文章总结： 英国发布《政府网络安全行动计划》，针对公共部门“极高风险”现状，投入2.1亿英镑设立政府网络安全单位，通过四大支柱重构治理。计划将政府纳入关键基础设施监管，推行软件安全大使计划应对供应链风险，意在解决遗留系统与外包的结构性失衡。虽面临资金与执行质疑，这标志着重建数字政府韧性的关键起步。 综合评分： 85 文章分类： 政策法规,安全建设,供应链安全,网络安全

英国发布《政府网络安全行动计划》——在“极高风险”现实中为数字政府重建安全与韧性底座

原创

网空闲话

网空闲话plus

2026年1月7日 09:12 北京

2026年1月6日，英国科学、创新与技术部（Department for Science, Innovation and Technology，DSIT）正式发布《政府网络安全行动计划》（Government Cyber Action Plan）。该计划发布之际，英国《网络安全与韧性法案》（Cyber Security and Resilience Bill）正于下议院进入二读阶段，二者在时间与政策目标上形成高度联动。这并非一次常规的安全能力建设声明，而是英国政府在公共部门网络安全被官方评估为“极高风险”背景下，对数字政府安全治理模式的一次系统性重构。随着公共服务持续向线上迁移，网络攻击已不再只是技术问题，而是直接影响社会运行、公共信任乃至国家安全的现实威胁。

背景：数字政府扩张与安全能力之间的结构性失衡

过去数年，英国政府持续推动公共服务数字化，希望通过在线申领福利、电子税务、数字医疗等方式提升效率。政府估算，若数字化转型顺利推进，公共部门每年有望释放高达 450亿英镑 的生产力红利。

但现实状况却与这一愿景形成强烈反差。英国国家审计署（NAO）在2024年的审计报告中指出，其审查的72个关键政府IT系统中，有58个存在多项基础性系统控制成熟度严重不足的问题。同时，审计人员还识别出至少228个仍在运行的遗留系统，其中约28%被评估为具有高度运行和安全风险。

近期事件进一步加剧了这一安全焦虑。2025年10月，英国外交部确认遭遇一次严重网络入侵，事件被广泛归因于中国国家级网络行为体；同年4月，司法部下属的法律援助署发生重大数据泄露。这些事件集中暴露出英国公共部门在风险识别、事件响应和系统韧性方面的长期短板。

行动计划的总体目标：为数字政府“托底”

在此背景下，《政府网络安全行动计划》被明确定位为英国“国家更新（national renewal）”战略的重要组成部分。官方文件强调，公共服务的进一步数字化，必须建立在公众信任之上，而信任的前提是安全与韧性。

计划的核心目标并非单点加固，而是通过制度化手段，为整个政府体系构建一个可信、稳定、具备快速恢复能力的数字基础环境，确保关键公共服务即便在遭遇攻击时，也能持续运行或迅速恢复。

资金与治理中枢：2.1亿英镑与新的中央网络安全单位

行动计划承诺投入超过2.1亿英镑（£210 million），用于推动公共部门网络防御能力的“跃迁式提升”。资金的核心载体，是新设立的政府网络安全单位（Government Cyber Unit）。

该单位由英国政府首席信息安全官（CISO）领导，隶属于DSIT，承担跨部门网络风险治理的中枢职能，包括：

• 统一识别和评估政府范围内的网络与数字韧性风险
• 统筹重大网络安全事件的应急响应与恢复工作
• 对复杂、跨部门、跨供应链的系统性风险进行集中干预

媒体进一步披露，该单位还将推动建立独立的“政府网络安全专业体系”，使网络安全从原本隶属于更广泛“政府安全职业体系”的位置中独立出来，提升其在政府体系中的专业地位与资源优先级。

行动四大支柱：从“看见风险”到“快速恢复”

