网络战争是网络安全的法律治理的一个前沿问题，其核心法律争议在于网络战争是完全适用于现行国际法，还是需要创造新的国际立法。北约卓越合作网络防御中心邀请专家组编纂的《塔林手册》号称是完全适用现行国际法的“第一部网络战争规范法典”，然而分析表明《塔林手册》在关键法律问题上的规则创制多于法律适用。由此思考中国网络安全和网络战争的法律对策，需要在国际法上争夺网络战争的法律解释的话语权，强调国家行使网络战争上的自卫权必须要遵循一定的范围和限度；加强国内网络安全立法，以期形成国际示范进而达成国际习惯法规则；在“总体国家安全观”指导下推动网络安全的国际立法，避免网络空间的“军事化”。

一、导论：网络安全与网络战争的国际法问题

近年来，全球范围内的网络安全和治理问题越来受到各国政府重视。世界主要国家对网络空间战略的价值认识不断深化，把网络空间安全提升到国家安全战略高度，注重加强战略筹划与指导。在2012年7月《华尔街日报》发表的一篇题为《认真对待网络攻击》专栏文章中，美国总统奥巴马提出警告：“来自网络空间的威胁是美国面临的最严峻的经济和国家安全挑战之一”[1]目前美、英、法、德、俄等主要国家都制定了网络空间安全战略。澳、加、荷、捷等国家相继跟进，旨在增强综合国力，保障国家安全。

2014年2月27日，中央网络安全和信息化领导小组宣告成立。中共中央总书记、国家主席、中央军委主席习近平亲自担任组长，李克强、刘云山任副组长。中央网络安全和信息化领导小组的成立标志着中国互联网发展和信息化建设不设防时代从此终结，标志着中国超越单纯的信息化基础建设，从网络空间安全的全新视角来审视当今世界，开始从网络大国迈向网络强国。[2]

美国学者阿尔温·托夫勒曾预言：“谁掌握了信息，控制了网络，谁就拥有整个世界。”[3]在互联网时代，国际法已经从地域空间、外太空扩展到网络空间，国家主权也从领土、领空扩展到“信息边疆”。与现实世界的三个世界划分类似，互联网上也可以划分为三个世界。[4]按照网络上的主导权来划分，分为网络（被）殖民国家、网络霸权国家和网络主权国家。大多数国家属于网络空间的（被）殖民国家。网络霸权国家有且只有一个，那就是美国，奉行网络进攻型战略。网络主权国家指中俄德法英日印等基本掌握本国网络主导权，奉行网络防御型战略的少数国家。国家网络安全战略可以分为三个层面：媒体话语层面的舆论战，网络基础设施的资源-市场战，以及国家之间的网络战争。

首先是舆论战。2011年以来，中美两国关于网络安全之间的互相指责时有发生。《纽约时报》2013年2月18日援引美国网络安全公司Mandiant的一份报告摘要称，该公司历时6年追踪141家遭受攻击企业的数字线索，证实实施攻击的黑客组织隶属于“总部设于上海浦东一栋12层建筑内的中国人民解放军……部队”。[5]中国外交部发言人洪磊则回应，中国政府一贯坚决反对并依法打击网络攻击行为。[6]事实上，中国是网络攻击的主要受害国之一。根据中国国家互联网应急中心发表的报告，2012年，在中国遭受的网络攻击中，源自美国的网络攻击数量名列第一。[7]晚近“棱镜门”事件爆发扭转中美网络舆论战的焦灼局面，使得美国的全球网络监控政策遭遇到包括中俄和盟国在内的全世界国家的质疑和批评。

其次是资源-市场战。主权国家之间掌握网络基础设施、域名系统、硬件和终端以及软件的网络资源极不平衡。[8]全球互联网核心基础设施，比如根服务器、域名服务器等，都放在美国，尽管直接控制者已不是美国政府，但是实际控制者依然如故。[9]全球互联网基础设施的主要供应商基本是美国公司，这使得其他国家很难展开在这一层面与美国展开正面交锋。作为对策，中国近年来加强了了信息基础权力，奠定互联网主权的基础。具体而言，在物理传输层，经过三次电信改革，国有企业在电信市场已经牢牢树立了垄断地位；在逻辑层，国家通过域名系统（特别是中文国家顶级域名）和网站注册备案制度确保大部分互联网站可管可控；在代码层，国家力图驯化操作系统，并鼓励扶持自主开发移动终端、芯片和操作系统。[10]

最后是国家之间的网络战争。一方面，作为网络霸权国家的美国有意愿和能力成为网络空间的规则制定者，另一方面也其资源和市场庞大，容易遭受其他国家、组织甚至是个人的网络攻击。另一方面，主要作为网络防御方的网络主权国家，在面临网络霸权国家压力下的主要任务是确立并完善自己有效的网络空间安全防御型战略。广义的国家网络安全问题涉及到问题非常多，网络犯罪、网络间谍、网络恐怖主义和网络战争行为等相互交织的复杂网络攻击行为。[11]

“网络战争”是网络安全和治理的一个前沿问题，无论是在学术界，还是各国政府和联合国等国际组织的法律或政策文件中，尚未存在一个得到广泛认同的定义。[12]而且，“网络战争”也常常被修辞性的使用，常常与网络犯罪、网络间谍和网络攻击等网络行为混淆。[13]尽管如此，本文所指的“网络战争”不是修辞性或日常语言意义上的概念，而是指适用于《联合国宪章》、武装冲突法等国际法管辖的网络攻击行为。[14]

从网络空间的冲突实例中，被广泛认为接近国际法意义上的“网络战争”的标志事件是2007年爱沙尼亚、2008年格鲁吉亚、2010年伊朗和2014年乌克兰发生的网络攻击。2007年，北约盟国爱沙尼亚遭到网络攻击后，第二年北约在爱沙尼亚首都塔林设立网络安全中心。[15]这一年，俄罗斯与格鲁吉亚爆发冲突期间，网络攻击伴随着武装冲突进行，导致格鲁吉亚的政府和媒体网站无法登陆，电话占线等“网络隔绝”的状况，被评论家认为是第一场与传统军事行动同步的网络攻击。[16]而2010年7月，伊朗布舍尔核电站遭受“震网（Stuxnet）”病毒攻击被不少专家认为是第一次真正意义上的“网络战争”。布舍尔核电站是伊朗首座核电站，“震网”病毒攻击该核电站使用的德国西门子工业控制系统，至少有3万台电脑“中招”，1/5的离心机瘫痪，致使伊朗核发展计划被迫延缓2年。外界普遍认为，美国和以色列军方机构是“震网”病毒的直接“开发商”。[17]2014年乌克兰政治危机以来，乌克兰数十个电脑网络近来遭一种攻击性强的网络武器袭击。全球第三大军品公司英国BAE系统公司发布报告指出，一种名为“蛇”（Snake）的新型网络病毒，近来袭击乌克兰的电脑网络，至今已接获通报32起；同一时期，全球总共发生了56起同类袭击事件。[18]

上述网络攻击事件是否符合国际法上的战争概念呢？当代国际法对战争的规制主要表现为两个方面，一是诉诸战争权（jus ad bellum）的问题，二是战争行为（jus in bello）的问题。这两个方面深植于以《联合国宪章》（简称《宪章》）和《日内瓦四公约》体系为核心的国际法规范体系当中，它们对“武力”、“使用武力”、“武器”、“自卫”“武装攻击”和“武装力量”等战争相关术语的理解有着深刻的战争史的烙印。就媒体披露的信息而言，以上事件都没达到《宪章》第51条的“武力攻击（armed attack）”的标准，因而不属于的国际法意义上的“网络战争”。使用武力（use of force）和武力攻击是两个不同的法律概念,分别出现在《宪章》第2条第4款和第51条之中。《宪章》并未具体界定武力攻击的概念，然而国际法学界通常认为使用武力必须达到“相当严重性”才能构成武力攻击，如造成人员伤亡或重大财产损失。[19]首先，就上述网络攻击的程度而言，其损失并不明确，其严重性上也并未达到国际法对武力使用的“扩大解释”。其次，上述网络攻击事件的攻击方并不明确，尽管存在种种猜测，但是既没有足够证据指向特定国家，也没有任何国家承认自己是攻击方。

