01 · 研究结论：对四个关键研究问题的回应
| 编号 | 问题 | 本课题结论（证据来源） |
|---|---|---|
| KQ-1 | 共享激励如何设计 | 单一手段均不充分：法律豁免（美国2015法案）解决"敢不敢"但无法阻止参与面萎缩（2024年非联邦参与方87家，较2020年252家下降约65%）；免费管道（AIS）无助于获得感；"总量幻觉"会掩盖激励失效（2024年约89%指标来自单一伙伴）。有效组合=法律减责（制度层）+ 贡献度—权益联动（第3页模型，物质层）+ 声誉与荣誉体系（第4页开源社区经验，精神层）+ 可见回报（第6页Sighting回执流，技术层）；并需配套防博弈条款（第3页§06.3）与来源信誉评分（第6页§06.2）。 |
| KQ-2 | 国家—行业—企业如何分层 | 国内底座已具备"纵向强"特征（CNCERT枢纽、NVDB法定报送），缺的是"横向层"。行业ISAC应定位为中立自治组织，与CNCERT体系错位互补（枢纽做处置、ISAC做研判与对等交换），与NVDB在漏洞类情报上接口互通，与反诈联席机制上下衔接。四层架构（第1页§04）与国际"美国型—欧陆型—亚太型"模式谱系（第2页§04）共同构成分层蓝本；国内底色接近"欧陆型+政府牵引"，但行业自治层缺位。 |
| KQ-3 | 共享的合规边界在哪 | 边界是"场景化"的而非一刀切的：基础设施类情报（域名/URL/哈希）低风险可广泛共享；含个人信息的内容须去标识化并满足最小必要（个保法）；漏洞类有法定时限义务（阿里云Log4j判例：境内主体对影响国内用户的漏洞负有本地报送义务）；涉案资金账户仅走受控通道；跨境共享限纯基础设施指标并完成出境评估（第4页§02.1）；电子证据须存证副本与处置副本分离（第5页§06）。审查清单见本页§03。 |
| KQ-4 | 生态如何度量与演进 | "共享总量"是误导性指标，北极星指标应为贡献方广度与跨机构复用率（第4页§05含计算口径、第5页§07含基线采集方法）。演进路径遵循"先组织后平台、先试点后建制、先单行业后跨行业"（第4页§04三阶段含任务分解），并以钓鱼场景为最小可行试点；国际AIS与FS-ISAC的对照证明：组织信任先于平台技术，法定参与与自愿共享需双轨并行。 |
一句话结论：中国威胁情报共享生态的建设次序应当是——先以低合规风险、高时效收益的钓鱼情报场景跑通"贡献—回报—复用"闭环（试点），再以此信任基础建制行业ISAC（组织），最后以双标准技术平台（STIX 2.1 + GB/T 36643-2018）实现规模化互通（平台）。顺序不可倒置。
02 · 试点实施方案（0—6月，框架建议）
依托公共互联网反网络钓鱼工作组协作网络，在既有机制上"加字段、加时限、加闭环、加激励"（第5页§05），不另起炉灶。
| 阶段 | 关键任务 | 产出物 | 验收标准 |
|---|---|---|---|
| M1 | 成立试点工作组；确定参与机构范围（首批建议10—20家）；制定试点章程与保密承诺 | 试点章程v1.0、成员协议模板 | 成员签署率100% |
| 对齐八类情报对象最小字段与提交模板（第5页§02） | 字段规范表、提交模板 | 通过一次跨机构走查 | |
| M2 | 制定共享规则v1.0（含P1—P4定级标准、SLA目标、失败容忍条款） | 共享规则v1.0 | 理事会（或工作组）审议通过 |
| 制定TLP标记落地规范（含社区扩展标记"限工作组成员"） | 标记规范一页纸 | 成员培训覆盖率100% | |
| M3 | 合规审查流程试运行：清单（本页§03）嵌入提交环节，配PII自动扫描 | 审查记录台账 | 连续4周零漏审 |
| 平台最小化上线：MISP单实例 + 分级Sharing Group（第6页§05） | 可用平台、操作手册 | 完成3次端到端演练 | |
| M4 | 贡献度计量上线试运行（第3页模型权重按试点校准）；Sighting回执流打通 | 贡献度月报v1 | 回执率基线建立 |
| M5 | 全量运行：P1—P4分级分发、时效统计、误报回流机制运转 | 运行月报、时效仪表盘 | 核心指标可实时查看 |
