《Computers & Security》：Operationalizing cybersecurity controls in defence procurement contracts: An empirical study and governance integration model
编辑推荐：
在数字化加速背景下，国防供应链在结构上已依赖于互联信息系统，使其面临系统性网络风险暴露。研究人员考察了斯洛文尼亚武装部队（Slovenian Armed Forces, SAF）国防采购合同中网络安全控制目标如何被操作化为可执行治理工具，将合同概念化为供应链安
在数字化加速背景下，国防供应链在结构上已依赖于互联信息系统，使其面临系统性网络风险暴露。研究人员考察了斯洛文尼亚武装部队（Slovenian Armed Forces, SAF）国防采购合同中网络安全控制目标如何被操作化为可执行治理工具，将合同概念化为供应链安全的可执行治理载体。对368份公开可得国防采购合同的结构化内容分析揭示显著不对称：仅4.3%含明确信息安全条款，4.6%涉及恶意软件防护，而67%主要关注人员安全检查。结果表明技术类网络安全控制在各采购类别中的合同嵌入有限。为弥补该结构性缺口，论文提出合同网络安全整合模型（CCIM），一种将标准化网络安全控制目标转化为受监控与制裁机制支撑的可执行合同条款的治理翻译架构。该模型围绕七个防护域组织，正式对齐NIST SP 800–53 Rev.5、?《NIST CSF 2.0》、ISO/IEC 27001:2022及NIS2指令。CCIM不提出新技术标准，而在采购生命周期阶段操作化既有控制族。研究贡献了国防供应链网络安全的合同嵌入实施模型，弥合技术安全框架与法律可执行采购实践间鸿沟，对处于资源约束下可比北约与欧盟监管环境中的数字化依赖型国防组织尤具相关性。
研究背景方面，现代国防供应链已成为国家安全架构关键组件，数字化互依与全球化扩大了攻击面，SolarWinds与NotPetya等事件表明商业与政府系统漏洞可跨域传播。现有NIST控制族、ISO/IEC 27001:2022等框架定义了技术与组织控制目标，但未提供将其翻译为法律可执行采购机制的合同集成治理架构。传统国防采购合同侧重物流绩效、成本与交付，网络安全义务常散落于技术附件，导致责任分配、可审计性与执行力不足。斯洛文尼亚武装部队作为北约与欧盟小国样本，资源受限却合规压力上升，合同级操作化缺失，构成研究动机。研究人员以SAF为实证场景，回答“网络安全控制目标如何跨采购阶段系统操作化为可执行合同机制”这一核心问题，最终提出CCIM并发表于《Computers & Security》。
关键技术方法上，研究人员采用结构化定性文档分析结合监管与理论语境化。实证单元为斯洛文尼亚国防部2024年12月前373份活跃供应合同中的368份（98.7%）公开文本，逐份人工通读主文与附件，按二进制编码（0/1）判定“信息安全”“恶意软件防护”“安全检查”三类显式条款存在与否，编码协议基于既有控制域与采购治理要求，并以分层随机子样本56份（15.1%）由独立博士级编码员复判，报告Cohen's κ与Gwet's AC1均为1.000。理论侧融合关系契约理论（Macneil, 1980）与交易成本经济学（Williamson, 1985）生成可检验预期，再据实证分布设计CCIM。
研究结果部分保留原文小标题叙述。第4.1节编码可靠性：子样本168项判定全一致，κ与AC1均1.000，归因于SAF合同标准化模板中义务分配至独立标题条款，降低解释歧义。第4.2节关键网络安全条款分布：368份中信息安全16份（4.3%）、恶意软件防护17份（4.6%）、安全检查250份（67.0%），技术条款极度稀疏。第4.3节按供应类：II类（装备与CIS相关）164份中含信息安全16、恶意软件17、安检110；I类112份仅安检98；III类15份仅安检11；IV类82份仅安检31；V类无公开合同。第4.4节按24个供应组：计算机设备组（250,000）集中全部16份信息安全与17份恶意软件条款及21份安检；电信组12份仅9份安检；车辆组65份仅30份安检且无技术条款；食品燃料清洁组零技术条款。结论为技术控制在数字化依赖类目外几乎缺位，安检替代性填补信任机制。
讨论部分指出结构性因素：起草者认知缺口、资源约束、监管未下沉为合同语言、操作优先级压过安全。对比美国CMMC via DFARS、英国DCPP/Def Stan 05–138，证实小国北约成员合同嵌入弱于大国。CCIM七域（技术组织控制、风险与业务连续、反恶意软件与后门、信息与涉密数据、个人数据、责任制裁、监测审计）分别映射Williamson与Macneil理论问题，并与NIST SP 800–53 Rev.5、CSF 2.0、ISO/IEC 27001:2022、NIS2第20–21及32条控制族对齐而非新建。CCIM三层架构含战略目标（CIS保障、运营弹性、供应链完整、数据保护、问责执行）、战术七模块、生命周期四阶段（预采购、缔约、履行、后评估）。研究人员结论翻译为：实证显示SAF供应链合同存在网络安全条款的不对称嵌入，增加运营与信息风险；CCIM作为合同嵌入式治理翻译架构，将既有标准控制族转为跨采购阶段可执行条款，弥补资源受限国防采购环境中间隙；模型非通用模板而按交易成本和网络风险校准部署，对可比北约欧盟环境具治理移植价值。
