国际安全视角下的网络空间“建立信任措施”态势、模式及展望
摘 要：
2021 年，联合国主导的两个网络空间国际治理机制——信息安全开放工作组（Open-Ended Working Group，OEWG）和信息安全政府专家组（Group of Governmental Experts on Information Security，UNGGE）——分别推出了最终报告，但网络空间国际规则制定工作未取得突破性进展，网络空间稳定仍任重道远。为管控网络空间冲突风险，推动构建网络空间的建立信任措施（Confidence-Building Measures，CBMs）成为当务之急。当前，网络空间 CBMs 发展呈现下列特点：全球共识有限且落实困难；地区组织成果突出但议题较局限；双边合作起步不错但后续发展受阻。未来，就构建网络空间 CBMs 提出如下建议：内容上，从透明措施、沟通措施、合作措施、限制措施及核实措施等 5 个方面有序推进；途径上，遵循从理解到信任，从自愿到约束的发展道路。
CBMs 并无统一定义，其最初被用于军事领域，指敌对国家单方或者相互采取军事、政治等措施，以预防、消除因误解导致的冲突升级。传统CBMs大致可归为涉及“能力（Capability）”和“意图（Intention）”两种类型[1]。欧安组织（Organization for Security and Co-operation in Europe，OSCE）将建立信任措施分为军事领域的“建立信任与安全措施（Confidence- and Security-Building Measures，CSBMs）”，及非军事领域（政治、经济、环境、社会、文化）CBMs；也有人将“透明”措施从 CBMs 中单列出来，并称为“透明及建立信任措施”（Transparency and Confidence-Building Measures，TCBMs）。本文所述 CBMs 指涵盖军事、非军事领域的广义 CBMs。基于不同领域和角度，CBMs 被划分为更具体的类别，但核心内容基本一致。从军控视角出发，瑞典前首相帕尔梅提出 5 类 CBMs，分别为信息性措施、沟通性措施、接近性措施、通知性措施和限制性措施。美国史汀生中心的肯尼斯·艾伦提出 6 种 CBMs，分别为宣誓性措施、沟通性措施、限制性措施、透明性措施和检验性措施。两种 CBMs 分类不同，但都旨在降低军事冲突风险，核心内容同样适用于非军事领域（如外空、网络空间）。实践发展也证明，CBMs 正从较狭义的军事领域（如早期的核安全领域）拓展到新兴安全领域（如外空、网络）。具体到网络空间，以 CBMs 消除或降低网络冲突风险不仅可能，而且必要。可能性方面，网络空间主要威胁已经从互联网创建初的黑客攻击等非国家行为，转变为国家间的网络竞争、争端与冲突。美国战略与国际研究中心副总裁、著名网络问题专家刘易斯认为，在 21 世纪国家已成为网络空间最危险行为体。网络空间国家争端可能加剧网络冲突烈度，但追求理性的国家行为体也成为网络空间稳定的有利因素。在网络空间，国家关系仍然受制于现有的既定范式和长期形成的习惯，互动模式具有某种可调节性。这就意味，国家间的协调和磋商（包括 CBMs）可为维护网络空间稳定发挥积极作用。必要性方面，网络空间国际规则缺位。作为“人造公地”，网络空间国际规则尚未建立，网络空间的公地局限性显而易见。为谋取网络空间的领先优势，各国极力提升本国网络能力、完善机制体制，但忽视国际协调和磋商。目前，国际社会还没有达成国家间网络争端管控的任何协议，与之相反，各国政府都积极出台本国网络战略、法规。2021 年 5 月 12 日，拜登政府签署新的网络安全行政令，通过推行政府软件网络安全标准、加密验证等措施，提升政府网络安全主导权。最终，各国的理性行为将导致集体非理性。网络空间安全困境加剧，网络空间越加呈现碎片化，原本各方都受益的、统一和开放的互联网走向封闭与割裂。为避免此恶果，推进网络空间 CBMs建设，增信释疑、共商共建，可成为避免网络空间公地悲剧的有效举措。
1
当前网络空间 CBMs 实践
