久久久91-久久久91精品国产一区二区-久久久91精品国产一区二区三区-久久久999国产精品-久久久999久久久精品

2019年8月，美國政府問責署（GAO: Government Accountability Office）發(fā)布《關鍵基礎設施保護：采取措施應對電網(wǎng)面臨的重大網(wǎng)絡安全風險》（《CRITICAL INFRASTRUCTURE PROTECTION：Actions Needed to Address Significant Cybersecurity Risks Facing the Electric Grid》）報告。

該報告對美國電網(wǎng)面臨的網(wǎng)絡安全風險和挑戰(zhàn)進行了分析，描述了聯(lián)邦機構應對電網(wǎng)網(wǎng)絡安全風險所采取的措施，同時指出，能源部應對電網(wǎng)網(wǎng)絡安全風險和挑戰(zhàn)的戰(zhàn)略并不充分，能源監(jiān)管委員會批準的標準也并未能完全解決電網(wǎng)面臨的網(wǎng)絡安全威脅，最后對政府相關部門提出了建議。

電網(wǎng)的主要功能包括電能的生產與存儲、傳輸及配送。美國大多數(shù)電網(wǎng)是由私營企業(yè)擁用和運營的，東部電網(wǎng)、西部電網(wǎng)和德克薩斯電力可靠性委員會所運營的三個大型電網(wǎng)共同構成了美國電網(wǎng)，它們彼此獨立運行，相互之間的電力互動能力有限。

電網(wǎng)通常被認為具有彈性，能快速應對各類電網(wǎng)故障。面對颶風等大規(guī)模災害，電網(wǎng)運維人員可通過事先采取措施，對關鍵設備設施進行保護，制定恢復計劃并部署人員，實現(xiàn)災后快速恢復電力供應。

但網(wǎng)絡攻擊往往具有突發(fā)性，電網(wǎng)運維人員無法事先準備預案，應對這類攻擊比應對特定區(qū)域的災難事故難度更大。

為加強關鍵基礎設施（包括電網(wǎng)）安全防護，美國制定了系列重要的基礎設施保護原則和關鍵計劃，包括《總統(tǒng)21號政策指令》《國家基礎設施保護計劃》《13636號行政命令》《13800號行政命令》《網(wǎng)絡安全戰(zhàn)略》等。

同時通過頒布電網(wǎng)網(wǎng)絡安全法規(guī)，明確了FERC（聯(lián)邦能源監(jiān)管委員會）是州際電力傳輸?shù)穆?lián)邦監(jiān)管機構，負責審查和批準標準以確保大功率電力系統(tǒng)的可靠運行。

NERC（北美電力可靠性公司）是美國政府指定的電力可靠性組織，負責進行可靠性評估并執(zhí)行強制性標準，以確保大功率電力系統(tǒng)的可靠性。FERC監(jiān)督NERC，批準了11項電力關鍵基礎設施保護的網(wǎng)絡安全標準，目前已強制執(zhí)行其中10項。

同時明確網(wǎng)絡事件報告也是美國聯(lián)邦和非聯(lián)邦監(jiān)管工作的重要組成部分，法律要求電網(wǎng)所有者和運營商在滿足某些標準時向能源部報告大型電力系統(tǒng)事件。

除闡述上述電網(wǎng)基礎設施保護的背景、舉措外，該報告重點論述四個方面內容（觀點）：

（一） 美國電網(wǎng)面臨巨大網(wǎng)絡安全風險和挑戰(zhàn)

一是國家、犯罪集團、恐怖分子等網(wǎng)絡威脅參與者越來越有能力攻擊電網(wǎng)。

《2019年美國情報界全球威脅評估報告》指出，國家、犯罪集團、恐怖分子是發(fā)動針對美國電網(wǎng)等關鍵基礎設施網(wǎng)絡攻擊的最大威脅來源。此外，黑客以及內部人員等也對電網(wǎng)網(wǎng)絡安全構成顯著威脅。這些行為體越來越善于針對電網(wǎng)工業(yè)控制系統(tǒng)進行網(wǎng)絡攻擊，與此同時，利用電網(wǎng)工業(yè)控制系統(tǒng)漏洞的工具越來越容易獲取，對電網(wǎng)發(fā)起網(wǎng)絡攻擊的門檻正逐步降低。

二是隨著工業(yè)控制系統(tǒng)和物聯(lián)網(wǎng)設備連接邊界的擴張，美國電網(wǎng)變得更容易受到網(wǎng)絡攻擊。對電網(wǎng)網(wǎng)絡攻擊主要有以下三個途徑，

