對網路威脅時往往承受著巨大壓力。事實上，加強對網路活動的監控本身，也意味著給個人隱私帶來更大風險。
提出建立網路行動協調體系
C-59號法案提出建立聯合DND，即外交部長級網路行動協調體系，並將其視為未來網路行動管理工作的重要起點。立足於此，CSE與DND所制定的戰略性政策與規劃將交由議會進行監督，旨在分析其可能產生的各類最為嚴重的後續影響。法案要求各方向議會提供清算資料，幫助其以更為深入的方式瞭解各項其作為議會議員通常不會接觸到的問題與資訊。
加拿大設計的這一機制與其它五眼聯盟成員國的監督委員會模式保持一致。各國立法監督機構之間的聯絡則有望建立起另一種額外的手段，用以加深各國在首腦與軍方層面之外的合作框架。
C-59號法案的影響
加拿大對於網路能力以及任務要求採取更為透明的政策限制，這也正是該國政府在本項法案當中取得的最為顯著的成就。其它西方國家在網路空間能力制度化方面的經驗同樣非常重要，包括制定國家戰略、機構目標設計以及首腦級別監督機制等實施形式。各國與聯盟成員間網路計劃的相互作用則需要配合新的機制，從而確保不同行動間的互動能力與衝突解決能力。
另外，國家級監督工作也面臨著五眼聯盟各成員國間長久以來存在的防備與情報機構密切關聯所帶來的挑戰。而這種聯絡往往不會成為議會審議工作中的主題。
C-59號法案只是這一冗長的制定與修訂流程中的開場白，未來各國無疑還需要投入更多時間與精力以加強對於網路行動以及相關情報活動的監督。
E安全注：本文系E安全獨家編譯報道，轉載請聯絡授權，並保留出處與連結，不得刪減內容。
@E安全，最專業的前沿網路安全媒體和產業服務平臺，每日提供優質全球網路安全資訊與深度思考。