尽管国际法意义上的网络战争尚未发生，然而网络战争的时代已经到来。[20]世界各国和相关国际组织也在积极探索网络战争的国际法规则。近年来，中俄与美国及其北约盟国在网络安全的国际行为守则问题上交锋不断。在国际社会难以达成共识确立网络战争的一般国际法规范的前提下，非国家组织制定和编纂网络战争的规则指南，成为国际法学术和实践领域的一个新动向。在这个背景下，由北约卓越合作网络防御中心（Cooperative Cyber Defence Centre of Excellence, NATO CCD COE）邀请国际专家组（International Group of Experts）编纂，2013年3月由英国剑桥大学出版社出版，被称为“第一部网络战争规范法典”《塔林手册》（Tallinn Manual）便成为网络战争的国际法研究的新热点。[21]

二、《塔林手册》与网络战争的国际法规则

《塔林手册》的全称是《适用于网络战争的塔林国际法手册》，其国际专家组和编写成员由47位法律学者、法律实务专家和技术专家组成，分别来自美国、加拿大、德国、英国。其中，总编辑1人，编委会成员5人，法律组主持专家2人，法律专家9人，技术专家2人，观察员5人，同行评议专家13人，项目协调1人，项目经理1人，书记员2人，法律研究人员6人。[22]总编辑迈克尔·施米特（Michael N.Schmitt）系美国海军学院国际法系的斯托克顿（Charles H.Stockton）讲座教授兼主席，英国埃克赛特（Exeter）大学国际公法教授，以及北约CCD COE中心高级研究员。施米特教授在《塔林手册》的导言中强调，编纂手册的国际专家组是一个独立的学术组织。然而，值得注意的是，专家组中像施米特这样具有学界和军方的双重背景的专家为数不少，而且不少编委会、法律专家、同行评议专家以及全部的技术专家、书记员和项目协调、项目经理都来自于北约或各国军方。比如，编委会成员布思比（William H. Boothby）前空军准将曾任英国皇家空军法律事务部副主任。此外，专家组的5位观察员分别来自美国网络指挥部、红十字国际委员会和北约最高盟军统帅部总部。[23]因此，从发起机构和国际专家组的人员构成以及编纂过程可以推断，《塔林手册》兼有学术、政治和军事的多重背景。[24]

在施米特撰写的导言中，《塔林手册》与关于海战的《圣雷莫手册》（San Remo Manual）[25]和《空战和导弹战手册》[26]等国际法手册的目的类似，目的都是为了考察和检验现存国际法规则能否适用于“新”的战争形式。《塔林手册》的基本立场是现有国际法规范完全可以适用于“网络战争”，国际社会无需创制新的国际法规范以管辖网络行为。由此出发，《塔林手册》限定其讨论网络（攻击）行为的范围。首先，在诉诸战争权层面，本手册只讨论达到“使用武力”程度的网络行为，而不讨论主要由国内法管辖的一般网络犯罪。其次，在战时法层面，本手册只讨论涉及“武装冲突（armed conflict）”的网络行为，而通常不涉及诸如国际人权法或国际电信法的管辖领域。在这个意义上，《塔林手册》讨论的是狭义（strictu sensu）的网络攻击行为，如针对某国核设施的网络操作或者针对敌方指挥官或指挥系统的网络攻击，而不包括已经纳入传统国际战争法讨论的机动（kinetic）武器攻击，如轰炸敌方网络指挥中心等，也不包括无线电干扰（jamming）等电子攻击形式。[27]

在国际法适用问题上，《塔林手册》的基本立场是现行法（lex lata）完全可以适用于网络战争，无需就此问题诉诸应然法（lex ferenda），或创造新的法律。为了达到约束所有国家的法律目标，国际专家组承诺《塔林手册》的特定规则已经尽可能接近现行国际法的基本原则和规范，而非基于特定组织或国家的立场。国际专家组宣称《塔林手册》的95条规则是专家组从现行法出发并最终达成一致意见的国际法适用。为了达致现行国际法适用的基本目的，专家组宣称《塔林手册》详尽地参照了现行国际条约、国际惯例、被文明国家公认的一般法律原则、司法判决和各国最优秀的国际公法学家的学说教义等广义的国际法渊源。[28]

在法律结构上，《塔林手册》分为《国际网络安全法》和《（网络）武装冲突法》两大部分，分9个章节，前一部分有2章，后一部分为7章，总共95条规则。在每个部分、章节和规则下，国际专家组附加长短不一的评注（commentary）以阐释相关概念和规则的法律依据以及专家组在阐释问题上的分歧。

在对《国际网络安全法》的标题评注中，国际专家组强调，“国际网络安全法”并非一个独立的国际法领域，而是现有“诉诸战争权”和“战时法”的适用。[29]该部分诸如“主权”、“管辖权”和“国家责任”等核心概念完全基于现行国际法的基本原则和规范。因此，“国际网络安全法”不是一个规范性术语，而是一个描述性术语。

在这一部分，第一章为“国家与网络空间”，主要内容是确定国家、网络基础设施（cyber infrastructure）与网络行为之间的基本国际法关系。第一章第一节为“主权、管辖权和管制”，由5条规则构成。规则1是“国家主权”原则，规定“一国可对本国领土范围内的网络基础设施和网络活动施加管制。”。在这个基础上，规则2规定一国对“其领土内参与网络活动的个人、位于其领土内的网络基础设施以及国际法规定的治外法权地”享有“管辖权”。规则3是船旗国与登记国的管辖权；规则4规定主权豁免权；规则5规定国家对本国网络基础设施的管理义务。第一章第二节为“国家责任”。规则6规定“一国对归属于其的网络行动负有国际法责任”。规则7规定了经由一国政府网络基础设施发动的网络攻击可以导致该国成为攻击嫌疑国，而规则8则规定，经由一国网络设施路由发生的网络行为不足以确定行为的归属国。规则9认可受网络攻击国对责任国采取适当比例的反措施（countermeasures）。

第二章是关于“使用武力”的规定。国际专家组强调，本章对“禁止使用武力” 和“自卫”的概念使用，完全来源于《联合国宪章》第二条第四项的法律分析。[30]第二章第一节关于“禁止使用武力”。规则10规定，“禁止威胁或使用武力”。专家组指出，使用武力的具体主体可以情报机构甚至是私人承包商。规则11是关于“使用武力的定义”，规定“网络行动的规模和影响达到构成使用武力的非网络行动的程度，即构成使用武力”。规则11毫无疑问是《塔林手册》最为关键的规则之一。从判断使用武力的法律标准而言，这条规则的8个具体标准主要采纳了“后果标准”，并反映在后文的具体规则上。规则12规定“武力威胁”的定义。第二章第二节关于“自卫权”。规则13规定一国成为达到武力攻击程度的网络行动的目标时可行使自卫权。对于网络攻击造成何种程度的伤亡、破坏和毁灭才算“武力攻击”，专家们存在争议。他们普遍认为，2007年爱沙尼亚遭受的网络攻击不构成“使用武力”，而有部分专家认为2010年伊朗遭受的网络攻击已经构成“使用武力”。大多数专家认为，网络攻击的意图本身并不重要，而且国家有权对个人或组织发起网络攻击（战争）进行自卫反击。尽管在规则14和15中，手册规定了自卫使用武力的“必要性和比例性”，以及在遭遇武力攻击的“迫近性和即时性”时的自卫权。规则16和17根据《联合国宪章》规定了网络战争的“集体自卫权”和报告联合国安理会的义务。第三节也是本章最后一节规定了“国际间政府组织行为”，即规则18和19，规定了联合国安理会以及根据安理会命令或授权的区域组织的使用武力的权力。