新世纪以来，以联合国大会第一委员会（裁军与国际安全）、OSCE 等为代表的国际组织，寻求从国际安全视角管控网络空间日益升高的不确定性。目前，各方就构建“网络空间负责任国家行为规范”达成了原则共识（体现在 2015年 UNGGE 报告），但受阻于共识落实上的分歧，网络空间 CBMs 成为各方均可接受的探讨领域之一。本文将从全球层面、地区层面、双边层面和国家层面，对 2013 年 OSCE 首推网络空间CBMs 以来，网络空间 CBMs 实践成果进行梳理并予以整体评估。
1.1 全球层面网络空间 CBMs 实践
在 CBMs、国际规范和网络能力等一系列网络空间治理行动中，联合国都发挥着关键协调作用。UNGGE（2004 年设立，三年一届）和OEWG（成立于 2018 年）两个工作组的机制建设、会议磋商等本身就是网络空间 CBMs 的重要组成部分。UNGGE 与 OEWG 既有分工，又相互配合。UNGGE 聚焦裁军与国际安全而非技术议题，不探讨间谍、互联网治理、数字隐私、反恐、打 击 犯 罪 等 问 题。2015 年，UNGGE 成 员 国 就网络安全问题达成 3 点共识：现有国际法原则上适用于网络空间；出台 11 项非约束性网络空间行为规范；制定和实施减少网络冲突风险的CBMs。OEWG 任务涵盖国际法、规则、定期机构对话、CBMs 及能力建设等。2021 年 3 月 10 日，OEWG 发布《最终实质性报告》（联合国大会“会议室文件”）称，193 个国家就网络空间负责任国家行为准则达成共识。报告第 41~47 条专门论述了网络空间 CBMs，指出透明、合作、稳定等措施有助于防止冲突、避免误判并降低紧张程度。截至目前，联合国主导的网络空间 CBMs取得如下共识：建立政策和技术层面的联系点及联络目录；提升数据保护、信息基础设施保护的国家观念；强化信息通信技术（Information and Communication Technologies，ICTs） 安 全 事故应对合作机制；建立国家网络安全事故响应队伍并拓展信息沟通；促进打击网络犯罪和网络恐怖主义国际合作。
1.2 地区层面网络空间 CBMs 实践
地区层面网络空间 CBMs 建设多依托现有CBMs 成果向网络空间拓展，卓有成效且各具特色。OSCE、东盟地区论坛（ASEAN Regional Forum，ARF）和美洲国家组织（Organization of American States，OAS） 走 在 了 网 络 空 间 CBMs建设前列，其机制和成果简介如下。
OSCE 网 络 空 间 CBMs 成 果 具 有 开 创 性。2013 年 12 月 3 日，OSCE 常设委员会推出了网络空间 CBMs 框架 11 条指导原则 [5]；2016 年 3月 10 日，OSCE 增加了第 11~16 条措施。主要内容为共享网络政策与做法、减少 ICTs 领域冲突、建立沟通机制、制定术语、促进公私合作及地区合作等。总体上看，OSCE 成员国之间共享网络安全信息的政治意愿较为突出，也就更早形成相关共识。
ARF 网络空间 CBMs 突出实践性。ARF 着力推进以 CBMs 为核心的 ICTs 安全合作，先后出台“工作计划”并设立“研究组”。2012 年7 月 12 日，第 19 届 ARF 外长会议发表“关于加强网络安全合作的声明”，要求“制定一个聚焦 CBMs 务实合作的 ICTs 使用安全工作计划”。2015 年 8 月 6 日，ARF 出台“关于 ICTs 及其使用安全的工作计划”（简称“工作计划”），筹备成立开放性的“降低 ICT 使用风险 CBMs研究组”（简称“研究组”），研究组聚焦防范 ICTs 设施被犯罪分子和恐怖分子利用（2017年 8 月 7 日，研究组在马尼拉成立）。2018 年4 月 25—26 日，ARF 关 于 ICTs 安 全 的 第 一 次会间会召开，通过了研究组“关于降低 ICT 使用风险 CBMs 的参考条款（Terms of Reference，TOR）”，提出了 5 项网络空间 CBMs 建议：建立关于 ICTs 及其使用安全的 ARF 联系点目录（马来西亚、澳大利亚负责）；关于国家法律、政策、最佳实践、战略、规定的信息共享（日本、菲律宾负责）；关键设施保护和协商机制（欧盟、新加坡负责）；关于 ICTs 安全事故应急响应的意识提升和信息共享（中国负责）；国家层面ICTs 及其使用安全建设原则的研讨会（新加坡负责）。2020 年 9 月 12 日，第 27 届 ARF 部长会议在越南河内召开，出台《ARF 关于国际安全背景下 ICTs 及其使用安全的合作宣言》，确认通过 ARF 会间会、研究组提升 ICTs 安全合作。
