美國數據安全政策的演化路徑、特征及啟示

馬海群　王茜茹

〔摘要〕美國數據安全政策的發展與互聯網、數字技術的發展有著密切的聯系，數據安全由克林頓時代的網絡基礎設施保護，到布什時代的網絡反恐，再到奧巴馬時代的創建網絡司令部，美國的數據安全戰略經歷了一個“從被動預防到主動出擊”的演化過程，本文對美國數據安全的政策演化路徑進行研究，以期對我國數據安全政策制訂予以借鑒。

〔關鍵詞〕美國；數據安全；政策研究；信息安全；政策演化

DOI：10.3969/j.issn.1008-0821.2016.01.002

〔中圖分類號〕G203〔文獻標識碼〕A〔文章編號〕1008-0821（2016）01-0011-04

〔Abstract〕The development of data security policy in the United States has connected with internet digital technology.From the network based facilities protection of Clinton times，to network counter-terrorism of Bush times，to create network command of Obama times，the data security strategy in the United States experienced an evolution process of“from passive prevention to active attack”.This paper researcheed on the evolution and characteristics of American data security policy，in order to give reference for China to formulate data security policy.

〔Key words〕the United States；data security；policy research；information security；policy evolution

在信息技術融合應用的新時代，發展大數據已成為不可逆轉的歷史潮流，網絡空間與現實社會一樣，既需提倡自由，亦要遵守秩序。一方面，開放數據的應用重塑著我們使用數據的方式，成為社會發展的大勢所趨；另一方面，大數據的變革對國家主權、安全、發展提出新的挑戰，迫切需要國際社會認真對待，謀求共治，實現共贏，網絡安全、數據安全成為社會穩定、經濟繁榮的重要保障[1]。從克林頓時代的網絡基礎設施保護，到布什時代的網絡反恐，再到奧巴馬時代的創建網絡司令部，美國的數據安全戰略經歷了一個“從被動預防到主動出擊”的演化過程。在我國針對數據安全的研究主要是集中于技術與方法層面，政策方面的研究并不充分，鑒于此，本文試圖對美國國家宏觀層面的數據安全政策演化脈絡與特征予以梳理，以期相關經驗對我國數據安全政策提供借鑒。

1美國數據安全政策的演化路徑

從20世紀70年代至今，美國互聯網的應用已由基于軍用領域迅速擴散至科研教育領域，并進一步滲透到商業和社會生活的各個領域[2]。從聯邦政府到州立政府，再到公民的大量信息，幾乎全部存儲在計算機系統中。當人們在享用便捷、高效的信息技術所帶來的諸多好處時，相應的，信息技術的發展也對人類社會提出了新的問題和挑戰，而其中尤為突出的，就是信息技術對數據安全沖擊后產生的諸多安全問題。

11克林頓時代：被動防御，基礎建設

在這一時期，作為全球信息化程度最高的美國，對信息系統的依賴性最大，政策效應主要體現在關注于電力、通信、交通等對國民經濟、國防安全、社會穩定起關鍵作用的基礎設施的建設與保護。1993年，克林頓政府提出興建“國家信息基礎設施”，1995年首次提出“信息安全”的概念，2000年實施的《信息系統保護國家計劃》作為美國21世紀總體信息安全戰略和行動指南，提出將重要網絡信息安全放在優先發展的位置并綜合、全面、現實地制訂了發展規劃。該計劃的實施將為美國的經濟、國家安全、公共安全中的關鍵部門提供有效的保護措施[3]。同年，《國家安全戰略報告》的頒布，將“信息安全”列為美國國家安全戰略的正式組成部分，強調以安全、經濟繁榮與民主作為國家安全戰略的核心主軸[4]。

12小布什時代：先發制人，安全為先

小布什政府上任之初，因受9·11事件的影響，被保守主義劫持的美國，憑借“頂級大國”（Hyper Power）的實力，開始實施“新帝國”戰略，美國對外戰略的全球色彩逐漸明朗，為了實施以“先發制人、安全為先”為主的網絡反恐戰略，較明確地強調以國家安全、生存利益與權利平衡方面為主的政策導向。隨之，美國采取了各種有效措施，全民加強網絡與信息安全的防范工作。

