主頁（http://www.130131.com）：美國白宮 《網(wǎng)絡(luò)安全國家行動計劃》(2016年2月）

編者按：2月9日，奧巴馬公布《網(wǎng)絡(luò)安全國家行動計劃》，將從提升網(wǎng)絡(luò)基礎(chǔ)設(shè)施水平、加強專業(yè)人才隊伍建設(shè)、增進(jìn)與企業(yè)的合作等五個方面入手，全面提高美國在數(shù)字空間的安全。該行動計劃中的多項決策值得關(guān)注，包括：提議在國會2017財政年度預(yù)算中拿出190億美元用于加強網(wǎng)絡(luò)安全，第一次設(shè)立聯(lián)邦首席信息安全官（CISO），下令成立國家網(wǎng)絡(luò)安全促進(jìn)委員會、聯(lián)邦政府隱私委員會等。

中國信通院數(shù)據(jù)研究中心第一時間將該行動計劃的內(nèi)容進(jìn)行了較為詳細(xì)的編譯，供參考。

正文摘譯：

從上任之初，奧巴馬總統(tǒng)就將網(wǎng)絡(luò)安全視作美國面臨的最大挑戰(zhàn)之一，并采取了各種應(yīng)對舉措。如在剛剛過去的2015年，和國會一起發(fā)布了《網(wǎng)絡(luò)安全法》（the Cybersecurity Act of 2015），提供必要的網(wǎng)絡(luò)安全工具，尤其是使私營企業(yè)與政府間可以更輕松地共享網(wǎng)絡(luò)威脅信息。

但奧巴馬政府認(rèn)為，還應(yīng)該采取更多舉措，使公民有必要的工具保護(hù)自己，使企業(yè)能夠安全地運營和保護(hù)信息，政府也能夠保護(hù)民眾及提交的信息，這恰恰是此次發(fā)布《網(wǎng)絡(luò)安全國家行動計劃》(CNAP)的目的，它既提供了短期行動計劃，也給出了長期戰(zhàn)略目標(biāo)，包括提高對網(wǎng)絡(luò)安全的關(guān)注和保護(hù)，保護(hù)隱私，保證公眾安全以及經(jīng)濟和國家安全，使美國民眾能夠更好地掌控數(shù)字安全。

(一)面臨的挑戰(zhàn)

從網(wǎng)上購物到公司運營，再到與我們喜愛的人溝通，網(wǎng)絡(luò)世界已經(jīng)從根本上重塑了人們的生活。但是，數(shù)字世界在給人們、企業(yè)、經(jīng)濟提供無限機遇的同時，也帶來新的威脅。罪犯、恐怖主義者以及一些國家都意識到，較之面對面的攻擊，在線攻擊更為容易。越來越多的敏感數(shù)據(jù)被存儲在網(wǎng)上，受到的網(wǎng)絡(luò)攻擊也愈演愈烈。當(dāng)前，身份竊取成為美國增長最快的犯罪行為。創(chuàng)新者和企業(yè)促進(jìn)美國經(jīng)濟增長并使得美國在全球居于領(lǐng)先位置，但是著名企業(yè)被黑或被欺騙的事情屢屢發(fā)生，使得越來越多的美國人不禁懷疑：技術(shù)帶來的好處是否要被其帶來的風(fēng)險吞沒？

盡管美國可以應(yīng)對、掌控威脅，但確實需要采取更積極的行動。如果要融入網(wǎng)絡(luò)，就要有適當(dāng)?shù)谋Ｗo(hù)措施。這需要政府、企業(yè)、公民共同努力。為此，美國政府發(fā)布《網(wǎng)絡(luò)安全國家行動計劃》。

(二)主要舉措

《網(wǎng)絡(luò)安全國家行動計劃》(CNAP)包含一系列短期舉措，以提高聯(lián)邦政府內(nèi)部乃至整個美國的網(wǎng)絡(luò)安全。但鑒于問題的復(fù)雜性和嚴(yán)峻性，總統(tǒng)要求政府外頂尖的戰(zhàn)略、企業(yè)和技術(shù)專家研究和匯報：如何提高網(wǎng)絡(luò)安全意識，保護(hù)隱私，保障公共安全以及經(jīng)濟、國家安全。奧巴馬表示，需要采取一些大膽的行動，提升美國在全球數(shù)字經(jīng)濟中的競爭力。

