5．优先事务Ⅰ：国家网络空间安全响应系统

在20世纪50年代和60年代，导弹和飞机带来的威胁使我们的国家第一次显得易受攻击。联邦政府对此做出了响应，创建了一个国家级系统，实现：使用雷达检测领空以发现异常行为；对可能出现的攻击进行分析并预警；在受到攻击时调动战斗机实施保护；在受到攻击后通过民防项目重建国家。

现在，国家的关键资产可能受到来自网络的攻击，美国需要一个不同的国家响应系统以发现网络空间中可能出现的破坏行为，分析脆弱性并向可能受攻击的对象发出警告，还应协调应急响应工作，恢复受到破坏的关键服务。

网络空间的主要部分并非由单一的公共或私营部门所拥有或运营，这对创建一个国家网络空间安全响应系统是一项挑战。对于网络空间无法画出一个全图或概要图，没有任何一个点可以集中判断攻击的来源或传播方向。虽然通过综合不同的组织提供的信息可以发现攻击（蠕虫、病毒、拒绝服务攻击），但是我们缺乏一个有组织的机制对这些信息做出分析并判断其含义。

为减轻网络攻击的影响，必须迅速广泛地传播关于攻击的相关信息。通过调动众多机构现有的分析能力和应急响应能力，便能够判断出抵抗攻击、减轻影响和恢复服务的最佳方法。

为国家网络空间安全响应系统建设一个合理的管理机制是另一项挑战。与冷战期间美国的领空监视计划不同，网络空间保护系统的操作人员往往不是联邦政府的雇员。因此，国家网络空间安全响应系统必须在政府和非政府部门合作的基础上实施。

国土安全部负责建设国家网络空间安全响应系统，这包括：

在关键信息系统受到攻击或威胁时做出响应，实施危机管理。

与其他联邦机构协调，为州政府和地方政府部门、私营机构、其他实体和公众提供特定的预警信息以及适当的保护措施和对策。

国土安全部将领导并协调国家网络空间安全响应系统方面的工作，这是其整个信息共享和危机协调工作的一部分，但是这个系统将包括来自政府和私营部门的很多组织。批准成立国土安全部的相关法律还要求设立一位处理隐私事务的官员，以确保与国家网络空间安全响应系统相关的任何机制在正确实施的同时能够保护公民的自由和隐私。这个官员将定期与隐私权提倡者、业界专家和公众讨论隐私方面的问题，以确保既能增强安全性又可保护隐私。

下面描述的是现有的联邦项目以及等待预算审核的新计划，还包括建议我们的合作伙伴实施的计划。

A．为响应国家级网络事件而建立公私合作体系结构

并不需要为国家网络空间安全响应系统的建设专门制定一个代价昂贵的、官僚式的联邦项目。在很多情况下，这一系统将增强当前负责保护网络的几个重要的联邦机构的能力，它们现在已经是国土安全部的一部分。整合国家通信系统（NCS）、国家基础设施保护中心（NIPC）、联邦计算机事件响应中心（FCIRC）、能源保障办公室和关键基础设施保障办公室（CIAO）的资源将有助于为国家网络空间安全响应系统奠定必备基础。

私营网络受到的攻击越来越多，因此这些机构更有机会首先发现可能造成全国性影响的攻击。所以，各个信息共享和分析中心（ISAC）将在国家网络空间响应系统和整个国土安全的任务中发挥更加重要的作用。各个行业的ISAC对他们行业的核心工作有着独特的、深入的了解，其分析结果将有助于国家的工作。

信息共享和分析中心由业界领导，负责收集、分析、提炼、分解与特定部门相关的安全信息，并在此过程中发现并公布其最佳解决方法。信息共享和分析中心由多个部门共同设计，以满足其各自的需求并共同承担运营经费。国土安全部将与各个信息共享和分析中心紧密合作，确保他们能够即时得到与攻击和脆弱性相关的数据。

网络空间安全响应系统如下图所示：

（1）分析

a．为从战术上和战略上分析网络攻击及脆弱性评估做准备

分析是深入了解网络事件及攻击的第一步，包括攻击的本质、泄漏的信息以及造成破坏的规模。分析还可以提供与攻击者的意图、使用的工具、利用的脆弱性相关的线索。对网络空间的分析有以下三种，这三种分析密切相关但并不相同。

（i）战术分析：将通过分析网络事件相关的事实，找出脆弱性并提出预警。战术分析的例子包括：分析计算机病毒的传播原理以及时找到保护或减轻破坏的方法；研究一次特定的计算机入侵事件或一组入侵事件以判断攻击者的意图和攻击方法。

（ii）战略分析：不是分析特定的事件，而是更广泛地研究大量的事件及其背后的含义，判断事件对整个国家可能造成的影响。例如，战略分析可能分析威胁和脆弱性的长期发展趋势，并据此就新的攻击方法等正在增加的攻击发出预警。战略分析同时还为政策制定人员提供了信息，使其能够对未来的攻击进行预测并做好准备，由此可以减少攻击造成的破坏。战略分析还为确定迹象发现和预警的模式奠定了基础。

