5．私营部门以及州和地方政府的关键基础设施保障框架

公共-私营合作联盟的需求

只靠联邦政府自己是无法保护国家的关键基础设施的。私营工业和州及地方政府直接拥有并有效控制着对国家安全和经济利益极为重要的大量基础设施，它们可以对基础设施产生巨大的影响。因此，只有同工业界和州及地方政府之间实现有效的合作，联邦政府才可以保护好这些关键基础设施；相反，如果单枪匹马，则必然失败。

这并不是说，在保护私营部门的基础设施中，联邦政府没有或只有有限的角色。我们这样说的意义在于，联邦政府必须通过合作的手段来采取行动。它应该力促私营部门投入到保护行动中，共享威胁信息和矫正手段；还应支持私营部门去设计并执行自己的防护项目，为它们减少行动的障碍，激励它们从事重要的研发；另外，在必要的时候，为它们提供综合性领导。联邦政府同私营部门基础设施提供者应当是一种全面的合作关系。

合作的原则

自愿。

基于共同的着眼点，合作是为了取得清晰、集中而明确的目标。

合作关系应能弥补彼此的弱点，强化彼此的功能和角色。

对于彼此的价值观、期望、要求、关注事项和目标的理解。

持续不断地相互交流。

共同的信任。

要有经过充分计划的出发点。

这种合作关系应当是积极而自愿的，并且要由各参与方共同规划。各级政府官员和私营部门的代表应该不断地交流，确保对于彼此的关注事项、要求和期望的共同理解。政府不能直接强迫私营部门的参与和遵从，不论是依靠法律手段还是规章条例。更重要的，合作关系意味着政府决不能做任何有损于公民自由的事情。

这种合作关系将促使举国努力来保护我们的关键基础设施。故而在这里并没有提出明确的计划，本章只是建立合作关系的框架，概述联邦政府应如何帮助并鼓励公共-私营合作关系的发展。因此，本章把私营部门和州及地方政府划到了一起，虽然我们知道它们之间其实有着明显的不同。如果我们的工作能够取得初步的成功，那么，在后续版本中的本章将不会只限于描述一般性框架，而是给出一系列由工业界和各级政府都共同首肯的特别行动和项目。

州及地方政府的角色

州及地方政府处在保护关键基础设施、抵御有意攻击的前线。它们均拥有并操作着一定的基础设施，并同私营部门的基础设施有着物理上的邻近以及最为紧密的交流。因此，CIP工作把州和地方政府看作一个独立的部门。

在千年虫防御中，州及地方政府同私营部门并肩战斗过，有些地方政府和私营部门甚至已为处理长期的关键基础设施保护事项建立了合作。在执法和其他领域，联邦政府同各级地方政府的合作关系由来已久，目前联邦政府正努力增强并扩展这些必要的合作，并在这些实体和私营部门间也发展这种合作关系。

至少在一个州——新墨西哥州内，工业界、学术界和政府机构已经自愿行动起来，组成了新墨西哥州关键基础设施保障委员会（NMCIAC）（见下图）来保护该州的关键基础设施，防御物理和计算机威胁：

本章贯穿始终都在讨论州及地方政府和私营部门在保护国家的关键基础设施时的相互交流和作用。在本篇国家计划的后续版本中，我们会用独立的章节来介绍私营部门、州及地方政府同联邦政府合作来保护我们国家的关键基础设施的各种工作。

私营工业的角色

对私营工业来说，计算机安全会给它们业务的成功乃至整个私营工业的生存产生直接的影响。私营公司知道，它们必须为其客户，不论是公共还是私营的维持稳健而可靠的服务提供系统。为了树立客户的信心并在激烈竞争的市场环境中生存，很多成功的公司已经施行了很多项目，以保障系统和操作在遭破坏时其业务仍能正常开展。而对信息技术日益增长的依赖以及技术应用时带来的新的威胁和脆弱性则为这些保障工作增加了新的内容。

美国商业领导一直就有着组织工业力量、为国家挑战出谋划策的历史传统。他们在完成这些事情时，其行为同国家利益是一致的。但是，他们并不是利他主义者，他们这样做的原因是为了确保其业务的可靠性，只不过这时国家利益和这些股东的利益一致罢了。

这方面的例子包括北美电力可靠性委员会（NERC）以及国家安全电信顾问委员会（NSTAC）。前者的重心在国家的电力网，后者则致力于与美国电信网络有关的国家安全问题。它们是那些既服务于客户也服务于公共需求的工业委员会的榜样。它们均含有公共的主题，那就是保障其各自系统的可靠性、可用性和完整性。