| M6 | 试点评估：对照第5页§07六项指标与第4页§05健康度框架复盘 | 《试点评估报告》 | KQ-1模型假设获得初步检验 |
| 决策门：是否进入阶段二（行业ISAC筹备，第4页§04） | 决策建议书 | 成员大会表决 |
2.1 资源估算（框架建议，供参考）
| 资源项 | 估算（6个月） | 说明 |
|---|---|---|
| 平台软件 | 0元（开源） | MISP GPLv3零许可成本；服务器与带宽见下 |
| 基础设施 | 1—3万元 | 云主机2—4台（含测试环境）+ 带宽 + 备份存储 |
| 人力（主要成本） | 2—3人·6月 | 平台运维1人 + 研判分析师1—2人（可成员单位分摊派驻） |
| 培训与推广 | 0.5—1万元 | 成员培训材料、线上宣讲、操作视频制作 |
注：上表为试点期最小可行估算，不含成员侧各自的接入改造投入；正式立项时应按本地物价与人力成本复核。
2.2 风险登记册（试点期）
| 风险 | 概率 | 影响 | 缓解措施 |
|---|---|---|---|
| 泄露事件 | 低 | 极高 | 字段级标记+水印溯源；冻结通道预案；泄露应急演练1次（M3） |
| 参与率不及预期 | 中 | 高 | 优先排查"回报可见性"（Sighting回执是否运转），而非加码宣传（AIS教训） |
| 贡献度博弈 | 中 | 中 | 防博弈条款（第3页§06.3）+来源信誉评分（第6页§06.2） |
| 关键人员离职 | 中 | 中 | 流程文档化、AB角、研判知识库沉淀 |
| 法规变化 | 低 | 中 | 合规清单季度复审；最小化共享原则兜底 |
03 · 情报共享合规审查清单（全文，可直接打印使用）
| 序号 | 审查项 | 判定要点 |
|---|---|---|
| 1 | 目的限定核查 | 共享目的限于网络安全防护，无商业竞争、无对外宣传用途 |
| 2 | 个人信息筛查 | 含姓名、身份证号、手机号、账号、凭证等个人信息的内容已完成识别；能脱敏的已去标识化 |
| 3 | 商业秘密筛查 | 不含本单位与第三方的商业秘密、未公开业务数据；含客户信息的已获授权或完成脱敏 |
| 4 | 敏感数据分级 | 依《数据安全法》分类分级要求评估；重要数据的共享已完成内部安全评估与审批 |
| 5 | 漏洞类法定义务核对 | 涉及网络产品漏洞的，已核对是否在法定报送时限内向工信部NVDB报送（勿重蹈Log4j时序教训） |
| 6 | 分级标记检查 | 每条情报已按TLP 2.0或内部密级标注传播范围；未标注的不予外发 |
| 7 | 接收方范围核验 | 接收方在标记允许的范围内；跨组织共享的已确认对方具备同等保护能力（含保密承诺） |
| 8 | 授权审批 | 按密级完成相应级别内部审批（经办人—复核人—负责人链路完整） |
| 9 | 跨境检查 | 向境外机构提供的，已完成出境合规评估；内容限基础设施类指标，不含境内个人信息 |
| 10 | 留痕登记 | 共享时间、对象、内容摘要、审批记录已登记入审计台账（建议留存不少于3年） |
| 11 | 电子证据保全 | 原始载体（邮件原文、页面截图）已留存并计算哈希；存证副本与处置副本分离（第5页§06） |
| 12 | 时效与有效期标注 | 钓鱼URL/域名类情报已标注valid_until有效期；过期情报不直接下发（第6页§02） |
| 13 | 最小披露复核 | 字段级标记已应用：高敏字段单独标记，确认无"为图省事整包共享"情况（第6页§07） |
| 14 | 应急撤回预案 | 共享后如发现内容有误或涉敏，可在10分钟内触发撤回通报并通知全部接收方 |
| 15 | 分类分级对标 | 共享对象已完成数据分类分级定级（可对标GB/T 43697-2024），重要数据共享已履行相应评估与备案义务 |
声明：本清单为研究性工具模板（v3.0，终审扩充版），不构成法律意见；涉及重要数据、个人信息出境等复杂情形，应咨询专业法律人士。建议每季度对照法规更新复审一次。
04 · 术语表
| 术语 | 释义 |
|---|---|
| ISAC | 信息共享与分析中心：特定行业内由成员拥有并治理的非营利共享组织（如FS-ISAC、E-ISAC） |
| ISAO | 信息共享与分析组织：ISAC的泛化形态，不限于关键基础设施行业（如法律服务LS-ISAO） |