在《（网络）武装冲突法》的部分中，第一个章节也就是第三章是关于武装冲突法的一般规定。规则20规定达到武装冲突境地的网络行为应当受到武装冲突法的管辖。规则21关于网络战争的地理限制。规则22和23分别规定引发和不引发国际武装冲突的网络行为的法律特征。规则24规定网络战争中的指挥官的战争犯罪责任。

第四章定义“敌对行为”，这是本手册最长也是最重要的一章。第一节定义何谓“参加武装冲突”。规则25-29规定了不同类型和性质网络攻击参与者的不同法律后果，包括军人、全民动员（levée en masse）、雇佣兵和平民。第二节规定“一般的攻击行为”。规则30是一条重要规则，定义了网络攻击是指“预期会造成人员伤亡或者物品损毁的网络行动（无论进攻或防御）”。规则31则区分战士与平民。从规则32到规则36是第三节，关涉“对人的攻击”，包括“禁止攻击平民”、“军民双重身份”、“合法攻击对象”、“平民参与敌对行动”以及“禁止恐怖主义攻击”等5条规则。从规则37到规则40是第四节，关涉“对物的攻击”，包括“禁止攻击民事目标”，“民事与军事目标的区分”、“同时具有民事和军事目的的网络设备属于军事目标”以及“怀疑为双重目标”等4条规则。从规则41到规则48是第五节，关涉网络战争的“手段和方法”。规则41是“手段和方法”（means and methods）的基本定义。规则42规定禁止网络战争引发不必要的伤害和多余的苦痛。规则43禁止不区分平民和军人的无差别的网络战争。规则44禁止网络诱杀装置（boody trap）。规则44禁止饿死平民的网络战争行为。规则44规制“交战报复”行为，禁止网络攻击“囚犯、被关押平民、退出战斗的敌人（hors de combat）以及医务方面的人员、设施、车辆和设备等”。而且，“交战报复”和“交战武器”必须受到《日内瓦四公约第一议定书》的的规制（规则45和46）。规则49-51是第六节，关涉网络“攻击行为”，包括“禁止无差别攻击”、“区分主要用于民事目的的军用目标”和“网络攻击的比例性”等3条规则。规则52-59是第七节，关涉网络攻击“预防”。在本节的标题评注中，专家组强调预防的“可行性”（feasibility）而非“合理性”（reasonable），这是因为网络攻击在手段和技术上不同于海陆空攻击的特殊性。进攻方负有“对民事目标的细致区分”（规则52）、“核实目标”（规则53）、“精选手段和方法”（规则54）、“根据比例原则预防”（规则55）、“精选攻击目标”（规则56）、“取消和悬置攻击”（规则57）以及“攻击警告”（规则58）等预防义务；受攻击负有尽有最大限度的可行性保护平民或民事目标的义务（规则59）。规则60-66是第八节，关涉“背信弃义、不当使用和间谍”。规则60规定交战方在网络战争禁止背信弃义，这源于《日内瓦四公约第一议定书》第37条第1款的规定。规则61相当重要，这一条承认网络战争策略（ruses）的合法性，列举了8个可以允许的网络战战术。规则62禁止交战方在网络战争行为中使用诸如红十字等武装冲突法保护和认可的特别标志。类似的，规则63禁止交战方在网络战争行为中使用联合国徽章。规则64禁止交战方在网络战争行为中使用敌方标志。规则65禁止交战方在网络战争行为中使用中立标志。规则66规定战时网络间谍行为不受武装冲突法管辖。规则67-69是第九节也是本章最后一节，关涉网络“封锁和禁区”。专家组首先区分网络封锁与传统的通讯干扰，进而认为，为了达成有效的网络封锁，可以借助网络攻击之外的其他攻击手段。

第五章规定网络战争中的“特定人员、目标和行为”的保护，这种保护义务来源于国际人道法。[31]规则70-73是第一节，涉及“义务和宗教人员，以及医用设备、交通工具和材料”的保护。规则74是第二节，涉及“联合国人员、设施、物资、设备和车辆”的保护。规则75-77是第三节，涉及“被拘留人员”的“不受网络行为影响”（规则75）、“各类别一视同仁”（规则76）以及“不应被强迫反对祖国”（规则77）的权利。第四节即规则78是儿童保护条款，规定儿童不应被招募或允许参加网络战争。第五节即规则79是记者保护条款。第六节即规则80规定为了保护平民，在攻击水库、堤坝和核电站等蕴含危险力量的工程和设施时，网络攻击方必须格外小心。[32]第7节即规则81保护对“平民生存不可或缺的目标”，比如与电力、灌溉、自来水和食物生产相关的网络基础设施。第8节即规则82规定尊重和保护网络“文化财产”，并禁止数字文化财产用于军事目的。第9节即规则83规定网络战争保护自然环境。第10节即规则84规定保护外交档案和通讯。第11节即规则85禁止通过网络手段实行集体惩罚，规则86规定网络行为不得过度妨碍人道主义援助。

第六章基于武装冲突法中规制有关“占领”的网络行为，因此不涉及非武装冲突法的占领行为。规则87规定尊重被占领土的受保护人员。规则88规定占领方应当尽一切努力重建和保证被占领地区的公共秩序和安全，维持包括适用于网络行为的法律秩序。规则89规定占领方应该尽力维持自身的普遍安全，包括网络系统的完整和可靠。规则90规定征收和征用被占领地区的网络基础设施的合法性。

第七章也是《塔林手册》最后一章规定了基于武装冲突法的网络战争的中立法。规则91禁止交战国针对中立国的网络设施的基于网络手段的交战权利（belligerent right）实践。规则92禁止针对中立领土的网络设施的基于网络手段的交战权利实践。规则93规定中立国不应故意让交战方使用位于其领土或实际控制下的网络基础设施实践其交战权利。规则94规定，如果中立国未能阻止位于其领土的交战行为，那么武装冲突的受侵犯方可以采取包括网络行为等必要措施进行反击。规则95规定，一国不得依据中立法合理化而做出不符合《联合国宪章》第七章规定经安理会决定的预防性或强制性措施的行动（包括网络行动）。

作为一部由专家编纂的学术性的网络战争的国际习惯法规则的建议性指南，《塔林手册》既不是北约官方文件或者法律政策，也不是一部具有法律效力的网络战争法典，然而它在学术研究和法律实务都具有不可忽视且不断增长的国际影响力。首先，《塔林手册》是北约CCD COE中心的11个成员国或宣布有兴趣加入该组织北约国家的基本网络战争的法律咨询手册。[33]其次，不少北约及其成员国之外的国际组织或国家也认同《塔林手册》的法律地位。比如，红十字国际委员会的一位官方法律顾问在接受国际红会官网的采访时表示，基于《塔林手册》，法律和军事专家可以得出“战争法对网络攻击同样施加限制”的结论。[34]又如，以色列国防军任命网络战法律顾问并宣称遵守《塔林手册》。[35]再次，北约也将《塔林手册》作为扩展北约与相关国家进行网络合作的法律咨询依据。2013年4月在访问韩国期间，北约秘书长拉斯穆森与韩国官方讨论网络安全合作问题时依据的法律渊源就是《塔林手册》。[36]最后，北约CCD COE中心准备在2014年开设了一个以《塔林手册》为基本教材的“网络行为的国际法”课程，并宣称欢迎“军队的军事和民事法律顾问、情报界律师、政府安全机构的其他民事律师、政策专家以及法律学者和研究生”等关心网络安全问题的人士参与培训。[37]