国家安全电信顾问委员会（NSTAC）

NSTAC是一个总统顾问委员会，建立于1982年9月，用以向总统提供专家建议。

NSTAC由多达30个的工业界电信代表公司的高级领导组成。

NSTAC组成了各个子工作组来分析与通信有关的国家安全和应急准备事务。

NSTAC与国家通信系统（NCS）密切合作，是工业/政府联合计划制定时的焦点。

北美电力可靠性委员会（NERC）

由10个地区级的可靠性委员会组成，目的是非盈利的。

涉及了整个电力工业的所有部分，包括私营部门所属的公司以及州、地方和联邦政府的公司。

实际负责美国和加拿大的所有电力以及墨西哥的部分电力。

吸取各种经验教训、监督对政策、标准、原则和指导的遵循、评估电力系统的性能，从而促进北美电力系统的可靠性。

2000年问题以及工业界和州及地方政府的角色

有些时候，私营部门是公共威胁防御中公共-私营合作的催化剂。在千年虫防御的初期，很多公众和工业界人士认为千年虫事件的急迫性还没有得到充分的重视，他们敦促政府来提高意识并加速行动。于是，联邦政府在现行工作的基础上立刻开展了促进合作关系的活动。虽然在对各种成功和不足进行全面研究后，我们还只能看到这些工作的部分有效性，但我们确实相信，是这种改良后的公共-私营合作关系使得千年虫问题变得可控。

千年虫事件第一次测试了信息时代的国家基础设施保障项目。千年虫将会带来的可能的系统故障要求基础设施的所有者和操作者的保障项目中包含重建计划，联邦政府的角色是保障私营部门和州及地方政府的各类项目能够在国家范围内得到协调和有效执行。

从千年虫事件防御工作中得到的经验关系到信息安全的公共-私营合作。为了在服务和产品保障项目中利用这些经验信息，任何工业和公司要做到：

评估关键业务操作对信息技术的依赖性；

评审当信息流遭到破坏时对业务操作和客户关系带来的冲击与后果；

评价公司风险轮廓的变化，努力采取各种必要的矫正性措施来确保服务或产品能够达到客户和公众的期望；

继续评价未来的信息技术投资，在关键业务操作中考虑进安全风险。

企业领导人意识到，他们各自公司的蓬勃发展将会受到整个工业界发展的影响。所以，这些本质上为了业务管理运行的行动，也同样可以作为保护国家安全、防御各种威胁以及保障工业界经济利益的手段。

为实现公共-私营合作关系的联邦组织

白宫和一些关键的联邦机构正直接同主要的私营部门和州及地方政府的领导者和组织者合作，共同制定本篇国家计划。根据PDD63以及后续的决定令，联邦领导机构正接受委派，同各自针对的基础设施部门合作，对其组织进行支持。在过去的几年中，很多基础设施部门已经指派了部门协调机关，支持了相应的联邦领导机构，具体见下表：

联邦政府和私营工业经过努力合作，已经在每个部门内都开放了关键基础设施保护的对话。

1998年11月，由能源部、天然气研究学会、电力研究学会（EPRI）发起的能源论坛得到了超过100个的电力工业、石油和天然气工业以及政府代表的参加。1999年4月，在得克萨斯州的哈斯顿成立了第二个能源论坛，由EPRI发起的第3个论坛于1999年11月成立，参加代表达到了150个。

通过部门协调委员会，银行与金融业已经开过几次碰头会，制定了相应的计划以解决风险评估、工业信息共享、研发日程以及向工业部门领导层的推广等问题。

1999年10月1日，美国财政部长宣布成立银行与金融服务信息安全设施——金融服务信息共享和分析中心（FS/ISAC）。

FS/ISAC是公共-私营联合努力的结果，旨在当金融服务工业受到计算机威胁时将其受害的消息进行共享。它提供了匿名式快速传播威胁消息的手段，从而加强了工业界阻止、检测和响应那些针对其技术设施的攻击行为的能力。

所有经认可的金融服务协会的会员均可以获得FS/ISAC的成员资格。当前，12个分别代表公共和私营利益的组织已经签署了加入该中心的确认函。该中心由一个私营的承包商来管理，经费则完全由各参与会员提供。

