美国关键基础设施保护方向指引

孔勇 范佳雪

环顾全球，网络安全形势仍十分严峻，各国在网络空间展开激烈博弈。关键信息基础设施是我国经济社会运行的神经中枢，发挥着基础性、全局性、支撑性作用，因此保护好关键信息基础设施是网络安全的重中之重。网络安全是开放的而不是封闭的，维护关键信息基础设施网络安全要有全球视野和开放心态，因此有必要关注其他国家的做法。美国全面加强关键基础设施保护安全工作已有二十多年的历史，是值得我们关注的重点对象。通过开展美国关键基础设施保护政策的系列研究，旨在进一步更好地学习美国关键基础设施保护的理念与经验，思考关键基础设施保护工作路径，少走弯路。

1996年7月15日，美国发布13010号行政令《关键基础设施保护》开启了美国关键基础设施保护新时代，该行政令决定成立“总统关键基础设施保护委员会”，负责研究美国关键基础设施保护现状并向总统汇报。经过近15个月的调研、分析和评估，总统关键基础设施保护委员会于1997年10月向克林顿总统提交了一份长达200页的研究报告——《保护美国基础设施》。这份报告详细阐述了美国关键基础设施的重要性及面临的脆弱性威胁，并以不同方式思考了美国关键基础设施保护的未来。这份报告整体上分为关键基础设施保护“行动的理由”和“行动的策略”两部分。

随着互联网技术的不断发展，美国认识到关键基础设施面临的威胁将从对有形资产的物理打击，向对控制系统的网络攻击转变。网络技术的应用，使美国东西两大洋的天然地理優势荡然无存，攻击者不需进行军事力量对抗甚至不需入境便可实施隐蔽性极强的网络打击，其效果和规模甚至会超过传统物理攻击。因此，报告指出未来关键基础设施的威胁将越来越多的来自网络攻击，而过去美国的关键基础设施防御措施几乎无法保护其免受网络威胁影响。

漏洞源于软硬件开发设计人员有意或无意为之，随着系统复杂度的不断提升，漏洞将不可避免的呈几何级数爆发，作为高度依赖网络通信的关键基础设施很难独善其身，这是造成其自身脆弱性无法回避的问题。加之用于访问、操作和控制关键基础设施的黑客工具已经广泛存在且与传统的攻击武器相比更加“物美价廉”，使得信息战所付出的代价大幅减小而可操作性大幅上升。因此报告指出，网络攻击成为性价比更高的战争手段必将越来越多地威胁美国关键基础设施安全。

面对关键基础设施保护新的挑战，美国意识到必须采取更多行动策略才能在实践中持续提升关键基础设施保护能力。报告根据美国关键基础设施现状并综合考虑未来发展趋势，提出了八点关键基础设施保护策略建议。

（一）确立伙伴关系：加强信息共享，促进信息流动

建立政府和关键基础设施私营部门的伙伴关系，必然从加强信息共享开始，只有增加双方的信息共享，私营部门才能及时认识到其所运营的关键基础设施面临的风险，政府才能全面有效地掌握整体基础设施的脆弱性和威胁情况。然而推动私营部门共享信息也并非易事，私营部门在共享脆弱性信息问题上存在两方面顾虑，一方面担心共享遭受攻击的信息会使企业声誉受损导致其竞争力下降，另一方面担心信息共享面临承担责任甚至招致不必要的监管。因此，私营部门只有在遭受重大损失或业务连续性面临危险时才会分享信息，相较于主动共享信息，私营部门更希望从联邦政府部门获取相关网络威胁和漏洞信息，并根据自身情况来采取相关应对措施。

加强政府与私有部门间的信息共享，关键是要促进网络威胁的信息流动。为克服私有部门非自愿共享信息的问题，提高信息共享的积极性，报告提出四点建议。一是通过立法对共享信息的私营部门进行敏感信息保护，保证对商业秘密和专有信息予以保密。二是政府主动共享威胁和漏洞信息及相关技术解决方案，帮助私有部门发现和消除相关安全威胁。三是通过建立类似荣誉榜的形式，公布更高可靠性的关键基础设施保障企业清单，激励私营部门主动自愿共享信息。四是加强国家级信息分析能力，集中力量对网络问题进行全面分析并推动分析结果在相关私营部门间流动。