（iii）脆弱性评估：是指对网络空间及其物理设施进行详细的检查以发现并研究其弱点。脆弱性评估是网络空间安全知识链中的一环，这些评估使得规划人员能够预测经济部门或政府部门的特定设施可能遭受的攻击后果。这些知识使得基础设施所有者和运营者能够增强其对各种威胁的抵抗能力（在网络空间安全威胁和脆弱性消减计划中将进一步讨论该问题）。

国土安全部将敦促各个领域增强分析能力。为此，它必须寻求包括信息共享和分析中心（ISAC）在内的私营部门的合作和支持。

（2）预警

a．鼓励私营部门共享网络安全宏观信息

对Internet缺乏一个宏观的把握将阻碍人们提高分析Internet威胁、做出迹象发现或预警的能力。对一个部门的网络攻击可能扩大到其他很多部门并造成严重的后果，很多私营公司、州政府和地方政府可能没有能力处理这种情况。国土安全部组合了几个重要的联邦网络安全处理中心，形成了联邦政府处理自身网络安全紧急事务的核心机构，在必要的情况下，这一机构还可协助解决非联邦基础设施系统的网络安全问题。

政府鼓励工业界形成一种交换Internet安全综合信息的机制，以促进分析、预警、响应和恢复。在法律允许的范围内，非政府组织之间这种自愿的协作活动使得不同的网络运营商和Internet骨干网提供商能够分析并交换与攻击相关的数据。这种协作能够防止攻击行为升级并对重要系统造成破坏。

国土安全部将针对联邦政府与工业界及其他合作伙伴的合作而建设一个集中化的全天候联络点，这些合作包括网络空间分析、预警、信息共享、应急响应和国家级的恢复工作。私营部门对这些工作将起到主要作用，政府鼓励它们在法律允许的范围内加强合作，以便全天候地从宏观上掌握网络空间的安全程度。（A/R 1-1）

b．扩大网络预警和信息网，以支持国土安全部对网络空间危机管理的协调工作

在危机管理中，几小时和几分钟的效果是截然不同的，如果花费几小时才处理完一个事件，则可能最终会导致大规模崩溃，而几分钟的快速处理则为使事件可控赢得了时间。要改善国家的预警能力，就要求为关键基础设施所有者和运营者以及他们的服务提供商之间的通信提供安全的基础设施。网络预警和信息网（CWIN）为政府和工业界提供了一个安全的带外专用通信网络。这个网络还将包括电话会议及对数据的整合处理。

虽然CWIN的第一期工程只在联邦政府网络观察中心之间实现了通信，但CWIN的成员将最终包括关键政府部门和工业界的合作伙伴，如日常处理网络威胁的信息共享和分析中心（ISAC）。随着这个领域内相关实体的扩大，其成员也会增加。对于CWIN成员，最重要的是有一个安全的、受保护的、可信的共享敏感网络攻击信息的环境。

根据2003年的预算，联邦政府将在政府内与网络安全相关的运行中心中安装CWIN，以发布分析结论和预警信息，并实施危机管理的协调。联邦政府将考虑将ISAC连接到CWIN上。（A/R 1-2）

（3）国家级事件管理

增强国土安全部和私营ISAC的分析能力以及扩大CWIN将改善整个国家对网络事件的管理能力。然而，处理联邦政府内部网络事件仍需要国土安全部下属部门之外的其他组织的合作。例如，司法部、国防部和商务部在处理网络事件方面都承担着一定的责任。在白宫也有很多办公室有责任参与对网络事件的响应，包括科技政策办公室（负责执行应急通信法令）、国家安全委员会（负责协调所有与国家安全和国际合作有关的事务）和OMB。

另外，在适当情况下，州政府的首席信息官和国际实体也将参与对国家级事件的管理（见优先级Ⅳ和Ⅴ）。

（4）响应和恢复

a．协调国家的公共-私营连续性和应急计划的开发

2001年“9·11”事件之后，对安全分析得到的教训是联邦机构在通信和其他系统方面的应急能力很不协调，而且在很多情况下非常不完善。应急计划是网络安全的一个重要要素，若没有充分的应急计划和培训，则各个部门可能无法处理服务中断的情况，无法确保经济的持续发展。根据《联邦信息安全管理法》的规定，管理和预算办公室（OMB）是承担制定连续性计划的机构，并由总检查长协助进行该项工作。

b．在联邦网络系统中实施网络安全连续性计划

在其他政府机构、州和地方政府的关键信息系统受到威胁或攻击时，国土安全部有责任就危机管理提供支持，如果私营机构提出类似请求，国土安全部也应给予支持。为了解整个国家对网络安全的准备情况，国土安全部将通过演练来检查民事机构在网络安全方面的有备性，这项活动与国防部的“合法接受者”演习类似。