OAS 网络空间 CBMs 被归入传统安全领域。2018 年 2 月 28 日—3 月 1 日，OAS 下设的自治性组织美洲反恐委员会（Comité Interamericano Contra el Terrorismo，CICTE） 设 立了 网 络 空 间合作与 CBMs 工作组并召开第一次会议。2018年 5 月，CICTE 举 行 第 18 次 常 规 会 议， 通 过《促进网络空间合作与信任的地区建立信任措施（CBMs）》决议 ，主要成果：将网络空间CBMs 纳入“信任与安全建设措施巩固清单”；将网络空间合作与 CBMs 工作组作为探讨网络空间 CBMs 的常设机制；CICTE 秘书处借助现有的网络安全项目发挥网络空间合作与 CBMs 工作组技术秘书处职能。
1.3 双边层面网络空间 CBMs 实践
当前，许多国家签订了双边网络安全合作协议，如法国与爱沙尼亚、以色列与希腊、俄罗斯与西班牙、新加坡与美国等 。如前文所述，CBMs 主要适用于对手国之间，作为战略竞争对手，美国与中俄间的双边网络空间 CBMs 建设尤为重要。2013 年 7 月，美俄就 ICTs 安全合作达成 3 条 CBMs 共识 [8]：建立双方计算机应急响应小组（Computer Emergency Response Team，CERT）之间的网络威胁信息共享；通过成立于 1987 年 的“ 核 风 险 缩 减 中 心（Nuclear Risk Reduction Center，NRRC）”，在美国务院与俄国防部之间的“安全信息交换系统”中增加网络安全事项沟通，并另设一条专用于网络安全沟通的语音电话；通过现有的“直接安全通信系统（热线）”，美白宫网络安全协调员与俄安全委员会副秘书就 ICTs 安全事件进行沟通。但迄今为止，美俄间“网络热线”仅在 2016 年10 月使用过一次，当时美主动就“美大选遭网络干涉”问题联系俄方，但双方沟通以俄回复“我们需要更多信息”草草收场 [9]。正如 OSCE报告所讲，“一旦信任丢失、恐惧或仇恨生根，曾经达成的措施或项目都将于事无补”[10]。2015年至今，中美之间网络安全合作也经历了高开低走，已建立的“打击网络犯罪”“网络空间国际规则”等磋商机制目前陷于停顿。2015 年9 月，中美两国达成“互不进行和支持网络商业窃密行动”“建立打击网络犯罪高级对话机制”等协议。2015 年 12 月—2016 年 12 月，中美执法部门举行了 3 次“中美打击网络犯罪及相关事项高级别联合对话”（以下简称“网络犯罪对话”），双方达成《中美打击网络犯罪及相关事项指导原则》《中美打击网络犯罪及相关事项热线机制运作方案》及其他加强打击网络犯罪、网络保护等双边务实合作。2017 年，中美网络犯罪对话升级为中美执法及网络安全对话（2017 年 4 月，中美首脑在海湖庄园首次会晤时达成的 4 个对话机制之一）；同年 10 月 4 日，升级后的首轮对话在美举行，成为两国推动执法和网络安全领域合作的重要平台 。2016 年5 月，中美召开“网络空间国际规则高级别专家组”首次会议，双方讨论了国家行为规范与网络空间的国际法和 CSMs。但此后，美借制定网络空间规则责难、规制中国，甚至起诉中国公民，这违背了网络空间 CBMs 的互惠特性，双方自然无法长期合作。
1.4 国家层面网络空间 CBMs 实践
