美國關鍵基礎設施保護方向指引

孔勇 范佳雪

環顧全球，網絡安全形勢仍十分嚴峻，各國在網絡空間展開激烈博弈。關鍵信息基礎設施是我國經濟社會運行的神經中樞，發揮著基礎性、全局性、支撐性作用，因此保護好關鍵信息基礎設施是網絡安全的重中之重。網絡安全是開放的而不是封閉的，維護關鍵信息基礎設施網絡安全要有全球視野和開放心態，因此有必要關注其他國家的做法。美國全面加強關鍵基礎設施保護安全工作已有二十多年的歷史，是值得我們關注的重點對象。通過開展美國關鍵基礎設施保護政策的系列研究，旨在進一步更好地學習美國關鍵基礎設施保護的理念與經驗，思考關鍵基礎設施保護工作路徑，少走彎路。

1996年7月15日，美國發布13010號行政令《關鍵基礎設施保護》開啟了美國關鍵基礎設施保護新時代，該行政令決定成立“總統關鍵基礎設施保護委員會”，負責研究美國關鍵基礎設施保護現狀并向總統匯報。經過近15個月的調研、分析和評估，總統關鍵基礎設施保護委員會于1997年10月向克林頓總統提交了一份長達200頁的研究報告——《保護美國基礎設施》。這份報告詳細闡述了美國關鍵基礎設施的重要性及面臨的脆弱性威脅，并以不同方式思考了美國關鍵基礎設施保護的未來。這份報告整體上分為關鍵基礎設施保護“行動的理由”和“行動的策略”兩部分。

隨著互聯網技術的不斷發展，美國認識到關鍵基礎設施面臨的威脅將從對有形資產的物理打擊，向對控制系統的網絡攻擊轉變。網絡技術的應用，使美國東西兩大洋的天然地理優勢蕩然無存，攻擊者不需進行軍事力量對抗甚至不需入境便可實施隱蔽性極強的網絡打擊，其效果和規模甚至會超過傳統物理攻擊。因此，報告指出未來關鍵基礎設施的威脅將越來越多的來自網絡攻擊，而過去美國的關鍵基礎設施防御措施幾乎無法保護其免受網絡威脅影響。

漏洞源于軟硬件開發設計人員有意或無意為之，隨著系統復雜度的不斷提升，漏洞將不可避免的呈幾何級數爆發，作為高度依賴網絡通信的關鍵基礎設施很難獨善其身，這是造成其自身脆弱性無法回避的問題。加之用于訪問、操作和控制關鍵基礎設施的黑客工具已經廣泛存在且與傳統的攻擊武器相比更加“物美價廉”，使得信息戰所付出的代價大幅減小而可操作性大幅上升。因此報告指出，網絡攻擊成為性價比更高的戰爭手段必將越來越多地威脅美國關鍵基礎設施安全。

面對關鍵基礎設施保護新的挑戰，美國意識到必須采取更多行動策略才能在實踐中持續提升關鍵基礎設施保護能力。報告根據美國關鍵基礎設施現狀并綜合考慮未來發展趨勢，提出了八點關鍵基礎設施保護策略建議。

（一）確立伙伴關系：加強信息共享，促進信息流動

建立政府和關鍵基礎設施私營部門的伙伴關系，必然從加強信息共享開始，只有增加雙方的信息共享，私營部門才能及時認識到其所運營的關鍵基礎設施面臨的風險，政府才能全面有效地掌握整體基礎設施的脆弱性和威脅情況。然而推動私營部門共享信息也并非易事，私營部門在共享脆弱性信息問題上存在兩方面顧慮，一方面擔心共享遭受攻擊的信息會使企業聲譽受損導致其競爭力下降，另一方面擔心信息共享面臨承擔責任甚至招致不必要的監管。因此，私營部門只有在遭受重大損失或業務連續性面臨危險時才會分享信息，相較于主動共享信息，私營部門更希望從聯邦政府部門獲取相關網絡威脅和漏洞信息，并根據自身情況來采取相關應對措施。