2001年10月，布什政府意識到9·11事件后信息安全的重要性，發布了第13231號行政令《信息時代的關鍵基礎設施保護》，宣布成立“總統關鍵基礎設施保護委員會”，代表政府全面負責國家的網絡空間安全工作。2002年通過的《聯邦信息安全管理法案》將“信息安全”定義為“保護信息和信息系統以避免未授權的訪問、使用、泄漏、破壞、修改或者銷毀，以確保信息的完整性、保密性和可用性”。要求政府建立一套全面的信息安全控制管理框架。2003年發布的《網絡空間安全國家戰略》重點突出國家政府層面的戰略任務，提出國家信息基礎設施保障要達到3個戰略目標：防止針對美國關鍵基礎設施的數碼攻擊，降低國家關鍵基礎設施的脆弱性，以及一旦攻擊發生將危害和恢復時間降到最低值[5]。較明確地強調以國家安全、生存利益與權利平衡方面為主的政策導向。與此同時，制定了一系列法案，來打擊計算機網絡犯罪，保障關鍵信息基礎設施的安全，如《加強網絡安全法》、《公共網絡安全法》、《加強計算機安全法》等。2006年簽署的《聯邦網絡空間安全及信息保護研究與發展規劃（CSIA）》確定了13個重要發展領域。

美國數據安全政策的演化路徑、特征及啟示Jan，2016Vol36No113奧巴馬時代：主動出擊，網絡威懾

在這一時期，面臨的是大數據與移動環境、社交媒體相互驅動的社會結合。大量的數據公布于眾，美國棱鏡門事件的曝光使國家、政府、企業、個人的隱私數據安全受到了政府及有關部門的重視[6]。

2009年5月，奧巴馬在白宮公布了《網絡空間政策評估——保障可信和強健的信息和通信基礎設施》，并發表重要講話。奧巴馬在演講詞中強調，美國21世紀的經濟繁榮將依賴于網絡空間安全。他將網絡空間安全威脅定位為“我們舉國面臨的最嚴重的國家經濟和國家安全挑戰之一”，并宣布數字基礎設施將被視為國家戰略資產。保護這一基礎設施將成為國家安全的優先事項。2012年2月《網絡世界中的消費者數據隱私》頒布，該報告提出了在全國數字經濟發展中，將隱私數據設為商業數據管理更為現代化的概念，并構建保護隱私和促進創新的基本框架[7]。這份聲明不僅強調了消費者有權在數據記錄里更正數據的權利，還間接說明消費者可以用多種方式下載自己的隱私數據，并致力推動《消費者隱私權利法案（草案）》的出臺。2012年《兒童在線隱私保護法案》（COPPA）關于兒童的隱私進行了修訂，規定了網站經營者必須向其父母提供隱私權保護政策的通知，并且擴大了包括地理位置數據和Cookie在內的個人數據收集和處理方式[8]。2012年3月《大數據研究和發展計劃》成立“大數據高級指導小組”，旨在通過政府帶動引導，鼓勵企業、大學和科研機構、非盈利組織從海量復雜的數據集合中獲取知識的能力，加速美國在科學與工程領域發明的步伐，增強國家安全，轉變現有的教學和學習方式。這是美國政府在政策層面將“大數據”上升為國家意志的重要舉措，有著極為深遠的影響。2014年5月總統行政辦公室發布的《大數據：把握機遇，守護價值》白皮書對美國大數據應用于管理的現狀、政策框架和改進建議進行了集中闡述。報告指出，大數據在為社會和經濟發展等領域提供科技創新的同時，也對公民隱私產生了巨大的挑戰[9]。政府不僅應當制定更多政策來關注大數據的實際應用，也應加強隱私保護技術，推動標準化的建立與應用。

從相關政策文件中可以看出，在這一時期，美國政府對數據安全采取的政策是主動出擊、網絡威懾，與此同時，相關州立政府也積極響應國家宏觀政策。美國加州州長杰里·布朗于2015年10月8日簽署了《加利福尼亞電子通信隱私法》以保證州內公民的數據不被警方輕易獲取[10]。