美、俄、中、法等网络大国都推出了网络空间国际合作战略、倡议，这构成了网络空间透明措施的重要组成部分。2011 年 5 月，美奥巴马政府出台《网络空间国际战略》，提出美在网络安全方面的理念、目标、规则和建议。2011 年 9 月，俄罗斯向第 66 届联合国大会提交信息安全国际行为准则草案，这成为首个网络安全国际行为准则倡议。2017 年 3 月 1 日，中国政府发布首份《网络空间国际合作战略》，倡导和平发展、合作共赢，以构建网络空间命运共同体为目标，推动网络空间国际交流合作。2018 年，法国总统马克龙推出《网络空间信任与安全巴黎倡议》，提出增进网络空间信任、安全和稳定的非约束性国际网络规则系列倡议。随着各国陆续出台网络战略，国家间的网络战略沟通也随之推进。例如，国家间网络政策文件交换与分享的文件库建设虽仍显滞后，但成为网络空间 CBMs 倡议的首要举措。实践中，国 际 电 信 联 盟（International Telecommunication Union，ITU）网站设置了成员国“国家网络安全战略文件库”，但文件种类仍需及时更新、完善，如中国网络安全战略项下只有一份 2006 年版的《国家中长期科学和技术发展规划纲要（2006—2020 年）》。
2
网络空间 CBMs 态势
目前，基于传统盟友和伙伴关系的区域性或双边网络空间合作，发展势头明显好过全球性网络空间治理多边磋商。网络空间 CBMs 建设实践的总体态势：全球共识有限且落实困难；地区组织成果相对突出，但议题较为局限；双边合作起步不错，但后续发展令人失望；各国网络战略出台积极，但国际文件共享效率不高。基于网络空间的冲突议题、互信水平、主要行为体和解决方案等要素 ，本文将网络空间 CBMs发展特点归纳为如下几点。
2.1 网络空间 CBMs 磋商政府主导
随着网络安全问题日益严重，政府已成为网络空间治理主要参与方，主导了网络安全问题磋商。相较于技术社群、非政府组织、IT 巨头，政府成为网络空间 CBMs 主导者具有必然性。由于网络基础设施、互联网用户的国家属性，超脱于各国政府管辖的全球网络空间还只能是“幻景”，起码在国家消失之前如此。当前，国际政治争端向网络空间蔓延，网络结盟、网络军备竞赛、网络威慑、网络冲突、网络战等混合了国际政治和网络空间的概念相继出现。传统公地规则的制定、保障依赖于具备必要能力的主体，考虑到网络空间的全球公地属性，其规则建设也离不开政府这个强力主体。互联网发展早期，网络无政府主义（主张以伦理道德和自律治理网络空间）、网络自治（谋求网络空间的独立主权）等观念盛行，但随着网络治理问题日趋复杂、国家主动参与其中，网络空间已难以被视为完全的“全球公域（Global Commons）”。美国著名国际关系学者约瑟夫·奈称网络空间为“不完全公地（Imperfect Commons）”，认为互联网信息通信协议等具有公共产品性质，而网络设施则归属于不同国家。刘易斯将网络空间界定为“伪公地”（Pseudo-commons），称其更像一个多方拥有的共管之地。与公海、太空等全球公地不同，网络空间是被发明、而非被发现的公共空间。可以说，网络空间是一个具有全球公域特征的人造公地。
2.2 网络空间 CBMs 建设多层次推进
网络空间 CBMs 关乎网络空间规范制定和实施，是当前网络空间国际治理的最现实任务之一。依据不同的安全层次，网络空间 CBMs 磋商分头展开、多层次推进，主要机制包括全球安全视角下的磋商（联合国主导）、地区安全视角下的磋商（地区安全组织主导）、双边安全框架下的国家间磋商以及业界安全视角下的磋商（企业 / 非政府组织主导）。就效果而言，联合国主导的政府间磋商（UNGGE 和 OEWG）更具权威性，但其成果的原则性大于可操作性，2015 年，UNGGE 就网络空间的国家行为规范达成共识，但此后围绕规则适用问题再次陷入僵局。由于网络能力发展水平相近，地区组织内的网络安全磋商更加实际、成果也最为突出。业界、学术界等非官方网络安全磋商也异常活跃，出台了系列倡议，成为政府间协商的有益补充，但缺乏一定持续性。
2.3 网络空间 CBMs 进程多方面参与
