FAS简介:以下白皮书，由安全政策委员会的工作人员在1995年12月准备，描述了政府试图控制对美国信息基础设施的潜在威胁。它是由FAS政府保密项目．

信息基础设施保障白皮书

目的:就国家信息基础设施(NII)的出现所带来的安全相关挑战提供国家视角，评估联邦政府当前应对这些挑战的能力，并提供应对这些挑战的想法和选择。

这句话的语境是:

  • 国家正处于危险之中．1995年7月16日，华盛顿邮政对NII的脆弱性进行了一篇大文章：“五角大楼的新梦魇：电子珍珠港。”几个星期后，时间杂志上的“网络战争”的封面故事被标题为：“美国匆匆将电脑转变为明天的毁灭武器。但是家庭前方有多脆弱？”这两项文章都借鉴了各种政府和私人报告的威胁和脆弱性数据，例如1994年12月5日国家通信系统报告“对国家安全和应急准备电信的电子入侵威胁”。ReportsReports

    该报告发现，电子入侵者正在以越来越快的速度攻击数据网络，并且已经破坏了电话信令网络的一些部分。一名DISA高级官员直言不讳地说:“我们没有准备好迎接珍珠港事件的电子版本”，“我们的电子基础设施并不安全。”1999年，DISA使用广泛可用的技术攻击了近10,000个系统，测试了国防部信息系统的安全性。他们成功渗透了88%，其中只有4%被发现。美国国家安全局(National Security Agency)局长约翰·m·麦康奈尔(John M. McConnell)强调了我们国家风险的不对称性，他说，“我们比地球上任何其他国家都更脆弱。”外部威胁是真实存在的:情报数据显示，至少有30个国家正在积极开展信息战项目。

    国防部以外的情况也不例外。电话系统、银行、信贷和联邦储备系统、股票交易所、电力和燃料分配系统、空中交通管制和其他智能交通系统、联邦选举系统，公共安全和执法都严重依赖网络信息系统，而网络信息系统很容易受到网络攻击。大多数观察人士都认为，商业损失是出了名的少报，但最近的一项媒体估计，过去一年中，仅通过互联网进行的计算机犯罪就给美国造成了50亿美元的损失。

  • 情况可能会变得更糟。导致风险增加的主要趋势没有减弱的迹象:(1)网络互联的爆炸式增长;有人估计，全球新互联网终端的数量每天增加1万台或更多。(2)数据处理能力突飞猛进;如今，高达2g的个人电脑硬盘以较低的价格随处可见。在网络层面，每秒千兆比特的交换器已经接近地平线，光子交换器也将允许充分利用光纤基础设施的巨大带宽。简而言之，美国将继续把更多、更有价值的鸡蛋放在电子篮子里，越来越容易受到来自国内外网络的威胁。

  • 这是一个全国性的问题。商业和私营企业可以通过保护他们的信息系统资产来满足他们的风险管理需求，这与他们对资产的商业价值、脆弱性、还有它所面临的威胁——或者，他们可能只是将损失作为经营成本来冲销，或者通过保险获得某种形式的赔偿。然而，这些保护私人资产的措施不太可能足以解决更广泛的公共脆弱性和国家一级的威胁。通过基于网络的攻击对国家基础设施的主要部分造成大规模破坏的真正可能性导致了一个不可避免的结论，即这是一个国家层面的问题。在宪法的基本职责下，“保障国内安宁;规定共同防卫;在以信息为基础的国家灾难发生之前，联邦政府做出有效的反应是绝对必要的。

    联邦政府对NII执行关键政府职责(包括国家安全、国防、执法和公共安全职能)的高度依赖(并不断增加)突出了国家层面和问题的严重性。没有人知道政府对NII的可用性和完整性的确切依赖程度，但它是非常高的。知情的估计表明，执行政府基本职能所需的90%至95%的信息必须以某种方式由现有的国家信息研究所私人拥有和经营的部分的信息系统处理。

