美国关键基础设施政策 研究专报 第3期 路云天网络安全研究院云天洞察第11期 2022年2月17日 美国关键基础设施保护方向指引 ——1997年《保护美国基础设施》报告解读 1996年7月15日，美国发布的13010号行政令《关键基础设 施保护》开启了美国关键基础设施保护新时代，该行政令决定成立 “总统关键基础设施保护委员会”，负责研究美国关键基础设施保 护现状并向总统汇报。经过近15个月的调研、分析和评估，总统关 键基础设施保护委员会于1997年10月向克林顿总统提交了一份长 达200页的研究报告——《保护美国基础设施》。这份报告详细阐 述了美国关键基础设施的重要性及面临的脆弱性威胁，并以不同方 式思考了美国关键基础设施保护的未来。 这份报告整体上分为关键基础设施保护“行动的理由”和“行 动的策略”两部分。“行动的理由”详细阐述了新地理概念、漏洞 威胁和网络战争理念；“行动的策略”着重强调了构建公私合作伙 伴关系、进行信息共享、开展宣传教育、发挥联邦政府带头作用、完善立法执行以及推动技术研发等措施建议。报告中提出的关键基 础设施保障的政府组织架构建议，直接推动了美国第63号总统令的 发布，为美国日后的关键基础设施保护奠定了良好基础。 一、行动的理由 随着互联网技术的不断发展，美国认识到关键基础设施面临的 威胁将从对有形资产的物理打击，向对控制系统的网络攻击转变。 网络技术的应用，使美国东西两大洋的天然地理优势荡然无存，攻 击者无需进行军事力量对抗甚至不需入境便可实施隐蔽性极强的网 络打击，其效果和规模甚至会超过传统物理攻击。因此，报告指出 未来关键基础设施的威胁将越来越多的来自网络攻击，而过去美国 的关键基础设施防御措施几乎无法保护其免受网络威胁影响。 漏洞源于软硬件开发设计的有意或无意为之，随着系统复杂度 的不断提升，漏洞将不可避免的呈几何级数爆发，作为高度依赖网 络通信的关键基础设施很难独善其身，这是造成其自身脆弱性无法 回避的问题。加之用于访问、操作和控制关键基础设施的黑客工具 已经广泛存在且与传统的攻击武器相比更加“物美价廉”，使得信 息战所付出的代价大幅减小而可操作性大幅上升。因此报告指出网 络攻击成为性价比更高的战争手段必将越来越多的威胁美国关键基 础设施的安全。 美国早在上个世纪九十年代就意识到了关键基础设施的重要性， 并预判日益庞大的网络漏洞和日益频繁的网络攻击将严重威胁美国 关键基础设施的安全。因此，报告建议：“等待灾难是一种危险的 策略，现在是采取行动保护我们未来的时候了。”二、行动的策略 面对关键基础设施保护新的挑战，美国意识到必须采取更多的 行动策略才能在实践中持续提升关键基础设施的保护能力。报告根 据美国关键基础设施现状并综合考虑未来发展趋势，提出了八点关 键基础设施保护策略建议。 (一)确立伙伴关系：加强信息共享，促进信息流动 建立政府和关键基础设施私营部门的伙伴关系，必然从加强信 息共享开始，只有增加双方的信息共享，私营部门才能及时认识到 其所运营的关键基础设施风险，政府才能全面有效地掌握整体基础 设施的脆弱性和威胁情况。然而推动私营部门共享信息也并非易事， 私营部门在共享脆弱性信息问题上存在两方面顾虑，一方面担心共 享遭受攻击的信息会使企业声誉受损导致其竞争力下降，另一方面 担心信息共享面临承担责任甚至招致不必要的监管。因此，私营部 门只有在遭受重大损失或业务连续性面临危险时才会分享信息，相 较于主动共享信息，私营部门更希望从联邦政府部门获取相关网络 威胁和漏洞信息，并根据自身情况来采取相关应对措施。 加强政府与私有部门间的信息共享，关键是要促进网络威胁的 信息流动。为克服私有部门非自愿共享信息的问题，提高信息共享 的积极性，报告提出四点建议。一是通过立法对共享信息的私营部 门进行敏感信息保护，保证对商业秘密和专有信息予以保密。二是 政府主动共享威胁和漏洞信息及相关技术解决方案，帮助私有部门 发现和消除相关安全威胁。三是通过建立类似荣誉榜的形式，公布 更高可靠性的关键基础设施保障企业清单，激励私营部门主动自愿 共享信息。四是加强国家级信息分析能力，集中力量对网络问题进 行全面分析并推动分析结果在相关私营部门间流动。(二)打造伙伴关系：增强公私联动，强化责任共担 美国意识到保护美国的关键基础设施不仅符合政府的利益，也 符合私营部门的利益。报告指出网络威胁和漏洞对政府、企业和公 民都构成了风险，减少这些风险需要政府部门和私营部门协同努力 创建合作伙伴关系，促进政府与私营部门间的相互信任和支持，共 同承担关键基础设施保护责任。报告指出政府有责任帮助私营部门 识别和发现未知威胁，协助私营部门持续完善关键基础设施的安全 运营，并提出以下五点措施建议。