摘要：中国国家计算机网络应急技术处理协调中心（CNCERT）披露，美国情报机构对中国一家主要商业密码提供商发动复杂网络攻击，呈高级持续性威胁（APT）特征。攻击者利用公司客户关系管理（CRM）系统的未公开漏洞建立初始攻击向量，进而部署专门木马进行指挥与控制操作。该恶
国内动态
中国披露美国入侵加密公司窃取数据事件
网安标委就《网络安全标准实践指南——个人信息保护合规审计要求（征求意见稿）》公开征求意见
全国数标委发布《可信数据空间 技术架构》技术文件
国家数据局印发构建数据基础制度更好发挥数据要素作用2025年工作要点
七部门联合印发《终端设备直连卫星服务管理规定》
国外动态
美国国防部长被曝使用不安全网络线路
美国国防部寻求适用于5G/6G的开源软件平台
美国GSA就云安全机制改革计划FedRAMP 20x征求意见
美国CISA举办针对工业控制系统的网络攻防演练
英国强制推行“安全设计”标准，全面提升国防系统网络安全防护
NIST拟半年内发布AI网络安全框架，应对黑客利用AI增强的攻击
ISC2发布全球首部卫星通信网络安全防护指南
以色列Cynomi加速AI驱动vCISO平台开发
美国CSIS发布《2025太空威胁评估报告》
美国海军陆战队启用新网络作战室，强化网络防御能力
国内动态
1. 中国披露美国入侵加密公司窃取数据事件
4月28日消息，中国国家计算机网络应急技术处理协调中心（CNCERT）披露，美国情报机构对中国一家主要商业密码提供商发动复杂网络攻击，呈高级持续性威胁（APT）特征。攻击者利用公司客户关系管理（CRM）系统的未公开漏洞建立初始攻击向量，进而部署专门木马进行指挥与控制操作。该恶意软件在技术上与美国情报行动相关工具相似，攻击方法与之前记录事件类似，通过后门和远程访问木马建立持续访问，并利用横向移动技术扩大在网络中的存在范围。攻击者建立控制权后，利用隐身技术执行数据泄露操作，从CRM系统转移至产品管理系统，最终到达包含专有加密实现的代码存储库，导致约950MB敏感数据及6.2GB的专有加密研究和开发代码泄露。
2. 网安标委就《网络安全标准实践指南——个人信息保护合规审计要求（征求意见稿）》公开征求意见
4月28日消息，全国网络安全标准化技术委员会发布《网络安全标准实践指南——个人信息保护合规审计要求（征求意见稿）》，面向社会公开征求意见至5月6日。该文件旨在贯彻落实《个人信息保护法》及《个人信息保护合规审计管理办法》，细化合规审计技术要求，规范审计流程。文件明确了专业机构服务能力标准，涵盖审计人员资质、管理制度、技术工具等维度，并提出审计证据采集、场景关联分析、知识库建设等核心技术要求。此举将推动个人信息保护合规审计工作标准化，助力企业构建合规体系，提升数据安全保障能力，为数字经济健康发展提供支撑。公众可通过指定渠道反馈意见，共同完善个人信息保护审计框架。
3. 全国数标委发布《可信数据空间 技术架构》技术文件
4月30日消息，2025年4月30日，全国数据标准化技术委员会正式发布《可信数据空间 技术架构》技术文件，为数据要素流通构建标准化技术底座。该文件响应《国家数据基础设施建设指引》要求，明确可信数据空间作为数据基础设施的核心定位，提出由服务平台与接入连接器组成的双层架构，通过区块链实现数字合约管理，依托隐私计算保障数据流通安全，并制定数据分类分级、全流程存证等安全规范。文件特别强调跨区域互联机制，支持企业集团内部数据共享及行业级数据空间互联，旨在破解数据供给意愿低、流通机制不畅等难题。
4. 国家数据局印发构建数据基础制度更好发挥数据要素作用2025年工作要点
4月28日消息，为落实“数据二十条”部署，国家数据局近日印发《2025年构建数据基础制度工作要点》，围绕四大核心制度推进数据要素市场化配置改革。一是加速数据产权制度建设，推动公共数据、企业数据及个人数据确权授权，开展数据要素综合试验区试点并参与国际规则制定；二是健全数据流通交易体系，制定标准合同、促进交易机构发展，鼓励多元主体参与数据供需；三是完善收益分配机制，探索数据价值化路径，强化公共数据定价管理；四是构建安全治理框架，落实数据流通安全实施方案，支持技术创新与安全服务市场培育。下一步，国家数据局将联合多部门破解数据“供、流、用、保”难题，激活数据要素潜能，为数字经济高质量发展提供制度保障。