加強政府與私有部門間的信息共享，關鍵是要促進網絡威脅的信息流動。為克服私有部門非自愿共享信息的問題，提高信息共享的積極性，報告提出四點建議。一是通過立法對共享信息的私營部門進行敏感信息保護，保證對商業秘密和專有信息予以保密。二是政府主動共享威脅和漏洞信息及相關技術解決方案，幫助私有部門發現和消除相關安全威脅。三是通過建立類似榮譽榜的形式，公布更高可靠性的關鍵基礎設施保障企業清單，激勵私營部門主動自愿共享信息。四是加強國家級信息分析能力，集中力量對網絡問題進行全面分析并推動分析結果在相關私營部門間流動。

（二）打造伙伴關系：增強公私聯動，強化責任共擔

美國意識到保護美國的關鍵基礎設施不僅符合政府的利益，也符合私營部門的利益。報告指出，網絡威脅和漏洞對政府、企業和公民都構成了風險，減少這些風險需要政府部門和私營部門協同努力創建合作伙伴關系，促進政府與私營部門間的相互信任和支持，共同承擔關鍵基礎設施保護責任。報告指出，政府有責任幫助私營部門識別和發現未知威脅，協助私營部門持續完善關鍵基礎設施的安全運營，并提出以下五點措施建議。一是加強漏洞評估，建議國家安全局、能源部和國防部繼續對關鍵基礎設施運營者進行脆弱性評估，同時為私營部門提供脆弱性評估培訓和專業技術培訓。二是開展風險評估和最佳實踐行動，鼓勵關鍵基礎設施私營部門定期進行風險評估，提升行業風險管理辦法。三是制定安全運營標準，建議聯邦和州監管機構參與制定相關團體標準、行業標準并鼓勵關鍵基礎設施私營部門遵循和執行相關標準。四是加強敏感信息保護，對關鍵基礎設施運營者相關信息進行保密，防止所公布的敏感信息成為攻擊者的“路線圖”。五是建議聯邦政府與州和地方政府建立伙伴關系，充分發揮州和地方政府“關鍵基礎設施的監管者”身份優勢，分享關鍵基礎設施相關信息并為其提供必要裝備和專業培訓。

報告同時指出，私營部門也應該承擔關鍵基礎設施保護的相關責任，提出以下七點措施建議。一是通過管理基礎設施為大眾提供有效服務。二是滿足大眾對基礎設施服務質量和可靠性的需求。三是保持有效的風險管理流程識別漏洞，保持應急響應和快速恢復能力。四是加強關注信息系統中的漏洞問題，特別是重點關注未被完全認知的威脅和漏洞。五是加強關鍵基礎設施行業內交流合作，持續改善服務的可靠性和安全性。六是向政府機構報告可能的犯罪活動并配合調查。七是與政府部門建立聯系，確保威脅信息及時流動并總結事故的行業經驗輸出到相關部門。

（三）構建伙伴關系：建立國家機構，促進有效合作

報告提出的國家基礎設施保障組織架構建議包括五個部門和兩個中心。五個部門指國家基礎設施保障辦公室、國家基礎設施保障委員會、國家基礎設施保障支持辦公室、聯邦領導機構、行業基礎設施保障協調部門，兩個中心是信息共享和分析中心以及預警中心。國家基礎設施保障辦公室的定位是關鍵基礎設施保障的核心，主要負責促進基礎設施保障政策的制定，監督和管理政府其他基礎設施保護部門工作，聯合私營部門推進關鍵基礎設施保護的頂層規劃。國家基礎設施保障委員會的定位是政府高級別智囊，為解決關鍵基礎設施保護問題提供高級別討論平臺并向總統建言獻策，同時領導和推動關鍵基礎設施保護的教育和宣傳工作。國家基礎設施保障支持辦公室側重于為聯邦政府提供職能和管理支持，為私營部門提供直接援助。聯邦領導機構意在凝聚行業對口機構，建立更加廣泛的行業信息共享方式，為國家基礎設施保障提供信息輸入。行業基礎設施保障協調部門發揮共享信息進出政府部門的樞紐作用，在行業部門、私營部門和共享分析中心間建立信息交互通路。信息共享和分析中心致力于對各渠道信息的收集和分析，并將得出的分析結論在政府和私營部門間共享。預警中心的重點在于與信息共享和分心中心保持實時聯動，為基礎設施提供物理和網絡攻擊的及時預警。

