在聯合國專門機構國際電信聯盟 （ITU） 2021年6月發布的2020年世界各國網絡安全指數（Global Cybersecurity Index）排名中，在統計的全球195個國家和地區中，沙特王國的GCI指數位列第2名，與英國并列（1到10名是美國、英國、沙特、愛沙尼亞、韓國、新加坡、西班牙、俄羅斯、阿聯酋、馬來西亞、立陶宛、日本、加拿大、法國、印度，有多個并列。中國位列第33名），在阿拉伯世界、中東和亞洲排名第一。沙特阿拉伯自2017年發布2030愿景并啟動以來，GCI排名大幅躍升，從2017年全球排名第46位到2018年的13位，2020年一舉躍升為全球致力于網絡安全的國家排名第二位。據稱沙特王國的網絡安全預算正在以15.3％的復合年均增長率增長，預計其市場價值到2022年將達到51億美元。沙特在中東是第一大經濟體，但因其與美國及西方的親密關系而遭到地區主要國家的指責與詬病。在網絡安全領域，沙特的出名是2012年8月沙特阿美石油公司遭到一場惡劣的網絡攻擊，致使公司四分之三計算機上的數據被清除。

　　新歐洲研究所歐洲安全項目主任Aleksander Olech博士最近發布的文章《沙特王國的網絡安全》（Cybersecurity in Saudi Arabia）一文，對這個特殊國家的網絡安全戰略發展態勢進行了全方位的分析，對研究者了解該國家網絡安全治理有諸多參考價值。文章的主要發現如下：

　　沙特阿拉伯擁有中東地區最大的信息通信技術（ICT）市場，并在不斷開發這一市場。

　　2020年，沙特阿拉伯記錄了超過2250萬次網絡攻擊，平均每次攻擊給國家造成650萬美元的損失。

　　2021年3月，沙特阿拉伯教育部與國家網絡安全管理局簽署協議，啟動網絡安全領域的聯合培訓和研究項目。

　　自沙特阿拉伯國家石油公司（Saudi Aramco）遭遇首次網絡攻擊以來，沙特已經采取了一系列措施，旨在減少網絡攻擊的發生。

　　數十億美元投資背景下的挑戰和競爭

　　沙特阿拉伯正在進行國內發展，重點是擴大其網絡空間能力。COVID-19大流行和油價大幅下跌加速了這一進程。早在2016年，在《沙特2030年遠景戰略》框架內，沙特阿拉伯王國（沙特阿拉伯）就已強調，該國打算減少對石油的依賴，實現經濟多元化，發展公共服務部門，如衛生、教育、基礎設施、娛樂和旅游部門。該計劃的核心是關注技術、數字轉型和數字基礎設施的發展。從本質上講，該戰略本身既不涉及網絡空間問題，也不涉及網絡恐怖主義問題，但它指明了改變的道路。

　　在2020年第一季度冠狀病毒大流行之初，中東國家遭受的惡意軟件攻擊增加了22%，垃圾郵件攻擊增加了36%。對于沙特阿拉伯的公司來說，這是一個特別困難的時期，它們正在經歷向遠程工作轉變的過程。由于沙特阿拉伯在該地區的戰略地位，公共和私營部門的ICT基礎設施不斷受到網絡事件的威脅。這些網絡攻擊在金融、運營和戰術層面對經濟產生了巨大的影響，可能會削弱公民對政府服務和管理本身的信任。因此，這可能會影響該國的政治穩定，并導致來自鄰國的網絡犯罪分子的進一步攻擊。

　　在冠狀病毒病大流行期間，沙特的私營和公共機構也面臨著工作組織方面的挑戰。在家辦公的員工發送的敏感信息可能會丟失，這導致了全國IT領域的重組。為阻止病毒傳播而實施的強制封鎖導致所有形式的通信都被傳輸到互聯網上。他們實施了在Zoom上舉行會議、進行網上購物和進行虛擬教育的規定。迄今為止，在沙特阿拉伯，在辦公室工作和親自組織會議的習慣占主導地位。國內幾乎所有公司的經營政策都發生了動態變化，這就要求迅速實施使員工能夠保持良好生產力水平的戰略。這包括將數據移動到數據云，并授予對企業遠程IT資源的訪問權。因此，有必要通過投資新技術和實施抵御外部攻擊的安全措施，提高網絡空間的安全水平。另一個重要因素是培訓能夠訪問公司數據的員工，以便他們也能不斷分析新出現的威脅并遵守安全規則。