2美國數據安全政策演化的特征

互聯網與美國社會的運作與發展密不可分，并逐漸融入政治、經濟、文化和軍事的各個領域，但對互聯網過度的依賴必然會給國家帶來相應的漏洞與恐慌。于是美國在國際上率先制訂了一系列數據安全政策保障其國際領軍的地位。

21因時而變的法律導向

在數據安全領域，公眾對政府所掌握的信息“監聽”能力尤為擔憂。在克林頓時代的重點是保護網絡基礎設施的安全；9·11事件以前公眾表現出對政府強烈的不信任感，始終認為政府對國家的未來構成了重大的威脅，但9·11事件發生后，公眾雖然對安全的憂慮猶存，但愿意為獲得必要的安全保障暫時忍受自由權的侵犯，促使決策權力由立法機關向行政機關轉移。布什將重點轉為攻防結合，以國防部、國家安全局、中央情報局等為代表的國家信息安全決策機構占據優勢地位[11]。自2009年《開放和透明的政府》備忘錄的頒布，政府推出Data.gov，各國紛紛加入到開放政府數據運動中。與此同時，伴隨著個人信息的大量泄露、企業遭遇信任危機，美國政府開始重視開放政府數據中的個人隱私保護，為能更合理的反映用戶對隱私的期待，美國推動對《電子通訊隱私法案》的改革，目前已獲眾議院多數支持。2015年2月，白宮公布《消費者隱私權利法案（草案）》[12]，該草案一方面賦予了美國民眾更大的隱私權，旨在數字化時代讓消費者更好地控制他們留在互聯網上數據足跡的使用、存儲和銷售；另一方面允許各行業在美國聯邦貿易委員會的監督下自主制定有關數據隱私的行為守則，并試圖在保障消費者隱私并給予企業一定靈活性間尋求平衡。

22多種戰略結合

美國，作為世界上第一個引入網絡戰的國家，也是第一個積極加強網絡安全建設的國家，在制定網絡安全戰略的同時，也制定并實施了全面的網絡安全人才戰略，尤其是精英的培養戰略。

2000年《國家安全戰略報告》的頒布，使信息安全正式成為國家安全戰略框架的一部分，2003年《網絡空間安全國家戰略》的正式出臺標志著國家信息安全獨立地位的最終確認。從2004年開始，美國國土安全部就與美國國安局（NSA）的“信息保障司”（IAD）合作實施了“國家學術精英中心”計劃 。隨著數字技術的快速發展，美國先后調整了國家信息安全政策，以鞏固其在國際的領先地位，促使數據安全在國家信息安全政策中的地位不斷上升。在政策框架中，美國強調大數據科技創新及開放數據、數據安全的重要性。一方面積極推動政府開放數據與數據安全政策的制定；另一方面，加強對人才培養及技術創新研發的投入。2012年6月6日，美國國土安全部將與大學和私企合作啟動一項培養新一代網絡專業人才的計劃。這項計劃的任務是：制定人才培養戰略，提升國土安全部對網絡競賽和大學計劃的參與程度；加強公司合作伙伴關系；通過跨部門合作，組建一支能在聯邦政府所有機構工作的網絡安全隊伍。2012年9月，美國發布了“NICE戰略計劃”，旨在加強網絡安全的人才隊伍，通過對網絡安全專業人員、在校學生、普通公眾這三類群體進行教育和培訓，以擴充網絡安全人才儲備、提高全民網絡安全的風險意識、培養具有全球競爭力的網絡安全專業隊伍[13]。