三、法律适用还是规则创制

尽管编纂《塔林手册》的国际专家组兼具学术、政治和军事背景，然而毋庸置疑的是，《塔林手册》的确是第一部从现行国际法出发讨论网络战争问题的比较全面的法律手册。《塔林手册》宣称其目标不是就事论事地讨论网络安全问题，而是从“国家主权”这一现代国际法的理论基点出发，全面阐述网络时代的国家主权与网络安全的关系。由此出发，《塔林手册》提出适用现行国际法网络战争的“使用武力”、“自卫权”、“网络封锁”的具体规则和标准。《塔林手册》认为，在目前的国际法律下，可以通过适用自卫规则，对网络作战行动进行报复反击，但仅在网络作战行动的规模和影响将其提升到与“使用武力”的规模和影响相同程度时。当遭遇黑客行为、网络间谍及网络犯罪时，一国可以采取预防措施，因为相关网络攻击导致身体伤害及物质损失时，这些行为就达到了“使用武力”的法律界限。

需要明确的是，从法律结构和具体规则看，《塔林手册》的基本原则和大部分规则的确都有明确的国际法渊源。然而，网络战争的国际法问题的复杂性在于，直接管辖特定的网络攻击问题的通行国际法规则是缺失。而且，尽管国际专家组一致同意网络空间可以适用于相关的国际法原则，然而他们在具体范围和适用程度等问题上存有不同立场，这体现在每条规则的相应阐释部分。更为棘手的问题是，网络攻击的主体、形式、后果都不同于通常的武力使用状况，因此制定“网络战争规范”的尝试不得不纳入正式的国际法渊源之外的其他法律、政治或军事等领域等理论和实践资源，从而实际上创造了新的网络战争法规则。

在本文看来，《塔林手册》的“规则创制”主要表现为以下四个方面：

第一，运用“使用武力”的“后果”标准代替现行国际法标准。

早在1990年代，关于网络战争已有不少的学术讨论和争议。其中，《塔林手册》的总编辑施米特教授就是最有战斗力的论辩者之一。在出版于1999年的“国际法中的电脑网络攻击和使用武力：一个规范性框架”的论文中，施米特提出判断一个网络攻击是否违反“禁止使用武力”的6个学术标准。[38]这些标准都反映在《塔林手册》的规则11中。然而，正如有批评者指出的，这6个标准中的任何一个，都不是《联合国宪章》的具体规定。[39]

回到《塔林手册》，规则11认同《联合国宪章》的禁止使用武力原则。就判断达到“使用武力”的程度问题，根据网络攻击的“规模”和“影响”的程度，专家组提出严重性（severity），即时性（immediacy），直接性（directness），侵入性（invasiveness）、效果可测量性（measurability）、军事特征（military character）、国家介入（state involvement）、假定合法性（presumptive legality）等8个具体标准。[40]由此可见，首先，《塔林手册》坚持对“武力”的狭义解释，即不考虑经济和经济的威胁和打击手段。其次，“规模”和“影响”的具体标准是指网络攻击的“后果”。换言之，《塔林手册》在“使用武力”的判断标准上主要并不考虑武力的“目的”和“手段”。从逻辑上看，网络攻击的“后果主义”标准意味着使用网络进行经济或政治的威胁或强迫也有可能达到使用武力的“后果”。因此，《塔林手册》关于“使用武力”的“后果主义”的标准可能会导致逻辑上自相矛盾。最后，这8个具体标准是否是一种得到公认的判断使用武力的法律标准呢？规则11的评注10承认，相关标准只是影响一国使用武力的评估因素，而非法定标准。[41]实际上，除了军事特征和假定合法性两个标准之外，其他6个标准都不是《联合国宪章》的合法标准。在这个意义上，《塔林手册》中“使用武力”的标准判定并非现行国际法的严格使用，而是以总编辑施米特提出的学术标准的基础上创制的网络战争的新的国际法习惯法规则。

第二，扩大解释一国遭受网络攻击的自卫权，可能导致自卫权的滥用。

从实践上看，网络战争的“后果主义”标准的确避免了技术上非常困难的确定攻击法的艰巨任务，有助于相关国家更好的维护国家安全利益。然而，现行国际法通常认为，只能对那些造成物理或人身伤害攻击进行武力还击，而网络攻击造成的虚拟伤害则不在此列。单单是引起电脑故障或数据损失不能成为发动武装袭击的充分理由。然而，《塔林手册》“后果主义”标准确认为，如果网络攻击造成一国的关键基础网络设施的严重损害，受害国有权对攻击方行使自卫权。规则13的评注13认为，如果A国对B国的网络攻击对C国造成严重损害，C国也有自卫权。规则13的评注16认为，国家有权对来自于个人或组织的网络攻击（战争）进行自卫反击。针对网络攻击的自卫权，无疑与美国的反恐战争实践是联系在一起。规则15甚至规定一国对迫在眉睫的网络进攻可以预先反击，当可以证明网络攻击导致人员死亡或严重的财产损失时，采用常规武器对网络攻击进行报复是可以接受的手段。同时，实施网络战的黑客将成为反击的合法目标。

网络空间和网络战争的特殊性和复杂性在于网络技术的发展在很大程度上超越了现有法律框架。在判断网络攻击的发动方时，涉及到复杂的技术追踪和定位问题。这些问题如果在技术上不能很好地解决，会在成网络战争的法律实践模糊化，并制造不必要的外交纠纷。比如，规则22规定，国际性武装冲突的特征是：“两国或多国间发生敌对行动（包括网络行动或仅限于网络行动），即存在国际性武装冲突。”然而这就导致一种潜在的危险即：一旦某国的网络遭遇网络攻击，由于技术的限制很难判断网络攻击来源于国家还是组织甚至个人，受攻击国第一反应认为网络攻击就是国际冲突。一个实例于2013年3月20日，韩国至少有三家电视台和两家金融机构的计算机网络受到攻击，几乎同时陷入瘫痪。韩国起初认为是朝鲜所为，而后又认为是中国，最后发现发起攻击的主机就在韩国本土，其幕后指使仍未确定。[42]如果按照“国际冲突的特征”条款所规定，韩国与朝鲜和中国将进入敌对状态，这势必会引起不必要的国际局势紧张和混乱。

就算被攻击国锁定了攻击者，网络攻击的责任分配问题仍然非常复杂。因为对网络攻击负有责任的不仅仅是初始攻击者，还包括网络基础设施和不同的节点，以及后续故意和非自觉参与攻击的个人和组织。总之，在网络攻击的技术追踪和认定问题上，各国一方面需要提高自身网络技术，另一方面国际社会和相关国际组织应当考虑各方意见，制定具有共识性和前瞻性的技术标准。从国际关系和国际法的战略角度看，《塔林手册》实行的是一种“主动反击”的战略威慑策略。然而正如更为现实主义的美国智库兰德公司的网络战争报告分析的，这种“网络威慑”问题重重，并不可信。不同于核子战争，在网络空间中，最好的防御未必是进攻，而通常是更好的防御。因此，在将威慑作为主要反映策略之前，通过外交、经济和法律途径解决网络纠纷是一种更为明智的选择。[43]

总之，《塔林手册》在自卫权问题上诉诸的是特定国家的标准，而非诉诸国际社会或联合国等国际组织的共识。因此，《塔林手册》就遭受网络攻击的自卫权做出了明显的扩大解释，可能会导致相关国家滥用自卫权。