首先是通過工業(yè)控制系統(tǒng)。

電網(wǎng)工業(yè)控制系統(tǒng)中集成了大量使用傳統(tǒng)IT網(wǎng)絡協(xié)議的廉價且通用的設備，為網(wǎng)絡攻擊提供大量侵入點，尤其是很多工業(yè)控制系統(tǒng)設備具備遠程接入能力，且越來越多的工業(yè)控制系統(tǒng)被接入到公司商業(yè)網(wǎng)絡中。

其次是通過連入電網(wǎng)的消費類物聯(lián)網(wǎng)設備。

2018年大學研究人員模擬了操縱智能家用設備對電網(wǎng)進行攻擊的可行性及影響，其發(fā)現(xiàn)攻擊者可以利用物聯(lián)網(wǎng)設備組成僵尸網(wǎng)絡，并操縱電網(wǎng)用電需求，最終可達到使電網(wǎng)癱瘓的目的。

最后是通過全球定位系統(tǒng)。

電網(wǎng)依賴于全球定位系統(tǒng)授時，以監(jiān)測和控制發(fā)電、輸電和配電。根據(jù)美國能源部的信息，全球定位系統(tǒng)信號容易被惡意攻擊者利用。

三是美國還未發(fā)生因網(wǎng)絡攻擊造成電網(wǎng)停電的案例，但對工業(yè)控制系統(tǒng)進行網(wǎng)絡攻擊導致停電、甚至物理損壞的可能性是真實存在。

美國暫未發(fā)生網(wǎng)絡安全事故影響到電網(wǎng)可靠性的案例，但在其他國家已有發(fā)生。例如，2015年12月，惡意行為者對烏克蘭三家配電商進行了網(wǎng)絡攻擊，造成約225,000名用戶斷電。雖然GAO沒有找到證據(jù)表明網(wǎng)絡攻擊對電網(wǎng)造成了物理損壞，但是針對其他行業(yè)的工業(yè)控制系統(tǒng)的網(wǎng)絡攻擊是有可能造成損壞的。

此外，聯(lián)邦機構針對電網(wǎng)工業(yè)控制系統(tǒng)網(wǎng)絡攻擊的潛在影響進行了三項評估，盡管相關評估具有一定的局限性，無法確定網(wǎng)絡攻擊可能導致的停電規(guī)模，但都一致認可網(wǎng)絡攻擊是會對電網(wǎng)造成破壞。

四是美國在應對電網(wǎng)網(wǎng)絡安全風險方面面臨嚴峻挑戰(zhàn)。

主要體現(xiàn)在網(wǎng)絡安全人才不足、缺乏信息共享機制、防護資源投入不足、依賴其它易受網(wǎng)絡攻擊的關鍵基礎設施、網(wǎng)絡安全標準和指南實施不確定性等重大挑戰(zhàn)。

（二）美國采取多項措施應對電網(wǎng)網(wǎng)絡安全風險

一是能源部、國土安全局及其它聯(lián)邦機構采取措施應對基礎設施網(wǎng)絡安全風險，旨在應對電網(wǎng)網(wǎng)絡安全風險。

這些措施與美國國家標準技術研究所的網(wǎng)絡安全框架相一致，主要包括以下三個方面：

1）保護系統(tǒng)以降低網(wǎng)絡安全風險和漏洞威脅。美國通過提供旨在防止網(wǎng)絡安全入侵的功能和網(wǎng)絡安全實踐的培訓與指導等保護措施，協(xié)助電網(wǎng)公司及運營商實施減輕網(wǎng)絡安全風險。

2）識別網(wǎng)絡安全威脅和漏洞并檢測潛在的網(wǎng)絡安全事件。美國通過提供威脅和漏洞信息，執(zhí)行風險評估，進行取證分析以及幫助電力公司識別網(wǎng)絡安全風險并檢測事件。

3）對網(wǎng)絡安全事件進行應急響應與恢復。美國已經制定了政策和計劃來確定聯(lián)邦機構各自的職責，以響應電網(wǎng)網(wǎng)絡安全事件并恢復正常運行。

二是聯(lián)邦能源監(jiān)管委員會出臺監(jiān)管措施來解決網(wǎng)絡安全問題。

聯(lián)邦能源監(jiān)管委員會主要監(jiān)管舉措涵蓋以下四個方面：

批準適用于大規(guī)模電力系統(tǒng)的強制性網(wǎng)絡安全標準。

以民事處罰手段來強化監(jiān)管。

對電力可靠性委員會的運作情況進行稽查。

對電網(wǎng)機構遵守強制性網(wǎng)絡安全標準的情況進行稽查。

（三）政府相關部門現(xiàn)有應對措施的不足

盡管美國采取了多項措施應對電網(wǎng)網(wǎng)絡安全風險，但仍然存在諸多不足，美國政府問責署通過調查，主要提出了2個方面的不足。

一是能源部還未制定解決電網(wǎng)網(wǎng)絡安全風險與挑戰(zhàn)的戰(zhàn)略。

國家網(wǎng)絡戰(zhàn)略和國土安全部網(wǎng)絡安全戰(zhàn)略等文檔中已經列出了應對網(wǎng)絡威脅的更廣義的聯(lián)邦戰(zhàn)略，這些戰(zhàn)略已經詳細刻畫了國家戰(zhàn)略應該具備的關鍵特征。