建立國家關鍵基礎設施保障組織架構就是要促進聯邦政府與私營部門之間的有效合作，落實國家基礎設施保障政策、規劃和項目。報告指出，要在政策制定、預防和緩解、信息共享和分析、事件管理和后果管理等方面促進政府與私營部門間的有效合作。政策制定方面，政府有能力評估新出現的威脅，私營部門應評估自身脆弱性，政府和私營部門應該一起評估國家風險并確定保障目標、戰略和政策；預防和緩解方面，私營部門必須檢查自身系統和網絡的脆弱性并采取必要的保護措施，政府應該通過研發、意識教育、威脅評估和財政援助手段促進私營部門采取行動；信息共享和分析方面，通過分析信息綜合形成預警報告，私有部門應該重點回答基礎設施中發生了什么不尋常的事情，政府應關注對手中發生了什么不尋常的事情；事件管理方面，目標是通過聯邦政府與私營部門的合作，阻止對關鍵基礎設施的攻擊；應急管理方面，當災難發生后政府要及時響應和支持民眾的基本需求，私營部門要關注恢復和重建基礎設施。

（四）提高保護意識：設置培訓項目，加強宣傳教育

一個成功的伙伴關系需要政府、私有部門以及廣大公眾的高度理解，報告提出要通過具體的意識培訓項目在全國范圍內樹立關鍵基礎設施保護意識。一是資助一系列政府和私營部門領導人會議，增強相關領導的信息安全意識，確定更多信息安全建設項目承諾。二是政府相關部門定期通報威脅和漏洞信息，擴大與私營部門相關建設項目的安全規劃。三是開展與學術機構的交流溝通，增加安全意識項目并提供持續支持，四是政府部門帶頭開展持續的國家宣傳運動，強化基礎設施安全意識。

通過宣傳教育提高國民對基礎設施保護的意識尤為重要。報告提出三點建議：一是開展持續性國家宣傳活動，加大關鍵基礎設施保護意識培養，鼓勵私營部門制定安全原則，定期進行風險評估提高對脆弱性的認識。二是開設相關教育課程，增加K12及大學課程中與計算機使用道德相關的內容，提升專業課程教學質量，擴大網絡計算機生源及擴充師資力量。三是增大技術培訓，提升政府和私營部門關鍵基礎設施保障專家的技能水平和安全意識。

（五）展現領導能力：政府以身作則，發揮帶頭作用

保護關鍵基礎設施是政府和私營部門共同的責任，但聯邦政府更有責任來領導和帶動相關工作。報告指出聯邦政府必須以身作則，采取加強措施保護基礎設施免受物理和網絡攻擊，加強對自身計算機安全的重視程度，發揮帶頭作用積極提供關鍵基礎設施保障信息，向私營部門和其他各級政府伸出援手，確保聯邦政府擁有在網絡時代開展工作所需的政策和工具。

為了展示政府的領導能力，發揮政府以身作則的榜樣作用，報告提出了八點建議：一是改善政府系統安全，在政府機構內部實施脆弱性和安全性評估實踐，加大網絡技術專業人才的招聘力度。二是增強信息加密措施，建立可信的密鑰管理基礎設施并開發全球范圍內的操作標準。三是增大系統建設安全保護，對未來建設的關鍵基礎設施要同步考慮保護目標進行整體規劃。四是提升威脅評估優先級，聯邦政府將信息威脅正式提升為國外情報優先級。五是開發風險評估方法，美國國家標準與技術研究院和其他政府機構繼續開發風險評估方法并與私營部門聯合執行。六是強化政府績效評估，制定并履行基礎設施保障職能，要求首席信息官為其信息系統安全制定績效措施。七是創建認證體系，建議領導機構創建和使用認證程序，鼓勵信息安全服務和產品采用相關標準。八是加強全球定位系統和國家空域系統，全面評估GPS的現有和潛在漏洞，建議美國聯邦航空管理局實施國家空域系統安全計劃。