5. 七部门联合印发《终端设备直连卫星服务管理规定》
5月1日消息，国家互联网信息办公室、国家发展改革委、工业和信息化部等七部门联合发布《终端设备直连卫星服务管理规定》（简称《规定》），自2025年6月1日起施行。《规定》明确，境内提供或使用直连卫星服务，以及生产、销售相关设备的企业均纳入监管，要求坚持安全与发展并重、创新与治理结合原则。技术层面，支持卫星与地面通信融合，鼓励探索新业态，构建自主产业体系；应用层面，推动服务覆盖防灾减灾、安全生产、应急救援等领域，促进数据依法开发与国际合作。此外，《规定》还强化合规要求，企业需取得无线电频率使用、电信业务等许可，确保基础设施符合国家标准。同时，设备须满足网络安全及技术规范，建立全生命周期安全监测，服务方需备案并履行数据跨境管理责任。
国外动态
1. 美国国防部长被曝使用不安全网络线路
近日，美国媒体称美国国防部长在其办公室设置了一套不安全的网络线路系统，使他能够在办公室通过私人电脑远程使用“信号”（Signal）通信软件，并查看其私人手机上的消息。“信号”属于公开销售的商用软件，其并未获得传递敏感或保密国防信息的授权，因此媒体称国防部长的这一行为违反了国防部的标准安全协议。知情人士透露称，国防部长办公室内有三台电脑，一台私用，一台处理保密信息，一台处理敏感国防信息，而其中的私人电脑不应接触敏感或保密信息。
2. 美国国防部寻求适用于5G/6G的开源软件平台
近年来，美国国防部正大力投资5G网络和未来的6G网络，以便将此类网络的应用场景从优化补给线扩大到控制作战机器人等各个领域。不过美国防部不愿受制于目前占据市场主导地位的少数几家大型科技公司，因此其将很快启动开发“开放”软件原型的招标工作，以允许更多公司自由访问国防设备并在其上部署代码。为此，美国国防部希望为6G及未来的其它网络打造一种开源软件平台“开放集中单元/分布式单元”（OCUDU）。美国国防部将于5月7日就OCUDU举行线上“行业日”简报会，并随后发布正式的原型方案征求书（RPP）。
3. 美国GSA就云安全机制改革计划FedRAMP 20x征求意见
近日，美国总务管理局（GSA）就其云安全机制“联邦风险与授权管理计划”（FedRAMP）改革方案“FedRAMP 20x”的以下3项重大变动征求意见：一是拟用“重大变更通知标准”替代现有变更请求流程，以允许已获得相关授权的云服务商无需授权官的二次许可，便可直接实施有利于客户的技术调整。二是制定“关键安全指标”（KSI），以汇总云原生服务产品所需的安全功能。基于KSI的授权包必须采用机器可读的形式，有证据作为支持，并尽可能采用自动化的技术验证手段。在FedRAMP 20x的第一阶段试点中，KSI将被用于“FedRAMP低级”授权流程，在第二阶段试点中，KSI将被用于“FedRAMP中”授权流程。三是确立“基本评估范围”，以便评估由“提供给各联邦机构的云服务”处理的联邦信息的安全性。GSA强调，“提供给各联邦机构的云服务”既包括用于处理联邦信息的云服务，也包括可能影响联邦信息的机密性、完整性及可用性的云服务。GSA称，成功满足第一阶段要求的合格云服务产品将获得为期12个月的“FedRAMP低级”授权，并将在第二阶段优先获得“FedRAMP中级”授权。
4. 美国CISA举办针对工业控制系统的网络攻防演练
近日，美国网络安全与基础设施安全局（CISA）在其位于爱达荷州的“控制环境实验室资源”（CELR）实验室中，与来自国土安全部科学技术局、爱达荷国家实验室（INL）、路易斯安那州立大学和关键基础设施运营商的代表，共同举办了针对工业控制系统的网络攻防演练。此次演练为期2天，旨在检验和应对针对人机界面（HMI）、监控与数据采集（SCADA）系统以及可编程逻辑控制器（PLC）等工业控制系统的网络攻击。此次演练使用了CELR实验室中的化学处理平台，参演方需在真实的信息技术（IT）和运营技术（OT）流量环境中，抵御来自红队的攻击。CISA表示，此次演练有助于加强关键基础设施运营方的网络搜寻能力和网络事件响应能力。
5. 英国强制推行“安全设计”标准，全面提升国防系统网络安全防护