（二）打造伙伴关系：增强公私联动，强化责任共担

美国意识到保护美国的关键基础设施不仅符合政府的利益，也符合私营部门的利益。报告指出，网络威胁和漏洞对政府、企业和公民都构成了风险，减少这些风险需要政府部门和私营部门协同努力创建合作伙伴关系，促进政府与私营部门间的相互信任和支持，共同承担关键基础设施保护责任。报告指出，政府有责任帮助私营部门识别和发现未知威胁，协助私营部门持续完善关键基础设施的安全运营，并提出以下五点措施建议。一是加强漏洞评估，建议国家安全局、能源部和国防部继续对关键基础设施运营者进行脆弱性评估，同时为私营部门提供脆弱性评估培训和专业技术培训。二是开展风险评估和最佳实践行动，鼓励关键基础设施私营部门定期进行风险评估，提升行业风险管理办法。三是制定安全运营标准，建议联邦和州监管机构参与制定相关团体标准、行业标准并鼓励关键基础设施私营部门遵循和执行相关标准。四是加强敏感信息保护，对关键基础设施运营者相关信息进行保密，防止所公布的敏感信息成为攻击者的“路线图”。五是建议联邦政府与州和地方政府建立伙伴关系，充分发挥州和地方政府“关键基础设施的监管者”身份优势，分享关键基础设施相关信息并为其提供必要装备和专业培训。

报告同时指出，私营部门也应该承担关键基础设施保护的相关责任，提出以下七点措施建议。一是通过管理基础设施为大众提供有效服务。二是满足大众对基础设施服务质量和可靠性的需求。三是保持有效的风险管理流程识别漏洞，保持应急响应和快速恢复能力。四是加强关注信息系统中的漏洞问题，特别是重点关注未被完全认知的威胁和漏洞。五是加强关键基础设施行业内交流合作，持续改善服务的可靠性和安全性。六是向政府机构报告可能的犯罪活动并配合调查。七是与政府部门建立联系，确保威胁信息及时流动并总结事故的行业经验输出到相关部门。

（三）构建伙伴关系：建立国家机构，促进有效合作

报告提出的国家基础设施保障组织架构建议包括五个部门和两个中心。五个部门指国家基础设施保障办公室、国家基础设施保障委员会、国家基础设施保障支持办公室、联邦领导机构、行业基础设施保障协调部门，两个中心是信息共享和分析中心以及预警中心。国家基础设施保障办公室的定位是关键基础设施保障的核心，主要负责促进基础设施保障政策的制定，监督和管理政府其他基础设施保护部门工作，联合私营部门推进关键基础设施保护的顶层规划。国家基础设施保障委员会的定位是政府高级别智囊，为解决关键基础设施保护问题提供高级别讨论平台并向总统建言献策，同时领导和推动关键基础设施保护的教育和宣传工作。国家基础设施保障支持办公室侧重于为联邦政府提供职能和管理支持，为私营部门提供直接援助。联邦领导机构意在凝聚行业对口机构，建立更加广泛的行业信息共享方式，为国家基础设施保障提供信息输入。行业基础设施保障协调部门发挥共享信息进出政府部门的枢纽作用，在行业部门、私营部门和共享分析中心间建立信息交互通路。信息共享和分析中心致力于对各渠道信息的收集和分析，并将得出的分析结论在政府和私营部门间共享。预警中心的重点在于与信息共享和分心中心保持实时联动，为基础设施提供物理和网络攻击的及时预警。

建立国家关键基础设施保障组织架构就是要促进联邦政府与私营部门之间的有效合作，落实国家基础设施保障政策、规划和项目。报告指出，要在政策制定、预防和缓解、信息共享和分析、事件管理和后果管理等方面促进政府与私营部门间的有效合作。政策制定方面，政府有能力评估新出现的威胁，私营部门应评估自身脆弱性，政府和私营部门应该一起评估国家风险并确定保障目标、战略和政策；预防和缓解方面，私营部门必须检查自身系统和网络的脆弱性并采取必要的保护措施，政府应该通过研发、意识教育、威胁评估和财政援助手段促进私营部门采取行动；信息共享和分析方面，通过分析信息综合形成预警报告，私有部门应该重点回答基础设施中发生了什么不寻常的事情，政府应关注对手中发生了什么不寻常的事情；事件管理方面，目标是通过联邦政府与私营部门的合作，阻止对关键基础设施的攻击；应急管理方面，当灾难发生后政府要及时响应和支持民众的基本需求，私营部门要关注恢复和重建基础设施。

（四）提高保护意识：设置培训项目，加强宣传教育

一个成功的伙伴关系需要政府、私有部门以及广大公众的高度理解，报告提出要通过具体的意识培训项目在全国范围内树立关键基础设施保护意识。一是资助一系列政府和私营部门领导人会议，增强相关领导的信息安全意识，确定更多信息安全建设项目承诺。二是政府相关部门定期通报威胁和漏洞信息，扩大与私营部门相关建设项目的安全规划。三是开展与学术机构的交流沟通，增加安全意识项目并提供持续支持，四是政府部门带头开展持续的国家宣传运动，强化基础设施安全意识。