23加強跨國保護合作

數據的跨國特性和高速發展的經濟相互依存，決定了國家必須通過行為體之間的合作來保護特定國境內的數據安全，共同應對來自非國家行為體的挑戰，實現共同的國家信息安全。在美國與其他國家的合作中，最引人矚目的是與歐盟的跨國保護合作。由于美國缺乏統一的數據保護法，未能達到歐盟指令的充分保護要求，這將妨礙個人數據在美歐之間跨境轉移。為了解決這一問題，美國和歐盟于2000年達成了一個折衷的安全港協議。這就是在美國和歐盟之間的實現數據跨境流動的“美國——歐盟安全港協議”（Safe Harbor）[14]，用于調整美國企業出口以及處理歐洲公民的個人數據，如姓名和住址等。簡言之，這份協議主要是為了方便企業在歐盟和美國之間轉移數據。協議達成后，歐委會通過“2000/520號歐盟決定”，確認安全港隱私原則以及附屬條款，對個人數據的保護達到了歐盟指令的充分保護要求。然而，在美國曝光監聽丑聞及棱鏡事件后，歐洲議會議員表示，將尋求終止歐美金融數據共享協議，以作為對美國“棱鏡”計劃竊取部分歐洲國家情報的回應。2015年10月6日，歐盟法院公布了一份無效判決 ，宣布“2000/520號歐盟決定”（Safe Harbor Decision）無效。歐盟法院認為，該決定不僅危害了尊重私生活的基本權利，而且危害了有效司法保護的基本權利，因為其沒有給個體提供獲取、修改、清除其個人數據的救濟。此外，這份無效判決對已經存在了15年之久的美歐安全港協議的效力帶來了重大挑戰。成員國數據監管機構可以因此禁止美國公司在美國收集、存儲其國民的個人數據[15]。盡管如此，該判決對美歐個人數據跨境流動的潛在影響，以及是否會使美國公司在美國收集、存儲歐盟公民的個人數據變得更加困難，還有待進一步觀察。

24經費向應用性研究傾斜

大數據作為一種重要的戰略資源，它將網絡空間與現實空間、傳統安全與非傳統安全熔于一爐，將數據安全帶入一個全新又負責的時代。從美國先后制定的戰略與法規不難看出，技術發展日新月異，自“9·11”后，美國信息安全技術研究經費主要來源于美國國防部高級計劃研究署（DARPA），研究重點傾向于機密項目、武器項目的研究。美國信息安全研究的經費更傾向于工程性、實用技術性研究，希望支持可以立即投入應用，能獲得短期回報的項目[16]。政府重視與公司合作，加大了與工業界巨頭的合作，工業界已經站到了信息安全的前沿，成為實際信息技術的研究者和實施者。數據安全政策的實施以及新的數據安全技術的推廣離不開政府與私營部門間的合作。因此，美國在新的數據安全政策中，把公私合作作為發展的一個重點。美國政府投入大量資金推動公司不斷創新其產品內容，更新政府數據安全產品與技術，以便更好地保護國家領域內的數據安全。

3美國數據安全政策對我國的啟示

與傳統公共政策對比，數據安全政策更為多元、復雜。數據安全和信息化對一個國家諸多領域而言是牽一發而動全身的，我們必須要有一個寬闊的國際視野，打破思想上的束縛，借鑒美國政府在數據安全方面所扮演的重要角色，應勢而動，順勢而為，推進政府在戰略規劃、法律修訂、國際合作與科技研發方面的引領作用，加快我國開放數據與數據安全平衡機制的頂層設計，處理好發展與安全的辯證關系。

31推動戰略與法律的制定

2015年8月31日，國務院發布了《促進大數據發展行動綱要》[17]，這是指導我國大數據發展的國家頂層設計和總體部署，旨在賦予大數據作為建設數據強國、提升政府治理能力推動經濟轉型升級的戰略地位。2015年12月16日，第二屆世界互聯網大會在我國烏鎮舉行，大會以構建網絡空間命運共同體為主題，圍繞全球互聯網治理、網絡安全等諸多議題進行探討與交流。有鑒于此，應加快對網絡數據采集、傳輸、存儲、使用管理的標準規范研究，加大對隱私數據安全、網絡安全保障、跨境數據流動以及國家信息基礎設施的建設與保護，建立“邊開放邊保護”可持續發展的政策原則。此外，強調數據信息資源安全，包括以商業秘密為代表的經濟數據和政府部門受保護的數據，以及包括禁止攔截和竊取個人數據、個人數據存儲與刪除的安全保護要求，提升大數據安全保障與防范能力。