（六）建議立法保護：完善法律框架，震懾網絡犯罪

保護關鍵基礎設施不僅需要聯邦政府的綜合能力，更需要從國家立法層面規范民眾行為。為了更好地將關鍵基礎設施保護引入立法框架，報告提出三方面建議。一是將關鍵基礎設施對國家安全重要性納入《國防生產法案》之中，優先提供關鍵基礎設施相關研究的能源供應，并作為其他關鍵基礎設施建設的潛在模式。二是提議國家基礎設施保障辦公室研究《斯塔福法案》和《美國聯邦應急預案》，以解決關鍵基礎設施故障的潛在影響，并對私有部門提供直接援助。三是擴大Nunn-Lugar-Domenici 國內備戰計劃，將解決其他關鍵基礎設施問題納入其中。

除了將關鍵基礎設施保障引入法律框架，報告還提出通過提高違法成本來震懾網絡犯罪，從而增強關鍵基礎設施保護工作的有效性。一是聯邦政府應推動國家頂層法律的制定和修訂，從保護國防生產、加大信息共享、人才培養和提升關鍵基礎設施規劃運營等方面對相關法律進行修訂和補充。二是加大對網絡犯罪的震懾力度，加大對關鍵基礎設施攻擊行為的量刑力度，通過增加提供線索和信息的獎勵力度，促進網絡犯罪的調查和國際合作。三是掃清脆弱性評估的法律障礙，政府應建立有效的獲權和授權程序，允許在政府計算機系統上執行漏洞評估，以促進和健全脆弱性評估實踐。

（七）增強研發保障：加強技術研發，加大資金支持

持續性加強網絡安全技術研發投入是關鍵基礎設施保護的基礎，報告指出應加強關鍵基礎設施的實時監控手段，提升識別、收集和分析關鍵基礎設施系統異常的能力和預警響應能力。同時建議增加在信息保障、入侵監控、脆弱性評估、風險管理、保護緩解和響應恢復等六大領域的研發投入。

報告還指出聯邦政府的研發工作不足以應對新興網絡威脅帶來的研發挑戰，每年用于聯邦基礎設施保障相關的研發經費只有約2.5億美元，其中60%即約1.5億美元用于信息安全，幾乎沒有研究經費支持國家網絡防御研究。報告建議總統在1999財年提議將聯邦對基礎設施保障研究投資增加至5億美元，并在2004財年增加投資至10億美元，用于支持上述六個研發領域的經費。

（八）制定執行策略：提出戰略目標，明確行動計劃

為奠定關鍵基礎設施保護長期努力的基礎，報告提出了七個戰略目標。一是加強基礎設施威脅和漏洞相關的信息共享。二是確保基礎設施私有部門以及州和地方政府得到充分的信息和支持。三是建立國家組織機構，促進聯邦政府、州和地方政府與私有部門間的有效合作。四是通過教育和其他適當的項目提高國民對基礎設施保護的意識。五是發起一系列信息安全管理活動和相關項目，展示政府的領導能力。六是發起立法以提高聯邦基礎設施保障和保護工作的有效性。七是針對具有高潛力的特定領域進行投資，以改善關鍵基礎設施保障。

針對上述七個戰略目標，報告分別制定了相關行動計劃，一是計劃建立一個信息數據項目，用于政府和私營部門交互異常活動和可疑事件，在實時分析的基礎上將威脅和告警信息提供給政府和私營部門的決策者。二是計劃協助國家安全局、能源部和國防部為關鍵基礎設施私營部門提供風險評估，并在一定基礎上為私營部門提供脆弱性評估培訓。三是計劃建立一個正式的政府組織架構，確定聯邦機構在關鍵基礎設施保護的能力和責任，促進國家在事件規劃、響應、緩解和恢復等環節的活動。四是計劃開展K12和普通大學生的計算機道德教育，檢查與基礎設施保護特別是信息安全相關的本科和研究生教育狀況，以滿足國家對該領域專業人員的需求。五是計劃協助聯邦政府實施信息安全最佳實踐，加強聯邦政府基礎設施安全保護應急演練，使聯邦政府的信息和網絡更好地免受未經授權的入侵、干擾或修改。六是計劃更新立法解決關鍵基礎設施問題，提高執法能力以實現對相關犯罪活動的調查和起訴。七是計劃通過集中和加速的項目實施，用以提供相關工具來填補關鍵基礎設施保護方面的技術空白。