一是加强漏洞评估，建议国家安 全局、能源部和国防部继续对关键基础设施运营者进行脆弱性评估， 同时为私营部门提供脆弱性评估培训和专业技术培训。二是开展风 险评估和最佳实践行动，鼓励关键基础设施私营部门定期进行风险 评估，提升行业风险管理办法。三是制定安全运营标准，建议联邦 和州监管机构参与制定相关团体标准、行业标准并鼓励关键基础设 施私营部门遵循和执行相关标准。四是加强敏感信息保护，对关键 基础设施运营者相关信息进行保密，防止所公布的敏感信息成为攻 击者的“路线图”。五是建议联邦政府与州和地方政府建立伙伴关 系，充分发挥州和地方政府关键基础设施的监管者身份优势，分享 关键基础设施相关信息并为其提供必要装备和专业培训。 报告同时指出私营部门也应该承担关键基础设施保护的相关责 任，提出以下七点措施建议。一是通过管理基础设施为大众提供有 效的服务。二是满足大众对基础设施服务质量和可靠性的需求。三 是保持有效的风险管理流程识别漏洞，保持应急响应和快速恢复能 力。四是加强关注信息系统中的漏洞问题，特别是重点关注未被完 全认知的威胁和漏洞。五是加强关键基础设施行业内交流合作，持 续改善服务的可靠性和安全性。六是向政府机构报告可能的犯罪活动并配合调查。七是与政府部门建立联系，确保威胁信息及时流动 并总结事故的行业经验输出到相关部门。 (三)构建伙伴关系：建立国家机构，促进有效合作 没有明确的国家组织机构，发展政府和私有部门的伙伴关系就 无从谈起，没有明确的国家组织机构，发展关键基础设施保护就是 空谈，良好的政府组织架构是进行关键基础设施保护的基石。报告 提出的国家基础设施保障组织架构建议包括五个部门和两个中心。 五个部门指国家基础设施保障办公室，国家基础设施保障委员会、 国家基础设施保障支持办公室、联邦领导机构、行业基础设施保障 协调部门，两个中心是信息共享和分析中心以及预警中心。国家基 础设施保障办公室的定位是关键基础设施保障的核心，主要负责促 进基础设施保障政策的制定，监督和管理政府其他基础设施保护部 门工作，联合私营部门推进关键基础设施保护的顶层规划。国家基 础设施保障委员会的定位是政府高级别智囊，为解决关键基础设施 保护问题提供高级别讨论平台并向总统建言献策，同时领导和推动 关键基础设施保护的教育和宣传工作。国家基础设施保障支持办公 室侧重于为联邦政府提供职能和管理支持，为私营部门提供直接援 助。联邦领导机构意在凝聚行业对口机构，建立更加广泛的行业信 息共享方式，为国家基础设施保障提供信息输入。行业基础设施保 障协调部门发挥共享信息进出政府部门的枢纽作用，在行业部门、 私营部门和共享分析中心间建立信息交互通路。信息共享和分析中 心致力于对各渠道信息的收集和分析，并将得出的分析结论在政府 和私营部门间共享。预警中心的重点在于与信息共享和分心中心保 持实时联动，为基础设施提供物理和网络攻击的及时预警。图1：报告建议美国关键基础设施保护政府组织架构示意图 建立国家关键基础设施保障组织架构就是要促进联邦政府与私 营部门之间的有效合作，落实国家基础设施保障政策、规划和项目。 报告指出要在政策制定、预防和缓解、信息共享和分析、事件管理 和后果管理等方面促进政府与私营部门间的有效合作。政策制定方 面，政府有能力评估新出现的威胁，私营部门应评估自身脆弱性， 政府和私营部门应该一起评估国家风险并确定保障目标、战略和政 策；预防和缓解方面，私营部门必须检查自身系统和网络的脆弱性 并采取必要的保护措施，政府应该通过研发、意识教育、威胁评估 和财政援助手段促进私营部门采取行动；信息共享和分析方面，通 过分析信息综合形成预警报告，私有部门应该重点回答基础设施中 发生了什么不寻常的事情，政府应关注对手中发生了什么不寻常的 事情；事件管理方面，目标是通过联邦政府与私营部门的合作，阻 止对关键基础设施的攻击；应急管理方面，当灾难发生后政府要及 时响应和支持民众的基本需求，私营部门要关注恢复和重建基础设 施。(四)提高保护意识：设置培训项目，加强宣传教育 一个成功的伙伴关系需要政府、私有部门以及广大公众的高度 理解，报告提出要通过具体的意识培训项目在全国范围内树立关键 基础设施保护意识。一是资助一系列政府和私营部门领导人会议， 增强相关领导的信息安全意识，确定更多信息安全建设项目承诺。 二是政府相关部门定期通报威胁和漏洞信息，扩大与私营部门相关 建设项目的安全规划。三是开展与学术机构的交流沟通，增加安全 意识项目并提供持续支持，四是政府部门带头开展持续的国家宣传 运动，强化基础设施安全意识。 通过宣传教育提高国民对基础设施保护的意识由为重要。报告 提出三点建议，一是开展持续性的国家宣传活动，加大关键基础设 施保护意识培养，鼓励私营部门制定安全原则，定期进行风险评估 提高对脆弱性的认识。二是开设相关教育课程，增加K12及大