能源部聲稱其用于解決電網(wǎng)面臨的網(wǎng)絡安全風險與挑戰(zhàn)的計劃與評估文件與更廣義的網(wǎng)絡安全框架符合，并且允許能源部在達成其目標時具備靈活性。

但其并未針對電網(wǎng)所面臨的特有的安全威脅與挑戰(zhàn)，也并未包括所有國家戰(zhàn)略的關鍵特征。

因此，能源部應當提供一份旨在解決電網(wǎng)面臨的特定的網(wǎng)絡安全風險與挑戰(zhàn)的戰(zhàn)略，其指導性才能夠滿足決策者為解決風險與挑戰(zhàn)配置資源的需求。

二是聯(lián)邦能源監(jiān)管委員會批準的標準也并未能完全解決電網(wǎng)網(wǎng)絡安全問題。

聯(lián)邦能源管理委員會批準的網(wǎng)絡安全標準并未完全涵蓋美國國家標準技術研究所網(wǎng)絡安全框架中的五個功能及其對應的分類。

準確說來，標準只涵蓋其中兩項功能的大部分分類，另外三項功能的分類只涉及一部分。

此外，聯(lián)邦能源管理委員會并未評估針對地理上分散的多個目標進行的協(xié)同網(wǎng)絡攻擊風險應對標準與所有網(wǎng)絡安全標準的符合度。

（四）對政府部門的建議

圍繞上述分析，美國政府問責署提出了三項建議：一項針對能源部，兩項針對聯(lián)邦能源監(jiān)管委員會。

美國政府問責署向能源部提出建議：制定旨在實施聯(lián)邦電網(wǎng)網(wǎng)絡安全戰(zhàn)略的計劃，并確保該計劃解決國家戰(zhàn)略的關鍵問題，包括全面評估電網(wǎng)網(wǎng)絡安全風險等。

美國政府問責署向聯(lián)邦能源監(jiān)管委員會提出了以下兩項建議：

一是考慮對其已批準的網(wǎng)絡安全標準進行更改，以更全面地補充美國國家標準技術研究所網(wǎng)絡安全框架。

二是評估針對地理分布目標進行協(xié)同網(wǎng)絡攻擊的潛在風險，并根據(jù)評估結果確定是否需要更改閾值，以強制遵守全部網(wǎng)絡安全標準的要求。

關鍵信息基礎設施安全穩(wěn)定運行直接關系國家安全、經濟安全、社會穩(wěn)定、公眾健康和安全。

今年3月，委內瑞拉發(fā)生大規(guī)模停電事件，初步分析很可能由于網(wǎng)絡攻擊導致，這是繼“伊朗核設施震網(wǎng)病毒攻擊”、“烏克蘭電網(wǎng)攻擊”后，主權國家關鍵信息基礎設施遭受嚴重破壞的又一標志性事件，引起國際各方關注。

從此次及過往類似事件我們可以看到，通過網(wǎng)絡攻擊敵對國家關鍵信息基礎設施已經成為國家間對抗的優(yōu)先選擇，也是網(wǎng)絡空間攻擊破壞的重要途徑。關鍵信息基礎設施安全保護工作成為世界各國網(wǎng)絡安全防御關注的重點。

根據(jù)對美國保護關鍵信息基礎設施情況的跟蹤研究發(fā)現(xiàn)，其在政策支持、標準制定、技術研究等方面均對關鍵信息基礎設施網(wǎng)絡安全發(fā)展有著日益顯著的支持。

《關鍵基礎設施保護：采取措施應對電網(wǎng)面臨的巨大網(wǎng)絡安全風險》報告對電網(wǎng)面臨的網(wǎng)絡安全風險及應對措施進行了分析，該報告的觀點說明了即使是在美國已經高度重視關鍵信息基礎設施安全保護的情況下，現(xiàn)有防護成效還遠遠不如預期。

在我國，2016年11月頒布的《網(wǎng)絡安全法》第一次正式明確了關鍵信息基礎設施的概念。《國家網(wǎng)絡空間安全戰(zhàn)略》將關鍵信息基礎設施保護提升到國家網(wǎng)絡安全戰(zhàn)略高度。

《關鍵信息基礎設施安全保護條例（征求意見稿）》進一步提出了更細致、全面的要求，確立了我國關鍵信息基礎設施的具體保護框架，加速推進了關鍵信息基礎設施保護標準化工作。

