首提關鍵基礎設施保護工作組織架構

孔勇 范佳雪

1997年7月，美國關鍵基礎設施保護委員會發布《保護美國基礎設施》報告，為美國政府關鍵基礎設施保護提供了全面建議。基于委員會的報告，1998年5月22日，美國總統克林頓頒布第63號總統令《關鍵基礎設施保護》（以下簡稱“63號令”），提出了關鍵基礎設施保護工作的組織架構，成立國家基礎設施保護委員會、關鍵基礎設施協調組、國家基礎設施保護中心、信息共享和分析中心等機構，明確了財政部、司法部、國防部、商業部、交通部、能源部、中央情報局、聯邦應急管理局、聯邦調查局、國家安全局等相關部門的責任與義務。此外，該指令還制定了一個國家目標，即美國聯邦政府及相關責任部門、州和地方政府、私營部門應該各司其職，在2003年之前擁有保護國家基礎設施的能力。

63號令《關鍵基礎設施保護》正式將關鍵基礎設施重要性提升到國家安全高度，強調美國政府應采取所有必要措施來迅速減弱關鍵基礎設施的脆弱性，尤其是信息系統在面臨物理和信息攻擊時所呈現出來的重大脆弱性。

（一）提出兩個階段的國家目標

一是兩年目標，即到2000年美國應實現初步的信息保障能力。

二是五年目標，即到2003年美國獲得并保持對關鍵基礎設施進行保護的能力，以防止可能會嚴重危害到下述關鍵功能的有預謀的行為：聯邦政府履行其重要的國家安全責任并確保公眾健康和安全；州和地方政府維持有序運轉，提供最起碼的重要公共服務；私營部門確保經濟有序運行以及重要電信、能源、金融和運輸服務的正常提供。

以上關鍵功能遭到的任何破壞或操縱必須控制在歷時短、頻率小、可控、地域上可隔離以及對美國利益損害最小的規模上。

（二）明確五方面的指導方針

1. 明確公私合營、責任共擔的合作伙伴關系原則

63號令中指出，保護關鍵基礎設施必然是關鍵基礎設施所有者、運營者和政府之間共同承擔的責任，大家是一種合作伙伴關系。此外，聯邦政府應鼓勵國際合作以幫助管理這一日益全球化的問題。

2. 要求聯邦政府帶頭積極推動保護工作

63號令明確聯邦政府相關職責：一是聯邦政府應通過其研究、開發和采購活動，鼓勵采用日益強大的基礎設施保護方法。二是聯邦政府應作為私營部門如何最好地實現基礎設施保障的典范，并應在可行的范圍內分享其努力的結果。三是酌情提供包括執法、監管、外國情報和國防準備在內的政府全部權力、能力和資源，以確保實現和維護關鍵基礎設施保護目標。

3. 強調美國國會的重要地位

63號令中明確要求：為實現本指令規定目標的方法和計劃項目，須向國會協商并征求其意見。

4.關注威脅評估、預防、管理、應急等全周期工作

在威脅評估方面，63號令要求加快評估頻率以應對快速變化的環境。為了應對關鍵基礎設施現有的依賴性、脆弱性和威脅環境，應當進行頻繁的風險評估，因為關鍵基礎設施面臨的威脅性質在快速持續變化，因此保護措施和響應必須具有充分的適應性。在預防措施以及威脅和危機管理方面，鼓勵私營部門所有者和運營商應自愿參與到國家基礎設施保護系統中，為其控制的基礎設施提供最大可行的安全性，并向政府提供必要的信息以協助它們完成該任務。在應急響應和恢復方面，63號令指出，對于一個穩健、靈活的基礎設施保護計劃來說，與州政府、地方政府以及第一時間應急響應人員的密切合作與協調是非常重要的。所有關鍵基礎設施保護計劃和行動都應考慮州、地方政府以及應急響應人員的需求、活動和責任。

5. 發揮市場作用保證新技術的應用

63號令指出，市場提供的激勵措施是解決關鍵基礎設施保護問題的首選，只有在真實市場出現實質性故障時才能夠使用監管舉措來保護美國人民的健康、安全或福祉。在這種情況下，機構應確定和評估直接監管舉措的可用替代方案，包括提供經濟激勵措施以鼓勵期望的行為，提供私營部門可以做出選擇的信息。這些激勵措施以及其他行動旨在幫助利用最新技術，為國際問題帶來全球解決方案，并使私營部門所有者和運營商能夠實現并保持最大的安全可靠性。同時，必須注意尊重隱私權，要求消費者和運營商必須確信其共享的信息將得到準確、保密和可靠的處理。