回顧這份報告我們不難發現，在互聯網技術發展的初期，美國認識到網絡威脅必將與物理威脅并列成為嚴重影響關鍵基礎設施安全的重要因素。如何跟上時代發展的要求，持續保障關鍵基礎設施安全，報告提出了前瞻性的方向指引，也給出了具體落地策略建議，為美國日后的關鍵基礎保護工作發揮了重要的燈塔作用。

（一）強調關鍵基礎設施保護重要性，將網絡攻防對抗提升到戰爭層面

美國很早就意識到關鍵基礎設施的重要性，從軍事層面上看，關鍵基礎設施支撐著美國對外發展和部署有效的軍事力量，美國擔心敵人會破壞他們賴以生存的重要系統來對抗其軍事力量。從經濟層面上看，關鍵基礎設施支撐著美國龐大的貿易流通和金融結算體系，美國擔心關鍵基礎設施的失效會動搖其金融霸主地位。從社會生活層面上看，關鍵基礎設施支撐著社會生活的方方面面，是國家繁榮的基礎，美國擔心關鍵基礎設施的破壞導致生產生活的停滯，從而帶來嚴重的社會動蕩。

海灣戰爭向世人展示了現代化戰爭的威力，全球各國開始摒棄傳統的人海加機械化部隊作戰模式，轉而關注以信息技術為主導的科技戰研究。美國清醒地認識到，他們對伊拉克軍隊所進行的信息化打擊也會被其他國家學習來針對美國的關鍵基礎設施。網絡攻擊既是快速突破美國地理屏障的廉價手段，又是美國當時防御較為薄弱的環節，美國認識到之前充分的物理防御已經無法完全適應關鍵基礎設施的保護，關鍵基礎設施的網絡攻防對抗將不可避免。報告提出針對網絡攻擊的保護建議，為美國指明了未來關鍵基礎設施保護工作的主戰場。

（二）提出公私合作伙伴關系必要性，將信息共享作為合作的重要基礎

作為聯邦制國家的美國，各州政府與聯邦政府會同時行使權力，經過兩百多年的資本化發展，影響國家命脈的關鍵基礎設施所有權和運營權大多掌握在私有部門手中。站在聯邦政府的角度看，如果私營部門停止隱瞞信息，政府將可以更好地保護關鍵基礎設施，站在私營部門的角度看，如果政府分享更多的威脅和漏洞信息，他們可能會采取更多對應舉措保護關鍵基礎設施。這種聯邦政府與私營部門相互對立的局面，嚴重影響關鍵基礎設施保護的持續性和有效性。從美國的實際情況出發，報告提出了政府聯合私有部門共同開展關鍵基礎設施保護工作的必要性，強調了相互信任的伙伴合作關系對保護關鍵基礎設施的重要意義，這為美國持續不斷開展關鍵基礎設施保護工作奠定了良好的策略基礎。

（三）指明了關鍵基礎設施保護方向，為美國政府下一步決策提供依據

為了促成聯邦政府和私營部門形成相互依賴、相互信任的伙伴關系，更好提升美國關鍵基礎設施的安全性、連續性和可用性，保障美國關鍵基礎設施免受網絡攻擊的影響，報告提出了合作聯動、信息共享、責任共擔、政府帶頭、改善律法、宣傳教育和技術研發等行動方向。這些行動方向在美國后續關鍵基礎設施保護工作中發揮了巨大的指引作用。

報告建議的組織架構既滿足了關鍵基礎設施保護政府側的縱向管控需求，又橫向拉通了聯邦政府與私營部門的信息交互通路，通過利用平臺中心的綜合分析能力將局部信息匯聚成全局信息進行共享，最終實現公私合作保護美國關鍵基礎設施的構想。報告中規劃的相關組織架構成為后續法律的重要參考依據，并直接推動了1998年美國第63號總統令《關鍵基礎設施保護》的發布實施，建立了關鍵基礎設施保護的組織架構，多個政府部門至今仍在美國關鍵基礎設施保護中發揮著重要作用。