通过宣传教育提高国民对基础设施保护的意识尤为重要。报告提出三点建议：一是开展持续性国家宣传活动，加大关键基础设施保护意识培养，鼓励私营部门制定安全原则，定期进行风险评估提高对脆弱性的认识。二是开设相关教育课程，增加K12及大学课程中与计算机使用道德相关的内容，提升专业课程教学质量，扩大网络计算机生源及扩充师资力量。三是增大技术培训，提升政府和私营部门关键基础设施保障专家的技能水平和安全意识。

（五）展现领导能力：政府以身作则，发挥带头作用

保护关键基础设施是政府和私营部门共同的责任，但联邦政府更有责任来领导和带动相关工作。报告指出联邦政府必须以身作则，采取加强措施保护基础设施免受物理和网络攻击，加强对自身计算机安全的重视程度，发挥带头作用积极提供关键基础设施保障信息，向私营部门和其他各级政府伸出援手，确保联邦政府拥有在网络时代开展工作所需的政策和工具。

為了展示政府的领导能力，发挥政府以身作则的榜样作用，报告提出了八点建议：一是改善政府系统安全，在政府机构内部实施脆弱性和安全性评估实践，加大网络技术专业人才的招聘力度。二是增强信息加密措施，建立可信的密钥管理基础设施并开发全球范围内的操作标准。三是增大系统建设安全保护，对未来建设的关键基础设施要同步考虑保护目标进行整体规划。四是提升威胁评估优先级，联邦政府将信息威胁正式提升为国外情报优先级。五是开发风险评估方法，美国国家标准与技术研究院和其他政府机构继续开发风险评估方法并与私营部门联合执行。六是强化政府绩效评估，制定并履行基础设施保障职能，要求首席信息官为其信息系统安全制定绩效措施。七是创建认证体系，建议领导机构创建和使用认证程序，鼓励信息安全服务和产品采用相关标准。八是加强全球定位系统和国家空域系统，全面评估GPS的现有和潜在漏洞，建议美国联邦航空管理局实施国家空域系统安全计划。

（六）建议立法保护：完善法律框架，震慑网络犯罪

保护关键基础设施不仅需要联邦政府的综合能力，更需要从国家立法层面规范民众行为。为了更好地将关键基础设施保护引入立法框架，报告提出三方面建议。一是将关键基础设施对国家安全重要性纳入《国防生产法案》之中，优先提供关键基础设施相关研究的能源供应，并作为其他关键基础设施建设的潜在模式。二是提议国家基础设施保障办公室研究《斯塔福法案》和《美国联邦应急预案》，以解决关键基础设施故障的潜在影响，并对私有部门提供直接援助。三是扩大Nunn-Lugar-Domenici 国内备战计划，将解决其他关键基础设施问题纳入其中。

除了将关键基础设施保障引入法律框架，报告还提出通过提高违法成本来震慑网络犯罪，从而增强关键基础设施保护工作的有效性。一是联邦政府应推动国家顶层法律的制定和修订，从保护国防生产、加大信息共享、人才培养和提升关键基础设施规划运营等方面对相关法律进行修订和补充。二是加大对网络犯罪的震慑力度，加大对关键基础设施攻击行为的量刑力度，通过增加提供线索和信息的奖励力度，促进网络犯罪的调查和国际合作。三是扫清脆弱性评估的法律障碍，政府应建立有效的获权和授权程序，允许在政府计算机系统上执行漏洞评估，以促进和健全脆弱性评估实践。

（七）增强研发保障：加强技术研发，加大资金支持

持续性加强网络安全技术研发投入是关键基础设施保护的基础，报告指出应加强关键基础设施的实时监控手段，提升识别、收集和分析关键基础设施系统异常的能力和预警响应能力。同时建议增加在信息保障、入侵监控、脆弱性评估、风险管理、保护缓解和响应恢复等六大领域的研发投入。

报告还指出联邦政府的研发工作不足以应对新兴网络威胁带来的研发挑战，每年用于联邦基础设施保障相关的研发经费只有约2.5亿美元，其中60%即约1.5亿美元用于信息安全，几乎没有研究经费支持国家网络防御研究。报告建议总统在1999财年提议将联邦对基础设施保障研究投资增加至5亿美元，并在2004财年增加投资至10亿美元，用于支持上述六个研发领域的经费。

（八）制定执行策略：提出战略目标，明确行动计划

为奠定关键基础设施保护长期努力的基础，报告提出了七个战略目标。一是加强基础设施威胁和漏洞相关的信息共享。二是确保基础设施私有部门以及州和地方政府得到充分的信息和支持。三是建立国家组织机构，促进联邦政府、州和地方政府与私有部门间的有效合作。四是通过教育和其他适当的项目提高国民对基础设施保护的意识。五是发起一系列信息安全管理活动和相关项目，展示政府的领导能力。六是发起立法以提高联邦基础设施保障和保护工作的有效性。七是针对具有高潜力的特定领域进行投资，以改善关键基础设施保障。