《網(wǎng)絡(luò)安全國家行動計劃》是美國政府七年來的經(jīng)驗總結(jié)，吸納了來自網(wǎng)絡(luò)安全趨勢、威脅、入侵等方面的教訓(xùn)。這一計劃既包含聯(lián)邦政府近期行動，也有長期改進(jìn)舉措，旨在全面提升聯(lián)邦政府、私營企業(yè)以及個人生活的網(wǎng)絡(luò)安全。CNAP的一些要點包括：

● 建立“國家網(wǎng)絡(luò)安全促進(jìn)委員會”（Commission on Enhancing National Cybersecurity）——由頂尖的企業(yè)與技術(shù)專家組成，部分人員由國會任命，共同勾勒出一份為期十年、涵蓋公私兩方面的網(wǎng)絡(luò)安全技術(shù)、政策發(fā)展路線圖，以推廣各類最佳實踐。這項計劃將包含：強化網(wǎng)絡(luò)安全意識，保護(hù)隱私、公共安全，維護(hù)經(jīng)濟、國家安全并保證美國擁有更強大的數(shù)字安全控制能力，促進(jìn)聯(lián)邦、州和本地政府以及企業(yè)間的合作。

● 專門分配31億美元的信息技術(shù)現(xiàn)代化基金，用于升級已過時或難維護(hù)的政府IT和網(wǎng)絡(luò)安全管理基礎(chǔ)設(shè)施。同時設(shè)立聯(lián)邦首席信息安全官（the Federal Chief Information Security Officer），監(jiān)督政府部門實施這些工作。其具體職責(zé)包括開發(fā)、管理并協(xié)調(diào)整個聯(lián)邦政府體系內(nèi)的網(wǎng)絡(luò)安全政策，以及操作的執(zhí)行。

● 加強在線賬戶的保護(hù)，除密碼外，輔以指紋、短信發(fā)送一次性密碼等更多安全措施。通過“國家網(wǎng)絡(luò)安全聯(lián)盟”（the National Cyber Security Alliance）發(fā)起新的國家網(wǎng)絡(luò)安全宣傳行動（National Cybersecurity Awareness Campaign），專注多重認(rèn)證，以提升、培育信息消費者的網(wǎng)絡(luò)安全意識。“國家網(wǎng)絡(luò)安全聯(lián)盟”為非營利性組織，其成員包括美國國土安全部（DHS）以及賽門鐵克、思科、微軟、SAIC與EMC等私營企業(yè)。其呼吁并鼓勵使用多重驗證機制，同時實施一套尚未最終定名的“有效身份認(rèn)證”方案。合作者包括Google、Facebook、DropBox、Microsoft等頂尖技術(shù)公司，以及MasterCard、Visa、PayPal和Venmo等交易服務(wù)公司。

● 2017財年預(yù)算中，網(wǎng)絡(luò)安全總體支出達(dá)190億美元，較2016財年增長35%。

(三)設(shè)立“國家網(wǎng)絡(luò)安全促進(jìn)委員會”

經(jīng)過40多年的發(fā)展，計算機技術(shù)和互聯(lián)網(wǎng)給美國國家、民眾及其盟友帶來戰(zhàn)略性優(yōu)勢。但是如果基本的網(wǎng)絡(luò)安全、身份問題得不到解決，美國對數(shù)字基礎(chǔ)設(shè)施的依賴將成為戰(zhàn)略風(fēng)險的來源。為此，必須了解和消除網(wǎng)絡(luò)脆弱性的根源，而不僅僅是解決現(xiàn)有問題，這需要長期的、國家層面的解決方案。

由此，總統(tǒng)成立“國家網(wǎng)絡(luò)安全促進(jìn)委員會”，成員既包括政府外的戰(zhàn)略、企業(yè)和技術(shù)專家，也包括議會任命的兩黨議員。委員會的任務(wù)是制定未來十年的詳細(xì)行動建議，包括提高網(wǎng)絡(luò)安全意識，增強私有領(lǐng)域和政府部門的保護(hù)，保護(hù)隱私，維護(hù)公共安全以及經(jīng)濟、國家安全，使美國更好地掌控數(shù)字時代的安全。該委員會將受到美國國家標(biāo)準(zhǔn)與技術(shù)研究所（NIST）的全力支持。委員會將在2016年底前將相關(guān)發(fā)現(xiàn)和建議向總統(tǒng)匯報，并給出未來行動的路線圖。