政府（包括政府间国际组织）主导网络空间治理进程，但非政府组织、产业界等也积极投入其中。自互联网诞生之日起，多利益攸关方治理模式就被视为网络空间治理的鲜明特点。西方尤其重视商业机构、公民社会在 CBMs 构建中的作用，认为商业机构之间的网络攻击数据共享，即使具有趋利性质，但也有助于政府间数据和信息共享，如商业卫星运营商通过太空数据协会共享轨道定位数据 。据此，有学者主张将“自下而上的”“多利益攸关方为中心”模式 施用于网络空间 CBMs 建设。除了主权国家，国际社会致力于网络空间 CBMs 的行为体还包括：全球组织，如联合国；地区性组织，如 OSCE、ARF、OAS 等；民 间 及 私 人 机 构，如微软公司、全球网络空间稳定委员会（The Global Commission on the Stability of Cyberspace ，GCSC） 等。2018 年 4 月， 以 微 软 为 代 表的 34 家 IT 公 司 签 署 一 项网 络 安 全 技 术 协 议（Cybersecurity Tech Accord），就保护客户免受网络恶意攻击达成一致，承诺提高网络空间的安全性、稳定性和复原力；2019 年 4 月，该协议签字方推出“网络空间 CBMs 建议”。此外，全球网络空间稳定委员会聚焦于网络规则和网络空间负责任国家行为；微软公司主导的《数字日内瓦公约》（Digital Geneva Convention）建议制定具有法律约束力的跨部门协议；2017 年，西门子公司在慕尼黑安全会议（Munich Security Conference，MSC）上携手政府和业界发起《信任宪章》（Charter of Trust）倡议，提议建设统一的网络安全标准保障网络安全。
3
网络空间 CBMs 构建设想
网络空间 CBMs 理论和实践表明，全球一致认可的措施虽尚未形成，但相关原则已初露端倪。地区 / 次地区网络工作交流、国家 / 地区层面网络合作机制、架构和能力建设为构建成熟的网络空间 CBMs 提供了借鉴。基于联合国、OSCE、ARF、OAS 等国际组织的多边措施及中、美、俄间的双边合作，本文尝试提出构建网络空间 CBMs 框架的基本设想。
3.1 网络空间 CBMs 目标定位
维护网络空间稳定是构建网络空间 CBMs 的基本前提，这如同冷战时期“不打核战争”共识。网络空间 CBMs 旨在消除威胁网络空间稳定的误判、误解，降低突发网络事故导致网络冲突升级的风险。也可以说，网络技术并不能完全解决网络空间安全问题，人及其观念最终影响了政府在网络空间的政治、外交和军事决策，而决策的核心是“理解”和“信任”。为了预防、缩减、消除国家间网络冲突，网络空间CBMs 基于自愿而不具有法律强制力。但也不排除，CBMs 逐步提升为国家行为规范，从具有政治约束力逐步上升为具有法律约束力。针对网络实力不同的国家，网络空间 CBMs 可发挥不同作用。网络强国通过 CBMs 可展现其和平、理性使用网络实力的战略意图，避免战略误判；网络弱国则可通过 CBMs 表明其控制网络攻击的能力不足，避免被误解为恶意行为者。从适用范围看，网络空间 CBMs 旨在引导国家处理“武装冲突”门槛之下的网络敌对行为。总之，网络空间 CBMs 定位以应对“硬安全”为主，维护“软安全”为辅，即主要缓解网络军事冲突风险这个影响网络空间稳定的致命威胁，兼顾管控网络间谍行为、舆论战、网络恐怖主义等可能导致军事冲突的潜在风险。
3.2 网络空间 CBMs 基本内容
当前，网络空间 CBMs 理论和实践虽仍处初级阶段，但各方关注点正逐步趋向统一。2013年 6 月，总部位于瑞士的 ICT4Peace 基金会举行“建立信任措施及国际网络安全研讨会”，提出了 4 类维护网络安全的措施：透明、合规及核实措施；合作措施；协作及沟通措施；稳定及限制措施 。4 类措施沿袭了传统 CBMs 分类模式，较为系统、全面，但借鉴多过创新。2014 年 3 月，北约在瑞典举办“网络空间 CBMs 高级研究研讨会”，提出 4 类网络空间 CBMs：协作措施、危机管理措施、限制措施及多方参与措施。2021年 3 月，OEWG 提出了 7 条网络空间 CBMs 建议。本文认为，网络空间 CBMs 可分为 5 类：透明措施、沟通措施、合作措施、限制措施及核实措施，这些措施的强制力依次由弱至强，但也可齐头并进施行。
3.2.1 透明措施