近日，英国政府宣布所有部门必须采用“安全设计”方法保护核心数据与服务。国防部率先实施该标准，要求从系统设计初期即嵌入安全防护，并贯穿整个生命周期。新标准针对四大核心问题：提升安全设计技能、解决信息不对称、优化采购流程安全评估及全周期安全维护。英国政府强调需建立跨部门协作机制，整合国防工业供应链安全能力，制定统一的能力标准，通过学位教育及学徒制培养专业人才，并协调敏感信息共享与知识产权保护的平衡。
6. NIST拟半年内发布AI网络安全框架，应对黑客利用AI增强的攻击
近日，美国国家标准与技术研究院（NIST）正基于网络安全框架开发“网络AI配置文件”，计划未来6个月内发布草案。该框架旨在帮助关键基础设施运营商应对AI驱动的网络威胁，如深度伪造、精准钓鱼及自动化漏洞挖掘等新型攻击手法。目前NIST已发布概念文件并举办首次公开研讨会，后续将整合行业反馈形成公开草案。该框架将从风险分类、防御策略和隐私保护三方面，建立AI与网络安全的交叉管理标准，填补当前该领域术语体系缺失的空白。
7. ISC2发布全球首部卫星通信网络安全防护指南
近日，国际信息系统安全认证联盟（ISC2）联合31位领域专家（含29位CISSP）发布《在日益增长的需求和威胁中保障卫星通信安全》指南。指南指出，随着SpaceX星链、亚马逊柯伊伯计划等私营卫星网络快速扩张，传统限于军事海事领域的卫星通信已进入消费市场，带来全新安全挑战。指南聚焦三大风险领域：集中控制与地缘政治风险、信号拦截与隐私泄露和供应链及硬件依赖漏洞，并为中小企业提供远程连接、物联网等商用场景的安全实践方案。
8. 以色列Cynomi加速AI驱动vCISO平台开发
近日，以色列网络安全初创企业Cynomi宣布完成3700万美元B轮融资。本轮融资由Insight Partners和Entrée Capital联合领投，Canaan等现有投资方跟投。Cynomi成立于2020年，总部位于特拉维夫，专注于为MSP和MSSP提供商开发基于人工智能的虚拟首席信息安全官（vCISO）平台。该平台能够自动化执行风险评估、合规管理等战略安全职能。公司计划将新资金用于平台研发、欧美市场拓展以及向系统集成商等新客户群体延伸服务。目前Cynomi已在以色列、英国和美国设立运营中心。此次融资标志着市场对AI驱动网络安全解决方案的持续看好，特别是在帮助中小企业获取企业级安全服务方面展现出巨大潜力。
9. 美国CSIS发布《2025太空威胁评估报告》
近日，美国战略与国际问题研究中心（CSIS）发布《2025年太空威胁评估报告》，连续第八年对全球反太空能力发展提出警示。报告指出，尽管过去一年未出现公开的反卫星导弹试验或定向能武器使用，但太空威胁的“技术扩散与战术演变”正加速，尤其体现在三大领域：一是反太空武器体系化。 报告将威胁武器分为四类：动能武器（如共轨反卫星武器）、非动能武器（如激光眩目器）、电子战手段（GPS干扰与欺骗）及网络攻击。其中，俄罗斯则被曝测试天基核反卫星武器，其核电磁脉冲武器可能对低轨卫星构成“毁灭性打击”。二是作战模式实战化。 卫星机动对抗成为新焦点，俄罗斯卫星多次逼近欧美军事卫星，中国卫星的复杂变轨能力亦被强调。同时，GPS干扰技术已“战场常态化”，俄乌冲突中俄军在波罗的海至黑海区域广泛实施干扰，影响民航与通信。三是商业航天卷入冲突。 报告称，SpaceX“星链”等商业星座正成为军事打击目标，其民用属性与军事用途的界限模糊化，加剧了太空资产脆弱性。
10. 美国海军陆战队启用新网络作战室，强化网络防御能力
近日，美国海军陆战队网络空间作战小组（MCCYWG）正式启用新型作战室，全面升级其网络空间作战营（MCCOB）与网络保护小组（CPTs）的指挥控制体系。此举标志着美军在网络防御领域向“集中统筹、快速响应”模式迈出关键一步。新作战室通过整合分析资源与通信链路，突破了传统分散作战的局限：一方面，后方专家可实时提供高级威胁分析，强化对网络攻击的主动识别与处置效率；另一方面，基于国防部DOTMLPF-P框架的模块化设计，能精准定位能力缺口并快速迭代解决方案，同时通过复用现有设备降低成本。其内置的作战网络支持跨团队无缝数据共享，显著缩短了对网络事件的协同反应时间。作为海军陆战队网络空间司令部（MARFORCYBER）与美国网络司令部（USCYBERCOM）联动体系的核心节点，该作战室不仅承担本土关键基础设施防护任务，还可执行国家级攻防行动，实现情报共享与战术协同。
来源：信息安全与通信保密