什么是负责任的网络行为者：介绍Pall Mall行业良好实践咨询

呼吁漏洞研究人员、漏洞利用开发者以及攻击性网络行业的其他人士分享他们的观点。

商业网络入侵行业在一个复杂的格局中运作，其尖端能力既可以服务于基本的安全功能，也可能导致潜在的滥用。这些工具和服务，涵盖从漏洞研究到“访问即服务”的整个范围，在打击严重犯罪和保护国家安全方面发挥着至关重要的作用。然而，如果没有明确的标准和问责制，同样的能力也可能助长不可接受的活动，并破坏我们日常生活的数字安全基石。这些工具需要以适当的透明度、精准度、问责制与监督相平衡的方式开发和使用。

您的声音为何重要

这种紧张关系正是Pall Mall进程的核心，该倡议由英国和法国于2024年发起。Pall Mall进程是一种国际多利益相关方方法，致力于应对商业网络入侵能力的扩散和不负责任使用。它汇集了广泛的组织和观点——从政府、科技公司、公民社会、学术界、网络安全社区和投资者，到商业攻击性网络入侵公司本身——来定义问题，并探索我们如何共同应对。 国家网络安全中心正在贡献我们的技术专长，帮助制定一个支持负责任行为者的进程（英国对负责任网络力量的方法已在gov.uk上发布），同时应对那些在没有适当保障措施下运作的行为者所带来的风险。我们、我们的外交、联邦和发展事务部同事，以及他们的法国同行正在社会各界广泛接触，但由于该市场的隐秘性质，我们正寻求从从事漏洞研究、漏洞利用开发以及更广泛的攻击性网络行业工作的人员那里获取更多见解，以确保正确无误。

从国家承诺到行业标准

2025年4月，Pall Mall利益相关方启动了一份《国家行为守则》，该守则阐述了与网络入侵市场进行负责任交往的原则。迄今为止，已有27个国家签署了该《国家行为守则》。 但政府只是解决方案的一半。如何改进一个行业的真正专家是行业内部人士。Pall Mall进程的下一阶段是制定一套互补性的行业指南。

我们所说的商业网络入侵能力是指什么？

商业网络入侵能力是由商业实体提供的、用于支持高级网络行动的工具或服务。它们包括：

• 漏洞研究
• 漏洞利用开发
• 恶意软件创建
• 命令与控制
• 黑客即服务
• 访问即服务

这些能力可能通过企业对企业模式，作为复杂供应链的一部分提供；或以企业对客户模式，直接提供给最终用户——最常见的是国际上的执法或情报机构。 CCIC市场涵盖了各种各样的网络入侵公司，它们提供的产品和服务在不断发展和多样化。它包括一个由研究人员、开发人员、经纪人、经销商、投资者、公司实体、运营商和客户（包括国家）组成的相互关联的生态系统。这个生态系统中的每个人都有责任在鼓励/倡导CCIC的负责任使用方面发挥作用。 CCIC是许多国家打击严重犯罪、应对国家安全威胁和保护公民的工具包中的重要组成部分。但如果没有必要的保障措施，它们的使用可能是危险和破坏稳定的。Pall Mall进程旨在最大限度地发挥CCIC的积极用途，同时努力消除其有害使用。

NCSC的独特角色

作为英国的国家网络安全技术权威机构，NCSC得益于其在一个兼具攻击和防御能力的组织内的位置，为CCIC提供了独特的视角。我们：

• 运行英国“权益”流程，确保负责任地处理发现的漏洞
• 通过我们的漏洞研究倡议功能与VR社区互动
• 防御英国免受网络威胁
• 作为NCSC评估部门，向英国政府客户提供关于威胁行为者（包括CCIC）的独立、全源情报评估
• 是英国信号情报机构GCHQ的一部分，该机构在严格的法律框架下进行计算机网络操作

本质上，我们的角色是：

• 提供专家建议，为政策制定者提供关于CCIC风险与收益平衡的信息
• 推动我们的集体参与，确保CCIC市场以适当的透明度、精准度、问责制与监督相平衡的方式运作，使我们所有人都能保护我们的数字世界并防御威胁

为什么我们需要行业指南

这是为了让一个（经常在阴影中运作的）行业走向公开——创造透明度和问责制。同时也是为了确保下一代技术人才了解他们可用的全方位网络职业道路，包括防御性和攻击性。 为了提高我们的集体安全、人权、数字信任和行业本身，我们希望行业指南能够：

• 就该市场中负责任的活动形态达成共识
• 使社群能够集体应对，解决CCIC的不负责任使用问题

我们希望听取您的意见

随着Pall Mall进程进入聚焦行业指南的下一阶段，我们希望：

• 听取构建和销售攻击性网络能力的人员的意见，以了解市场力量和驱动力，捕捉他们的动机，并获得他们对行业未来如何运作的看法。
• 帮助塑造市场，使负责任的参与者能够蓬勃发展，同时让不负责任的行为者更难生存。

因此，如果您在这个领域工作并愿意做出贡献，请联系FCDO。