(四)提升國家整體網(wǎng)絡(luò)安全水平

1.加強聯(lián)邦政府網(wǎng)絡(luò)安全

聯(lián)邦政府的網(wǎng)絡(luò)安全能力得到極大提升，但仍有很多工作要做。為延續(xù)已有進(jìn)步和解決聯(lián)邦網(wǎng)絡(luò)安全長久以來面臨的系統(tǒng)性挑戰(zhàn)，需重新審視聯(lián)邦政府網(wǎng)絡(luò)安全和信息技術(shù)的傳統(tǒng)做法——它要求各部門建立和維護(hù)自己的網(wǎng)絡(luò)。這些行動建立在《網(wǎng)絡(luò)安全跨部門優(yōu)先目標(biāo)》（Cybersecurity Cross-Agency Priority Goals）和《2015年網(wǎng)絡(luò)安全戰(zhàn)略和實施計劃》（2015 Cybersecurity Strategy and Implementation Plan）奠定的基礎(chǔ)之上。

● 總統(tǒng)在2017年預(yù)算中專門設(shè)立 31 億美元的信息技術(shù)現(xiàn)代化基金，用以報廢、替換那些急需現(xiàn)代化的功能差、難以維護(hù)和保證安全的既有IT網(wǎng)絡(luò)和系統(tǒng)。

● 設(shè)立聯(lián)邦政府首席信息安全官（ Federal Chief Information Security Officer），用于監(jiān)督聯(lián)邦政府部門的網(wǎng)絡(luò)安全政策、計劃和實施。這是美國首次設(shè)立專職的高級政府職位，致力于制定、管理和協(xié)調(diào)整個聯(lián)邦政府范圍內(nèi)的網(wǎng)絡(luò)安全戰(zhàn)略、政策和運行。

● 要求相關(guān)部門確定、優(yōu)先考慮最有價值和面臨最大風(fēng)險的IT資產(chǎn)，采取專門措施提升其安全性。

● 國土安全部、總務(wù)署等聯(lián)邦部門應(yīng)該推動政府部門間IT和網(wǎng)絡(luò)安全共享服務(wù)的可用性，目標(biāo)是使每個機構(gòu)從業(yè)務(wù)建設(shè)、擁有和運行自己的IT設(shè)施中解放出來，提供更加高效、有效和安全的選擇，使他們免受最復(fù)雜的威脅。

● 拓展“愛因斯坦”項目，即國土安全部用于記錄、分析網(wǎng)絡(luò)流量并針對政府網(wǎng)絡(luò)信息進(jìn)行入侵檢測的系統(tǒng)方案。總統(tǒng)的 2017年預(yù)算中支持所有聯(lián)邦民事機構(gòu)都具備這些能力。

● 從聯(lián)邦政府和企業(yè)招聘最優(yōu)秀的網(wǎng)絡(luò)安全人才，將國土安全部下轄的民用網(wǎng)絡(luò)防御團隊增至48個，這些團隊將保護(hù)整個聯(lián)邦政府的民用網(wǎng)絡(luò)、系統(tǒng)和數(shù)據(jù)安全，實現(xiàn)滲透測試，主動跟蹤入侵者，并提供安全專業(yè)知識及事故響應(yīng)服務(wù)。

● 聯(lián)邦政府將通過網(wǎng)絡(luò)空間安全教育國家法案等，加強網(wǎng)絡(luò)空間安全教育和全國培訓(xùn)，雇用更多的網(wǎng)絡(luò)空間安全專家，以確保聯(lián)邦機構(gòu)安全。

● 作為CNAP的一部分，總統(tǒng)預(yù)算在網(wǎng)絡(luò)空間安全人員方面投資6200 萬美元。這主要用于：

1) 通過建立網(wǎng)絡(luò)安全預(yù)備役（CyberCorps Reserve）計劃，為想獲得網(wǎng)絡(luò)安全教育，并在民事聯(lián)邦政府服務(wù)的美國人提供獎學(xué)金；

