美國強化“網絡威懾”的立法趨勢分析

豐詩朵　中國信息通信研究院安全研究所助理工程師張彥超　中國信息通信研究院安全研究所工程師劉曉曼　中國信息通信研究院安全研究所助理工程師

美國強化“網絡威懾”的立法趨勢分析

豐詩朵中國信息通信研究院安全研究所助理工程師
張彥超中國信息通信研究院安全研究所工程師
劉曉曼中國信息通信研究院安全研究所助理工程師

近期，美國強化“網絡威懾”的立法趨勢已逐漸明朗，美國網絡空間的戰略基調開始從攻防并舉轉為主動進攻。本文分析了美國強化“網絡威懾”的相關舉措，并對我國夯實網絡安全軟硬實力基礎，加強網絡安全態勢感知和威脅研判能力提出了具體建議。

美國；網絡威懾；趨勢；應對

1　引言

2015年4月，美國國防部出臺了新版網絡空間戰略，并在其中對“網絡威懾”進行了具體闡述，這是美國首次在“宣示性”法律中明確了網絡威懾的內涵和作用，標志著美國通過立法來強化“網絡威懾”的趨勢日漸明朗。對美國圍繞“網絡威懾”的立法行為進行分析，有助于我國有效應對國際網絡空間未來的形勢變化并進一步加強自身的網絡安全綜合實力。

2　背景與內容特點

自2014年底以來，美國制修訂的主要戰略和法案有《2015年網絡空間戰略》、《美國自由法案》、《增強網絡安全法》等，這些戰略和法案的內容側重各有不同，但都與貫徹“網絡威懾”這一理念相關。

2.1《2015年網絡空間戰略》：明確了“網絡威懾”的作用

2015年4月23日，美國防部公布了《2015年網絡空間戰略》，更新和細化了美在網絡空間的“五大戰略目標”，包括：建設并維護網絡安全力量，為網絡行動做好準備；捍衛國防部數據安全，降低國防部軍事行動風險；時刻準備保衛美國本土及國家利益，防御干擾性或破壞性的網絡攻擊，避免造成重大后果；建立并維護可行的網絡方案及行動計劃，使用方案來控制沖突升級，保持沖突各個階段在美國可控范圍內；建立并維護良好的國際聯盟和合作伙伴關系，阻止共同威脅，加強國際安全與穩定。

該戰略首次在官方文件中提出將“威懾”用于網絡空間，明確了“網絡威懾”的作用，豐富了“網絡威懾”的內涵，是美國加強網絡防御、實現網絡威懾的綱領性文件。根據該戰略，“網絡威懾”的內涵包括加強政策宣告、舉證與警告、擺明防御姿態、完善應對程序以及提升網絡系統的抗攻擊和恢復力等，事實上《2015年網絡空間戰略》本身作為“政策宣告”，就可視作“網絡威懾”的一種形式。美國防部長卡特也于近日宣稱：新版網絡安全戰略概要展示了美國將對網絡攻擊進行報復的決心。

2.2《美國自由法案》：規范政府網絡監聽行為

2015年6月2日，《美國自由法案》正式生效，并替代此前于6月1日失效的《愛國者法案》。新法案明確禁止美國家安全局（NSA）搜集美國民眾的通訊信息，包含電話號碼、通訊記錄、電子郵件等。這是自“棱鏡門”事件以來，美國首次對監控項目做出的重大立法改革。

根據新法案，NSA將在6個月的時間里逐步將大規模電話數據收集項目轉給電信公司。今后在進行涉嫌恐怖主義活動的相關調查時，NSA必須獲得情報監控法庭許可或在緊急狀態下，才可向電信公司索取相關數據。不過，新法案仍允許美國情報機構開展用于追蹤恐怖分子的監控項目，并允許情報機構對特定嫌疑人進行不間斷的網絡監視。

2.3《增強網絡安全法》：加強網絡安全熱點領域研究

《2014加強網絡安全法》于12月18日生效，該法案旨在推進互聯網安全的相關研究以及加強網絡安全標準建設。

在標準編制方面，該法案要求美國國家標準與技術 研 究 院（National Institute of Standards and Technology，NIST）加強對標準編制的管理，并特別強調NIST應以適當的方式保證聯邦機構參與制定與信息系統相關的國際網絡安全標準。在推進研究方面，列舉了美國聯邦下一步研究需要重點解答的10個問題，包括復雜信息系統安全保障、第三方軟硬件安全風險排查及核心功能評估、個人隱私及關鍵數據保護、互聯網協議安全性提升、網絡信息溯源、關鍵軟硬件設備內生風險控制以及網絡安全宣傳教育等。

該法案對聯邦網絡安全競賽內容范圍領域進行了擴展和細化，規定安全競賽的具體競技項目包括：合法監聽技術、滲透測試技術、脆弱性評估技術、連續性系統操作、安全設計、網絡取證以及網絡攻防技術等。此外，該法案還通過設立獎學金等多項優待政策調動網絡安全學界的研究積極性。