透明措施（Transparency Measures）被帕尔梅称为“信息性措施（Information Measures）”，被肯尼斯·艾伦称为“宣誓性措施（Declaratory Measures）”。此类措施为单向举措，如政策宣誓、战略发布，与互动性的 CBMs 明显不同。因此，有学者将透明措施与 CBMs 并列，合称为“透明与建立信任措施（Transparency and ConfidenceBuilding Measures，TCBMs）”。1966 年， 美 国军控与裁军署咨询专家查尔斯·奥斯古德建议美苏核大国在“单边善意表达”基础上实现双方良性互动，这成为最早的 CBMs 透明措施倡议。网络空间透明措施包括维护网络空间稳定的“能力”和不谋求占据绝对优势的“意图”两个方面。中国提出网络空间命运共同体理念，倡导在和平、主权、共治、普惠 4 项基本原则基础上推动网络空间国际合作 ，这些都是具有积极意义的政策宣示。与之相反，“恶意”的透明措施只可能引发网络空间对抗和冲突。有两类行为可归入“恶意”之列：一是单边或联合盟友对他国进行责难，如美国指责中国实施“恶意的网络空间行动”[19]，这无疑引发中美间一轮又一轮网络争端；二是实施“网络威慑”或“先发制人”战略，加剧网络空间军事竞赛，如 2020 年 3 月 11 日，美国网络空间日光浴委员会提出“分层网络威慑”新战略。
3.2.2 沟通措施
沟 通 措 施（Communication Measures） 旨在提升国家间的网络安全信息共享水平。肯尼斯·艾伦认为，传统的沟通措施包括军事交往、设置热线、人员定期会晤、通报和冲突预防中心。路径上，沟通措施从单边为主的透明措施提升为双边或多边的针对性沟通，为进一步合作创造了条件，但未必产生协调或合作行动。机制上，建立各国网络安全管理之间的联系人目录，协商制定标准化、可兼容的信息通报格式。形式上，沟通措施可分为日常沟通措施和危机沟通措施两种情形。北约尤其重视网络危机事件中的沟通措施，强调发挥各国 CERT 等机构的功能性合作。但 CERT 职能更偏技术而非政策，实践表明其对消除国家间网络争端的作用有限。目前，主要网络大国都设立了隶属于外交部门的网络事务协调员或网络大使，建立各国网络外交官间的交流机制或更为可行和必要。内容上，网络空间沟通措施包括威胁信息共享、网络最佳实践交流等。例如，ARF成员国关于网络恐怖主义和跨国网络犯罪的信息共享措施。
3.2.3 合作措施
网络空间合作的基础是相关方认识到网络空间稳定是共同利益，网络合作收益大于网络冲突。合作措施（Cooperation Measures）应该比沟通措施更进一步，沟通措施是主动的信息披露，合作措施则要包含某种义务，更像一种交易。网络空间合作措施多来自志同道合国家（如北约成员国）或已建立了传统对话渠道的国家（如中英、美俄）。其中，美欧网络合作历史最为悠久，机制也更加成熟。2010 年，美欧建立“网络安全和网络犯罪工作组”；2011 年，美欧进行第一次联合网络演习；2014 年，美欧召开第一次高级别网络战略对话，聚焦网络空间的人权、规则、信任和能力建设、国际法适用等方面。2016 年，北约与欧盟开始在技术协定基础上进行网络威胁信息交换，并将网络攻击纳入可触发北约共同防御条款的战争形式。
3.2.4 限制措施
限制措施（Restraint Measures）也被称为稳定措施，指对可能造成网络空间灾难性后果的行为进行限制的措施。虽然网络攻击难以匹敌核武器攻击的毁灭性后果，但针对核设施控制系统、关键基础设施（如医院、金融、供水、供电等控制系统）的网络攻击后果难以预料，可能导致人道主义灾难或军事指挥系统误判、失控。因此，各方就国际法适用于网络空间达成一致之前，限制性的网络空间 CBMs 可先行先试。就此，美西方学界提出了在冲突中设置“网络庇护所（Cyber Haven）、在和平时期保护关键基础设施等诸多倡议。“网络庇护所”倡议于 2014 年 左 右 由 美 东 西 方 研 究 所（East West Institute，EWI）前首席技术官卡尔·劳舍尔（Karl Rauscher）等提出，指通过添加特别标志，保护特定机构（如医院）的网站、计算机、服务器、电子账户等网络设备和系统，避免其在国家网络冲突中遭受打击的措施，具体包括机构建设、规则制定（如引入顶级域名）等。此倡议旨在仿照国际红十字会做法，试图将“国际人道法”引入网络空间。限制措施可以是不对某类目标实施网络攻击的国家单边政策宣誓（可视为透明措施），也可以是双边或多边的国家间协定。如德国专家建议，制定不对核设施指挥控制和通信系统进行网络攻击的行为准则 。