2) 開設(shè)網(wǎng)絡(luò)安全的核心課程，以確保想就職聯(lián)邦政府的網(wǎng)絡(luò)安全的畢業(yè)生，有必要的知識和技能；

3) 加強《國家網(wǎng)絡(luò)空間安全學(xué)術(shù)卓越中心計劃》（National Centersfor Academic Excellence in Cybersecurity Program），以增加參與的學(xué)術(shù)機構(gòu)和學(xué)生數(shù)量，通過程序和課程的演變，豐富學(xué)生的知識；

4) 增加國家網(wǎng)絡(luò)安全學(xué)術(shù)卓越中心項目內(nèi)所涵蓋的大學(xué)與高校數(shù)量，同時將獎學(xué)金數(shù)額同聯(lián)邦政府網(wǎng)絡(luò)安全核心課程與網(wǎng)絡(luò)安全水平掛鉤。作為回饋，獎學(xué)金接收方將作為政府網(wǎng)絡(luò)安全計劃的參與者，并借此提升學(xué)生助學(xué)貸款金額。

其后續(xù)擴展包括，通過少數(shù)集中位置運行全部政府互聯(lián)網(wǎng)流量，并配合入侵檢測系統(tǒng)對其加以監(jiān)控。另外，擴展國土安全部之持續(xù)診斷與減災(zāi)方案，以實現(xiàn)網(wǎng)絡(luò)風(fēng)險評估自動化。

2.提升個人網(wǎng)絡(luò)安全防護(hù)能力

所有在線美國人日常生活的隱私和安全，與國家安全和經(jīng)濟狀況越來越緊密相關(guān)。新行動計劃基于總統(tǒng)的 2014年安全購買倡議（2014 BuySecure Initiative），旨在加強消費者數(shù)據(jù)的安全性：

● 總統(tǒng)呼吁當(dāng)?shù)卿浽诰�賬戶時，不要僅僅使用密碼，要利用多重身份驗證。私營企業(yè)、非營利組織以及聯(lián)邦政府共同努力，通過新一輪的宣傳活動，重點是廣泛采用多重身份驗證，建立“一停二想再連接”的觀念，以及實施網(wǎng)絡(luò)空間可信身份國家戰(zhàn)略（National Strategy for Trusted Identities in Cyberspace），幫助更多的美國人實現(xiàn)聯(lián)機安全。國家網(wǎng)絡(luò)安全聯(lián)盟將與領(lǐng)先的技術(shù)公司和民間社團共同發(fā)力，使數(shù)以百萬用戶更容易保證自己的在線賬戶安全。這將提升公眾對個人網(wǎng)絡(luò)安全角色的認(rèn)識。

● 在面向公民提供的數(shù)字服務(wù)中，聯(lián)邦政府正在加強多重身份驗證和身份證明。美國總務(wù)署將建立一個新計劃，當(dāng)公民到聯(lián)邦政府部門辦理事務(wù)時，將更好地保護(hù)和保障數(shù)據(jù)和個人信息安全，包括稅收數(shù)據(jù)和福利信息交互。

● 政府當(dāng)局正系統(tǒng)地評估，在哪些方面可以減少將社會安全號碼作為公民身份標(biāo)識符的使用頻率。

● 美國聯(lián)邦貿(mào)易委員會最近重新啟動IdentityTheft.Gov網(wǎng)站，為受害者報告身份信息被盜事項提供一站式資源服務(wù)，可以創(chuàng)建個人信息的恢復(fù)計劃，打印預(yù)填充的信函，以及發(fā)送給征信機構(gòu)、商業(yè)和債主的表格。

● 小企業(yè)管理局(SBA)與聯(lián)邦貿(mào)易委員會、美國國家標(biāo)準(zhǔn)和技術(shù)研究所(NIST)、能源部將通過68個SBA小企業(yè)管理局區(qū)域辦公室、9個國家標(biāo)準(zhǔn)和技術(shù)研究所NIST制造業(yè)擴展合作中心和全國其他區(qū)域網(wǎng)絡(luò)，為140萬個小企業(yè)和小企業(yè)利益相關(guān)者提供網(wǎng)絡(luò)安全培訓(xùn)。

