國外動態

戰略政策

美國NIST發布網絡安全框架第二稿

發布時間：2017年12月12日

美國國家標準與技術研究院（NIST）已經于2017年12月5日發布《改進關鍵信息基礎設施網絡安全框架》第二稿（即網絡安全框架1.1版本第二稿）。NIST方面指出，第二稿草案旨在澄清、改進及加強網絡安全框架，擴大其價值與易用性。新的草案反映了NIST迄今為止收到的意見，包括2017年1月啟動的公開審查流程與2017年5月召開的研討會活動。

NIST網絡安全框架最初發布于2014年，旨在幫助各類組織機構——特別是來自關鍵信息基礎設施領域的組織機構——管理網絡安全風險。當時，NIST方面發布了《改進關鍵信息基礎設施安全框架》報告，這份文件就安全計劃與網絡安全標準及實踐的制定提出了指導性意見。

時至今日，NIST網絡安全框架被廣泛視為各類組織機構與企業實現網絡安全保障的最佳實踐性指南。

此項網絡安全框架基于美國前任總統奧巴馬發布的總統行政令，現任特朗普政府亦將該框架視為一套適用于政府機構以及各關鍵信息基礎設施運營商的最佳實踐指導方案。

特朗普政府在發布的網絡安全總統行政令中，同樣要求各聯邦政府機構及關鍵信息基礎設施運營商使用這套框架。

（來源：E安全）

北約向網絡戰規則中添加“攻擊性防御”條款

發布時間：2017年12月10日

北約成員國中的美國、英國、德國、挪威、西班牙、丹麥以及荷蘭目前正考慮對國家支持型計算機黑客活動作出更為強硬的反應，將制定網絡戰爭規則，旨在指導其部隊更為廣泛地部署網絡攻擊性武器，具體可能涉及利用網絡攻擊擊退對方入侵行動，且計劃在2019年年初就具體條款達成共識。

相關官員認為這一理論依據可能將北約的相關實踐由防御轉化為反擊，用以對抗俄羅斯、中國與朝鮮用于破壞西方政府職能并竊取技術的黑客手段。

美國海軍司令邁克爾·韋德曼表示，北約的思維模式正在發生改變，開始接受計算機與飛機及艦艇一樣，擁有攻擊能力。

美國方面已經掌握有網絡武器——例如計算機代碼，可用于關閉網站或者目標IT系統，并于2011年宣布將對網絡攻擊行為作出反應。而2010年被用于摧毀伊朗核離心機的計算機病毒“震網”，則被廣泛認為是美國或者以色列的“杰作”，但兩國政府都沒有證實這一論斷。

部分北約盟國認為通過網絡攻擊關閉敵方供電設施，在效果上可能比突襲更加有效。韋德曼指出，“假設需要完成一項確切的任務，擺在面前的選擇包括空中打擊力量與網絡攻擊力量。那么，哪種選項能確保我更為高效地完成任務？”

擁有29個成員國的北約聯盟于2014年將網絡正式認定為戰場概念，同地面、空中與海洋并列，但并沒有提供更具體的描述。

在歐洲，指揮官與技術專家們一直專注于捍衛自己的網絡，并阻止對數據加以惡意操控的企圖。波羅的海與英國安全部門的高級官員們表示，他們掌握的情報表明，俄羅斯一直在試圖利用網絡黑客手段打擊歐洲的能源與通信網絡，同時借此實現網絡宣傳活動。

（來源：E安全）

產業發展

定義和保護物聯網：ENISA發布應對關鍵信息基礎設施網絡威脅研究

發布時間：2017年12月20日

歐盟的網絡安全機構歐洲網絡與信息安全局（ENISA）發布了物聯網（IoT）安全報告。這項題為“物聯網關鍵信息基礎設施安全基準建議”的研究旨在為歐洲的物聯網安全奠定基礎。它是物聯網領域的參考標準和發展基石，也是具體實施的辦法舉措。該報告是與ENISA物聯網安全專家組和其他利益相關方合作制定的。

物聯網形式錯綜復雜，對公民的安全和隱私產生重大影響，物聯網威脅形勢非常復雜。因此，重要的是要了解究竟需要保障什么，并實施具體的安全措施以保護物聯網免受網絡威脅。在信息通信技術系統中，這對于關鍵基礎設施及其運行至關重要。