3　要點分析

3.1美國明確提出提升“網絡威懾”能力，戰略基調從攻防并舉轉為主動進攻

（1）提出強化“網絡威懾”姿態的具體要求，將“網絡威懾”的對象拓展至“低烈度”安全威脅

美國在《2015年網絡空間戰略》明確提出要求國防部加強情報收集、攻擊預警以及威脅溯源能力，并通過反制、主動打擊等具體行動，強化其“網絡威懾”姿態。根據該戰略，美國的“網絡威懾”不僅針對傳統網絡安全威脅或規模大、危害性高的網絡攻擊行為，更針對“低烈度”網絡干擾行為（注：“低烈度”網絡攻擊，指破壞性、危害性相對比較輕微的網絡攻擊，通常不造成巨大損失或嚴重后果，常表現為干擾互聯網正常運行的網絡“騷擾”行為）。

《2015年網絡空間戰略》要求將網絡安全需求加入作戰命令計劃，可以“在必要的情況下”主動發起網絡進攻。在發起網絡行動時，應能夠對敵對勢力網絡指揮控制系統進行有效打擊。

綜上，隨著新版網絡戰略的發布，美國發起網絡威懾的頻率和可能性將不斷增加，美轉變戰略基調，進一步強調“主動攻擊”的趨勢已逐漸明朗。

3.2美國將數據安全作為提升“網絡威懾”的重要保障，緩和政府與民眾在網絡監聽方面的矛盾

（1）將數據安全上升到國家安全戰略層面，把關鍵數據資源列為國家重要核心資產

《2015年網絡空間戰略》突破了網絡空間戰略僅著眼于國防部網絡系統保護的局限，并將關鍵數據資源安全提升到與關鍵基礎設施安全同等重要的位置，從保護國家利益的高度重視網絡數據安全保護。

（2）在確保美情報部門對恐怖分子監控的同時，提出了兼顧美國公民隱私權的“折中方案”

《美國自由法案》收回了政府大規模監聽公民隱私的權利，僅保留對恐怖分子等的監控權，緩和了民眾對政府監控的強烈抵制；但美政府在獲得法院許可后，仍可從電信公司等處獲得公民通信信息。該法案事實上帶有政府和民眾相互妥協的“折中性質”。

（3）維持美在全球范圍的監控行為，未對情報部門的海外行動予以新的約束

傳記史學是以史學傳記為主要研究對象，探索史傳發展規律，屬于歷史學的邊緣學科。傳記史學基本理論的解決有利于傳記史學的深度發展，傳記史學定義的界定使得它的研究對象和研究目的日益明晰，傳記史學學科屬性的界定使它與其他人文學科劃開界限，這種學科獨立化是很有必要的。雖然傳記史學還處于初級研究階段，可喜的是現在已有部分學者開始關注到傳記史學的研究，并有一定的研究成果，相信隨著傳記的日益發展和公民社會的崛起，傳記史學的研究隊伍會日益龐大。

《美國自由法案》對美國的海外監控項目不構成任何影響。新法案既沒有限制美國情報機構通過科技公司等私有實體獲取外國網站的數據，也沒有觸及如何規范政府部門對外國情報的收集。

近年來，美國政府和公眾在網絡監聽等領域的矛盾已經一定程度上影響到了數據保護政策的落地實施?！睹绹杂煞ò浮返某雠_意味著政府在隱私保護領域向民眾做出了一定的讓步，使得先前較為激烈的公權和民權沖突得以緩和，這也為政府集中精力實施關鍵數據資源保護策略和海外監控行為提供了便利。

3.3加強網絡安全前沿技術的研究與應用，保證美國具備全球領先的“網絡威懾”硬實力

（1）加大對安全技術研發和標準化應用的投入，維持在技術領域的全球話語權

美國在《增強網絡安全法》中明確提出要求N IST通過積極參與國際標準的制定來促進美國本土技術的國際化。強調加大熱點領域的技術研發投入，并將安全競賽擴展到合法監聽技術、滲透測試技術以及網絡攻防技術等領域，通過競賽來篩選應用效果良好的技術手段。

（2）制定多項技術演練和評估計劃，確保安全從業人員具有過硬的技術水平

《2015年網絡空間戰略》多次提及要對網絡防御力量進行技術能力評估并不斷開展演練，以判定是否能針對不同的安全威脅展開有效的動態防御。據法案要求，網絡安全防護團體（CyberProtection Team）和企業安全人員必須具備迅速發現、分析和修補安全漏洞的能力。

安全技術優勢在美國“網絡威懾”戰略中有著雙重地位，它既是實施威懾的硬實力保障，也是一種重要的威懾手段。有效的“網絡威懾”離不開先進技術的支持，全球領先的網絡安全硬實力是美國提出“網絡威懾”戰略的底氣所在。