政府當(dāng)局在總統(tǒng)安全購買倡議中設(shè)立里程碑舉措，以確保金融交易安全。到今天為止，聯(lián)邦政府已提供超過250萬張更安全的芯片加密碼的支付卡，財政部可以管理所有讀卡器完成向這個新技術(shù)的過度。在政府和私營部門帶領(lǐng)下，美國對更安全的芯片卡的發(fā)行量超過了世界上任何國家。

3.增強關(guān)鍵基礎(chǔ)設(shè)施安全性和恢復(fù)能力

美國的國家和經(jīng)濟安全取決于國家關(guān)鍵基礎(chǔ)設(shè)施的可靠運行。關(guān)鍵基礎(chǔ)設(shè)施的業(yè)主與運營商的持續(xù)合作將提高網(wǎng)絡(luò)和國家安全。這項工作基于之前有關(guān)網(wǎng)絡(luò)安全的 2013年關(guān)鍵基礎(chǔ)設(shè)施行政令（Executive Orders on Critical Infrastructure(2013)）和2015年信息共享的行政令（Executive Orders on InformationSharing）。

● 國土安全部、商務(wù)部和能源部正在調(diào)度資源和能力，以建立“國家網(wǎng)絡(luò)安全恢復(fù)能力中心”（National Center for Cybersecurity Resilience），公司和行業(yè)組織可以在一個封閉的環(huán)境中測試系統(tǒng)的安全性，例如電網(wǎng)遭受網(wǎng)絡(luò)攻擊的抗壓能力。

● 國土安全部將網(wǎng)絡(luò)安全顧問數(shù)翻倍，協(xié)助私營部門組織開展有針對性的網(wǎng)絡(luò)安全評估和最佳實踐。

● 國土安全部正在與UL等行業(yè)伙伴合作，制訂網(wǎng)絡(luò)空間安全保障計劃（Cybersecurity Assurance Program），以檢驗和證明“物聯(lián)網(wǎng)”中的聯(lián)網(wǎng)設(shè)備——無論是冰箱還是醫(yī)用輸液泵，使得用戶購買產(chǎn)品時，可以肯定它已獲認(rèn)證，符合安全標(biāo)準(zhǔn)。

● 美國國家標(biāo)準(zhǔn)和技術(shù)研究所正在為進(jìn)一步發(fā)展其網(wǎng)絡(luò)安全框架征求反饋意見。該框架的目標(biāo)是提高關(guān)鍵基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全，這項工作已在美國及世界各地組織開展兩年。

2月8日，新的國家網(wǎng)絡(luò)空間安全卓越中心（National Cybersecurity Center of Excellence）剪彩，它是政府、企業(yè)合作的研究與發(fā)展平臺，將開發(fā)和部署高優(yōu)先級的網(wǎng)絡(luò)安全技術(shù)解決方案，并將新發(fā)現(xiàn)與更廣泛的團體共享。

政府當(dāng)局呼吁主要醫(yī)療保險公司和醫(yī)療利益攸關(guān)者，幫助他們采取新的、重大的步驟，加強數(shù)據(jù)管理工作實踐，確保消費者可以信任他們，保證敏感的健康數(shù)據(jù)是安全、可靠和可用于指導(dǎo)臨床決策。

4.促進(jìn)安全技術(shù)發(fā)展

雖然美國如今已經(jīng)在著力改善網(wǎng)絡(luò)防御，但未來國家還必須大力投資科學(xué)、技術(shù)、工具和基礎(chǔ)設(shè)施，確保這些技術(shù)工程應(yīng)用時能夠滿足安全要求。

美國政府發(fā)布《2016年聯(lián)邦網(wǎng)絡(luò)安全研究和發(fā)展戰(zhàn)略計劃》（2016 Federal Cybersecurity Research and Development Strategic Plan）。這項計劃在《2014年網(wǎng)絡(luò)安全增強法案》中提出，勾畫出美國的國家戰(zhàn)略研究和開發(fā)目標(biāo)，促進(jìn)科學(xué)有效性和效率，驅(qū)動網(wǎng)絡(luò)安全技術(shù)的發(fā)展。