从政策设计看，该行动计划围绕四个相互衔接的支柱展开：

第一，提升风险可视化能力。通过集中化手段全面梳理政府内部长期分散管理、缺乏透明度的网络与数字韧性风险，使决策层能够将有限资源精准投向最关键系统。

第二，强化中央直接介入能力。对于任何单一部门无法独立解决的严重或复杂风险，由中央层面的政府网络安全单位直接介入，打破过去“部门自治、责任分散”的治理模式。

第三，加快事件响应与恢复节奏。计划明确要求（require）各政府部门必须建立健全的事件响应机制，以应对快速演化的威胁和漏洞，最大限度缩短服务中断时间。

第四，整体性提升政府韧性水平。通过设定明确的最低安全标准、补齐重大能力短板，在规模化层面提升关键公共服务的稳定性和抗冲击能力。

供应链安全：政府与关键基础设施“同标同责”

一个重要政策转向在于，该行动计划与《网络安全与韧性法案》形成配套，明确将政府部门本身置于与关键基础设施运营商、云服务商、数据中心同等的安全要求之下。

政府不再仅通过合同要求供应商“加强防御”，而是通过统一标准和监管框架，推动从能源、水务、医疗到数据中心的整个公共服务供应链提升安全水平。这一变化意味着，公共部门首次被正式纳入“关键基础设施级别”的网络安全治理范畴。

软件安全大使计划：应对高发的供应链攻击

针对软件供应链攻击的高发态势，政府同步推出软件安全大使计划（Software Security Ambassador Scheme），以推动《软件安全行为准则》的实际落地。

行业研究显示，过去一年中约59%的组织经历过软件供应链相关的网络攻击。包括Cisco、Palo Alto Networks、NCC Group、Sage和Santander在内的企业，将作为首批大使示范安全开发实践，并向政府反馈执行中的现实问题，为未来政策完善提供依据。

这一机制被广泛认为与美国网络安全与基础设施安全局（CISA）提出的“Secure by Design”倡议高度相似，亦被视为未来更强制性软件安全监管的政策试验场。

媒体质疑：问题是否仅仅是资金规模？

尽管官方强调该计划“设定了新的安全标杆”，但媒体报道中的质疑同样不容忽视。

首先是资金规模的现实对比。有评论指出，2.1亿英镑的投入在宏观层面并不算大，尤其是在2025年捷豹路虎网络攻击造成的经济损失被估算为约占英国GDP 0.5%的背景下，其实际防御效果仍有待检验。

其次是结构性问题的复杂性。分析人士认为，英国政府数字体系长期依赖遗留系统、外包架构和跨国供应商网络，仅靠新增预算无法自动解决资产不清、责任分散的问题。

还有专家警告，快速推进数字化本身正在扩大攻击面，如果安全建设持续滞后，可能会在未来放大系统性风险。

结语：一次必要但仍需时间验证的起点

总体来看，《政府网络安全行动计划》标志着英国政府首次以系统性、中央集权化方式回应公共部门网络安全困境。它在治理结构、风险认知、供应链安全和专业化建设方面，确实迈出了关键一步。

但正如媒体所言，这更像是一个必要但不充分的起点。真正的考验，不在于是否发布了一份计划，而在于政府能否在复杂现实中持续推进执行、落实标准、修复遗留系统，并在攻击者速度更快之前，补上那些长期存在却被忽视的基础性漏洞。

从这个意义上看，这项行动计划既是一张安全蓝图，也是一份对英国数字政府执行力与治理能力的长期考卷。

参考资源

1、https://www.gov.uk/government/publications/government-cyber-action-plan/government-cyber-action-plan

2、https://www.gov.uk/government/news/new-cyber-action-plan-to-tackle-threats-and-strengthen-public-services

3、https://www.theregister.com/2026/01/06/government_cyber_action_plan/

4、https://www.infosecurity-magazine.com/news/uk-launches-new-cyber-unit/

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：网空闲话plus 网空闲话《英国发布《政府网络安全行动计划》——在“极高风险”现实中为数字政府重建安全与韧性底座》