3．国家政策与指导原则

《保护网络空间的国家战略》是对美国的《国土安全国家战略》和《美国国家安全战略》的补充。本节内容和布什总统发布的第13231号行政令一起提供了政府对网络空间安全的政策指南。本节所阐述的政策说明和建议均遵从第13231号行政令和其他相关的行政令，而没有改变依据国家安全法案或其他相关法律条文所设立的政府机构的职权、分工和责任。

本文是美国历史上第一部《保护网络空间的国家战略》。其目的在于部署网络空间保护工作，赋予该工作的权限。使美国投入到这个领域中来是一项极为复杂和艰巨的使命，要求包括联邦政府、州和地方政府、私营部门和美国公众在内的社会各界的广泛参与和大力合作。本战略将用于实施针对网络空间保护的总统国家政策目标与原则。

国家政策说明

信息技术的突飞猛进已经改变了商业运行方式、政府职能运行和国防实施方式。这三项功能如今密切依赖于彼此相互依存的关键信息基础设施网络，即“网络空间”。

对关键基础设施中的信息系统（包括应急通信、支持这些系统运行的物理资产）进行保护并将其受损害程度减至最低、最大程度地提高系统可靠性仍需进一步的努力。

美国将努力获得并保持对国家基础设施进行保护的能力，以使这些设施免受自然事件和具有如下目的的人为事件的破坏：

危害由联邦政府执行关键的国土安全和国家安全保护使命，危害联邦政府保护公众健康与安全的能力。

危害州和地方政府维持本地秩序并提供必要的公众服务的能力。

危害私营团体确保经济有序运行并提供必要的基础设施服务的能力。

需要强调的是，不存在完全可靠的安全措施。但是，必须确保针对这些基础设施的危害具有历时短、频率低、可控、地域上可隔离的特点，并且确保这些危害对美国利益的损害程度最低。

美国的很多关键基础设施是物理上和逻辑上彼此独立的系统。但是信息技术的发展和效率提高的必要性已经加速实现了这些系统稳定并且快速增长的自动化性能和彼此间的互联。

美国的PATRIOT法对关键基础设施的定义如下：“一旦缺少或遭受破坏便可能对国家安全、国家经济安全、美国公众健康与安全或这些情况的组合情况造成影响的物理形式或虚拟形式的系统或资产”。美国的关键基础设施包括能源（电力、石油和天然气）、运输（火车运输、航空运输和海洋运输）、金融和银行、信息与通信、公众健康、应急服务、供水、化学、政府服务、国防工业基地、食品、农业、邮政和船运。

本战略认为，要在长时期内维持国家经济和社会的完整性，不仅必须关注信息系统的安全性，而且要关注这些系统所依赖的相关社会结构。因此，本战略综合考虑了增强和讨论这些支持性结构的可行措施。

虽然美国是具备最强大的军事实力和经济实力的国家，这二者却日益依赖于包括基于网络空间的信息系统的关键基础设施。“9·11”事件表明，美国的敌人（无论是国家、组织或个人）将可能采用某种并不便捷的方式对美国实施打击。这些敌手已经明确表明了他们的意图：不仅要打击美国民众，而且要摧毁美国经济的支柱——基础设施和网络空间。

政策原则指南

2001年1月，联邦政府着手调查了信息系统和网络空间在美国社会中的地位。2001年10月，布什总统签发了由一系列持续性举措为内容所构成的13231号行政令，用以实施一项改进关键基础设施信息系统安全状况的保护计划，包括应急通信和支持这些系统的物理资产。对于网络空间的保护与各经济部门密切相关。该计划的实施得到了如下部门原则性的指导。