3.2.5 核实措施
传 统 安 全 领 域 的 核 实 措 施（Verification Measures）借助于第三方，通过现场走访、卫星图片、拍照等方式展开。网络安全核查则困难得多，当前还没有类似于国际原子能机构（International Atomic Energy Agency，IAEA） 的政府间国际网络安全组织，具有国际公信力的核实主体缺失。技术层面上，网络技术的军民两用性使得各方难以就核查范围达成共识，网络攻击溯源技术难以解决代理人攻击问题（除非攻击者自己承认）。当然，网络安全核实也并非完全无法开展。目前，各国基本建立了半官方或官方性质的 CERT，该机构间的网络安全威胁信息共享已成国际合作常态。在国际网络安全核实机构建立之前，强化国家 CERT 合作，甚至实施网络安全核查，也并非不可。
3.3 实施路径
根据 ARF 经验，CBMs 需要通过预防性外交机制及冲突解决机制实施。OSCE 也认为，CBMs 要与早期预警机制、调解和谈判、维和行动等冲突预防措施配合使用。同样，网络空间 CBMs 可行性也是难题，行之有效的实施机制仍待突破。基于此，欧盟将网络外交视为维护欧盟安全、管控冲突升级的核心手段，与网络防御、网络威慑和网络安全等量齐观，网络能力和 CBMs 则被视为网络外交的两大支柱。当前，网络空间 CBMs 实施路径和模式探讨集中于对国际公共卫生管理、国际环境治理、国际民航飞行安全保护等模式的借鉴。例如，美国大西洋理事会的贾森·希利认为，可以参照“国际环境法”制定网络空间的规则，他将网络攻击、垃圾邮件等比喻为“污染”，国家对境内的互联网（类似于“自然资源”）拥有主权，也要承担对源于其境内的国际网络“污染”（如网络攻击等）的治理义务 。就有效推行网络空间 CBMs，本文提出如下建议。首先，网络空间 CBMs 需遵循从理解到信任，从自愿到约束的路径。网络能力判定是基础，然后才是网络意图沟通，最后达成强制性规范。就目前形势而言，各方较难就网络空间CBMs 达成全面一致，需要寻求在某个领域突破，如关键信息基础设施保护、网络恐怖主义信息共享等。其次，启动非敏感议题磋商。在缺乏沟通渠道的情况下，CBMs 通常始于一方在某个不存在争议领域的主动姿态，例如，1971 年，第 31 届世界乒乓球锦标赛期间，美国乒乓球代表团向中国代表团表达访华意愿，中方积极回应，中美两国关系由此破冰。具体到网络空间，CBMs 的启动通常来自打击网络犯罪等非敏感领域，而网络空间的军事交流则相对谨慎得多。再者，从双边协商向多边拓展。双边措施必须对外界透明，避免产生网络强国合伙侵害网络弱国利益的情况。多边磋商方面，应该强化 OSCE、ARF、OAS 等地区安全组织的 CBMs合作，向着更加制度化、操作化方向提升。最终，网络空间 CBMs 终结于具有约束力的“行为规范”措施。因为网络空间 CBMs 只是战术层面磋商，网络空间规范才是战略性目标。最后，完善组织机构，保障措施落地。当前，专门性、常设性的政府间网络安全协调机构还没有建立起来，联合国主导的两个网络安全磋商机制（UNGGE和 OEWG）成员庞杂、授权有限，且背后大国角力，无法高效协调国际网络争端。机制建设可从完善已有机制入手，如建立涵盖范围更广、更新及时的“全球网络文件库”、联系点目录等。此外，官方与非官方同步，政治解决与法律探讨配合。私营企业和公民社会应该成为政府间CBMs 试验场。
4
结 语
CBMs 本质上无法根除冲突，只是治标之举。外界不要对 CBMs 期待过高，不切实际的高期望值不利于发挥 CBMs 建立信任的累积效果。网络空间 CBMs 建设也不例外，网络争端不能仅从网络空间寻求答案，需要整合更广泛的冲突解决战略。当前网络空间 CBMs 发展受制于两大因素：主观上，网络空间的国家“互疑”大于互信，合作的政治意愿不强烈；客观上，网络冲突的灾难性后果未出现，合作的共同受益不明显。如果没有任何互信，CBMs 将是有名无实，如美俄 2013 年就建立起“网络热线”，但其并未阻止双方网络争端升温。因此，基于共同安全的CBMs 对于网络空间更显珍贵和迫切，也是迈向网络空间人类命运共同体的起点。