第三，创制了现行国际法规定之外的网络战争策略和封锁标准，突出表现在规则61规定的网络策略的合法性标准和规则67-69规定网络封锁和网络禁区的标准等规则。

首先，规则61的评注规定了8种“允许执行作为战争策略的网络行动”，分别是（一）制造电脑傀儡系统来虚拟子虚乌有的军事力量；（二）发送虚假信息引起敌方错误地相信网络行为的发生或进行；（三）使用伪造的电脑标识码、电脑网络(如“蜜罐”和“蜜网”技术)或电脑数据传输；（四）在不违反规则36规定的制造恐慌条款前提下发动网络佯攻；（五）颁布以敌军指挥官名义捏造的命令；（六）网络心理战；（七）为了截取和窃听而传输虚假情报；（八）使用敌方代码、信号和密码。[44]这些战术直接来源于《美国陆军部战场手册》、《美国陆战法》和《美国指挥官手册》、《英军手册》、《加拿大军队手册》的相关规定。[45]如果国际战争法不加区分地将这些美军以及盟军占优的网络策略认定为合法，而将未列入以上策略的其他网络战术列为非法，那么就会在实质上剥夺其他国家的网络策略创新的权利。

其次，在网络封锁和网络的规则上，一国或特定国际组织的网络封锁的实际能力与其网络资源有关。全球互联网发展尽管发展迅速，但总体上依然呈现出不平衡、不平等的态势，突出表现在基础资源配置的不平衡和治理权的不平等。基础资源配置的不平衡，一方面是基础设施不足导致数字鸿沟，严重影响互联网服务的可及性，这与各国经济、社会发展水平密切相关；另一方面是IP地址分配的严重不均衡，美国等发达国家占据了大量基础资源，是治理权不平等在资源配置问题上的反映。治理权不平等，主要体现在互联网根的治理方面，美国仍然占有相当程度的绝对主导权。[46]因此，《塔林手册》赋予一国或组织较为广泛和网络封锁的权力，无疑有助于美国和北约巩固和利用其网络资源优势地位。

四、从《塔林手册》思考中国网络安全的法律对策

《塔林手册》一方面是为制定方为实施网络战争寻求法理依据，另一方面也是试图成为游戏规则的制定者，充分利用规则发挥自身优势，限制对手。尽管如此，《塔林手册》对于网络战争国际法规范的学术努力，及其代表的美国和北约对于网络战争的国际法基本立场和规则值得中国网络安全和国际法领域的（批判式）学习和反思，以建基于中国立场和利益的网络战争的国际法规范。

从国际法发展的角度看，中国参与引导创制网络安全和网络战争的国际法的方法有两种，一是参与制定相关国际条约；二是及早国内立法形成示范作用而他国仿效继进而形成普遍的国际实践从而创制国际习惯法。

在2012年发表的一篇论文中，《塔林手册》总编辑施米特认为，中美两国对待网络战争的国际立法的态度存在明显差别：美国强调现有国际法足以适用于网络战争，而中国强调网络战争需要新的国际立法。[47]乍看起来，施米特的区分有一定道理。因为中国、俄国和上海合作组织近年来与美国和北约在网络安全国际话语权问题上存在分歧和争议。然而，如果回到中国在网络战争问题的具体主张和诉求，我们可以发现施米特的看法存在误解。其实，网络战争的现行国际法适用与倡导网络战争某些具体领域需要建立新的国际法共识并不矛盾。中美在这一问题上其实并无本质区别，两国都认可《宪章》等规范战争行为的国际法规则，都在参与制定关于网络安全和网络战争的各种形式的国际立法。

2011年5月发布的《网络空间国际战略》中，奥巴马政府提出国要充分参与国际网络犯罪的政策制定工作，通过扩大《网络犯罪公约》的范围，协调国际网络犯罪的法律。[48]2010年7月，包括美国、俄罗斯和中国在内的十五个国家在联合国达成一项协议，各方表态愿意减少针对对方的网络战争，建议联合国设定针对互联网领域“可以接受的”行为规范，建议在国家立法和网络安全战略方面互换信息，同时加强欠发达国家保护网络系统的能力。[49]

参照国际社会的通行做法，网络战争的立法形式别可以有多边公约、双边协议和联大决议等三种形式。[50]不过，与许多国际性立法一样，网络攻击行为立法也充满了理论争议和利益博弈，尤其对一项旨在规范和限制军队的战斗能力、直接关涉到国家核心利益的立法来说，其制定和协商的难度可想而知。此外，网络战争的国际立法的困难还在法律承认和技术问题，因为目前还没有主权国家承认参与网络战争的“国家实践”。因此制定完善的网络战争国际立法，必然是一个冗长而艰难的过程。

在短期内不可能制定网络战争的国际立法背景下，通过北约CCD COE中心制定网络战争的国际法咨询手册，便是美国和北约抢占网络战争的国际法制定和解释领导权的一个学术尝试。正如本文第三节分析的，尽管在创制适用于网络战争的国际法规范问题上，《塔林手册》做出许多开创性的学术工作，然而因为国际法特别是国际战争法规则本身的模糊性和争议性，以及国际专家组在一些关键的网络战争规则上采取基于特定国家和组织的利益和立场的实质标准，《塔林手册》并不能构成为一部实现世界各国的平等的网络战争权利和义务的国际法规范的学术指南。因此，主编施米特宣称的“美国强调现有国际法完全适用于网络战争”断言，不过是以美国和北约对于网络战争的国际法理解替代了真正的国际法共识。

因此，对于中国网络安全和网络战争的法律对策而言，关键问题并不在于能否与《塔林手册》“接轨”，因为《塔林手册》针对的最大“敌手”之一就是中国和俄罗斯等网络防御型主权国家。[51]由此出发，研究《塔林手册》的意义至少具有两重意义：首先，通过研究《塔林手册》理解和掌握美国和北约在网络安全和网络战争问题上的基本学术立场；其次，更为重要的是，通过研究《塔林手册》思考中国网络安全和网络战争的法律对策。[52]

第一，在国际法理论上争夺国际法解释的话语权，强调国家行使网络战争上的自卫权必须要遵循一定的范围和限度。

网络攻击行为应用于武装冲突是不可阻挡的趋势。面对日趋严重的网络冲突，在尚不能调和各国的利益需要和安全诉求的时候，国际社会应在努力维护现有国际法规则框架的前提下，从人类社会的整体安全利益出发，对以《宪章》和《日内瓦四公约》及其附加议定书为核心的规制武装冲突行为的国际法作出公正、客观、准确以及符合法理和大多数国家意愿的解释，为运用国际法规制网络攻击行为提供理论依据，也为各主权国家开展网络战争提供法律指导。[53]具体而言，以下国际（战争）法领域和问题值得中国的网络战争研究者重视：

（一）网络攻击构成《宪章》第2（4）条意义上的“使用武力”的标准问题。如前所述，《塔林手册》强调网络攻击的“后果”标准，而相对忽略“目的”和“手段”标准。本文认为应当综合考虑“后果”、“目的”和“手段”三个标准判定网络攻击是否构成国际法上的“使用武力”。因为强调“后果”标准的负面影响是为某些国家滥用自卫权制造合法理由，不符合《宪章》“禁止使用武力”的基本精神。

（二）遭受达到“使用武力”标准的网络攻击国家行使“自卫权”的标准和限度。对于那些造成大量人员伤亡和严重财产损失以及对关系到国计民生的关键性基础设施，且责任国的攻击手段和目的明确的网络攻击行为应当属于“武装攻击”，受害国有权援引《联合国宪章》第51条行使自卫权。然而本文并不认同《塔林手册》奉行的“先发制人”自卫权。根据《宪章》关于禁止使用武力和武力威胁用和平的方法解决争端的各项原则，国家进行武装自卫的前提只能是也必须是遭到武装攻击。[54]而且，先发制人自卫的主张既不符合武力攻击的前提条件，更与相称性原则相去甚远，因此，这种自卫在现有国际法中找不到依据 在国家实践和学者学说中也未获得普遍的支持。[55]

因此，本文认为，国家行使自卫权必须要遵循一定的限度——必要性原则和相称性原则，任何程度和方式的预先自卫都是不符合《联合国宪章》的宗旨和原则。尽管网络战争给国家行使自卫权带来了极大的技术困难，但如果因此而扩大国际法上行使自卫权的解释将可能给人类带来更大的战争灾难。此外，预先自卫的标准通常不能以客观的标准来判断，而过度依靠主观认定必然导致自卫权制度的彻底坍塌。[56]