  • 联邦政府组织不力，资源不足，无法在可用性、完整性和机密性方面确保足够的NII安全性。有许多不同的委员会、委员会、工作组、论坛、委员会、咨询委员会等，分散在整个行政部门，每个部门在其范围内都有信息基础设施保障的某些方面。一些比较突出的包括:
  • 资讯基建专责小组(IITF)由资讯政策、电讯政策、应用及科技三个委员会，以及其他工作小组，如可靠性及脆弱性工作小组组成。

  • 安全问题论坛(SI金博宝正规网址F)，在IITF之下
  • 美国安全政策委员会(SPB)和安全政策论坛(SPF)的全职工作人员和五个委员会和许多工作小组
  • 安全政策咨询委员会(人员已由总统选定;SPAB应该很快被激活)
  • IITF NII咨询委员会
  • 国家安全电信咨询委员会(NSTAC)及其信息保障工作队
  • 国家通信系统(NCS)及其最近成立的信息保障办公室
  • 计算机系统安全隐私咨询委员会信息其若干委员会
  • 国家安全电信和系统安全委员会(NSTISSC)和委员会，包括一个NII特别工作组
  • 联邦计算机系统经理论坛几个密切相关的实体，主要在国防部，处理防御性信息战
  • 安全基础设施-项目管理办公室，由GSA管理

    尽管这些组织在许多点上相互交叉，但总体情况是分裂、重复和低效率。这至少体现在四个方面。

    (1)没有一个单一的实体具有足够的远见、责任和资源来有效地管理行政部门的努力，以实现信息基础设施保障的目标。兰德公司(Rand Corporation)的游戏项目《后天》(the Day After)最近强调了这一点。这次演习的大多数参与者都清楚，对美国发动致命的信息攻击是可行的，而且，由于这个“目标”是私人和国家分布式的，我们没有人负责，甚至没有人有能力共同采取必要的防御措施。正如国防科学委员会(Defense Science Board)在最近的一份报告中所指出的那样:“没有国家协调能力来对抗甚至检测结构性威胁。”

    (2)行政部门目前没有有效的组织或实体充当“公平法院”在做出与安全有关的政策决定相当平衡 - 并广泛被认为相当平衡国家安全，执法，商务和个人隐私的有时竞争但合法的利益。目前在国家利益中需要仔细余额的争论领域包括国家加密政策，出口管制和信息系统标准。然而，随着数字网络占据主导地位信息宇宙，将存在其他复杂的政策和资源问题，这必须根据整个国家最适合的基础决定，而不是哪种特定的官僚主义/选项赢得了哪些特别的官僚主义/选区金博宝正规网址政策战斗。如果政府能够找到最佳，平衡的解决这些未来挑战的能力，它将在行政部门内需要一位技术称职，资源良好和权威的“公平法”。

    （3）行政部门目前有四个重叠与安全相关的“运动”进行，他们的关系间和协调并不清楚。其中一项“运动”倾向于冠以“资讯保障”的旗号，由NCS/NSTAC领导。第二个密切相关的“运动”围绕着以国防部为中心的多样化的“防御信息战”努力。尽管防御性信息战的某些方面不属于信息保障/安全活动的范围(主要是预先信息战和情报战，大量的“防御性信息战”是传统信息系统安全(INFOSEC)活动和对策的同义词。这些信息安全活动和组织要素构成了执行部门内NII安全相关“运动”的第三个，也是最古老的，在国防部(特别是在NSA)和商务部(特别是在NIST)发展最迅速。第四种也是最近的一种“运动”是由各种各样的活动、委员会和工作组组成，主要在IITF的保护伞下，重点是“NII保护和隐私”。

