美國網絡安全政策:歷史經驗與現實動向

王本欣

美國網絡安全政策:歷史經驗與現實動向

王本欣

奧巴馬作為美國第一位“網絡總統”，上任后高度重視網絡空間安全，大力推進網絡安全建設，從加強政府協調能力、完善網絡空間各項制度、增強網絡空間行動能力等方面入手，全力打造美國網絡安全戰略體系。2016年11月9日，共和黨候選人特朗普當選美國新一任總統，美國的網絡安全政策處在了新的十字路口。可以預計，特朗普的治網理念一定會既汲取奧巴馬網絡安全政策的某些經驗，又有調整與變化，這將給美國乃至世界的網絡安全治理及美中涉網合作帶來機遇和挑戰。

美國 奧巴馬 特朗普 網絡安全 安全治理

[作者介紹] 王本欣，中國現代國際關系研究院博士生，主要研究信息安全與社會治理。

美國政府過去八年空前重視網絡空間安全，奧巴馬離任前夕采取系列舉措，以圖將其“網絡新政”留作政治遺產。奧巴馬作為美國第一位“網絡總統”*劉平：“奧巴馬政府艱難推進網絡安全政策”，《中國青年報》，2014年2月20日。，競選時靠小額網絡捐款籌得大筆經費，上任后高度重視網絡空間的戰略地位，大力推進網絡安全建設。其政策核心不同于克林頓政府的“全面防御”政策和小布什政府攻防結合的“網絡反恐”政策*朱丹丹：“網絡時代美國國家安全框架下的信息安全與對外政策”，《遼寧大學學報(哲學社會科學版)》， 2015年第2期，第155～160頁。，是建立在“網絡實力”理論基礎上的“網絡威懾戰略”。*張力：“網絡威懾：奧巴馬網絡安全戰略的政治遺產”，《汕頭大學學報·網絡空間研究》，2016年第8期，第72～75頁。美國理論界近年討論如何通過網絡傳遞威懾意志、實行拒止威懾和報復威懾等問題，其目標正是“為美國實施網絡威懾戰略服務”。*何奇松：“近年美國網絡威懾理論研究述評”，《現代國際關系》，2012 年第 10 期，第7頁。新總統特朗普面對的是變化莫測的網絡空間和不斷惡化的安全形勢，這必然要求新的治網理念，美國網絡安全戰略走到了新的十字路口。本文擬總結奧巴馬政府的網絡安全政策，以期梳理出特朗普政府的網絡安全政策思路。

一

奧巴馬上任伊始就組織專家團隊對網絡安全議題開展深入調研，很快為其網絡安全政策定下基調。一是美國戰略與國際問題研究中心(CSIS)資深網絡安全專家詹姆斯·劉易斯(James Lewis)等專家提交的加強美國網絡安全的政策建議書；二是美國國家安全委員會專家梅利薩·哈撒韋(Melissa Hathaway)等專家撰寫的《網絡空間政策評估：保障可信和強健的信息和通信基礎設施》；三是美國國防大學富蘭克林·克萊默(Franklin Kramer)等專家以及美國務院在2009年初完成了“網絡威懾”項目研究報告。2009年5月，奧巴馬即著手調整美國的網絡安全機制，美國網絡安全政策的制度化日益加強。

第一，加強對網絡安全事務的協調管理。奧巴馬政府認識到，網絡安全政策調整的重中之重是整合國內涉網資源力量，使之在應對網絡威脅時能形成合力、快速反應、及時決策。2009年5月，奧巴馬宣布成立白宮網絡安全辦公室，負責協調整合政府網絡安全戰略和政策，與國會、其他聯邦部門和機構、州和地方政府就網絡安全事務加強協商。2009年12月，霍華德·施密特(Howard A. Schmidt)獲任為首位白宮網絡安全事務協調官，人稱“網絡沙皇”。2010年5月，美國防部宣布成立網絡司令部，原國家安全局局長基斯·亞歷山大(Keith Alexander)任司令，主要職責是保護軍方網絡免遭敵方入侵和破壞，并配合白宮網絡安全辦公室，與民間組織一起反制網絡入侵，以掌握網絡空間的控制權。2011年1月，美國網絡安全管理和執行辦公室成立，該機構“采取政府和民間合作形式，將最高程度確保網絡傳輸及信息安全”。*劉丹：“美國政府將成立加強網絡安全管理和執行辦公室”，《計算機安全》,2011年第1期，第96頁。2016年2月，美國國家網絡安全促進委員會成立，由前國家安全事務助理湯姆·多尼倫(Tom Donilon)和IBM前首席執行官彭明盛(Sam Palmisano)共同領導，“以期規劃未來十年的網絡安全技術、政策發展路線圖”。*“Fact Sheet: Cybersecurity National Action Plan”, Office of the Press Secretary, The White House, February 9, 2016.國家網絡安全促進委員會的成立被視為奧巴馬保留自身網絡政策遺產的收官之作。

