2025年美赛F题：网络安全够强吗？

2025 年 ICM F 题：网络安全够强吗？，英文原名为 Cyber Strong?。本题要求从数据中研究国家网络安全政策和法律的有效性，提出关于什么样的政策更有力的解释，并向政策制定者说明证据与局限。

背景与问题范围

网络连接带来便利，也使个人和组织面临网络犯罪风险。事件跨越国界时，调查与起诉可能涉及不同司法管辖范围；受害机构也可能因担心声誉受损而不愿报告，甚至选择私下支付赎金。因而公开记录不能简单视为所有事件的完整呈现。

各国已经制定并公开网络安全政策。国际电信联盟（ITU）在相关国际标准、合作和评估工作中发挥作用。本题希望从已有政策及其成效中发现规律，为国家政策和法律的制定、完善提供依据。

原题所说的网络犯罪，是借助数字设备或网络实施的犯罪活动；网络安全事件还包括可能威胁业务运行和网络安全的异常或非预期事件。网络安全则涉及政策、技术、人员培训、风险管理及其他保护措施。研究应清楚区分所用数据记录的对象。

提出一个关于强有力的国家网络安全政策由什么构成的理论解释，并提供数据分析来支持和验证它。需要把政策或法律的效果放回其实施国家的具体背景中理解。

不要另创一套新的网络安全衡量指标。题目要求寻找政策和法律有效性的有意义规律。ITU 的全球网络安全指数 GCI 等既有研究可以用于验证工作；题面指出 GCI 涉及法律、技术、组织、能力建设和合作五个方面。

题目未指定国家名单、必须比较的国家数量、固定年份或某一种统计方法。

以下问题是构建和检验上述解释时可考虑的方向，不是预先给定结论。

考察哪些国家受到的攻击相对突出，犯罪在哪里成功、在哪里被阻止，以及事件在哪里被报告、犯罪在哪里被起诉。比较这些不同环节的分布，寻找规律，而不把“被攻击”“被记录”或“被起诉”混为同一种现象。

阅读不同国家公开的政策，与犯罪分布进行比较，研究哪些政策或法律内容在预防、起诉或其他缓解措施中表现得较为有效，哪些可能效果不佳。视分析方法而定，还可能需要考虑政策的采用时间。

考察互联网可及性、财富、教育水平等国家人口与社会特征同犯罪分布的关联，并讨论这些特征是在支持政策理论，还是可能与政策作用混杂。题面没有要求仅依据相关性断定政策的因果效果。

可以使用既有网络犯罪数据库，也鼓励寻找其他数据。题目特别提及 VERIS：这是试图统一网络犯罪资料收集与报告方式的框架，其社区数据库 VCDB 是一个可参考来源。

无论选用哪些资料，都要注意真实性和完整性。根据实际使用数据的数量、质量与可靠性，说明研究的限制以及政策制定者据此制定或修改政策时应注意的问题。对记录缺失、报告差异等背景因素的讨论应与自己掌握的资料相联系。

写一份一页备忘录，对象是参加即将举行的 ITU 网络安全峰会的各国领导人，即非技术政策专家。用非技术语言说明研究目标与背景、提出的理论，以及对这一受众最重要、最迫切的发现。

提交总计不超过 25 页的 PDF 正文，包括一页摘要、目录、完整研究报告、一页备忘录及参考文献。图表、计算和其他附加研究材料均计入页数；没有最低页数要求，允许部分完成的研究。

生成式 AI 并非必需。如使用，须遵守 COMAP 的 AI 使用政策，将 AI 使用报告放在 PDF 末尾；这份报告不计入 25 页上限。2025 年题面另附在线提交说明，要求提供队伍控制编号、指导教师编号和所选题号。