    （4）有限的联邦政府资源，以实现信息基础设施保证似乎效率低下，无效，在整个行政部门散落。1987年的《计算机安全法》(Computer Security Act)受到的广泛批评之一是，该法律将大量的计算机系统安全责任分配给了商务部，但实际上没有提供执行这些责任的资源。然而，这只是从国家的角度来考虑在整个行政部门分配稀少的信息安全和保障资源时所出现的不合理现象之一。卓越的技术中心当然存在，但它们能否有效地、高效率地应用于最优先的问题是值得怀疑的。同样，用于信息保障研究和发展工作的资源似乎没有从国家的角度加以考虑或管理，因此可能会出现研究差距，或出现不必要的重复。应急资源是另一个肯定需要增加的关键领域，但任何这种增加都应从国家的角度出发，并在经过认真考虑的国家优先事项的基础上进行。信息系统互联网络的巨大增长，我们的信息基础设施价值的惊人增长和我们的政府在执行关键功能时对它的依赖，以及对NII日益明显的威胁和漏洞，所有人都指出，必须认真审查和调整这些有限的资源。确保我们国家信息基础设施健康的整体挑战已经变得太重要了，无法通过行政部门的各种委员会、理事会和工作组来解决

  • 国会要求行政部门制定并实施一项明确的计划，以应对NII面临的威胁和弱点．虽然国会还没有以一个单一的声音来解决它的关切，但参议员、众议员和各委员会已经越来越多地要求行政部门拿出应对NII安全的计划。

    SSCI关于96财年情报授权法案(第922条)的报告特别要求DCI和SECDEF准备“一份全面的报告:(a)确定对美国计算机和通信系统的主要威胁，包括政府和私营部门(即政府严重依赖的公共交换网络)的威胁;(b)为应对第(a)节所述的威胁提供一个全面的计划，包括保护美国政府或私人信息系统所需的任何必要的立法或规划建议。该报告应不迟于1996年3月1日提交情报委员会和国防委员会。”在一个几乎不加掩饰的威胁中，SSCI补充说:“在没有这样一个计划的情况下，委员会仍然怀疑通过增加国防部信息系统安全项目的资金可以获得的好处。”

    -参议员Kyl和Leahy提出了S.982，即“1995年NII保护法案”，并对国防授权法案(S.1026)增加了一项修正案。“要求总统分析所有问题，制定一个进步的、有凝聚力的国家政策，以保护我们的沟通能力、金博宝正规网址我们的国防结构和我们的信息。”凯尔在给他的参议院同事的信中写道:“我们必须从现在开始提高我们的努力来保护这个国家的国家安全利益。”

    这两项请求与其他国会会员和委员会的密切相关的评论，征求和立法提案，符合执行部门的总体需求，以阐明NII的漏洞和威胁，并提供真正的计划他们。到目前为止，没有行政部门实体出现在这一整体问题上回答国会邮件，并将一个凝聚力的国家政策和计划汇集在一起​​。鉴于我们目前的行政部门结构和资源，这些国会关切可能很快就会令人满意地解决。

    安全策略委员会和信息安全委员会

    创建和目的:美国安全政策委员会(SPB)和安全政策论坛(SPF)根据总统决定指令/NSC第29号于1994年9月16日成立。设立SPB是为了“审查并向国家安全委员会提出有关美国安全政策、程序和实践的立法倡议和行政命令的主要机制……”

  • C委员会结构:在理事会和论坛启动后不久，有人提议六个机构间委员会在SPF的主持下运作，并在主要安全纪律范围内起草政策。其中五个委员会已成功成立，目前正在处理设施保护、分类管理、人员安全、培训和专业发展以及政策整合等问题。然而，经过一年多的时间，董事会和论坛一直未能成立第六个拟议的委员会——“信息系统安全委员会”。

  • 资讯安全网陷入僵局的原因:SPB未能建立一个处理信息安全的机制的原因，根源于本文“情况”一节中概述的更大的问题和更广泛的国家挑战。金博宝正规网址中心问题围绕着委员会在信息系统安全和保证领域的章程和权力的范围。尽管委员会和论坛成员具有广泛的跨部门性质，但整个PDD-29结构被许多国防和情报部门以外的人视为国家安全部门的一个分支，因此不能作为一个

    批评人士指出如下事实:(1)董事会通过其国家安全顾问向总统报告;ReportsReports金博宝正规网址(2)董事会由DEPSECDEF和DCI共同担任主席;(3)委员会的全职工作人员由来自国防和情报部门的人员领导，并由大量人员组成。