（三）建立保護工作組織架構

63號令建立了關鍵基礎設施保護工作的組織架構，明確了相關組織機構的保護責任，提出了保護工作機制，成立新的保護工作組織機構。

1. 行業部門領導機構

針對每個關鍵基礎設施行業部門，確定相關部局作為行業聯絡的領導機構，每個領導機構指派一名相當于助理部長或更高級別的人來擔任行業部門聯絡官。行業部門聯絡官與私營部門一起研究相關行業的國家基礎設施保護計劃，解決關鍵基礎設施保護有關問題。

具體行業部門領導機構的保護責任分工如表1所示。

2. 特殊職能領導機構

除了領導機構，某些關鍵基礎設施保護職能必須主要由聯邦政府執行（例如國防、外事、情報、執法等）。對其中的每項特殊職能，63號令要求都應該有一個特殊職能領導機構負責協調美國政府在該領域內的活動。每個特殊職能領導機構將指派一名助理部長和更高級別的高級官員擔任聯邦政府的職能協調員。

具體特殊職能領導機構的保護責任分工如表2所示。

此外，國家科技委員會科技政策辦公室（OSTP）將負責研發日程和研發項目的協調。國防部仍將保留其對國家通信系統的執行責任并負責對總統的國家安全電信咨詢委員會提供支持。

3. 關鍵基礎設施協調組（CICG）

關鍵基礎設施協調組由安全、基礎設施保護和反恐怖主義國家協調員領導。國家協調員由總統指派并通過總統國家安全事務助理向總統匯報，國家安全事務助理則應當確保與總統經濟事務助理的協調。關鍵基礎設施協調組包括行業部門領導機構的行業部門聯絡官、特殊職能領導機構的職能協調員，以及包括國家經濟委員會在內的其他相關部門和機構的代表。必要時將得到外部政策組織的協助，比如安全政策委員會、安全政策論壇、國家安全和電信委員會以及信息系統安全委員會。

4. 國家基礎設施保護委員會

由行業部門領導機構、特殊職能領導機構、國家經濟委員會、國家協調員推薦，總統將指派一個由大型基礎設施提供商和州及地方官員組成的小組組成國家基礎設施保護委員會，委員會主席由總統指定。國家協調員擔任委員會的執行主任。國家基礎設施保護委員會將定期集會以加強公私部門合作，并在必要的時候向總統提交報告。聯邦政府的高級官員也可以適時參加國家基礎設施保護委員會的會議。

（四）明確下一步具體工作任務

63號令明確要求在該總統令發布180天內完成國家基礎設施保護計劃日程表，細化了關鍵基礎設施保護具體工作任務。

1. 明確開展脆弱性評估活動

通過脆弱性評估活動發現問題，基于脆弱性評估來設計整改計劃。整改計劃中應確定脆弱性整改的時間期限、責任和經費等情況。

2. 提高預警響應和恢復重建的能力

一是要求立即建立對重大基礎設施攻擊發出預警的國家中心即國家預警和信息中心，由國家基礎設施保護中心（NIPC）和信息共享和分析中心（ISAC）組成。二是應當建立起系統運行時對重大基礎設施攻擊進行響應的系統，目標是對破壞進行隔離，并使其影響減至最小。三是要求在面對各種規模的已有成功防御先例的基礎設施攻擊時，我們的重建系統都能夠立刻重新建立起所期望的基本功能。

3. 加大教育和意識培養

在政府和私營部門內，都應有針對脆弱性（漏洞）的意識培養和教育計劃項目，目的是提高人們對安全的重要性的感性認識水平，并在安全標準方面，特別是在網絡信息系統安全標準方面對他們進行培訓。

4. 重視研究和開發

應協調聯邦政府資助支持基礎設施保護的研究與開發活動，進行多年研究規劃，并將私營部門的研究考慮進去，并且要得到足夠的資金，從而在一個短暫但可實現的時間內快速使脆弱性減至最小。