| NCI | 国家ISAC委员会（National Council of ISACs）：美国各ISAC之间的协调机制 |
| CIRCIA | 美国《关键基础设施网络事件报告法》：2022年3月签署，授权CISA制定网络事件与赎金支付报告规则（规则制定推进中，以CISA官方为准） |
| IC3 | 美国联邦调查局互联网犯罪投诉中心：年度《Internet Crime Report》为网络犯罪损失统计的权威口径（2024年美国网络犯罪损失166亿美元、BEC约28亿美元） |
| FSSCC / FBIIC | 金融服务业协调委员会（2002年成立，私营侧）/金融与银行信息基础设施委员会（政府侧）：美国金融业公私协作的双层协调结构 |
| ARC | 系统性风险分析与韧性中心：服务联邦指定关键基础设施运营者的非营利协作组织 |
| OIG | 监察长办公室：美国联邦政府部门内部独立监督机构（DHS OIG多次审计CISA的AIS项目） |
| EO 13636 / PPD-21 | 2013年美国第13636号行政令与第21号总统政策指令：要求扩大ISAO建设、推动NIST网络安全框架（CSF）制定 |
| GB/T 43697-2024 | 《数据安全技术 数据分类分级规则》：2024年10月1日实施，数据分类分级的国家标准与重要数据识别指南 |
| "数据二十条" | 2022年12月《中共中央 国务院关于构建数据基础制度更好发挥数据要素作用的意见》：数据产权、流通交易、收益分配、安全治理的基础制度框架 |
| CNVDB / CICS-VD / CAPPVD / CAVD | NVDB旗下四个专业漏洞库：通用网络产品、工控产品、移动互联网APP、车联网产品安全漏洞库 |
| IOC | 失陷指标：可用于检测的哈希、IP、域名、URL等可观测特征 |
| TTP | 战术、技术与过程：描述攻击者行为的抽象知识（MITRE ATT&CK为其通用编目） |
| STIX | 结构化威胁信息表达：OASIS制定的威胁情报数据标准，当前版本2.1（2021年），含18种SDO/2种SRO/18种SCO |
| TAXII | 情报可信自动交换：STIX的配套传输协议，当前版本2.1，基于HTTPS+JSON |
| TLP | 流量灯协议：FIRST维护的信息传播分级标记，v2.0含CLEAR/GREEN/AMBER/AMBER+STRICT/RED五档 |
| Sighting | STIX关系对象：记录"某主体观测到某指标"的事实，是共享回执与复用统计的机器可读载体 |
| BEC | 商务邮件入侵：冒充商务伙伴或高管的邮件诈骗，常见手法为诱导电汇转账 |
| Quishing | 二维码钓鱼：以二维码为载体的钓鱼攻击，绕过URL文本检视 |
| Vishing / Smishing | 语音钓鱼 / 短信钓鱼 |
| CNCERT/CC | 国家计算机网络应急技术处理协调中心：国家级网络安全应急协调机构，运行CNVD |
| CNVD | 国家信息安全漏洞共享平台：CNCERT联合国内单位建立运行的漏洞共享主渠道 |
| NVDB | 工信部网络安全威胁和漏洞信息共享平台：2021年9月1日上线，漏洞法定报送平台 |
| AIS | 自动指标共享：CISA运营的国家级机器对机器威胁指标交换枢纽，2016年上线 |
| CISCP | 网络空间信息共享与保护计划：CISA面向关键基础设施伙伴的共享计划，AIS集合之一 |
| TIES | 威胁情报交换服务：CISA规划中的新一代交换平台，AIS拟整合入该平台 |
| FS-ISAC | 金融服务业信息共享与分析中心：1999年成立的全球首个行业ISAC，约4600家成员机构 |
| GRF | 全球韧性联盟：2017年由FS-ISAC跨行业服务部门独立而成的跨行业共享社区组织 |
| CiSP | 网络安全信息共享伙伴关系：英国NCSC运营的公私共享平台（2013年启动） |
| NIS2 | 欧盟《网络与信息系统安全指令2.0》：2023年1月生效，监管范围扩至18类行业 |
| MISP | 开源威胁情报平台（GPLv3），由CIRCL主导开发，支持联邦组网与STIX互转 |
