2024年3月，法国法国政府宣布将75家医院和部分中小企业列入“网络攻击高风险名单”，网络原因是安全它们使用的某款美国云服务被检测出数据回传路径经过第三国服务器。这不是法国巴黎第一次对“数字主权”动真格。早在2021年，网络法国国家网络安全局（ANSSI）就要求所有政府部门的安全云服务必须通过“SecNumCloud”认证——这个认证的潜台词很明确：美国科技巨头基本出局。

法国人对网络安全的法国执念，跟他们的网络文化性格有关。你想想，安全一个连超市里卖奶酪都要标注原产地、法国禁止超市打折卖书以保护小书店的网络国家，怎么可能容忍自己的安全数据存在别人家的服务器上？ANSSI局长在一次国民议会听证会上说得直白：“数据主权不是技术问题，是法国政治问题。”这话搁别的网络国家可能是口号，在法国是安全行动纲领。

具体怎么做的？举几个例子。

2023年，法国国防部换掉了所有办公电脑上的Windows系统，改用自家开发的Linux发行版“GendBuntu”——这名字一看就是宪兵队（Gendarmerie）的定制版。宪兵队从2008年就开始干这事，到2018年全面切换完成，省了至少40%的软件授权费。更关键的是，系统后门风险从“未知”变成了“可控”。

另一个案例更有意思。法国电力公司（EDF）的核电站控制系统，过去用西门子的工业软件。2019年他们发现软件更新包里有未经申报的调试接口，ANSSI介入调查后，EDF花了两年时间把关键控制模块替换成法国本土企业Atos开发的方案。这事没上头条，但业内都知道——法国人真敢拆了重来。

不过法国也有头疼的事。中小企业根本顾不上网络安全。ANSSI 2023年的报告显示，员工少于50人的法国企业里，只有23%做过渗透测试。很多老板觉得“我又不是银行，谁黑我？”结果2022年一家做奶酪出口的诺曼底小公司被勒索软件锁了生产系统，停产三天，损失80万欧元。攻击者怎么进来的？老板用公司邮箱注册了一个钓鱼网站买钓鱼竿。

法国政府的应对办法挺“法式”——立法加补贴。2024年生效的《网络弹性法案》要求所有联网设备在法国销售前必须通过最低安全认证，连智能灯泡都不放过。同时，Bpifrance银行推出“网络安全支票”，小企业做安全审计可以报销60%的费用，上限5万欧元。我认识一个里昂的软件外包公司老板，去年就用这笔钱把公司内网全换成端到端加密，他说：“以前觉得这是大公司才玩的东西，现在政府掏钱让我玩，不玩白不玩。”

但最大的挑战来自5G。法国在2019年通过《5G安全法》，要求运营商对设备供应商做“非技术风险评估”。这招明显冲着华为来的。结果呢？华为被逐步清退，诺基亚和爱立信填补空缺，但代价是法国5G部署速度比德国慢了近一年。Orange电信的工程师私下抱怨：“政治正确了，网速下去了。”这话在巴黎的咖啡馆里经常能听到——法国人自己也在纠结安全与效率的平衡。

ANSSI每年发布一份《威胁全景报告》，2024年版里有个细节：法国政府机构遭受的网络攻击中，42%来自“具有国家背景的行为体”，其中大部分攻击路径经过东欧的跳板服务器。报告没有点名，但谁都知道说的是谁。有意思的是，法国自己的对外情报机构DGSE也被曝出开发网络武器——2019年“巴黎黑客大会”上，有研究员展示了一款疑似DGSE使用的恶意软件，能感染中东地区的电信基站。法国政府既不承认也不否认，这态度本身就很说明问题。

说到底，法国的网络安全战略就一句话：能自己做的绝不外包，必须外包的也要留后门。这听起来有点偏执，但看看2024年2月那件事——法国外交部证实，有外国情报机构试图通过入侵外交部官员的私人手机获取G7峰会筹备文件。攻击被挡住了，靠的是ANSSI强制安装的加密通讯软件Tchap。这个软件是法国自己开发的，代码开源，服务器在巴黎。用法国数字事务部长的话说：“我们不是不信任盟友，我们只是更信任自己的工程师。”

这话对不对？见仁见智。但至少法国人把想法变成了代码和法规，而不是只停留在白皮书里。

(责任编辑：综合)