5. 增強情報收集和共享能力

情報共同體應當制定和實施一個相關計劃，以加強收集和分析美國國家基礎設施面臨的國外威脅，包括但不限于國外的網絡計算機/信息戰威脅。

6. 加強國際合作

應制定相關計劃，在關鍵基礎設施保護方面，擴大與意識形態相近的友好國家、國際組織和跨國公司的合作。

7. 提出立法和預算要求

應當評估行政部門中涉及關鍵基礎設施的法律依據和預算優先事項，在必要時向總統提出修訂建議。任何評估和建議都應當與預算和管理辦公室（OMB）主任保持協調。

8. 提交執行情況年度報告

國家協調員還應當在與國家經濟委員會的合作下，通過總統國家安全事務助理向總統和各部局的領導提交有關該總統令執行情況的年度報告。年度報告應包括更新的威脅評估、關于實現國家計劃確定的階段性任務的狀態報告以及額外的政策、立法和預算建議。同時強調，任何評估和建議都應當與預算和管理辦公室主任保持協調。此外，當2000年美國建立初步的信息保障能力后，國家協調員應當對其重新進行評估。

（一）重視私營部門的合作，要求保障私營部門利益

63號令指出，保護關鍵基礎設施必然是關鍵基礎設施所有者、運營者和政府之間共同承擔的責任，大家是一種合作伙伴關系。通過63號令建立了行業部門聯絡官和私營部門行業協調員的合作機制。關鍵基礎設施行業部門領導機構應指定行業部門領導機構中的高級官員作為行業部門聯絡官，直接對接私營部門開展合作。私營部門同樣需要明確相關行業代表作為行業協調員，與行業部門聯絡官組織交流和合作。

63號令要求聯邦政府應該在最大可能程度上努力避免造成政府法規和無效的政府監管的增多，同時盡量避免對私營部門發放沒有資金支持的政府訓令。總統令要求政府提供經濟激勵措施以鼓勵私營部門期望的行為，并提供私營部門可以做出選擇的信息。這些激勵措施以及其他行動旨在保障私營部門在關鍵基礎設施保障中的資金投入，同時有利推動相關領域技術發展，為關鍵基礎設施保護中面對的實際問題帶來全新解決方案，并使私營部門所有者和運營商能夠實現并保持最大的安全可靠性。

（二）制定行業“國家基礎設施保護計劃”，強調行業全面協調

63號令要求聯合制定行業“國家基礎設施保護計劃”，計劃應包括以下內容。一是評估該行業面對網絡或物理攻擊時的脆弱性。二是推薦用以消除重大脆弱性的計劃。三是提出用來識別和防止大規模攻擊行為的系統。四是制定下列行動計劃：在受到攻擊的過程中對該攻擊進行報警，控制并切斷攻擊，隨后，在攻擊的余波之中，必要時與聯邦應急管理局協商，迅速重建最基本的重要職能。

63號令強調在每篇行業計劃的準備過程中，國家協調員應該與行業部門領導機構的行業聯絡員、私營部門的代表行業協調員以及國家經濟委員會的代表一起確定各計劃的全面協調與整合，尤其注意其中的相互依賴性。

（三）構建國家預警和信息中心，加強安全信息共享

63號令要求立即建立對重大基礎設施攻擊發出預警的國家中心即國家預警和信息中心，由國家基礎設施保護中心NIPC和信息共享和分析中心ISAC組成。其中，國家基礎設施保護中心NIPC用于檢測和分析攻擊和威脅，私營部門建立信息共享和分析中心與國家基礎設施保護中心協同工作。

信息共享和分析中心一方面將收集、分析、并適當過濾私營部門的信息向工業界和國家基礎設施保護中心共享，另一方面還將收集、分析和共享來自國家基礎設施保護中心的信息。通過該機制能夠對脆弱性、威脅、入侵和異常事件等重要信息進行共享，奠定了政府和私營部門的合作伙伴關系基礎。

63號令第一次確定了美國關鍵基礎設施保護工作的組織架構，為后續關鍵基礎設施保護工作開展奠定了基礎。在工作組織架構方面，新成立國家基礎設施保護委員會、關鍵基礎設施協調組、國家基礎設施保護中心、信息共享和分析中心等機構。在責任與義務方面，明確了財政部、司法部、國防部、商業部、交通部、能源部、中央情報局、聯邦應急管理局、聯邦調查局、國家安全局等相關部門的責任與義務。在具體任務方面，總統令明確布置了具體任務，包括開展脆弱性評估活動、提高預警響應和恢復重建的能力、加大教育和意識培養、增強情報收集和共享能力等。在任務督辦機制方面，要求總統令發布180天內完成國家基礎設施保護計劃日程表，同時要求國家協調員在與國家經濟委員會的合作下，通過總統國家安全事務助理向總統和各部局的領導提交有關該總統令的執行情況的年度報告。基于63號令，美國形成了整套的管理體系，正式系統化開啟關鍵基礎設施保護工作。