(五) 阻止、勸阻并破壞網(wǎng)絡(luò)空間的惡意行為

更好地保護(hù)數(shù)字基礎(chǔ)設(shè)施只是方案的一部分。美國必須帶領(lǐng)國際社會，將這些準(zhǔn)則變?yōu)樨?fù)責(zé)任國家的行為準(zhǔn)則，包括在阻止、破壞惡意行為時。美國無法獨自實現(xiàn)這些目標(biāo)——美國必須與盟友和全球合作伙伴一起行動。

2015年，G20成員國與美國就重要規(guī)范達(dá)成一致，包括國際法在網(wǎng)絡(luò)空間的適用性，各國政府不應(yīng)該支持出于商業(yè)目的利用網(wǎng)絡(luò)盜取知識產(chǎn)權(quán)的行為，歡迎聯(lián)合國政府專家組發(fā)布相關(guān)報告、加強國際合作，防止對民用基礎(chǔ)設(shè)施的攻擊，支持計算應(yīng)急小組提供重建和容災(zāi)服務(wù)。美國政府試圖通過進(jìn)一步的雙邊或多邊承諾，建立信任措施實施這些準(zhǔn)則。

司法部包括聯(lián)邦調(diào)查局有關(guān)網(wǎng)絡(luò)安全的行動資金增加了超過23%，以提高識別、破壞和逮捕惡意網(wǎng)絡(luò)行為者的能力。美國軍方的網(wǎng)絡(luò)司令部正在組建133支共計6200人的網(wǎng)絡(luò)部隊。該部隊目前已開始參與一些網(wǎng)絡(luò)行動，按計劃將于2018年開始全面運行。

(六)提高網(wǎng)絡(luò)事件響應(yīng)能力

在注重預(yù)防和阻止惡意網(wǎng)絡(luò)行為的同時，美國還必須保持事件發(fā)生時的網(wǎng)絡(luò)恢復(fù)能力。2015年，美國受到大范圍的網(wǎng)絡(luò)入侵，從網(wǎng)絡(luò)犯罪到網(wǎng)絡(luò)間諜。吸取過去的教訓(xùn)，可以提高未來網(wǎng)絡(luò)安全事件管理和網(wǎng)絡(luò)的恢復(fù)能力。

2016年春天，美國政府將發(fā)布國內(nèi)網(wǎng)絡(luò)安全事件合作的政策，以及評估事件嚴(yán)重性的方法，以使政府機構(gòu)和私營企業(yè)間有效交流，并采取適當(dāng)、一致的響應(yīng)。

(七)保護(hù)個人隱私

從建國之初，隱私在美國一直是關(guān)注的核心，而在數(shù)字時代隱私顯得尤其關(guān)鍵。美國政府做出突破性舉措，加強聯(lián)邦政府間合作，保護(hù)個人隱私和信息安全。

如今，總統(tǒng)簽署了成立“聯(lián)邦隱私委員會”（Federal Privacy Council）的行政令,將匯集政府各部門保護(hù)隱私的官員，以幫助確保更具有戰(zhàn)略性和綜合性的聯(lián)邦隱私準(zhǔn)則的實施。像網(wǎng)絡(luò)安全、隱私必須得到有效和持續(xù)的關(guān)注，促進(jìn)技術(shù)研發(fā)和創(chuàng)新，利用大數(shù)據(jù)帶來的好處，應(yīng)對不斷演進(jìn)的網(wǎng)絡(luò)威脅。

(八)加大網(wǎng)絡(luò)安全資金投入

為了實現(xiàn)這些翻天覆地的變化，聯(lián)邦政府必須在網(wǎng)絡(luò)安全上投入更多的資源。這就是為什么2017年網(wǎng)絡(luò)安全的預(yù)算分配超過190億美元——在2016年的基礎(chǔ)上增加了35％。這些資源將使機構(gòu)能夠提高他們的網(wǎng)絡(luò)安全水平，幫助私營部門、組織和個人更好地保護(hù)自己，破壞和阻止敵人的活動，并更有效地對網(wǎng)絡(luò)安全事件進(jìn)行響應(yīng)。