（1）加强私营-公共部门间的合作

由于美国约有85%的关键基础设施由私营经济部门拥有并负责运行，而关键性的政府运行又依赖于这些私营团体，关键基础设施保护必须由多方合作才能进行。

由于针对国家关键基础设施的攻击行为的目标可能同时涉及经济部门和政府机构，所以对于系统潜在脆弱性的讨论，必须采用可同时适用于公共和私营团体、保护本国和国际安全利益的灵活、易更新的途径。私营经济部门已经积极参与了与政府机构的密切合作。在此过程中，信息共享和分析中心（ISAC）的建立是一个重要途径。这些中心简化了私营经济部门共享和发布安全相关信息的方式。此外，各经济部门已经制定了保护各自网络空间的计划，这些计划均是对本战略的补充。政府希望并且鼓励此类有效的合作方式。

美国必须集中精力致力于防范机制与危机管理，具体包括：确定并修补网络系统的脆弱性、教育培训、研究与发展、预警方法以及发展相关的支持措施。在此意义上，私营机构必须确保所控制的基础设施具有最大可能的安全性，并向政府提供有关的必要帮助信息。联邦政府在保护己方信息系统安全的同时，必须努力成为各私营部门模仿的典范，向其示范获得基础设施保障的最有效同时也是最可取的途径，并发布互惠互利的实践经验。

（2）避免（过于依赖）法规

为了鼓励私营企业，联邦机构指出，私营-公共合作团体中的所有者和运营者必须多样化。为了鼓励私营企业最大程度地参与合作，美国政府尽己所能地避免可能形成政府法规或增加政府对于私营企业约束力的政府行为。因此，政府在关键基础设施保护过程中将主要依赖市场调节与激励作用，仅在这种途径对于美国民众的健康、安全和福利的保护无效的情况下，才借助于行政权。

（3）保护公众自由与隐私

安全的利益和个人隐私不应彼此冲突。事实上，通过保护Internet上通信的整体安全性，本战略所倡导的各项措施均以保护个人隐私并进而保护个人安全利益为目的。然而，在采取措施来增进国家安全的同时，必须避免对国家尽力维护的这些自由社会中的基本价值观和特征造成破坏。因此，必须保护隐私和公民的其他自由。消费者和实施者必须确信信息处理的方式是正确、保密和可靠的。

（4）与国会保持协调一致

为了确保以实现美国的网络空间系统安全性为目的而采取的行动得到广泛的支持，行政机构将与国会在具体措施和流程上进行合作，以便使其行动与国家政策的目标保持一致。在适当的情况下，行政机构可以请求国会通过立法促进本战略的实施。

（5）与州和地方政府进行合作

美国式的民主来源于联邦制——一种由州政府与联邦机构分享治理权的政府组织结构。联邦政府、州政府和地方政府共存的形式导致出现了87000个不同的司法机构，从而为网络空间安全工作提出了独一无二的机会和挑战。与联邦政府一样，州政府和地方政府也拥有并运行着规模庞大并且彼此相联的网络系统，关键性的政府服务也依赖于此。这些网络系统的安全性由本地专家和地方性机构与组织中与网络安全相关部门来负责维护。他们必须对该网络系统进行互联和扩充，以便它们得以巩固而非复杂化，并且满足必要的应用要求。因此，所有的关键基础设施和网络空间保护计划与实践都必须考虑需求、实践性和州政府、地方政府以及第一响应员各自所应承担的责任。

合作机构

为简化并增强联邦机构与有效合作所依赖的私营部门的合作与交流，政府为容易因基础设施遭受攻击而受影响的各主要经济部门指定了“领导机构”。这些机构及其相关机构见下表：

此外，科学技术政策办公室（OSTP）为支持基础设施保护而负责对研究与开发活动进行组织协调。管理和预算办公室（OMB）负责为联邦政府的计算机安全项目制定政府性政策、原则、标准和指南，并预见其可能的实施后果。国务院负责协调国际性的网络安全事项。中央情报局局长负责评估其他国家针对美国的网络与信息系统的威胁。司法部和联邦调查局负责调查和惩治网络犯罪。

