白宫发布《国家网络战略》 将以暴制暴

更多全球网络安全资讯尽在E安全官网www.easyaq.com

就在上周，白宫方面发布了《国家网络战略》（以下简称“战略”），提出了一系列用于保护美国关键基础设施免受全球网络威胁的具体方法。

该“战略”的建立以美国此前发布的第13800号行政令“加强联邦网络与关键基础设施网络安全”、《国家安全战略》内相关网络要素、美国国土安全部（DHS）与商务部发布的僵尸网络报告中的调查结果及建议为基础。

在2018年10月美国网络安全意识月开始之前，该“战略”的发布标志着美国网络漏洞的修复与网络能力构建工作已经重新受到关注。

此项“战略”概述了一种总体性的“政府范围内”方法，用以指导各机构履行自身网络安全职责与职能。

另外，此项“战略”还标志着政府当局对私营部门，特别是各政府承包商与关键基础设施供应商提出了优先事项与责任分配，并将为其提供设备与服务供应生态系统。与行业建立起合作伙伴关系以实现报告目标成为本项“战略”中的一大核心主题，其既表明了参与机会，也强调了私营部门需要承担的责任。

美政府应采取更具攻击性的姿态

此外，虽然此项“战略”本身没有特别提及攻击性网络行动，但其中强调政府应采取更具攻击性的姿态，从而充分运用“国家权力工具……以预防、应对并阻止针对美国的恶意网络活动。”

此项战略立足于四大关键性支柱：

• 保护政府网络与关键基础设施；

• 发展创新与网络人力；

• 通过提高美国归因能力以阻止恶意网络活动；

• 向国外输出开放及自由的互联网价值主张。

支柱一：保护美国民众、国土以及美国人的生活方式

此项支柱的目标在于通过提高弹性与网络风险管理能力以保护美国公共及私有信息网络。

这份报告呼吁“美国政府、私营企业以及每一位民众都应采取立即且果断的行动以加强网络安全，各方都应努力确保网络处于其控制之下并相互支持。”

这方面的优先事项包括以集中方式管理并监督联邦机构网络安全、调整风险管理与信息技术，同时改善联邦供应链风险管理以遵循行业最佳实践。

供应链风险管理

此项“战略”指出，联邦政府“将把供应链风险管理纳入机构采购与风险管理流程”，从而严格审查及评估承包商风险管理实践，并利用联邦政府的购买力鼓励私营部门采用网络安全最佳实践与标准。

关键基础设施保护

此支柱的关键部分，在于强调对关键基础设施的保护。政府当局将优先考虑七大关键性风险缓解领域，具体包括国家安全、能源与电力、银行与金融、健康与安全、通信、信息技术以及运输。

信息与通信技术供应商

此次“战略”亦强调了信息与通信技术（简称ICT）供应商的重要性，特别是考虑到其提供的跨部门支持功能。美国政府当局承诺加强与信息通信技术供应商间的信息共享能力，包括与经过审查的信息通信技术运营商共享机密威胁与漏洞信息。

另外，此项“战略”还将通过改进事件报告以打击网络犯罪。具体举措包括与私营企业合作以应对匿名化及加密等技术带来的挑战，从而获取时间敏感性信息。

第二大支柱旨在通过“将网络空间发展为经济增长、创新与效率的开放驱动引擎”以保护美国在技术生态系统中的影响力。

在这方面，政府计划通过鼓励与引导建立起极具适应能力的安全技术市场，确保其优先考虑创新并投资下一代基础设施，从而保持美国在新兴技术领域的领导地位，同时促进全生命周期网络安全水平。

联邦政府当局计划消除信息共享层面的政策性障碍，并将与国际同行合作以推动全球范围内以行业为导向、以风险为基础的现有网络安全实现方法。

这一支柱的另一部分内容，则要求通过保持强大而平均的知识产权保护制度与美国发展路线机密性及完整性以保护美国的才智成果。

此项“战略”还强调建立并维持人才管道，通过员工再培训、扩大教育机会以及加强联邦网络安全工作人员水平来发展出强大的网络安全工作队伍。

此项支柱强调一种更具前瞻性的姿态，旨在促进建立“网络空间中负责任的国家行为框架”，并通过针对恶意活动实施“迅速、高成本且透明的制裁性措施”作为综合性战略，从而加强针对美国及其合作伙伴的恶意网络活动的归因与制止性努力。

其中将侧重于建立领先、客观的协作性情报收集工作，从而实现对网络空间内恶意行为的归因与阻止。

报告当中提到一项新的具体举措，即制定网络威慑倡议，其中要求“美国与各志同道合的国家开展合作、协调与支持，共同建立起对重大恶意网络事件的响应机制，具体包括建立情报共享渠道、支持归因声明、支持回应行动的公开声明以及共同对恶意活动方施加制裁。”

此项“战略”的最后一项支柱，旨在保护互联网的长期开放性与互操作性，优化大师促进美国利益。

美国政府将继续与各志同道合的国家、行业以及民间社会开展合作，在全球范围内推进人权与互联网自由思维的建设。其还将应用基于良好技术原则的行业领导标准，推广可互操作且可靠的通信基础设施与互联网连接，同时致力于在全球范围内建立网络能力。