联邦政府已经制定了有关计划来发展同州及地方政府的必要关系。通过与各个组织，如国家州长协会、美国市长会议以及已开始制定其关键基础设施保护项目的各个州及地方政府的合作，联邦政府正鼓励他们帮助在政府和私营工业之间建立起重要的合作关系，以保护国家的基础设施，防止处心积虑的攻击。比如，各州及地方执法机关已经指派了它们的部门协调地和部门协调员，并完成了最初的行动计划草案。

还有其他一些类似活动也正在开展之中。国家协调员和联邦其他高级官员正积极对话，以解决跨部门的关心议题。很多追求利润最大化的公司已经意识到了这方面的市场，并为了组织信息系统保护而开展了同私营工业客户的合作。

对私营部门和州及地方政府关键基础设施进行保护和防御的行动

随着对关键基础设施保护需求的认识的不断加深，大多数商业人士将问到的第一个问题会是：“这将对我的业务产生怎样的影响？”。

只靠联邦政府是无法回答这一问题的。通过公共-私营合作关系以及与州和地方政府的协作，我们也许可以得到一些详尽的答案。然而，即使在现在这样的初期阶段，我们也建议私营部门和州及地方政府要考虑参与本篇计划中的一些项目性活动，包括确定并矫正脆弱性（内容1），组织对脆弱性、威胁和攻击信息的共享中心（内容4），对研发项目投资（内容6），增强工业界对于改进计算机安全需求的认识（内容8）。

（1）标识关键基础设施资产和公共的互依赖性，查找脆弱性（内容1）

联邦政府号召对工业界的基础设施保障计划进行周期性的不断评估，尤其要关注信息系统、工业机构和最佳实践措施的作用以及工业界对它们的依赖。

很多工业部门已经开展了风险评估并采取了矫正措施，为了向其客户和公众负责，它们已经建立了内部响应机制。联邦政府正在收集、分析和研究同计算机安全技术、操作和趋势相关的大量信息，而这些领域正是私营工业可以涉足的。审计总署的报告《信息安全管理：向领先机构学习》就是一例。能够交流的信息理应得到交流，适当的双向交流和支持性的合作关系应当在州及地方政府建立起来。

联邦政府还将为部门的风险分析提供支持，各机构已经筹备了必要的专家资源。在合适的时候，联邦政府将向私营工业和州及地方政府实体明确并提供这些资源的使用，以帮助它们完成风险评估。比如，总务管理局（GSA）和关键基础设施保障办公室（CIAO）已经筹备了“脆弱性分析框架”，正广泛用于各部的关键基础设施保护计划的制定。该框架或其他类似的框架也可以促进私营工业和州及地方政府的工作。另外，FBI正在编纂每一部门的关键基础设施提供商列表，其各个区域办公室正着手建立同这些提供商之间的合作。

除了执行风险评估工作外，私营工业尤其可以在如下两类关键活动中担当领头羊的角色：

共享并推动操作建议：需要为信息系统安全制定并发展符合标准的且有效的定义，并使其在商业领域能够共享。从传统上来说，工业界在发展并确定操作建议和标准的任务中扮演着定义者的角色。联邦政府有时候也委托外部机构来制定标准和备案过程。当然，当市场自身的步伐不能满足用户的需求时，联邦政府将作为催化剂参与到其中。

引入相关的风险管理，使信息系统安全成为业务运行的一个合理部分：信息技术已经在很多核心业务的处理中得到了应用，但如果没有充分的管理控制和系统安全，就同时也意味着新的风险。商业运行对于信息系统的日益增长的依赖性必然意味着信息系统安全要成为谨慎的管理控制和操作的一部分。很多从事审计和风险管理职业的人在评估其公司、机构以及客户的风险时是深谙此理的。随着我们对千年虫事件的关心，更多人也明白了这一道理。在很多公司和州及地方机构内，这些专家负责把同风险有关的事项直接报告给高级管理层。通过与这些专家交流应急处理以及相关的国家议程，在一般商业和地方以及州团体内，人们的意识将得到全面的提高。这些意识以及对威胁信息、工具、技术、资源、操作和工业界标准的共享将提高他们对其职务风险进行确定及交流的能力。

（2）组织起有关脆弱性、威胁和攻击信息的共享

PDD63建议在同联邦政府的协作下，私营部门要建立起信息共享和分析中心（ISAC），以促进关于脆弱性、威胁、入侵和异常现象的信息共享。这些中心可以为工业界以及必要时为NIPC提供私营部门信息的收集、分析、合理过滤以及传播。它们还可以为私营部门收集、分析和传播从NIPC来的信息。各ISAC可以作为优秀分析中心，为各种基础设施建立基本统计信息和模式，还可以成为各部门的信息交换地。而且，它还能够存储大量的历史数据以供私营部门使用或用作ISAC或政府认可的其他合适用途。