　　超過一半的沙特信息事務主管認為安全管理是最大的技術挑戰，投資網絡安全是一個關鍵的商業目標。此外，網絡安全維護的必要性已經成為衡量全國企業業績和數字化轉型的主要指標之一，這意味著在技術和數據泄露防護方面的支出將逐年增加。

　　網絡恐怖主義的威脅

　　2015年，沙特阿拉伯每天面臨16萬起襲擊。由于其國際地位和資源優勢，該國比該地區其他國家更經常受到攻擊。這種威脅的加劇給公共和私營部門的運作造成困難。不同規模和強度的網絡攻擊會對國家經濟造成相當大的破壞，并對國家的社會和政治穩定產生負面影響。更重要的是，網絡犯罪也是造成巨額財政、金融聲譽損失的主要原因之一。

　　當前，網絡空間保護是維護國家安全和穩定的最重要挑戰之一。自2006年以來，對關鍵基礎設施的襲擊顯著增加，而這些基礎設施在國家和社會的運行中發揮著重要作用。它們可以采取不同的形式，目的是獲取洞察力、竊取或破壞高度保密的信息，以及通過引入惡意軟件擾亂文件或計算機系統的活動。僅2012年一年，沙特就損失了6.93億美元，而且這個數字還在逐年上升。2020年，沙特阿拉伯記錄了超過2250萬次此類攻擊，每一次攻擊耗費國家650萬美元，而2021年第一季度，記錄的網絡攻擊超過700萬次。戰略與國際研究中心報告稱，在2006年5月至2020年6月期間發生的所有襲擊中，對國家安全構成了重大威脅。在“2020網絡安全暴露指數”和“2020網絡風險指數”中，沙特阿拉伯在全球范圍內分別排名第31位和第25 -26位。

　　沙特阿拉伯網絡遭到攻擊

　　最具威脅性的國家級網絡攻擊之一發生在2012年8月，當時病毒Shamoon被植入到國有石油公司沙特阿美（Saudi Aramco）的內部通信網絡。其目的是停止石油和天然氣生產，削弱中東能源市場上最大的公司。由于這一事件，3萬多臺電腦受損，磁盤上的所有數據都被刪除，取而代之的是一張燃燒的美國國旗的圖片。為了阻止病毒的傳播，沙特阿美公司被迫停止運作，并封鎖了所有員工的電子郵件和互聯網接入。這使得公司的生產經營活動停止了兩周，造成了巨大的經濟損失。在關閉的5個月期間，網絡安全團隊開展了旨在實施新解決方案以維護網絡安全的活動。這次攻擊不僅對沙特阿拉伯本身構成了威脅，對西方國家也構成了威脅，尤其是那些依賴石油供應的國家。盡管缺乏證據，但美國情報機構指責沙特阿拉伯在該地區最大的競爭對手伊朗伊斯蘭共和國發動了此次網絡攻擊。

　　另一次針對沙特關鍵基礎設施的攻擊發生在2017年8月，這次是由升級后的Shamoon 2病毒造成的。公司停止運作48小時。業務活動暫停時間明顯縮短的原因是該公司在2012年之后做出了持續存儲備份的決定。據《紐約時報》報道，此次網絡攻擊的目的是引發爆炸，破壞整個系統。攻擊肇事者的身份尚未確認，但伊朗也受到了指控。

　　2019年12月，沙特政府機構發現，沙特阿拉伯的關鍵設施再次遭到網絡攻擊。攻擊過程中使用了“清潔工”（Dustman）惡意軟件，它可以永久刪除存儲在磁盤上的數據。目前尚不清楚哪些國家機構將成為攻擊目標，因為黑客留下的痕跡表明，這次攻擊是匆忙組織的。更重要的是，它與伊朗-美國戰線上的緊張局勢升級同時發生。根據CyberScoop的文章，該文章基于政治形勢的假設，類似的攻擊方式和留下的痕跡，罪魁禍首是伊朗黑客。

　　沙特阿拉伯國家當局和公司并不是導致刪除或阻止信息的攻擊的唯一目標。2020 年 5 月，沙特阿拉伯王國成為伊朗攻擊組織Chafer APT領導的未成功間諜活動的受害者。它針對的是沙特的關鍵基礎設施，特別是存儲大量個人數據的電信和旅游部門，以及政府管理部門。其目的之一是為間諜目的收集憑據數據。

　　此外，沙特阿拉伯的當前趨勢表明，網絡恐怖分子正在利用社交媒體作為一種替代手段，通過滲透用戶的溝通渠道，擾亂公民之間的溝通，阻礙經濟活動。此外，他們還利用該網絡招募專家、籌集資金，并開展針對沙特阿拉伯的虛假信息活動。多達3020萬人（占人口91%）可以上網，2500萬人擁有社交網絡賬戶。目前，最常被恐怖分子破解的媒體是WhatsApp、YouTube、Facebook、Instagram和Twitter。