ENISA的報告將重點放在關鍵基礎設施上，報告以ENISA通過其在智能家居、智能城市、智能公共交通、智能汽車、智能機場等智能基礎設施的部門研究獲得的專業知識為基礎。

報告提出的建議對相關方面而言皆具實際意義，具體包括歐盟委員會、各國政府乃至整個物聯網產業中的供應商、運營商、制造商以及消費者協會等等。

物聯網正在進入我們日常生活的方方面面，因此需要一套強有力的整體性方法，包括：

●促進協調物聯網相關安全的舉措與法規

●提高對物聯網網絡安全需求的認知

●為物聯網定義安全的軟件與硬件開發生命周期指南

●對物聯網生態系統的互操作性達成共識

●促進物聯網安全領域的經濟與行政性激勵舉措

●建立安全的物聯網產品/服務生命周期管理機制

●明確物聯網各相關方之間的責任劃分

（來源：國防科技信息網）

美國國防部2017財年繼續強化對人工智能相關領域投入力度

發布時間：2017年12月04日

根據公共領域合同分析企業Govini公司最近的一份研究報告，美國國防部2017財年對于云計算、大數據和人工智能技術方面的投入高達74億美元。

這意味著相關技術領域的投入自2012年以來增長了32%，其中量子計算、虛擬現實和機器學習等方面的投入增長更為顯著。盡管云、人工智能和大數據在過去5年里都出現了大幅增長，但人工智能占支出增長的主要部分，并被認為是美國國防部實現軍事優勢和威懾能力長期戰略的“技術基礎”之一。

在先進計算能力方面的投入增長了86%，2017財年總投入接近4.25億美元。超過三分之一的投入由國防先期研究計劃局牽頭。2017年早些時候，DARPA授出三項總額達3億美元的合同，采用多種新方式延續電腦時代的微處理器革命。由于先進的計算技術可以用來增強人工智能，比如深度學習和自主車輛與系統，該報告的作者表示他們希望美國國防部的支出在未來繼續上升。

大數據工具，特別是數據處理和數據防護，也被視為有助于凈化和驗證信息的關鍵組件。報告的作者指出:“在缺少被適當標準化、規范化、去重復、被驗證和凝練化數據的情況下，人工智能是無法實現的，在使數據有用的最關鍵步驟中，需要有對數據的驗證和凝練。”

云計算被認為是美國國防部為其人工智能系統所提供大量數據的存儲中心。在向云端遷移的過程中，盡管海軍等個別軍種的開拓性受到贊揚，但美國國防部整體表現非常之慢。

2017年9月，美國國防部副部長杰克·沙納漢敦促國防部有關機構更積極地采用云技術，這在很大程度上是為了更加依賴人工智能的戰略奠定基礎。2017年5月，國防部宣布創建“專家”（Maven)項目，用于加速整合大數據與機器學習。

（來源：國防科技信息網）

美國陸軍希望為網絡部隊挖掘平民天才

發布時間：2017年12月05日

陸軍有一個可能的解決方案，以解決其需要更多的網絡部隊——培訓私營部門技術人才擔任網絡作戰的中尉。

美國陸軍網絡司令部啟動了一個試點計劃，招募具有學術和應用技術經驗的技術工人進入其網絡直接調試計劃。

該計劃于11月27日正式獲得批準，將對選定的申請人進行為期16周的培訓，然后分配到目前網絡部隊缺乏的14個不同技能領域的技術角色，例如開發和軟件運營、安全工程師、軟件設計人員和工程師以及產品經理。

該計劃是一個快速跟蹤的過程，拓寬了陸軍的某些要求，消除了準入障礙。例如，申請人必須在41歲以下，可以跳過傳統的基本和實戰訓練要求，但必須能夠通過體能測試，并符合基本健身標準。

這是陸軍軍官候選人學校的一種加速形式，需要九周的基本訓練，12周的戰術和作戰訓練，但不保證候選人進入網絡行動。

相反，申請人被送到西爾要塞進行為期4周的直接委托軍官訓練，以及12周濃縮的網絡基本軍官領袖課程，傳統上是37周。一旦成功面試后被選中進行培訓，申請人成為陸軍后備隊的第一中尉，并在完成為期四周的直接調試課程后被授予現役少尉。