各私营工业将自己决定是否加入ISAC以及这些ISAC应采取何种形式。国家协调员和联邦领导机构将担当起部门联络者，协调联邦政府现有的援助力量，通过各种活动，如论坛、启动基金以及物理设备等来响应私营部门的各种要求。联邦政府还将通过与部门联络官和国家协调员协商，帮助制定NIPC和ISAC之间的信息共享标准。在过渡期，联邦政府鼓励各部门内部以及部门间利用现有的组织，如InfraGard章程和各CERT来实现更好地通信。

为了鼓励私营部门ISAC的创建，人们曾做了大量的工作。1999年1月，关键基础设施保障办公室（CIAO）发起了一次超过70个私营部门、州及地方政府的官员参加的会议，共同讨论了为促进信息共享而将采取的后续必要手段。

联邦政府正在发展国家范围内的入侵检测功能，既用于国防，也用于民事核心信息系统，以提供实时的威胁、攻击和脆弱性警报。通过计算机应急响应小组（CERT）以及各部的计划，联邦政府还把其信息采集与分析力量集中到了基础设施安全事务上。这些活动均可以使政府更好地理解其信息系统中的威胁和脆弱性。同样，私营部门和州及地方政府也应充分地利用这些成果和经验。

这些可以被私营部门和州及地方政府所利用的成果包括各种情报共同体的信息。能够确定新的威胁或意识到威胁的变化将有助于使资金投入到最需要的地方，更好地利用最终资源，使其服务于政府和工业。国家协调员以及NIPC、情报共同体、联邦执法机构正制定相关步骤，向主要的私营部门和州及地方州府决策者进行定期的威胁和脆弱性情况通报。这将有助于非联邦实体在评估风险时做出理智的判断并采取必要的矫正措施。

作为ISAC榜样的灾难控制和预防中心（CDC）

基于需求以及自愿的组织结构。

技术关注点以及专门技术特点。

●非指令性和非执法性职能；

●建立基本统计分析数据，明确各类基础设施的模式；

●信息交换地。

公共-私营合作性质，有联邦政府、州及地方政府的参与。

分散式管理。

多种功能。

●共享实时事件数据以及简报和脆弱性信息；

●多类共享途径，可以保护信息的保密性，防止因共享而导致的信息泄露。

（3）在研发上投资（内容6）

导致信息安全系统不能更广泛应用的原因之一是对其购买、操作和维护的高费用。而政府在信息安全应用性研究和开发上的投资的加大将刺激这一市场的发展，使其提供更优更廉价的工具，尤其是在市场本身无法做到这一点时。信息安全工具性价比的提高将有助于其应用和普及的拓宽。

然而这些还不够。在完成国家基础设施评估后，国家协调员以及国家领导机构将为总统和国会制定必要的建议，通过使用各种激励政策，如税收、直接津贴和保险业要求等来推动私营部门在研发领域的投入。

（4）加强推广，使美国人意识到加强计算机安全的必要（内容8）

关键基础设施安全合作组织项目将集中关注国家关键基础设施保护的强烈交流需求，强调了工业界和政府应如何合作来共同确保这些基础设施的安全。

合作组织将探究各种途径，使工业界和政府能够实现密切合作，从而减弱国家关键基础设施面临的威胁。为此，该项目将发起一系列有工业界和政府的首脑参加的研讨、会议以及工作组，以实现下列目的：

促进基础设施的所有者和操作者、风险管理集团、一般商业集团、州及地方政府乃至美国民众对信息安全的意识和理解。

使工业界能够在未来为国家计划贡献其力量。

确定并解决双方共同关心的问题，包括但不限于信息共享处理、法律和法规改革、标准和最佳实践措施的制定、教育和培训、研发活动等。

合作组织的开展将基于：开放和自愿的成员资格；共同的信任；经常性的交流；对彼此价值、期望、要求、关注事项和各自目的的充分理解以及清晰而集中的最终目标。

关键基础设施部门的集中推广和意识培养项目：通过各指定领导机构，联邦政府正开展一系列会议以及简报通告等活动，使关键基础设施部门的各个成员知晓信息安全的重要性与紧迫性。要使大家积极参与关键基础设施保护计划的制定并投入到保护工作之中，前提就是提高大家对信息安全的意识与理解。领导机构的部门联络官将帮助确定私营部门的协调员并与之展开密切合作，联合发起一系列白宫会议以及其他的各类工作组。