　　網絡安全戰略

　　鑒于當前網絡安全面臨的挑戰，2017年10月31日的皇家法令成立了國家網絡安全管理局（NCA），其主要任務是通過加強內部分析和法律解決方案來提高國家的網絡安全。該辦公室由國家安全院長、情報院長、內務部副部長、國防部副部長等人組成。國家網絡安全委員會履行與網絡安全相關的監管和運營職能，并與公共和私營實體密切合作，以改善國家安全、保護其利益、關鍵基礎設施，并為落實《2030年愿景》構建網絡空間環境。

　　國家網絡安全管理局（NCA）制定的一個戰略網絡安全愿景，反映了沙特阿拉伯的目標，即在網絡空間創造條件，以維持安全、對政府的信任和技術增長。2030年的優先目標包括六個方面：

　　協調全國的網絡安全——確保所有下屬機構的高級別協調和指導方針調整；通過整合、明確國家層面參與者的角色和責任，制定和實施法規和政策以及遵守國家標準，從國家層面對網絡安全采取綜合全面的方法是很重要的。

　　風險管理——識別網絡空間的目標和檢測危害；隨后，驗證最合適的風險消除方法，以減少負面影響。

　　網絡環境的最佳運作——引入全面控制、國家規范和合規監測系統，確保網絡安全環境的保護，包括提高社會對網絡威脅的意識水平。

　　動態防御——不斷加強和提高國家在網絡威脅防御領域的能力；攻擊后的檢測、預防、響應和重組。

　　國際伙伴關系——網絡安全需要合作，需要通過先進的信息交換機制來加強合作，從而改進系統并交流最佳實踐；為了達到所需的安全水平，應該努力加強與外國伙伴的關系。

　　網絡空間開發——努力提高國家在網絡安全領域的能力，主要途徑之一是投資于教育、意識和培訓，以及行業和研究。

　　此外，考慮到沙特的經濟規模，沙特將重點放在創建政府結構上，以使其能夠利用國家的潛力，并應對正在出現的威脅。因此，2019年，沙特阿拉伯又創建了三個與NCA相關的機構。沙特數據和人工智能管理局（SAIA，負責制定數據存儲戰略和人工智能的發展）以及其下屬的國家人工智能中心和沙特數據和人工智能委員會。這些行動清楚地表明沙特王國決心擴大其數字能力，并建立一個基于人工智能及其創新的未來。沙特政府表示，人工智能將提高生產率，改善所有部門的決策過程，為公民提供更多創新服務，并帶動企業增長。同樣值得注意的是，沙特阿拉伯一直在修訂2007年的網絡犯罪法。

　　網絡空間新協議

　　2021年3月，沙特阿拉伯教育部與國家網絡安全管理局簽署協議，啟動網絡安全領域的聯合培訓和研究項目。這對投資網絡安全倡議非常重要，也是實現2030年愿景的一部分。教育部和NCA已經在實施幾個聯合項目，為網絡空間研究和網絡安全領域的高等教育發展提供獎學金。

　　自沙特阿拉伯國家石油公司（Saudi Aramco）遭遇首次網絡攻擊以來，沙特已經出臺了一系列措施，以減少網絡攻擊的發生。其中之一是政府決定將其安全和地區管理開支中的安全預算翻倍，其中也包括網絡安全。2012年，這些支出從78億美元增加到154億美元，2020年達到272億美元。2014年，國家網絡安全技術中心成立，這是一個研究和發展機構，處理網絡、軟件和信息安全問題。該中心的設立是為了使該國為實施《2030年遠景》做好準備。

　　國家在網絡安全領域與國際組織（包括聯合國和阿拉伯國家聯盟）以及雙邊協議（如與美國、英國和阿拉伯聯合酋長國）進行合作，但鑒于與伊朗的緊張關系和相關的網絡攻擊數量的增加，它在海灣合作委員會（Gulf Cooperation Council）的合作最活躍，在那里它開始討論擴大網絡安全領域的合作。與沙特阿拉伯合作的參與者數量有限，因為該國將網絡安全問題視為其外交政策的一個小元素，只是將網絡安全作為內部安全的一個關鍵方面。

　　作者簡介

　　Aleksander Olech博士是新歐洲研究所歐洲安全項目主任，安全與國際關系領域的專家。Olech的主要研究興趣是恐怖主義、東歐的國際安全合作以及北約和歐盟在混合威脅方面的作用。