（三）重视武装冲突法的“区分原则”、“比例原则”、“区分原则”和“中立原则”等基本原则在网络战争中的适用。

限于篇幅，本文以“区分原则”为例讨论视武装冲突法诸原则在网络战争中的适用。“区分原则”是武装冲突法各原则中最受关注和重视的原则，国际法院在《关于以核武器相威胁或使用核武器是否合法的咨询意见》(1996)中把它视为国际人道法的一个“首要原则”。《塔林手册》坚持平民与战斗人员的基本区分，然而同时认为，实施网络战的黑客是武装反击的合法目标。本文认为，需要严格区分作为战斗人员与平民的“黑客”。当然，在私人公司和民间组织日益成为网络安全和攻击的重要发起者的时代，如何区分国家与私人公司在网络安全问题上的法律权力（权利）和责任成为新的国际法问题。

第二，重视网络安全国内立法，以期形成国际示范进而达成国际习惯法规则。

（一）加强网络关键基础设备的安全自主和法律保护。

网络空间尽管是一种虚拟媒介，然而构成网络空间的自下而上的“物理层”、“语法层”和“语义层”却由特定的硬件和软件构成。网络空间的核心部分是国家关键基础设施。作为网络安全战略和立法的先行国家，美国始终将保护国家网络关键基础设施作为其网络安全法律体系的核心，通过一系列的国家立法、授权国家干预等措施来强化基础信息系统建设、维护、防范等方面的监管。[57]在《塔林手册》中，编纂者们充分利用美国和北约在网络基础设备和网络资源上的强势和主导地位，赋予网络战争交战（自卫）国“主动反击”的自卫权和网络封锁的“主动反击”权利。

作为应对，首先必须承认，无论是网络硬件、网络根服务器、通信基础设施、电脑芯片乃至操作系统等软件等诸多民用和军用市场领域，中国网络空间的都在很大程度上依赖于西方“资源-市场”。相对而言，当前中国的网络关键基础设施立法相对落后，“通信网络安全防护”的法规仅仅是工信部制定的部门管理办法，尚未上升到国家立法。[58]2014年两会已有人大代表加强信息安全立法，提议遵循WTO非贸易壁垒原则和各国惯例，对于涉及国家安全的关键信息系统，原则上要使用能满足技术需求的自主知识产权的信息技术产品。[59]因为一旦发生网络战争，如果关键基础设备受制于人，中国网络空间可能会遭受极为严重的损失。[60]因此，加快制定《国家网络和信息关键基础设施保护法》，加强关键基础设施领域安全立法工作、实施产品与服务安全审查制度和国产化替代工程是中国防御和打赢网络战争的基础条件。

进言之，鉴于针对国家关键基础设备的网络攻击是达到《宪章》的“武装冲突”的可能标准之一，加强国家网络和信息关键基础设施的国内立法，既是加强网络安全防御的题中之意，也可以由国内立法形成国际示范，进而有助于达成国家关键基础设备的国际法习惯法共识。

（二）在“数据主权”时代，明确和区分国家与私人公司的网络安全的法律权力（权利）和责任。

在移动互联网和与云计算时代，网络主权正在经历着从“信息主权”到“数据主权”的深刻转变，这意味着未来的“网络主权”的最重要的掌控者可能是谷歌、亚马逊和Facebook等互联网信息巨头们。数据主权者通过各种方式寻求信息世界的入口，就相当于掌控信息世界的“总开关”。而在移动互联网时代，移动终端、操作系统、浏览器和其他平台都可以成为这一入口，以便争夺作为生产资料的信息内容和用户流量。对数据主权者而言，并不存在需要通过军事力量守卫的广袤领土，相反，它要求超越国界边疆，争取数据在主权国家之间畅通无阻。取代领土的将是承载海量数据的服务器。[61]在移动互联网和云计算时代，传统主权国家对“数据主权者”的规制既要超越传统国界，更要打造新的边疆。[62]这就意味着网络治理以及网络战争的参与主体必须考虑私人公司的法律地位、权利和责任。[63]

首先，需要明确私营部门和政府共享关键基础设施信息的法律界限。在“数据主权”时代，私营部门掌握着大量的关键信息基础设施，而政府除了掌握部分关键信息基础设施，更拥有独特的信息和分析能力，因此公共部门和私营部门应当进行合作，共同分析和使用这些信息，以应对网络攻击和网络战争。不过，私营部门向政府提供的信息的范围和内容是什么，是强制提供还是自愿提供，以及政府监管和利用这些网络信息，目前尚无明确法律规定。而且，普通民众更为关心的问题可能是，如何在保护网络安全的同时避免私营部门和政府部门侵犯个人隐私和公民自由。美国政府与私营公司在网络安全上的合作可以为中国提供正反两面的经验教训。反面经验当然是震惊世界的“棱镜门”事件，正面经验或许是前文提及的美国《2013年国家网络安全和关键基础设施保护法案》。该法案支持私营部门和联邦政府间真实开展的合作，从而使双方合作能共同提高到网络安全层面。该法案也明确保护隐私及公民自由，防止国土安全部出现额外的监管权力。[64]此外，在技术层面，中国可以学习澳大利亚等国经验，建设关键基础设施保护可信信息共享网(TISN)。[65]

从网络战争的国际法对策角度而言，明确和区分国家与私人公司的网络安全的法律权力（权利）和责任，有助于中国在未来的网络战争中更有效安全地防御网络攻击，也有助于更好地解决网络空间“武装冲突”的责任分配等技术难题。因为归根结底，网络战争之所以成为一种新兴的特殊的国际法战争形态，最主要的原因在网络空间的战争形态、战斗规则以及冲突后果不同于热兵器时代的“武装冲突”。

第二，推动网络安全的国际立法，避免网络空间的“军事化”。

2011年6月，中国与上海合作组织成员国共同签署《上海合作组织十周年阿斯塔纳宣言》认为：“信息领域存在的现实安全威胁令人担忧。”[66]2011年9月，中国和俄罗斯等国共同起草并向联合国大会提交的《信息安全国际行为准则》（International Code of Conduct for Information Security）草案，被认为是就信息和网络安全国际规则提出的首份较全面、系统的文件。[67]从《信息安全国际行为准则》等网络安全国际宣言看，中国和俄罗斯等上合国家在网络安全与网络战争的国际法问题有如下基本立场和准则：

（一）认同《宪章》等现行国际法对于战争问题的基本规范，尊重各国的网络主权特别是互联网公共政策的决策权，反对利用互联网和信息技术干涉他国安全和稳定。网络安全不仅涉及网络物理空间本身的安全问题，而且与个人、社会和国家乃至国际安全密不可分。中国主张各国有责任和权利保护本国信息空间及关键信息基础设施免受威胁、干扰和攻击破坏，强调不利用信息通信技术包括网络实施敌对行动、侵略行径和制造对国际和平与安全的威胁，或削弱一国对信息技术的自主控制权，或威胁其政治、经济和社会安全。相对于《塔林手册》提倡网络安全政策的“军事化”，中国认为各国应当共同追构建和平、和谐的网络空间国际秩序。

（二）基于“总体国家安全观”扩展理解网络安全和网络战争的国际法问题域。2014年4月16日，习近平总书记在主持召开中央国家安全委员会第一次会议是提出了“总体国家安全观”，认为既要重视传统安全，又要重视非传统安全，构建集政治安全、国土安全、军事安全、经济安全、文化安全、社会安全、科技安全、信息安全、生态安全、资源安全、核安全等于一体的国家安全体系。[68]