NIAC：通过与相应政府实体的协商，国家协调员将建立起国家基础设施保障委员会（NIAC）。它是总统的一个咨询委员会，展现了政府同工业界合作的决心。该委员会由多达30个工业界和州及地方政府的官员组成，这些人均由联邦领导机构或部门协调中心任命。NIAC的成立使那些股东得以有机会向总统直接提交基础设施保障政策建议。

（5）为联合行动确保稳固的法律基础（内容9）

为了支持公共-私营合作关系，当局正同商业界、州及地方政府以及所有的美国人密切合作，以评审现有的法律和法规并提出立法议程。迄今为止，在同私营工业和州及地方政府讨论的基础上，立法议程包括了如下要素：

减少法律障碍，促进信息的有效共享：使有关在各企业之间以及企业和政府之间实现信息共享的法律事务变得明朗。在立法议程中，政府将解决保密性、反托拉斯以及责任等问题，从而在公共和私营部门间建立起信任关系。

司法部将为之定义各种必要的环境，使工业界可以发展两种机制来共享信息：业务评审函和司法部指南。两种机制均概述了共享的方式、内容以及其他专门事项。

在同各州政府的合作下，联邦政府将确定那些不利于国家计划中的任务执行的州法律。通过与很多关键代表，如全美检查长协会的讨论，将制定出覆盖信息共享责任诸问题的榜样（model）规则并提交给各州进行研究。要想协调各种责任解决方案，离不开关键基础设施合作关系中各方成员的参与。每个州都有其自己的法律管理责任，而对这些法律进行解释和使用的法庭决策则又在新的层面上增加了法律的复杂度。因此，法律改革措施必须要融入私营部门和各州以及联邦政府的多方关心和考虑。

通过司法系统有效地惩办基础设施案件中的罪犯：提供威慑基础设施犯罪的法律力量，更加合理地对基础设施攻击后果进行法律量刑。

政府正同美国判决委员会合作，确保《美国判决委员会指导方针》能够适用于基础设施攻击带来的破坏性后果。例如，将考虑一些攻击后果的严重性，如拒绝服务攻击的“下游”效果所导致的损失。政府还将鼓励判决委员会就关键基础设施保障诸问题同各州进行交流，通过州判决委员会或直接将其作为联邦司法培训联系的一部分。

计算机犯罪事件的国际民事赔偿：计算机攻击是没有国界的。当局认识到，现有的关于基础设施攻击的国际赔偿机制是不完善的，很多国家还没有对计算机入侵进行定罪和量刑。通过多边和双边协定以及其他机制，我们将努力实现计算机犯罪的国际民事赔偿。

法律改革将吸取已有研究的成果，如联邦贸易委员会对电子商务中类似问题的探索。另外，还将以很多现有机构，如世界贸易组织（WTO）为可能的参照模型。

雇主-雇员关系：要定义更加明晰的框架，使工业界能够防备内部人员的攻击。

国家关键基础设施更多的则是受到了来自内部人员攻击的威胁。关键基础设施保护总统委员会（PCCIP）的推广项目中就这一问题同私营部门的关键基础设施所有者和操作者、州及地方政府、联邦法律决策机关、隐私权保护提倡者展开了广泛的讨论。为了解决这一复杂问题，尤其是在雇员的工作岗位具有高度敏感性时，下一步的法律改革必须纳入各方面的意见以及调查和研究中的发现。我们必须意识到，一个内部人员其实也完全可以站在外部人员的立场上。我们的政府将号召专家们对涵盖雇主-雇员关系的州和联邦法律以及其他隐私法展开评审，研究怎样使法律能够最大程度地实现隐私保护，同时又不会过度损害某些雇主的安全要求。

对应急响应中各种要求和政府提议进行分类：我们应该减少法律管辖权中出现的混乱。内阁将评审联邦政府提出的各种要求给私营部门带来的混乱，它将把各种机构对工业的管辖权进行分类，尤其是在应急响应和出现危机时。内阁将努力确保在提交的任何新要求中不会出现重复现象。

前瞻：私营部门、州及地方政府同以后的国家计划的关系

基于这一框架，联邦政府官员以及私营部门、州及地方政府代表能够制定出国家计划的下一版本。目前这篇国家计划已经为政府的行动指示了明确方向，我们希望以后版本中能包括供私营工业选择和执行的明确行动的列表。该列表将是在真正的公共-私营合作联盟的基础上进行协作式、自愿式的深思熟虑后的结果。