为检查民事机构对网络安全的准备情况和连续性计划，国土安全部将通过演练来检查网络攻击可能会造成的影响。发现的弱点将被添加到矫正行动计划中，并提交给管理和预算办公室。国土安全部还将通过这种演练测试公共和私营机构在事故管理中的协调、响应和恢复能力。（A/R 1-3）

（i）鼓励加强网络风险管理和业务连续性工作。非政府实体可以使用很多方法来管理网络带来的风险并制定业务连续性计划。风险管理包括风险评估、风险预防、风险减缓和风险保留。

没有什么特殊的技术可以确保企业的完全安全，不论各公司投入多少资本来改善其网络安全，都不可能防止有组织的攻击所导致的网络服务中断情况。对经济、健康、福利和公共安全有直接或间接影响的产品或服务的提供商已经开始使用网络风险保险项目以转嫁风险并提供业务持续性。

为较少网络攻击带来的损失并确保公司的运行和经济不受侵害，确保制定并测试充分的连续性计划是一项重要的方法。

政府鼓励公司定期检查并演习信息技术连续性计划，把信息技术服务提供商的多样化（分散服务）作为一种降低风险的方法。（A/R 1-4）

（ii）推动公共-私营机构建设网络安全应急计划。要完全避免发生大范围的网络攻击是不太可能的，因此，对于确实已经发生的攻击，国家必须有一个综合的计划以对大规模的网络破坏和网络服务中断做出响应。有些机构在这方面有自己的计划，指明了在面临严重破坏的情况下如何恢复网络系统及其功能。但是，对于整个基础设施或从国家层面上，还没有一种机制来统一协调这些计划。

批准建立国土安全部的法令还为私营工业提供了可信的机制，规定可以使用1950年《国防产品法》的修订条款，即自愿性的战备规划条款，从而有利于私营部门制定自己的连续性计划。

鼓励基础设施部门为网络安全紧急事件建设互助项目。司法部和联邦商业委员会必须和这些部门一起消除这种合作中的障碍。另外，国土安全部的信息分析和基础设施保护署将协调制定并不断更新政府和工业界的自愿性网络安全连续性计划，包括恢复Internet功能的计划。（A/R 1-5）

B．信息共享

（1）改善并增强公私机构在网络攻击、威胁和脆弱性方面的信息共享

提高分析、迹象发现和预警能力需要公私机构之间实施自愿的信息共享。网络空间安全事故及攻击信息的共享对于网络安全至关重要。现实存在的一些法律障碍使得有些组织不愿意与政府或其他组织共享这些信息。首先，有些组织担心与政府共享保密的、专属的或可能是令人难堪的信息可能会导致这些信息向公众公开。其次，在同一行业中公司间的竞争关系也可能会阻碍信息共享。最后，在有些情况下，可能只是因为缺乏高效的共享信息的机制。

批准建设国土安全部的法令为改善双向信息共享提供了几个特定的机制。首先，法律将确保企业自愿与国土安全部共享的关于威胁和脆弱性的数据不会以损害信息提供者的方式公开。其次，法律规定联邦政府在与私营企业共享信息或一起分析数据时必须依照保护涉密信息及其他敏感的国家安全信息的方法来保护这些数据。

按照法律，国土安全部在咨询相关的联邦部门后，将制定一个统一的接收、保管和存储流程，用来处理那些自愿提交给政府的关键基础设施信息。

这个流程将规定政府部门如何实施以下操作：

确认收到企业自愿提交的关键基础设施信息。

保存企业自愿提交的关键基础设施信息。

制定保管和存储这些信息的协议。

制定信息使用方法，使得既能够保护信息提供者的秘密，又能够使用这些信息来发布保护关键基础设施的预警。

公私机构之间对网络安全和基础设施脆弱性信息的共享存在着一些障碍，国土安全部将增强消除这些障碍的意识。国土安全部还将建设一个基础设施保护项目办公室，这个办公室将负责处理信息，还负责制定如何保管“企业自愿提交的关键基础设施信息”的协议。（A/R 1-6）

（2）鼓励在更大范围对网络安全信息的共享

政府鼓励拥有大量计算机资源的非政府组织在信息共享方面发挥积极作用。公司、学院、大学可以在发现和报告网络攻击事件、攻击方法和脆弱性方面发挥重要作用。特别需要指出的是，高新技术领域的公司和机构可以从增加网络安全信息共享上获益，参与者可以从ISAC、FBI的Infragard计划和美国联邦特工处电子犯罪特别小组等计划中获益。由于高新技术领域的机构拥有大量的计算机资源，这些资源可能会被利用来实施攻击，政府鼓励学院和大学为Internet服务提供商（ISP）和司法部门提供一个随时待命的联络点。

鼓励公司积极参与在业界共享IT安全信息的项目，包括参加适宜的ISAC。建议学院和大学：（1）建设一个或多个ISAC以处理网络攻击和脆弱性；（2）为Internet服务提供商（ISP）和司法部门提供一个随时待命的联络点，在发现学校的IT系统即将实施网络攻击时通过该联络点与学校联络。（A/R 1-7）