针对上述七个战略目标，报告分别制定了相关行动计划，一是计划建立一个信息数据项目，用于政府和私营部门交互异常活动和可疑事件，在实时分析的基础上将威胁和告警信息提供给政府和私营部门的决策者。二是计划协助国家安全局、能源部和国防部为关键基础设施私营部门提供风险评估，并在一定基础上为私营部门提供脆弱性评估培训。三是计划建立一个正式的政府组织架构，确定联邦机构在关键基础设施保护的能力和责任，促进国家在事件规划、响应、缓解和恢复等环节的活动。四是计划开展K12和普通大学生的计算机道德教育，检查与基础设施保护特别是信息安全相关的本科和研究生教育状况，以满足国家对该领域专业人员的需求。五是计划协助联邦政府实施信息安全最佳实践，加强联邦政府基础设施安全保护应急演练，使联邦政府的信息和网络更好地免受未经授权的入侵、干扰或修改。六是计划更新立法解决关键基础设施问题，提高执法能力以实现对相关犯罪活动的调查和起诉。七是计划通过集中和加速的项目实施，用以提供相关工具来填补关键基础设施保护方面的技术空白。

回顾这份报告我们不难发现，在互联网技术发展的初期，美国认识到网络威胁必将与物理威胁并列成为严重影响关键基础设施安全的重要因素。如何跟上时代发展的要求，持续保障关键基础设施安全，报告提出了前瞻性的方向指引，也给出了具体落地策略建议，为美国日后的关键基础保护工作发挥了重要的灯塔作用。

（一）强调关键基础设施保护重要性，将网络攻防对抗提升到战争层面

美国很早就意识到关键基础设施的重要性，从军事层面上看，关键基础设施支撑着美国对外发展和部署有效的军事力量，美国担心敌人会破坏他们赖以生存的重要系统来对抗其军事力量。从经济层面上看，关键基础设施支撑着美国庞大的贸易流通和金融结算体系，美国担心关键基础设施的失效会动摇其金融霸主地位。从社会生活层面上看，关键基础设施支撑着社会生活的方方面面，是国家繁荣的基础，美国担心关键基础设施的破坏导致生产生活的停滞，从而带来严重的社会动荡。

海湾战争向世人展示了现代化战争的威力，全球各国开始摒弃传统的人海加机械化部队作战模式，转而关注以信息技术为主导的科技战研究。美国清醒地认识到，他们对伊拉克军队所进行的信息化打击也会被其他国家学习来针对美国的关键基础设施。网络攻击既是快速突破美国地理屏障的廉价手段，又是美国当时防御较为薄弱的环节，美国认识到之前充分的物理防御已经无法完全适应关键基础设施的保护，关键基础设施的网络攻防对抗将不可避免。报告提出针对网络攻击的保护建议，为美国指明了未来关键基础设施保护工作的主战场。

（二）提出公私合作伙伴关系必要性，将信息共享作为合作的重要基础

作为联邦制国家的美国，各州政府与联邦政府会同时行使权力，经过两百多年的资本化发展，影响国家命脉的关键基础设施所有权和运营权大多掌握在私有部门手中。站在联邦政府的角度看，如果私营部门停止隐瞒信息，政府将可以更好地保护关键基础设施，站在私营部门的角度看，如果政府分享更多的威胁和漏洞信息，他们可能会采取更多对应举措保护关键基础设施。这种联邦政府与私营部门相互对立的局面，严重影响关键基础设施保护的持续性和有效性。从美国的实际情况出发，报告提出了政府联合私有部门共同开展关键基础设施保护工作的必要性，强调了相互信任的伙伴合作关系对保护关键基础设施的重要意义，这为美国持续不断开展关键基础设施保护工作奠定了良好的策略基础。

（三）指明了关键基础设施保护方向，为美国政府下一步决策提供依据

为了促成联邦政府和私营部门形成相互依赖、相互信任的伙伴关系，更好提升美国关键基础设施的安全性、连续性和可用性，保障美国关键基础设施免受网络攻击的影响，报告提出了合作联动、信息共享、责任共担、政府带头、改善律法、宣传教育和技术研发等行动方向。这些行动方向在美国后续关键基础设施保护工作中发挥了巨大的指引作用。

报告建议的组织架构既满足了关键基础设施保护政府侧的纵向管控需求，又横向拉通了联邦政府与私营部门的信息交互通路，通过利用平台中心的综合分析能力将局部信息汇聚成全局信息进行共享，最终实现公私合作保护美国关键基础设施的构想。报告中规划的相关组织架构成为后续法律的重要参考依据，并直接推动了1998年美国第63號总统令《关键基础设施保护》的发布实施，建立了关键基础设施保护的组织架构，多个政府部门至今仍在美国关键基础设施保护中发挥着重要作用。