第二，完善網絡空間安全制度建設。奧巴馬執政期間，先后出臺了多項指導性文件，為美國網絡安全領域的諸多舉措提供依據。2009年出臺《美國國家情報戰略》，將“確保網絡安全作為情報系統重大任務之一”*鐘思禮：“《2009年美國國家情報戰略》報告解讀”，《國際研究參考》,2009年第12期，第30～31頁。；同時發布《網絡空間政策評估·保障可信和強健的信息和通信基礎設施》，強調“政府要加強對網絡安全的領導，提升建設數字化國家的能力和民眾網絡安全意識，促進政府與私營企業合作，明確美國數字基礎設施將被視為國家資產”*“Cyber Space Policy Review”，The White House，May 2009.。2011年5月出臺《網絡空間國際戰略》，首次全面闡述維護網絡安全、推進網絡自由政策，顯示出明確的戰略意圖，即制定規則、謀求優勢、控制世界。*International Strategy for Cyberspace, The White House, May 2011.同年7月，美國國防部發布《網絡空間行動戰略》，提出捍衛美國在網絡空間的利益，“使得美國及其盟國和國際合作伙伴可以繼續從信息時代的創新中獲益”。*沈昌祥：“網絡空間安全戰略思考與啟示”，2014中國互聯網安全大會論文，2014年9月25日。2012年10月，奧巴馬簽署《美國網絡行動政策》，在法律上賦予美軍進行非傳統戰爭的權力，將網絡攻擊視為戰爭行為，明確網絡空間是與陸海空天并列的第五大作戰領域。2013年2月，奧巴馬發布《增強關鍵基礎設施網絡安全》，并指出這項網絡安全政策旨在提升國家關鍵基礎設施安全及其恢復能力。2015年12月，美國白宮向國會提交《網絡威懾政策報告》，為美國的網絡威懾戰略蓋棺論定。

