新加坡收紧关键服务领域监管，以应对人工智能网络威胁

【新加坡】为应对人工智能（Artificial Intelligence）带来的日益增长的威胁，新加坡关键基础设施的运营商将需要使用一款本地开发的入侵检测工具，并确保董事会层面参与网络安全事务。

这些措施是即将于7月底生效的《网络安全准则》（Cybersecurity Code of Practice）中一系列更严格的强制性网络安全要求的一部分。

这款本地开发的威胁检测工具，是在2025年7月发现国家支持的网络间谍组织UNC3886攻击新加坡四大电信公司——新电信（Singtel）、星和（StarHub）、第一通（M1）及Simba Telecom——之后推出的。

该工具由新加坡国防部战略信息通信技术中心开发，现已部署在部分关键信息基础设施（CII）系统中。目前正计划将其推广至所有11个CII领域，以加强新加坡对此类高级持续性威胁的防御能力。

这11个CII领域分别是：航空、医疗保健（Healthcare）、陆路交通、海事、媒体、安全与紧急服务、水供、银行与金融、能源、信息通信和政府。

数字发展及新闻部长 Josephine Teo 在7月22日宣布新规时表示：“复杂的威胁行为者会不懈地寻找漏洞，并会毫不犹豫地利用每一个缺口深入互联系统。”

Teo 还指出，UNC3886不是第一个攻击新加坡CII系统的组织，也不会是最后一个。

Teo 说：“人工智能已经挑战了一个长期存在的假设，即运营技术系统的复杂性使其免受攻击。”她指的是操作发电厂或交通网络等重型工业机械的系统。

她是在第六届运营技术网络安全专家小组（Operational Technology Cybersecurity Expert Panel）论坛上发表上述讲话的。

人工智能的进步正使网络攻击日益复杂化，使威胁行为者能够更快地发现漏洞，并发起更大规模的攻击。

例如，据称Anthropic公司最新的Claude Mythos预览模型能够自动发现未知的软件漏洞并制造攻击程序。

网络安全公司Check Point Research最近的一份情报报告也发现，人工智能已帮助自动化了大部分以往需要熟练人类黑客才能完成的网络攻击。

Teo 表示，人工智能降低了网络攻击者攻击工业系统的门槛。例如，在2026年5月，业余黑客利用人工智能绘制了一家墨西哥市政供水公司的网络图并生成了恶意代码。

但许多工业系统仍然不透明。Teo说：“当运营出现问题时，我们往往措手不及。而到那时，攻击者可能已经侵入系统数周之久。”

她表示，因此，新加坡需要通过锁定系统来加强其基线防御，使攻击者无法轻易得手。

更新后的《网络安全准则》是确保这一目标的途径之一。

根据更新后的准则，CII所有者还必须确保其整个董事会——而不仅仅是某一位董事——对网络安全负责。此前，CII所有者只需确保至少有一名了解网络安全风险的董事会成员为高级管理层提供指导。

新加坡网络安全局（CSA）表示，由人工智能驱动的威胁加快了网络攻击的速度和规模，董事会层面的监督和问责变得更加重要。“归根结底，网络安全是一种商业风险，需要董事会持续的领导和监督，而不能仅仅被视为一个技术或运营问题。”

现在，董事会还必须维护一个文件化的网络弹性框架，其中规定了组织的风险承受能力、缓解措施和恢复措施，并至少每年对其进行审查。

更新后的《网络安全准则》还将强制要求CII所有者为其支持业务运营和服务的非CII系统，获取最高级别的网络安全认证——“网络信任标志”第五级。

第五级认证要求在所有22个领域做好准备，包括治理、资产保护和安全访问。较低级别的认证则要求在较少的领域做好准备。

此举此前已在3月份关于数字发展及新闻部预算的辩论中宣布。

CII所有者必须在2027年底前遵守获取“网络信任标志”认证的要求。

Teo表示，由于CII所有者越来越多地采用云服务，锁定系统的措施也延伸到了云环境。

2026年晚些时候还将出台一项新的具有法律约束力的准则，要求使用云服务的CII所有者确保其供应商有足够的网络威胁防范措施。

2026年晚些时候还将出台一项新的具有法律约束力的准则，要求使用云服务的CII所有者确保其供应商有足够的网络威胁防范措施。

Teo说：“一个被攻破的供应商或合作伙伴，可能与一个配置错误的内部系统一样，都是脆弱的入口点。”

即将出台的《网络安全准则（云服务）》（Cybersecurity Code of Practice (Cloud)）将根据《网络安全法令》（Cybersecurity Act）发布，要求CII所有者与其供应商合作，建立安全控制和运营安排，以确保其环境安全。

新准则将规定托管在云上的CII系统的安全部署、运营和管理要求。相关细节将稍后公布。

CII所有者有责任确保这些要求得到满足。

新加坡网络安全局已与审计师以及已经或正在探索采用云服务的CII所有者进行了一系列闭门磋商，以确保这些要求稳健、实用且可由运营商实施。

新准则还将附有由新加坡网络安全局与包括Amazon Web Services、Google Cloud和Microsoft Azure在内的云服务提供商共同制定的配套指南。

每份指南都阐明了如何在该提供商的云环境中实施准则的要求。《海峡时报》