    除了对执行局是否有能力为更大的国家利益充当“公平法庭”的关切外，还有一个密切相关的基本辩论，即是否有一个单一实体- -任何实体，SPB或其他-可或应获授权制定适用于信息系统处理机密/国家安全信息及非机密/敏感信息的政府资讯安全政策。关于这个争论有很多不同的观点，但它们可以归结为两种相反的观点:

    - 一个集团，主要是民事机构，OMB，信息产业以及主要专注于信息时代的个人自由/自由方面的人，认为它既不明智，理想，也不是合法的（引用计算机安全行为1987年）将政策制作结合在“分类”和“未分类”社区中。关于保护NII，这个群体的相当大部分将认为联邦政府几乎没有直接的作用，但应该降低/减少某些出口管制和“走开”。

    -主要在国防、情报、国家安全和应急准备/公共安全领域内的第二类人士认为，随着两类领域和NII各部门数字化互联网络的爆炸式发展，这种做法是不合时宜的、不明智的。以断裂的方式继续解决NII安全/保证问题和政策制定是不可行的。金博宝正规网址该小组还倾向于更多地关注国家一级对NII的威胁，并认为联邦政府在确保NII的健康和安全方面应发挥重要作用。

  • 为了打破僵局，应对信息基础设施保障挑战，需要在更高层次上采取行动。由于这些基本问题，SPB在信息系统安全方面的角色问题似乎不能在现有的PDD-29结构和环境中得到解决。本文件“情况”一节中提出的更广泛的金博宝正规网址问题似乎也无法在现有的环境中得到解决。然而，已经确定了一些想法和选择，它们可能为解决这些问题开辟道路。

    长期:越来越多的迹象(如果不是确凿的证据)表明，联邦政府可能有意或无意地打算成立一个部门或机构，更直接地处理新出现的NII所提出的无数问题。金博宝正规网址如果“信息资源部”、“国家信息基础设施局”、“联邦信息保障委员会”或……不管怎样，顺着这些线索…，那么在我们试图在现有的行政部门结构内处理当前问题时，记住这种可能性可能是有益的。金博宝正规网址

  • “第三波”。一些著名的“未来学家”和人类文明观察家指出，人类已经经历了历史上的两次转型“浪潮”——土地革命和工业革命，而我们正开始经历数字信息革命的“第三波”。托夫勒等人指出了“信息时代”已经产生的重大影响，但是他们认为，这仅仅是一场巨变浪潮的开始，这场巨变将极大地改变包括战争在内的生活的几乎每一个方面。

    执行历史．美国政府一开始有几个基本的行政职能和机构:财政部、国务院、陆军部和司法部。这些功能至今仍是政府的基本执行功能。然而，多年来，随着生活的某些方面开始结合成具有强烈特性的重要事项，联邦政府不可避免地要对这些压力和挑战作出反应，首先设立委员会，委员会，或类似的方法，以确保政府的利益和责任得到解决。因此，例如，国会种子分配计划(1831年)，为了应对农业科学的发展力量和内战时期对充足和安全食品的需求，于1862年成为农业部，并于1898年成为内阁部门。每一个行政分支部门或机构都是类似地在一系列问题合并后产生的，具有强烈的认同感，并要求政府采取直接行动或监管。金博宝正规网址最近的一个例子发生在1957年人造卫星发射后，政府开始行动，把国家航空咨询委员会变成了现在的NASA。

    政府对“第三次浪潮”的回应。一种解释最近有关NII的事件的方法是将其视为“第三波”前气压上升的早期反应。IITF的创立和构建可以被视为行政部门对数字信息时代给我们带来的一些重大问题的早期回应。金博宝正规网址参议员科恩和莱文在众议员克莱格的支持下，提出了5项简短的法案，即“1995年信息技术改革法案”。在第一版法案中，设立了一个由参议院确认的首席信息官(CIO)职位，向行政管理和预算局局长报告。这个CIO和他的首席信息办公室对信息技术获取和信息政策有广泛的权力，特别是包括INFOSEC。虽然其后版本的条例草案已删除了资讯科技总监，但条文仍规定成立一个由行政管理及预算局副局长担任主席的资讯科技总监委员会。这些以及联邦政府所有三个部门内的其他行动表明，政府正开始对数字信息革命带来的变革力量做出反应。随着这些势力越来越强大，政府可能会发现自己别无选择，只能创建一个重要的行政部门实体来更直接地与他们打交道。