第三，增強網絡防御及其行動能力。一是打造強大的網絡防御能力。為此，奧巴馬政府采取多方措施減少網絡安全漏洞和隱患，力圖用“堅不可摧”的網絡防御懾止敵人潛在的網絡攻擊意圖和行為。經過多年的努力，美國網絡關鍵基礎設施的保護效果明顯增強。二是加強網絡空間態勢的感知和溯源能力。美國國土安全部2010年開始實施“愛因斯坦-3”(E3)計劃，以增強網絡安全態勢的感知能力，該計劃的核心就是構建防御入侵的能力，將被動監測變為主動防御。*Jonathan Cantor, “Privacy Impact Assessment for EINSTEIN 3 - Accelerated (E3A)”，Department of Homeland Security, April 19, 2013.2012年10月，時任國防部長萊昂·帕內塔(Leon Panetta)表示，美國投入巨大人力和財力以解決網絡攻擊的溯源問題，“目前正取得回報”；他在首次網絡政策演說中宣布，“美軍現在有能力追蹤到計算機網絡攻擊的源頭”。*徐龍第：“美國‘先發制人’網絡打擊政策的背景條件與挑戰”，《當代世界》，2013年第7期，第64頁。三是舉行網絡演習，以檢驗網絡空間行動能力。2011年、2012年，美國網絡司令部先后組織了兩次“網絡旗幟”演習，參與者超過700人，匯集了國防部、其他政府部門、實驗室以及盟國的網絡安全技術專家，“通過應用全球靶場互聯網模擬器，為國防部下屬眾多司令部提供阻止、挫敗網絡攻擊的仿真訓練”*李恒陽：“奧巴馬第二任期美國網絡安全政策探析”，《美國研究》，2014年第2期，第56～57頁。。2016年3月，美國舉行“網絡風暴5”演習，旨在建立信息共享機制，檢驗國土安全部(重點是新機構國家網絡安全與通信整合中心, NCCIC)和其他政府部門在網絡安全事件中的應對能力，“檢驗聯邦政府、州、私營企業和盟友之間的協作、信息共享、網絡威脅感知和決策能力”*“Cyber StormⅤ,National Cyber Exercise”, https://www.dhs.gov/cyber-storm-v.(上網時間2016年12月10日)。該演習為檢驗“美國國家網絡事件應急計劃”(NCIRP)、探索國土安全部和其他政府部門應對網絡威脅的責任劃分提供了機會。2011年12月，23個北約成員國和6個伙伴國舉行“2011網絡聯盟”演習，顯示了北約在網絡空間軍事化背景下進行網絡戰合作的意圖。美國通過演習檢驗了網絡武器實戰效果，“增強了網絡攻防能力，也確立了自己在國際網絡軍事合作中的領導地位”。*“北約舉行代號為"2011網絡聯盟"的網絡防御演習”，http:// www.chinanews.com/ gj/ 2011/12-16/ 3538878. shtml.(上網時間：2016年12月10日)四是增強網絡空間執法能力。美司法部根據《聯邦起訴原則》，多次起訴黑客及相關組織，以此貫徹落實網絡威懾戰略，重點是增加網絡威脅制造者或支持者的直接成本，使之付出代價，從而懾止網絡攻擊行為。

奧巴馬政府在兩屆任期內大力加強白宮協調網絡事務和應對網絡威脅的能力，制定了相關政策，健全了關鍵基礎設施的保護制度；同時，使網絡空間作戰合法化，構建出完整的網絡威懾戰略體系。白宮2015年12月發布的《網絡威懾政策報告》中列舉了網絡威懾組成要素，其中包括“強力而明確的政策宣告，構建網絡安全防御能力，增強指揮與控制能力，增加網絡威脅者的經濟成本，采取執法行動，構建網絡威脅態勢感知，增強跨部門協作和國際合作能力”。*“White House Finally Acquiesces to Congress on Cyber Deterrence Policy”, http://federalnewsradio.com/cybersecurity/2015/12/white-house-finally-acquiesces-congress-cyber-deterrence-policy/.(上網時間：2016年12月10日)實際上，網絡威懾戰略涵蓋了奧巴馬網絡安全政策的各個環節及流程。

二

盡管奧巴馬政府在維護網絡空間安全方面的政績可圈可點，但不容否認的是，隨著國際網絡安全態勢的變化，并且由于網絡威懾政策自身的局限性，美國既往的網絡安全政策遭遇重重挑戰。

第一，網絡安全事件頻頻沖擊美國的價值觀。“自由與民主”一直是美國標榜的核心價值觀，然而近年來遭遇連串網絡事件的嚴重沖擊。一是“斯諾登事件”撕下了美國的“互聯網自由”標簽。2013年6月，美國媒體披露：“過去6年間，美國國家安全局和聯邦調查局通過侵入蘋果、微軟、谷歌、雅虎等九大網絡巨頭的服務器，監控美國公民的電子郵件、聊天記錄、視頻及照片等秘密資料”。*“揭秘：棱鏡計劃”，http:// news.ifeng.com/ world/ special/ sndxiemi/ content-4/ detail_2013_06/ 13/ 26366771_ 0.shtml.(上網時間：2016年12月10日)在辯解時，奧巴馬稱阻止恐怖主義優先于保護隱私權，“你不能在擁有100%安全的情況下同時擁有100%隱私和100%便利”。美國IT巨頭處境尷尬，一方面標榜網絡自由，反對其他國家政府監管互聯網；另一方面又與美國政府合作監控公民隱私，這與美國價值觀中的“自由”、“人權”等原則背道而馳。二是2016年美國大選諸多活動和事項頻遭網絡攻擊和域外勢力干涉。面對大選結果，奧巴馬以及國會要求情報部門調查希拉里“郵件門”及網絡攻擊事件是否為域外政治勢力主導。如果調查結果得以證實，慣常利用網絡干涉他國內政的美國將成為全世界的笑柄。受“郵件門”事件的影響，2016年12月23日，奧巴馬在即將卸任之際簽署了《波特曼-墨菲反宣傳法案》，此法案沒有明確指向恐怖主義和極端宗教主義，反而特別指出針對中國和俄羅斯，表明了美國從國際宣傳斗爭中角色由“進攻者”向“防守者”轉變，它所塑造的“自由民主燈塔”顯然在歪斜。