| OpenCTI | 开源威胁情报平台（Apache 2.0，Filigran主导），图谱化数据模型 |
| OTX | AlienVault开放威胁交换社区：以Pulse订阅机制组织的免费情报社区 |
| TIP | 威胁情报平台：组织内部用于情报汇聚、分析、分发的系统类别 |
| CR4 / CR7 | 行业集中度指标：前4家/前7家厂商市场份额合计，衡量市场集中程度 |
| SLA / SOP / WBS | 服务级别协议（时限承诺）/ 标准作业程序 / 工作分解结构 |
| RACI | 责任分配矩阵：R执行、A负责、C咨询、I知会 |
05 · 常见问答（FAQ）
Q1：我们规模小，没有什么情报可贡献，能加入吗？
可以，且机制上有保护。贡献度模型中"回执与处置反馈"（第5页O8对象，以Sighting回执表达）同样计入贡献——小型机构通过及时反馈"该情报是否命中、是否有效"，为生态提供了独特的质量信号；基础情报全员可读，低贡献不惩罚（柔性退出机制见第3页§06.2）。
Q2：共享情报会不会变成"自我举报"，引来监管处罚？
这是美国2015年法案"监管用途限制"条款针对的顾虑，也是本课题制度诉求部分（第3页§07）建议研究的内容。试点期的务实做法是：共享协议中嵌入目的限定条款，坚持最小化共享，并跟踪立法动态。
Q3：钓鱼情报里发现了我单位客户的个人信息，该怎么办？
按本页§03清单第2项处理：去标识化后方可进入共享管道；确属涉案资金账户的，仅通过受控通道向有权机关或经认证的金融风控通道流转（第5页O6对象的边界设计）。
Q4：STIX 2.1和GB/T 36643-2018必须用哪个？
建议"存储用STIX、报送出国标视图"（第6页§01）：STIX生态工具链成熟，国标是监管侧对接格式，通过映射层实现双标准，避免两套库。
Q5：为什么不直接建一个大平台，而要分层分组织？
AIS是反例：国家级免费平台运行近十年，非联邦参与方仍萎缩约65%。信任与研判增值发生在组织层，管道的价值取决于组织层的成熟度（第2页§06规律二）。
Q6：试点需要多少预算？
MISP为GPLv3开源软件，试点期主要成本在人力（平台运维与专家核验）与成员协调，平台许可成本为零；量级估算见本页§02.1（6个月2—3人 + 少量基础设施费用）。阶段二再评估商用TIP或定制开发的投入。
Q7：成员之间互相抬分刷贡献怎么办？
三重防护：贡献互评采用"匿名轮转 + 去中心化评分"（第3页§06.3）；来源信誉评分独立于贡献度，由分析中心计算且成员互不可见（第6页§06.2）；贡献度与表决权重挂钩但设封顶，刷量的边际收益递减。
Q8：情报共享出去了，对方泄露了怎么追责？
事前：成员协议约定保密义务与违约责任，准入时核验保护能力（清单第7项）；事中：TLP标记限定传播范围，字段级标记控制最小披露；事后：水印溯源定位泄露源（第6页§07），审计日志提供证据链，制度上除名并公示。技术+制度+法律三层闭环。
06 · 研究局限与展望
- 数据时效局限：CNCERT年度实测数据为2020年报口径（本课题可获得的最近完整年度公开报告）；AIS运营数据止于OIG-25-46（2025年9月）与CISA官网2026年2月更新：CISA 2015有效期已延长至2026年9月30日，CISA承诺2026年6月30日前完成AIS成本效益评估、拟将其整合入TIES平台——后续走向需持续跟踪。
- 机制未经验证：贡献度模型、差异化权益与声誉体系的激励效果属待检验假设，须经第7页§02试点验证后方可推广，不应直接作为制度依据。
- 样本范围局限：试点依托反钓鱼场景，结论向其他威胁类型（如APT、勒索软件）推广时需注意场景差异——钓鱼情报以基础设施指标为主、PII风险可控，而事件类情报的合规复杂度更高。
- 展望：后续研究可扩展至跨行业互通（GRF模式）、与监管接口的制度化设计、贡献度模型在更大样本下的参数校准，以及生成式AI时代的"合成情报污染"防护。
全课题参考文献汇总（第1—7页合并）
艾瑞咨询《2024年中国威胁情报行业发展研究报告》（2025年2月，市场规模16.1亿元、CR4=43.0%、份额明细）：report.iresearch.cn/report/202502/4685.shtml