在内容上，网络安全涉及到网络犯罪、网络恐怖主义、网络间谍、利用网络影响特定国家经济或政治稳定和网络战争等一系列安全问题。[69]正如习近平总书记在主持中央网络安全和信息化领导小组组长第一次会议时指出的：“没有网络安全就没有国家安全”。[70]在当下网络安全的内容已经从传统的军事和政治的安全观扩展到经济、科技、环境、文化等诸多领域的综合和整体的新型安全模式。[71]因此，像《塔林手册》那样仅仅从传统国际法角度讨论讨论网络战争的人身伤亡以及物理和经济损失是不够的，需要讨论和达成网络空间的文化、经济、政治等领域的全球国际准则。换言之，尽管在现行国际法理论体系中，网络“战争”的法律问题被严格限定于《宪章》和《日内瓦四公约》及其附加协定书的国际法框架中，但是更广义的“网络战争”的国际法问题应当扩展到使用互联网和相关技术对政治、经济、科技和信息的主权和独立的侵犯。[72]在这个意义上，我们才能深刻理解中国以及上合组织积极推动制定网络安全国际准则的“非军事化”意图所在。

（三）各国对其网络空间的国际公共政策问题享有权利和负有义务，加强网络安全的双边、区域和国际合作。这一立场强调各国的网络主权与网络国际秩序的协调，反对过于强调网络战争“自卫权”的单边主义，也不赞成单方面的网络报复或网络封锁。

[73]首先，联合国和其他国际及区域组织理应国际网络秩序的建构中发挥主导和积极作用。依托联合国现有组织和机制，制定信息安全国际规则、和平解决相关争端。其次，推进欧盟、上海合作组织等区域性组织创制区域网络安全协议，加强国际和区域组织之间的协调。最后，面对网络世界的“数字鸿沟”的严峻现实，强调先进国家有义务协助发展中国家提升信息安全能力建设水平。

五、结语

只有少数国家主导和创制的《塔林手册》如果没有得到联合国框架内的大多数国家的承认和遵循，是不可能成为真正的国际习惯法规则。在这个意义上，网络安全的双边、区域和国际合作，任重而道远。当然，研究乃至翻译《塔林手册》，汲取有益部分为我所用，也是加强网络安全和网络战争的国际法研究的题中之意。

由此出发，在美国“棱镜门”事件导致网络安全和网络战争问题成为全球关注的热点问题的时刻，在中国提出的网络安全和网络战争标准得到上合组织和不少发展中国家的认同的背景下，中国可以且应当介入网络战争的国际法规则制定的编纂、制订和创新过程中，分享乃至掌握网络战争国际规则的解释权和制订权，从而切实地维护和实现国家的战略利益，世界网络安全贡献一个强国应有的贡献。

注：

[1]Barack Obama,Taking the Cyberattack Threat Seriously,Wall Street Journal,Jul.19,2012,http://online.wsj.com/article/SB10000872396390444330904577535492693044650.html.本文所有网络材料的最后访问时间均为2014年4月16日，特此说明。

[2]《中央网络安全和信息化领导小组成立：从网络大国迈向网络强国》，新华网，网络链接：http://news.xinhuanet.com/politics/2014-02/27/c_119538719.htm。

[3]阿尔温·托夫勒：《创造一个新的文明——第三次浪潮的政治》，上海三联书店1996年版，第31页。另参见阿尔温·托夫勒：《预测与前提——托夫勒未来对话录》，栗旺译，国际文化出版公司1984年版，第113-126页。

[4]参见方兴东：《互联网的三个世界和三大战役》，《环球时报》，2013年7月16日。

[5]China""""s Army Is Seen as Tied to Hacking Against U.S,NY Times,Feb.18,2013,http://www.nytimes.com/2013/02/19/technology/chinas-army-is-seen-as-tied-to-hacking-against-us.html.

[6]《2013年2月20日外交部发言人洪磊主持例行记者会》文字实录，中国外交部网站，网络链接：http://www.fmprc.gov.cn/mfa_chn/fyrbt_602243/t1015146.shtml。

[7]国家互联网应急中心：《2012年中国互联网网络安全报告》，网络链接；http://www.cert.org.cn/publish/main/upload/File/2012Report.pdf

[8]网络主权的中文学术研究不多，值得重视的一篇论文是张纯厚：《全球化和互联网时代的国家主权、民族国家与网络殖民主义》，《马克思主义与现实》2012年第4期。然而张文没有从互联网基础设置角度讨论网络主权问题。此外，近年来媒体有许多关于维护网络主权的舆论呼吁，如余丽：《如何认识与维护互联网主权》，《人民日报》2012年2月2日；汪重纶：《倡导网络主权极其重要》，《光明日报》2012年4月28日；王军：《筑牢网络边疆的防护墙》，《中国国防报》2013年6月24日。

[9]参见王东宾：《根、天皇与互联网》，《经略》网刊2013年11月号（第33期）。

[10]更为详细论述见胡凌：《塑造信息基础权力：中国对互联网主权的追寻》，“网络治理与公民权利”学术研讨会论文集，上海大学，2013年。

[11]参见王孔祥：《网络安全的全球治理》，“网络治理与公民权利”学术研讨会论文集，上海大学，2013年。

[12]追溯和总结“网络战争”的学术和实践讨论的一个学理尝试，见O.A.Hathaway et al.‘The Law of Cyber-Attack’,California Law Review 2012-100 no.4,pp.817-886,p.823.

[13]在某种程度上，国内相当一部分的“网络战争”论述是在修辞意义上使用“网络战争”的概念，如东鸟：《2020，世界网络大战——网络空间的国家阴谋与较量》，湖南人民出版社2012年版。

[14]相关中文论著中，较有参考价值的研究见朱雁新：《计算机网络攻击之国际法问题研究》，中国政法大学博士学位论文，2011年，特别是第4-7页的文献综述部分；刘悦：《论网络中的诉诸战争权及交战规范》，华东政法大学硕士学位论文，2012年。

[15]《北约将设立互联网安全中心》，新华网，网络链接：http://news.xinhuanet.com/newmedia/2008-02/08/content_7583204.htm。

[16]参见张哲、韩晓君：《第一次网络世界大战会否打响？网络战：并不虚拟》，《南方周末》2009年2月19日。

[17]《因遭“震网”病毒袭击 伊朗核电站可能发生泄露事故》，人民网，网络链接：http://world.people.com.cn/GB/13858728.html。

[18]《乌克兰电脑网络遭“蛇”袭 黑手疑为俄罗斯》，新加坡《联合早报》，网络链接：http://www.zaobao.com/special/report/politic/ukraine/story20140310-319023。

[19]Military and Paramilitary Activities in and against Nicaragua(Nicaragua v.United States of America),I.C.J Judgment of 27 June 1986,Paras.191,195,211.另参见余民才：《“武力攻击”的法律定性》，《法学评论》2004年第1期。

[20]这方面的论述很多，例如两位美国智库学者用以色列对叙利亚（2007）、美国对伊拉克（2003）的实例，以及美国网络空间战略司令部举行美国与中国在南海军演的网络战争演习（具体时间不详），论证网络战争的真实性，参见理查德·A·克拉克、罗伯特·K·科奈克：《网电空间战》（Cyber War），第8-16页，第163-169页。本书作者之一理查德·克拉克前美国国防部助理，服务过七届美国总统，担任过乔治·布什、比尔·克林顿两位总统的网络安全特别顾问。

[21]Michael N.Schmitt(gen.ed.),Tallinn Manual on the International Law Applicable to Cyber Warfare,Cambridge:Cambridge University Press,2013.以下引用简称为“Tallinn Manual”。

[22]Tallinn Manual,pp.x-xiii.

[23]Ibid,xiii.

[24]以施米特教授为代表的专家组的学术能力的一个考察，见O.Kessler& W.Werner,‘Expertise,Uncertainty and International Law:A study of the Tallinn Manual on Cyber warfare,Leiden Journal of International Law 2013-26 no.4.