第二，網絡威懾戰略思維具有局限性。美國網絡威懾戰略脫胎于冷戰期間的核威懾思想，其目標是影響敵方(主要是國家和國家集團)網絡攻擊決策的制定，阻止對方發動侵害美國和美盟友的網絡攻擊。它沿用了“以戰止戰”的大棒思路去懾止網絡空間威脅。這種“以戰止戰”的冷戰思維在一段時期內產生過一定的威懾效果，但與現實世界相對穩定的大國關系密切相關。然而，隨著網絡技術的普及、網絡空間的深化和國際形勢的發展，網絡威懾戰略的局限性不斷暴露出來。許多研究人員指出，這種局限性表現在多個方面。蘭德公司資深研究員馬丁·利比基(Martin C. Libicki)的觀點較有代表性。一是網絡恐怖主義勢力抬頭，潛在的網絡攻擊方不僅限于國家行為體，“第三方攻擊”的發起者構成復雜，核威懾戰略的“理性行為前提假定”如何適用于網絡威懾的思維及實踐有待商榷。二是“網絡威懾戰略難以保證將威懾意志準確傳達給對方，可能引發誤解進而導致沖突升級失控”。*Martin C. Libicki，“Cyberdeterrence and Cyberwar”, Blackstone Audiobooks,Vol. 25, No.4, 2010, pp.11-22.三是將網絡攻擊簡單定義為戰爭行為過于草率。一般認為，網絡攻擊和網絡戰之間的“轉換閾值”不能過低，否則會容易在網空引發沖突升級，使各國陷入競相研發網絡武器的惡性循環。此外，網絡攻擊的技術門檻較低，從國家到普通黑客均可發起攻擊行為，且網絡武器具有“一次性”特征，一經展示即有可能被對方破解而失效，因此無法保證徹底摧毀對方并解除其反擊能力。四是企業加入國家網絡威懾體系的意愿不強，因而在提升自身的網絡安全水平上受到制約。

與此同時，網絡威懾刺激了國家之間網絡空間軍備競賽的升級，引發冷戰思維在網絡空間的肆虐。最突出的是，近年來，美國盡管具有超強的網絡攻防能力卻也成了網空威脅的受害者，它遭受的網絡攻擊數量不減反增，呈現頻發高發態勢。可見，網絡威懾戰略所達成的效果越來越有限，遠跟不上當今世界網絡空間發展及網絡安全形勢的需要。

第三，萬物互聯時代呼吁新的網絡安全理念。云計算、物聯網、大數據時代的來臨，正在改變當今網空治理的格局。攻擊者可通過物聯網入侵國家關鍵基礎設施，譬如黑客可從入侵一個紅綠燈信號控制系統入手，進而黑掉全國的交通信號指揮系統，造成全國城市的交通癱瘓；可以入侵一個安裝了傳感器的井蓋造成全城天然氣管道泄漏。這樣的場景從“震網事件”開始就在全世界不斷上演。近期的例子是，2016年10月下旬，黑客借助物聯網設備發動攻擊，引發美國東部地區網絡大癱瘓。萬物互聯時代，個人健康狀況、指紋等公民隱私從一出生就被記錄在云端，諸如希拉里的“健康門”事件已經成為公開的秘密，“隱私”的概念正在被改寫。各行為主體互通互聯，利益交織、深度融合，單憑陳舊的冷戰思維、威懾思想、大棒邏輯去追求網絡空間的絕對安全如同刻舟求劍。網絡空間形勢，亟須網絡安全治理的新思維。本著構建網絡空間命運共同體的理念，尋求各方廣泛合作前提下的“相對安全”，彼此尊重各方關切、相互信任，已經成為網絡空間安全治理的基本共識。