3.4加強政府部門間和公私實體間的網絡安全合作，進一步推動“網絡威脅”情報共享

（1）美國多次在各法案中提出加強合作，將其作為實現“網絡威懾”的基本條件之一

構建完善的網絡安全合作框架是美國推進“網絡威懾”戰略的基本方針之一?！?014年網絡安全增強法》將“明確私營部門在聯邦網絡安全研究和發展計劃中的作用，繼續加強網絡安全保護政企合作”列為落實《聯邦網絡安全研究和發展綱要》的三大要求之一?！?015年網絡空間戰略》也提出加強政府部門間、政府和企業間的安全威脅信息共享、數據保護和關鍵基礎設施保護等網絡安全合作。

（2）把完善威脅情報共享機制作為加強網絡安全合作的核心工作

《2015年網絡空間戰略》中提出建立廣泛的威脅情報共享機制，并在政府部門間實現威脅情報共享的自動化。此外，《美國自由法案》限制了政府的監聽權，而將相關權利賦予了包括各電信運營商在內等企業，這將在客觀上進一步擴大美國公私機構在網絡監聽和情報收集等領域的合作。

美國通常根據網絡威脅情報分析研判的結果，來決定將要實施“網絡威懾”或打擊的對象。因此，美國將深化網絡安全合作視為開展“網絡威懾”的基礎性工作之一，并將威脅情報共享作為加強網絡安全合作的重要抓手。

4　應對思路

4.1重視美國強化“網絡威懾”的相關舉措，提升對美國“網絡威懾”的應對能力

我國應密切關注美國落實“網絡威懾”戰略的配套措施，尤其是涉及海外監聽政策和實施網絡打擊的行動計劃，研究其是否有針對我國的內容。盡快出臺的網絡空間國家戰略，研究提出“積極應對網絡威懾”的基本措施。對于關鍵信息基礎設施、敏感數據和重要信息系統等美國“網絡威懾”的重點打擊目標，切實強化其抗偵聽、抗攻擊及恢復能力，完善包括防御、舉證、警告、反制等環節在內的“網絡威懾”應對程序。

4.2夯實網絡安全軟硬實力基礎，使我客觀上具備實施“網絡威懾”的可能

面對美國“主動攻擊”的威懾姿態，我國應加緊布局，不斷提升自身的網絡安全軟硬實力，形成有效的“反威懾”。

一方面，將加強網絡安全技術實力作為基礎性工作，持續加大前沿網絡安全攻防技術的研發與應用，不斷通過試點示范等途徑篩選防護效果突出的安全技術。

另一方面，通過資格認證、實踐演練等形式，對安全從業人員以及基礎、增值電信企業的安全團體進行技術實力評估，通過競賽等促進網絡安全專業教育及技術應用并從中選拔優秀人才。

4.3建立政府、企業等密切聯合的網絡威脅信息共享體系，強化網絡安全態勢感知和威脅信息研判能力

借鑒美國成功經驗，建立健全跨行業、跨部門的網絡威脅信息共享體系，進一步細化政府和企業間、企業和企業間安全威脅信息共享的范圍、流程和時間節點，提升威脅信息的研判效率，進一步加強全局性網絡安全態勢感知能力和網絡攻擊的防范溯源，提升對美海外監聽行為的抵御和取證能力。規范政府和基礎電信企業間的數據資源共享行為，加強對數據跨境流動和個人信息保護的監管，避免因網絡數據資源流失，而給美國的非法網絡情報收集提供便利。

4.4在國際網絡空間積極發聲，防止美國“網絡威懾”演變為網絡“霸權主義”

積極鼓勵網絡安全相關企業、研究機構等參與ITU等國際組織的標準編制工作，大力推動本國標準的“國際化”，在云計算、工業互聯網等新興領域搶占標準編制的先機，將標準作為提升網絡安全國際話語權的重要突破口。在國際上，要求美國對“網絡威懾”的適用場景、范圍和打擊程度向國際社會做出說明和承諾，防止美國過分強調塔林手冊以及“武力回擊網絡攻擊”的相關理念。在美國以“威懾”之名行“網絡霸權主義”之時，組織有效的國際聯合抗議予以抵制和阻止。

［1］The U.S.Department of Defense：the 2015 DOD Cyber Strategy.2015.http：//www.defense.gov/Portal-s/1/features/ 2015/0415_cyberstrategy/Final_2015_DoD_CYBER_ STRAT-EGY_for_web.pdf.

Analysis of the Legislation Trend of Strengthening the Cyber Deterrence of the United States

Feng Shiduo，Zhang Yanchao，Liu Xiaoman

Recently，the United States’legislation trend to strengthen the cyber deterrence has gradually clear，the focus of the US cyber space strategy began to change into‘active attack’.In this paper，we analyze the measures of the United States to strengthen the cyber deterrence，and put forward concrete suggestions for China to strengthen both the technology and management foundation of cyber security and to improve the cyber security situation assessment and threat deterrence ability. Keywords：America；cyber deterrence；trend；reaction

2015-12-17）