[25]Louise Doswald-Beck编：《圣雷莫海上武装冲突国际法手册》任筱锋等译，海潮出版社2003年版。

[26]Program on Humanitarian Policy and Conflict Research at Harvard University(ed.),HPCR Manual on International Law Applicable to Air and Missile Warfare,Cambridge:Cambridge University Press,2013.

[27]Tallinn Manual,p.5.

[28]需要指出，国际司法判例和公法家学是辅助渊源，不具有普遍拘束力。国际法渊源权威来源参见Statute of the International Court of Justice,26 June 1945,59 Stat.1055,Art 38(1).

[29]Tallinn Manual,p.13.

[30]对本条款的学理分析，参见黄瑶：《论禁止使用武力原则：联合国宪章第二条第四项法理分析》，北京大学出版社2003年版。

[31]保护战时平民、战斗员及受害者的一系列国际法是国际人道法。国际人道法的主要文件是1949年的《日内瓦公约》和1977年的两个《附加议定书》。国际司法判例认可重审“马尔顿条款”。

[32]格外小心，并非禁止。

[33]NATO CCD COE,History,https://www.ccdcoe.org/423.html.

[34]《战争法对网络攻击同样施加限制》，红十字国际委员会官网，网络链接：www.icrc.org/chi/resources/documents/interview/2013/06-27-cyber-warfare-ihl.htm。

[35]《以色列国防军任命网络战法律顾问 称遵守塔林手册》，中新网，网络链接：http://www.chinanews.com/mil/2013/06-18/4940986.shtml。

[36]《北约秘书长访韩 呼吁朝鲜停止威胁性言行》，中新网，网络链接：http://www.chinanews.com/gj/2013/04-11/4723593.shtml。

[37]NATO CCD COE,International Law of Cyber Operations(course),http://ccdcoe.org/352.html.

[38]Michael N.Schmitt,Computer Network Attack and the Use of Force in International Law:Thoughts on a Normative Framework,Research Publication 1 Information Series,June 1999,pp.1-41.

[39]Lianne J.M.Boer,"Restating the Law """"As It Is""""":On the Tallinn Manual and the Use of Force in Cyberspace"""",Amsterdam Law Forum,vol.5 no.3,2013,pp.4-18.

[40]Tallinn Manual,pp.48-51.

[41]Ibid,pp.51-52.

[42]《韩国网络攻击事件详情及影响》，趋势科技网站，网络链接：http://www.doit.com.cn/article/2013-04-03/2683858.shtml；中国政府的反应，见《外交部就韩国遭受网络攻击、南海、伊核等答问》，中国网，网络链接：http://www.china.com.cn/international/txt/2013-03/20/content_28308407.htm。

[43]参见马丁·C·利比基：《兰德报告：美国如何打赢网络战争》，薄建禄译，东方出版社2013年版，第172页。

[44]Tallinn Manual,p.184.

[45]Ibid,note 220.

[46]参见王东宾：《呵护全球互联网公共性》，《中国经济》2010年第4期。

[47]Michael N Schmitt,International Law in Cyberspace:The Koh Speech and Tallinn Manual Juxtaposed,Harvard International Law Journal Online Vol.54,2012,p.14.

[48]http：//www.whitehouse.gov

[49]《中美俄十五国协议减少“网络战”》，《环球时报》2010年7月9日。

[50]参见朱雁新：《网络攻击国际立法是否可能》，《西安政治学院学报》2012年6期。

[51]从现有的公开出版或上网的材料看来，这也是中国网络安全和国际法学者的共识，例如崔文波：《<塔林手册>对我国网络安全利益的影响》，《江南社会学院学报》 2013年3期；《专家纵论“棱镜门”：国际社会如何构建网络治理权》，新华网，网络链接：http://news.xinhuanet.com/local/2013-07/08/c_124973911.htm；黄志雄：《“网络战”与国际法上的使用武力问题——<塔林手册>相关内容评析》，武汉大学国际法研究所网站，网络链接：http://translaw.whu.edu.cn/index.php/index/content_zh/id/2141/link/gujfsl/sid/3。

[52]需要说明，本节的“法律对策”不包含网络战争的网络技术和封锁策略的法律限度问题，因为涉及到太多本人的专业和知识范围之外的网络技术乃至军事机密问题。

[53]参见朱雁新：《计算机网络攻击之国际法问题研究》，同注14，第117页。

[54]参见王铁崖：《国际法》，法律出版社，1995年，第124页。

[55]参见王海平：《美国在伊拉克战争中的法律战教训》，《西安政治学院学报》2005年第3期。

[56]参见朱雁新：《计算机网络攻击之国际法问题研究》，同注14，第73页。

[57]美国国会1996年制订的《国家信息基础设施保护法案》，克林顿总统1998年签署《关于保护美国关键基础设施的第63号总统令》，要求“采取一切必要措施，迅速消除导致关键基础设施面临物理和网络攻击的明显弱点”，该法案也成为直至现今美国政府建设网络空间安全的指导性文件。2013年12月11日，美国两党共同推出一项获得两党支持的3696号法案，即“2013年国家网络安全和关键基础设施保护法案”(NCCIP法案)，以加强美国16个关键基础设施领域和联邦政府的网络安全，并确定信息基础设施范围为保障公共机构、社会团体以及政治、经济、军事、科技、文化等部门(单位)工作所必需的各类信息资源的统称。本法案全文和其他信息见美国国会国土安全委员会网站，网络链接：http://homeland.house.gov/NCCIP-Act。

[58]中华人民共和国工业和信息化部令第11 号《通信网络安全防护管理办法》（2009年）。

[59]《信息安全成2014两会“热词”》，新华网，网络链接：http://news.xinhuanet.com/tech/2014-03/09/c_119678747.htm。

[60]参见方兴东：《方兴东：中国互联网不能没有“根”》，《环球时报》，2014年2月19日。

[61]胡凌：《什么是数据主权》，《经略》网刊2013年11月号（第33期）。

[62]出于对美国电子监控项目的顾虑，非美国公司正在取消或减少使用美国云计算服务，参见《“棱镜”项目导致美云计算行业损失350亿美元》，新浪科技，网络链接：http://tech.sina.com.cn/i/2013-08-06/08258609940.shtml。

[63]Hannah Lobel,Note:Cyber War Inc.:The Law of War Implications of the Private Sector""""s Role in Cyber Conflict,47 Texas International Law Journal 617(2012).

[64]同注47。

[65]参见邓恩、威格特：《关键信息基础设施保护：十四国安全保护政策陈述和分析》，中国科学技术大学出版社2007年版，第16页。

[66]上海合作组织官网，网络链接：http://www.sectsco.org/CN11/show.asp?id=450。

[67]《信息安全国际行为准则》，网络链接：

http://www.fmprc.gov.cn/mfa_chn/ziliao_611306/tytj_611312/zcwj_611316/t858317.shtml。

[68]《习近平：坚持总体国家安全观 走中国特色国家安全道路》，新华网，网络链接：http://news.xinhuanet.com/politics/2014-04/15/c_1110253910.htm。

[69]参见《上海合作组织成员国元首关于国际信息安全的声明》（2006），上海合作组织官方网站，网络链接：http://www.sectsco.org/CN11/show.asp?id=172。

[70]《习近平：把我国从网络大国建设成为网络强国》，新华网，网络链接：http://news.xinhuanet.com/politics/2014-02/27/c_119538788.htm。

[71]参见陆钢：《上海合作组织是新世纪区域合作的成功典范》，《求是》2012第13期。

[72]这一论点来自于乌克兰国际法学家Alexander Merezhko，他创建了一个名为“禁止网络战争的国际公约”的互联网研究项目，网络链接：http://www.politik.org.ua/vid/publcontent.php3?y=7&p=57。

[73]当然，网络封锁不仅仅是一个军事、政治和法律问题，其决定性基础是一国的网络资源。