DHS OIG报告OIG-25-46（2025年9月29日，AIS最新评估；CISA同意建议、承诺2026年6月30日前完成评估、计划整合入TIES）：oig.dhs.gov OIG-25-46 原文；oversight.gov报告页：oversight.gov；OIG-24-60原文（2024年9月25日）：oig.dhs.gov OIG-24-60；SANS评述：sans.org 评述
CISA AIS官方页面：cisa.gov/ais；DHS PIA-029：dhs.gov
FS-ISAC官方FAQ：fsisac.com/who-we-are/faq；美国财政部《金融服务部门风险管理计划》（2025年1月，FS-ISAC约4600家成员机构）：home.treasury.gov
CNCERT/CC官方简介：cert.org.cn；CNCERT/CC 2020年年报：2020 Annual Report
工信部NVDB平台上线公告：miit.gov.cn；平台入口：nvdb.org.cn；阿里云Log4j2报送违规通报（2021年12月22日，内部通报形式，经媒体核实未在官网公开全文）：界面新闻报道；工信部NVDB平台上线公告：miit.gov.cn
APWG Phishing Activity Trends Report（季度统计；2025Q2检测1,130,393起环比+13%、金融机构18.3%居首、BEC电汇均额83,099美元环比+97%）：apwg.org/trendsreports；2025Q2报告全文：apwg_trends_report_q2_2025.pdf
CNNIC第56次《中国互联网络发展状况统计报告》（2025年7月21日发布，网民11.23亿、.CN域名2,085万个）：CNNIC官网；发布稿核验：chinadaily.com.cn；公共互联网反网络钓鱼工作组：fandiao.org.cn
OASIS STIX 2.1：docs.oasis-open.org/cti/stix/v2.1；TAXII 2.1：docs.oasis-open.org/cti/taxii/v2.1；RFC 6901（JSON Pointer）：rfc-editor.org/rfc/rfc6901
GB/T 36643-2018《信息安全技术 网络安全威胁信息格式规范》：std.samr.gov.cn；GB/T 22239-2019等保2.0基本要求：std.samr.gov.cn；GB/T 43697-2024《数据安全技术 数据分类分级规则》：openstd.samr.gov.cn 标准信息页
FIRST TLP v2.0：first.org/tlp；NIST SP 800-150：csrc.nist.gov；NIST CSF 2.0：nist.gov/cyberframework
MISP项目：misp-project.org；misp-stix：github.com/MISP/misp-stix；OpenCTI：filigran.io/solutions/opencti；OTX：otx.alienvault.com；abuse.ch：abuse.ch；GRF：grf.org/about
国内法律文本：《网络安全法》（2017年6月1日施行）、《数据安全法》（2021年9月1日）、《个人信息保护法》（2021年11月1日）、《反电信网络诈骗法》（2022年12月1日）、《关键信息基础设施安全保护条例》（2021年9月1日）、《网络产品安全漏洞管理规定》（2021年9月1日）、《网络数据安全管理条例》（2025年1月1日施行）：中国政府网、miit.gov.cn
数据出境规则：《数据出境安全评估办法》（2022年9月1日施行）、《促进和规范数据跨境流动规定》（2024年）：cac.gov.cn
欧盟NIS2指令：digital-strategy.ec.europa.eu/en/policies/nis2-directive；英国NCSC CiSP：ncsc.gov.uk/cisp；MITRE ATT&CK T1566：attack.mitre.org/techniques/T1566