各基础设施部门的代表和联邦领导机构在通力合作的基础上将评估这些部门的脆弱性对于网络空间安全或物理安全的危害，并提出消除严重的脆弱性的计划和措施。由于针对国家关键基础设施的技术和威胁仍将继续迅速变化，基础设施部门和领导机构必须经常性地对关键基础设施的可靠性、脆弱性和所处的威胁环境进行评估，并且采取具备足够灵活性的保护和响应措施。最后，为了维持合作关系，包括执法、行政规则、外国情报、国防力量在内的全部政府法令、职能和可供利用的资源必须全部就绪并且可用，以便尽可能地确保并维持对于关键基础设施的保护。

指导性的战略原则

网络空间安全国家战略是遍布美国境内的很多个人、团体和研究机构共同努力的成果。这些努力的最终目标是建立一个在未来可预见的时期内能够支持美国的经济、国家安全和关键性服务的安全、可信、强健、可靠并且可用的基础设施。

网络空间是一个连接了各种基础设施、企业和国家的复杂网络。其中的网络连接涉及由很多不同运营者所拥有的众多网络。实现该网络的安全性不同于确定其某个组成元素或连接路径的是否正常可用，而是必须确定网络整体是否具有对于破坏行为或信息丢失的抵御能力，确定某个网络路径是否可由其他路径替代，确定网络的组成元素是否具有冗余并且永久失效的可能性很小。网络空间中的单个元素的安全性及其在颇具变化性的环境中的不断更新是其具备上述抵御能力的基础。

因此，为建立一个安全并且韧性良好的网络空间，美国必须遵循以下两个战略性的安全原则：①整体基础设施的安全性依赖于其各个组件的安全性；②威胁和脆弱性将不断更新，因此安全性必须具有与之相等或更高的更新速度。

（1）分部分保护，最终实现整体安全

网络空间的安全性依赖于其中各个组件的安全性。在网络空间中，发生在某处的攻击行为可能以光速传播至其他各处。地理安全的概念将不复存在。网络不仅对于外部攻击而且对于内部攻击都具有脆弱性。一个安全网络的组件安全性可能由于内部人员、下载的软件或遭受攻击的邻近组件而受到破坏。只在网络的外围设置一堵安全墙是不足以确保网络的安全性的。

一旦网络中的某台计算机或某个组件被破坏，它便能够被用于进一步破坏网络中的其他计算机或组件。与之类似，经济或政府中的非安全部门也能够被用作对其他部门实施攻击的平台（而且这些事件已经发生了）。某个部门遭受破坏也具有扩散效应，从而影响和破坏基础设施中的很多其他组成部分。为了应对这些脆弱性，基础设施的安全绝不应该仅依赖于某个单层、一组节点或主要节点，而是必须体现在多个层次上的分布式防御中，以及体现在遭受任何攻击后均能够迅速恢复的能力中。

为了提高网络空间的安全性，美国必须在行动的各个层次上实现网络空间的安全。个人和单个的部门必须意识到自己在此意义上的角色和应承担的责任。各部门和个人实现网络空间安全的努力彼此相关。因此，美国必须通过以下途径实现网络空间的安全：意识培养与信息传播；各层次上明确的角色和合作关系；联邦网络系统安全化中的联邦领导能力。这里，联邦领导能力也包括防止和阻止网络犯罪、电子欺诈和信息战。

（2）为获得技术优势并提前预防系统脆弱性，迅速革新安全措施

系统脆弱性的增加速度非常惊人。新软件的开发和新技术的出现均会带来新的脆弱性。随着时间的推移和这些软件与技术在应用上的推广，这些脆弱性将逐渐被发现。与此同时，用于发现这些脆弱性的新工具或由原有工具演变而来的高级工具也会随之出现。安全政策、实施和技术必须相互适应。美国必须开发一种能够优于攻击者能力发展的安全基础设施。

有关专家目前已开始考虑纳米技术和量子计算对当前的网络空间可能造成的影响。这些（以及其他）新事物将使网络的运行方式和网络安全的实现方式产生无法预知的变化。为了理解这些变化并保持美国在网络空间安全新技术的开发与应用中的世界领先地位，美国必须在教育与培训、技术以及协调活动中进行投资。