三

特朗普就任美國總統之前沒有任何從政經驗，外界對其執政理念無從預知、多有猜測。特朗普在競選中幾乎沒有提及“互聯網”(Internet)，而是使用“網絡(cyber)”一詞，并表示“現在網絡這東西超大”。在民主黨遭遇“郵件門”事件時，他戲稱“歡迎俄羅斯對希拉里開展黑客攻擊”。在聯邦調查局(FBI)要求蘋果公司協助解鎖罪犯的加密蘋果手機(iphone)而遭到拒絕時，特朗普呼吁抵制蘋果公司。在與希拉里的辯論中，特朗普申明了對網絡安全的立場：“要讓美國真正安全起來，我們必須把網絡安全放到首要位置。如果我當上了總統，必將要求對美國當前應對黑客攻擊的能力做個綜述。”*“Trump: Cybersecurity should be A Top Priority”, https://www.cnet.com/news/trump-cybersecurity-should-be-a-top-priority/.(上網時間：2017年4月5日)關于網絡安全政策的細節，特朗普及其團隊一直含糊其辭。再結合美國硅谷的高科技企業對特朗普本人和共和黨的態度，可以推斷，特朗普政府在網絡安全領域將面臨來自科技界和政府安全部門的多重壓力。

實際上，美國各大智庫和學者早就開始醞釀、獻計獻策，以期影響特朗普政府的網絡安全政策。比如，美國企業研究所(AEI)2016年6月發布報告——《美國網絡空間戰略：促進自由、安全與繁榮》，評估美國既有網絡安全政策的成敗、得失，探討下屆政府網絡空間戰略與政策走向，提出一整套網絡空間戰略的新設想，包括“加強互聯網自由與人權、維護公平的數字貿易環境、建立國際執法合作機構打擊網絡犯罪、實施網絡威懾戰略保護構建基礎設施等”。*馬芳、桂暢旎：“美國智庫網絡空間戰略新倡議評述”，《汕頭大學學報·網絡空間研究》，2016年第8期。再比如，特朗普當選后不久，美國互聯網協會(Internet Association)向特朗普提供了一份網絡發展路線圖，涵蓋如何使互聯網繼續成長、繁榮、持續成功并創造更多就業崗位等要點。它提出了一系列意見、建議，諸如“保護知識產權，促進網絡空間表達自由、創新和商業發展，保持自由和開放的全球互聯網政策和強大的數字貿易政策，敦促政府提高公共政策的制定水平，在美國的外交活動中推動保持互聯網的開放性，支持建立堅實的多方參與監管機制”等。*孫那、李金磊：“美國互聯網界致信特朗普，提出互聯網未來發展路線圖”，騰訊研究院，2016年11月28日。此外，美國國際戰略研究中心、美國東西方研究所、蘭德公司、布魯金斯學會、卡耐基國際和平基金會等智庫也已經或者準備為特朗普的網絡安全政策建言獻策。目前，特朗普的網絡政策團隊尚未成型。在網絡安全領域，美國是按照既定網絡安全政策路線走下去，還是會采納智庫和學者的意見另辟蹊徑，仍需拭目以待。但是，近期一系列事件釋放出明確的信號，那就是特朗普在網絡安全等諸多涉網議題上將一改共和黨人的“短板”，力爭有所作為。一是主動改善執政團隊、新政府與科技界關系。2016年12月14日，特朗普邀請13位硅谷高科技企業高管舉行會談，特朗普稱：要“幫助你們這些家伙干好”*“Donald Trump Strikes Conciliatory Tone in Meeting with Tech Executives”, The Wall Street Journal, December 15, 2016.，希望通過此次會談改善美科技界對他本人及共和黨的態度，若雙方關系有所緩和將使他轉變科技工作思路。二是任命網絡安全專家擔任國土安全顧問。2016年12月底，特朗普決定由托馬斯·波塞特(Thomas Bossert)出任國土安全顧問。波塞特曾在小布什政府擔任副國家安全顧問，協助規劃關鍵基礎設施的網絡安全工作，是網絡安全和反恐領域資深決策者。這一任命旨在加強特朗普政府在涉網問題上的決策能力，預示新政府將視涉網安全為國家安全工作的重頭戲。