32推進國際合作，維護本國數據跨境流通安全

發展是目的，安全是前提，我們需要更廣闊的國際視野與國際社會共同治理日益技術化、數據化的世界，以尋求我國的社會發展與數據跨境流通安全。第一，在研究美國數據安全政策動向基礎上，捕捉機遇，以對話的方式來維護我國數據跨境流通的安全性；第二，借鑒歐盟數據安全政策并與其建立合作關系，歐盟作為擁護數據自決權的一大組織機構，將尊重私生活和隱私視為一項基本權利，數據安全在其領域內有著舉足輕重的歷史地位。2015年10月21日，英國首相卡梅倫與中國國家主席習近平會晤后，兩國就打擊網絡犯罪問題簽署了一項“高級別安全對話”協議，旨在防止以盜竊知識產權或癱瘓系統為目的對兩國企業的網絡攻擊。該項協議是中國和英國邁向未來更廣泛安全合作的第一步[18]；第三，加強與俄羅斯、印度等發展中大國的合作，增進國家政治互信，共同維護地區的安全和穩定，并降低面臨美國網絡攻擊的威懾。隨著國際間網絡戰爭的愈演愈烈，互聯網成為繼陸、海、空、天之后的第五大戰略空間，網絡信息安全、數據安全以及成為國家安全的重要保障。

33尋找有利的政策工具

面對在數據安全政策、數字技術、控制權及高端設備等“西強我弱”的格局下，我國應當借鑒美國已有的數據政策工具，通過推進數字技術漏洞隱患的分析與發現、人才的培養及儲備，大數據學發現與創新研究能力推進我國的數據安全政策的制定與實施。

參考文獻

[1]馬海群，蒲攀.國內外開放數據政策研究現狀分析及我國研究動向研判[J].中國圖書館學報，2015，（5）：76-86.

[2]劉靜，牛紅亮，徐曦.美國信息安全政策的內容、特點及借鑒[J].圖書館學刊，2012，（9）：138-141.

[3]曹熊源.戰略透視：冷戰后美國升級戰略體系[M].臺北：五南圓書出版社，2013.

[4]杜友文，王建冬.美國國家信息安全政策綜述[J].晉圖學刊，2008，（6）：63-70.

[5]柏慧.美國國家信息安全立法及政策體系研究[J].信息網絡安全，2009，（8）：44-46，63.

[6]Kshetri N.Big datas impact on privacy，security and consumer welfare[J].Telecommunications Policy，2014，38（11）：1134-1145.

[7]沈逸.美國國家網絡安全戰略的演進及實踐[J].美國研究，2013，（3）：30-50，5-6.

[8]Data protection in United States：overview[EB/OL].http：∥us.practicallaw.com/6-502-0467，2015-10-28.

[9]惠志斌.美歐數據安全政策及對我國的啟示[J].信息安全與通信保密，2015，（6）：55-60.

[10]美加州通過新法保護“數字隱私”[EB/OL].http：∥www.yzxwwyc.com/gj/2015/1012/7005.html，2015-10-28.

[11]Swiss L.Security Sector Reform and Development Assistance：Explaining the Diffusion of Policy Priorities among Donor Agencies[J].Qualitative Sociology，2011，34（2）：371-393.

[12]白宮公布立法草案：保護消費者網上隱私？美國[EB/OL].http：∥beta.congress.gov/113/bills/hr1852/BILLS-113hr1852ih.pdf，2015-10-28.

[13]他山之石：美國的網絡安全和人才戰略簡析[EB/OL].http：∥www.freebuf.com/articles/neopoints/77246.html，2015-10-28.

[14]Safe Harbor Regulations[EB/OL].http：∥oig.hhs.gov/compliance/safe-harbor-regulations/index.asp，2015-10-28.

[15]European Court of Justice Safe Harbor Ruling—Frequently Asked Questions[EB/OL].http：∥www.adobe.com/cn/privacy/safe-harbor.html，2015-10-28.

[16]美國國防部高級研究計劃局[EB/OL].http：∥baike.baidu.com/link？url=HoQg2AotxEJQw8yhm5Xhby5X0yHyl1piRWUT9SbQv MJd-6lZXmBE0N07y1kC2AIRzxJqTVn85NT6UEOT6f4HS，2015-10-28.

[17]國務院關于印發促進大數據發展行動綱要的通知[EB/OL].http：∥www.gov.cn/zhengce/content/2015-09/05/content10137.htm，2015-10-28.

[18]全球網絡安全一周動態[EB/OL].http：∥www.wtoutiao.com/p/t7faTa.html，2015-10-28.

（本文責任編輯：馬卓）