    短期:SPB工作人员已确定若干可在短期内实施的方案。它们并不是相互排斥的，只是代表一些基本的方法，如果需要，可以进一步发展这些方法

  • 在PDD-29 SPB/SPF结构下成立信息保证委员会(IAC)。这样的委员会将负责信息保证政策，为这些政府制度处理分类和国家安全信息。它将负责所有行政部门国家安全努力处理信息保证的政策协调。它将提出适用于行政部门的政策，监管和立法，并负责影响对国家安全的私人和非政府实体。会员资格将从当前的SPF机构中汲取主席TBD。此选项有几个优点和与之相关的少数。

    优点:

      +它打破了SPB长期以来的僵局，部分填补了关键安全学科的“缺失漏洞”

      +取决于用于“国家安全”的定义和边界，“政策”和“信息保证”，这不会被视为激进的举动，并且可能是政治上的可行模式。

      +这将符合OMB通告A-130的修订草案，将SPB的INFOSEC权限限制在处理国家安全信息的系统上。

      +在SPB级别，它将提供信息保证更高的知名度和个人资料，而不是当前的NSTISSC。“信息保证”是比Infosec更广泛的术语，这样的委员会名称远离与“安全”相关的有时负面行李“Infosec”，“防守”和“战争”。

      +如果合适的话，它可以在以后进行修改或扩展，以解决所有信息保障问题，而不仅仅是国家安全系统。

    缺点:

      -它将与现有的NSTISSC非常相似，可能会被吸收到IAC的结构中。这将需要更换或替换NSD-42。这将影响NSD-42的“国家管理”结构和发行系统。

      -需要比SPB工作人员目前拥有的更多的工作人员支持。这至少需要国家技术支助委员会秘书处提供的工作人员支助。

      -这可能会影响到未来的SPB发行系统，以确保它与NSTISSC的重要机构和前身组织发行的向后兼容。

      -尽管限于“国家安全体系”，但仍可能遭到政治上的反对。

      -它倾向于默认或赞同“机密”和“非机密”群体可以而且应该在信息系统安全政策上分开对待的观点。它只会避免这个基本问题。

  • 拓宽NSTAC的章程。总统的国家安全电信咨询委员会(NSTAC)成立于1982年，是目前NII的一部分，在解决安全性和健壮性方面最成功的实体之一。扩大其章程，修改其成员，以反映除电信、安全和国家安全之外的NII问题的全面范围，这可能是有益的。金博宝正规网址例如，它可以成为一个国家信息保障咨询委员会，并可能从IITF的NII咨询委员会的现有代表中抽取一些成员。(注:这个想法是在95年11月20日的Sally Katzen的安全问题论坛上独立提出的，并受到普遍欢迎。金博宝正规网址

  • 在国家安全委员会内建立信息保障重点。根据这一选择，总统将在国家安全委员会内设立一个“总统特别助理和高级主任”。这个办公室最初应该有两到三个主任，一个技术主任和一个秘书。董事的责任可以分为几个方面，但至少在最初，他们可以集中在政策和活动

    (1)国家安全共同体，
    (2)民间政府团体，和
    (3)私营部门。

  • 在总统的执行办公室设立一个新的机构来解决信息保障问题．这将需要一个行政命令来启动这个新机构。它将负责:

    - 协调和巩固所有执行分支信息保证活动

    -发布有关信息保障的国家政策和指示

    - 提出和审查与信息保证的立法或触及触摸的立法

    -审查整个行政部门的信息保障预算，包括研发预算;与管理和预算办公室和OSTP密切协调。

    -编制和维护行政部门信息保证活动的总体计划

    -在信息保障事务方面，担任行政部门的联络中心;特别是作为联邦政府其他分支机构的POC。

    回到政府保密项目首页