當前，特朗普網絡安全政策尚未定型，中美網絡安全關系正值“空檔期”，中美雙方可以利用這個間隙，認清在網絡安全領域的共同利益，以擴大網絡空間方面的共識與合作基礎，為雙邊網絡安全合作打造新亮點。

第一，不斷擴大共識，深化網空合作。一直以來，美國是網絡空間的先驅和秩序規則的主導者，而中國是網絡空間的建設者和規則制定進程的積極參與者。兩國在網絡空間擁有巨大的合作潛力，共同面臨猖獗的網絡恐怖主義、網絡跨國犯罪、頻發的網絡攻擊行為及各種新情況、新問題、新威脅。在利益深度交織、命運攸關、安全緊密相連的網絡空間中，中美兩國應該而且必須拋棄冷戰思維和意識形態斗爭，求同存異，秉持“開放、平等、協作、共享”的互聯網精神，并與其他國家一起踐行“相對的、開發的、合作的網絡安全觀”*張力：“網絡威懾：奧巴馬網絡安全戰略的政治遺產”，《汕頭大學學報·網絡空間研究》，2016年第8期，第72～75頁。。這才是新時期網絡空間安全的應有之義。

第二，多維度溝通交流，在網空領域增進互信。中美在網絡安全領域應通過多種方式、不同維度、多條渠道開展合作對話，增加相關政策觀點的透明度，加深了解，化解誤會。在官方層面，2013年，中美在安全戰略對話框架下成立了網絡安全工作組，然而一年后由于美方挑起對華司法爭端，該工作組被迫停止活動。2015年9月習近平主席訪美期間，中美雙方同意加強網絡安全領域對話合作，建立兩國“共同打擊網絡犯罪及相關事項高級別聯合對話”機制，該機制的運作迄今已經進行三輪磋商，取得了積極進展。不久的將來，中美兩國可望在經過緊密磋商、博弈之后，逐漸搭建起更高層級、覆蓋更多網絡議題的綜合性網絡安全高層級對話機制。在非官方層面，從2009年起，中美之間的二軌渠道如中國現代國際關系研究院與美國國際戰略研究中心之間等多次舉辦網絡安全對話，兩國網絡安全領域的政府官員和學者均以個人名義參與。“二軌對話”旨在減少雙方誤解，提升網絡安全管理機制的透明度，重點加強合作以建立互信、制定網絡行為準則等。預計，中美在二軌渠道將逐漸擴大并深化有關專業性對話，涉及的主題包括物聯網安全、云安全、大數據安全、數字經濟發展及網絡與數字產品知識產權保護等。

第三，深度整合中國國內網空力量，維護中國在網空領域的安全和利益。特朗普在總統競選過程中，頻頻語出驚人。就對華方面而言，特朗普“隨性”的言論讓人大跌眼鏡，在競選中多次無端指稱中國是“貨幣、匯率操縱國”，當選后公開與中國臺灣當局領導人蔡英文通話，給中美關系的走向帶來高度不確定性。事后直至今日，經過兩國多方的努力，這種不確定性才逐漸淡化。在網絡安全領域，重大突發性網絡安全事件爆發的危險一直存在。為此，中國國內應充分整合政府、企業和學術界資源，統一聲音、權威發聲，用一致而明確的立場、態度和觀點，運用底線思維，加強溝通、據理力爭，維護中國在網絡空間的國家安全和民眾利益。2016年12月27日，中國《國家網絡空間安全戰略》的發布以及不久前發布的《網絡空間國際合作戰略》就是兩項重大舉措，這表明：中國決心順應大數據、物聯網的時代要求，在網絡空間領域與美國等所有國家一道務實合作、精誠進取，以維護全球網絡空間穩定，使之惠及全人類。○

(責任編輯：新南)