总体来看，构建网络空间 CBMs 主要面临 3大挑战。
一是大国博弈影响网络空间 CBMs 广度。大国博弈导致网络空间正走向“阵营”分野，当前 CBMs 进展仍局限于友好国家之间。美西方与中俄之间战略互信处于低点，其网络争端呈现愈演愈烈之势。2021 年以来，“太阳风”网络攻击、微软交换服务器攻击、美以所谓网络攻击起诉中国公民等争端频现。2020 年 8 月 16 日，拜登政府国安会印太政策协调员坎贝尔（Kurt M. Campbell）撰文称，由于忌惮暴露自身的防御脆弱性，中国对军事领域 CBMs 持谨慎态度，美中两国几乎无法建立冷战后期美苏曾有的处理海外事件和管理初始冲突的程序。不断提升的网络攻击能力加剧了美中冲突升级风险，甚至可能达到使用核武器的地步 。刘易斯看来，美国的对手并不想维护网空稳定，而是希望打破美西方主导的国际规则体系。复旦大学沈逸教授认为，对美国而言，不存在如何维护网络空间稳定，而是如何确保美国的安全和利益 目前，网络大国的网络安全磋商难以杜绝网络攻击事件，而更在意以利己方式减少网络攻击事件。短期内，网络空间战略互信难以达成，网络空间 CBMs 从友好国家间拓展到两大“阵营”间存在不小障碍。
二是核心议题“定性”决定网络空间 CBMs深度。网络空间 CBMs 从较初级的透明措施走向更高层面的合作、限制措施，某些核心问题的“定性”分歧成为深层障碍。概括而言，可归为两个“国际标准”分歧：“非法的（Illegal）”或“恶意的（Malicious）”网络行为的界定标准；网络攻击构成“武装攻击（Armed Attack）”或“使用武力”（Use of Force）的标准。前一个标准涉及传统间谍行为、信息战等非武装冲突行为，如中美之间围绕所谓的“经济网络间谍行为”争端；后一个标准涉及武装冲突法在网络空间的适用问题，美西方希望国际人道法（武装冲突法）完全适用于网络空间，中国等则认为该法可能助长网络空间军事化趋势。这两个标准决定了“国际法适用于网络空间”从共识走向务实合作的步伐，也影响网络空间 CBMs 构建的深度。尤其是对限制措施而言，网络攻击的“武装攻击”定性决定了平时措施与战时措施的使用场景。
三是法律和技术分歧成为网络空间 CBMs 现实障碍。国家博弈是影响网络空间 CBMs 的深层因素，而国际法适用、网络技术演进等是迟滞其发展的直接障碍。国际法层面，主要分歧来自欧洲委员会《网络犯罪公约》（即《布达佩斯公约》）和国际人道法（武装冲突法）在网络空间的适用问题。美欧等西方国家期望推动《布达佩斯公约》成为全球性公约；以中国、俄罗斯等为代表的新兴国家，则坚持在联合国框架下制定打击网络犯罪国际公约。关于武装冲突法适用于网络空间问题，美欧希望制定网络空间武装冲突规则，中俄等国则反对导致网络空间军事化的任何企图。技术层面，网络攻击能力与网络防御能力界限的模糊性、网络民用用途和网络军事用途的两用性，导致网络行为性质与发动者意图判定困难。
为推动构建网络空间 CBMs，国际社会应将网络空间 CBMs 纳入整体的国家冲突解决方案。CBMs 只是网络冲突的治标之策，各方要超越“零和思维”，共同提升网络空间互信水平。在遵守《联合国宪章》等国际社会共同接受的国际规则基础上，各方致力于寻求避免网络冲突、实现网络空间非军事化。网络空间 CBMs 是确保网络空间稳定的底线措施，网络空间人类命运共同体才是最终目标。除了凝聚共识、理论探讨等长期的累积性工作，网络空间 CBMs 实现从量变到质变也需要把握“机会之窗”。以与网络空间相似的太空领域为例，1963 年，美苏签署的第一份太空“透明与建立信任措施”条约——《部分禁核试验条约》就源于 1962 年美国反卫星试验导致美、英、苏等国卫星失灵的突发事件。在网络空间，“网络 9·11”“网络珍珠港”等重大网络攻击事件还只是隐忧，急剧升高的“勒索软件”攻击、网络诈骗等共同威胁或可成为网络空间合作的现实契机。
引用本文：张明 . 国际安全视角下的网络空间“建立信任措施”态势、模式及展望 [J]. 信息安全与通信保密 ,2022(2):58-70.
选自《信息安全与通信保密》2022年第２期(为便于排版，已省去参考文献）