中央網(wǎng)信辦組織開展全國范圍關鍵信息基礎設施網(wǎng)絡安全調查檢查工作，公安部在每年的網(wǎng)絡安全執(zhí)法行動檢查中，對關鍵信息基礎設施保護工作也開展了相關調查和檢查。

《關鍵基礎設施保護：采取措施應對電網(wǎng)面臨的巨大網(wǎng)絡安全風險》報告對推進我國關鍵信息基礎設施安全保護工作有借鑒意義，主要可以總結歸納為以下四個方面。

（一）政府需從政策規(guī)劃、法律法規(guī)等方面提供切實保障，強化頂層戰(zhàn)略謀劃。

美國高度重視關鍵信息基礎設施安全保護問題，通過國家頂層法規(guī)政策，從宏觀層面強調關鍵基礎設施信息安全的重要性，在第7號國土安全總統(tǒng)令、第21號總統(tǒng)令、國土安全國家戰(zhàn)略等多項總統(tǒng)令與國家戰(zhàn)略中提及關鍵基礎設施，并強調其信息安全的重要性。

此外，相繼出臺《關鍵基礎設施信息保護法》《國家基礎設施保護預案》《國家網(wǎng)絡安全和關鍵基礎設施保護法案》《國家關鍵基礎設施信息安全框架規(guī)范》《關鍵基礎設施威脅信息共享規(guī)范》等法規(guī)文件，以加大對關鍵信息基礎設施的保護力度。關鍵基礎設施安全保護的戰(zhàn)略思路和法律政策，從一開始就與國家安全相銜接。

隨著我國網(wǎng)絡強國戰(zhàn)略的深化和實施，關鍵信息基礎設施在國民經濟和社會發(fā)展中的基礎性、重要性、保障性、戰(zhàn)略性地位也日益突出，針對關鍵信息基礎設施安全，我國急需加快出臺國家關鍵信息基礎設施安全保護相關法規(guī)文件，用于指導關鍵信息基礎設施安全保護工作的開展實施。

目前，國家《網(wǎng)絡安全法》首次以立法形式明確提出要保護關鍵信息基礎設施的平穩(wěn)運行，并對其認定、管理、建設做了全面要求。《關鍵信息基礎設施安全保護條例》尚處于征求意見階段。

關鍵信息基礎設施安全保護工作部門針對本領域本行業(yè)的相關戰(zhàn)略規(guī)劃以及具體舉措還需加快制定。

（二）制定完善關鍵信息基礎設施安全保護標準規(guī)范，強化標準引領作用。

標準規(guī)范是加強關鍵信息基礎設施安全保護的一項重要舉措。美國2013年發(fā)布了《關鍵基礎設施網(wǎng)絡安全框架》，從識別、保護、檢測、響應、恢復五個維度以及資產管理、人員評估、安全意識培訓、連續(xù)監(jiān)測、響應恢復等方面加強網(wǎng)絡安全風險管理。

2017年5月又發(fā)布了《聯(lián)邦機構實施網(wǎng)絡安全框架指南》，從整合安全風險、管理安全需求、調整采購流程、評估網(wǎng)絡安全、管理安全計劃、了解安全風險、報告安全風險以及通知剪裁流程等八個方面指導聯(lián)邦政府機構實施網(wǎng)絡安全框架。

盡管美國在標準規(guī)范方面已經開展了大量工作，但GAO發(fā)布的報告中仍強調了現(xiàn)有標準尚不能滿足行業(yè)關鍵信息基礎設施安全防護的需要。

我國《網(wǎng)絡安全法》和《關鍵信息基礎設施安全保護條例（征求意見稿）》都明確規(guī)定要求運營者按照國家標準的強制性要求履行響應安全保護義務，但目前我國尚未建立關鍵信息基礎設施安全保護標準規(guī)范體系。

應當結合國際國內現(xiàn)有網(wǎng)絡安全標準，制定和完善關鍵信息基礎設施安全保護標準規(guī)范，進一步明確和細化關鍵信息基礎設施范疇以及運營者的職責義務，指導運營者強化防護能力建設，促進運營者加強網(wǎng)絡安全風險管理。

（三）構建全面的關鍵信息基礎設施安全保障體系，筑牢網(wǎng)絡安全防線。

關鍵信息基礎設施是國家網(wǎng)絡防御的核心，建立有韌性的網(wǎng)絡防御體系是世界各國的戰(zhàn)略目標。針對關鍵信息基礎設施安全保護，美國主要在以下四個方面實施了具體舉措。

一是開發(fā)和部署先進性的技術。2011年美國《聯(lián)邦網(wǎng)絡空間安全研發(fā)戰(zhàn)略規(guī)劃》，提出重點發(fā)展具有“改變游戲規(guī)則”潛力的革命性技術，并確定了四個研發(fā)主題。

二是部署動態(tài)風險評估系統(tǒng)。美國在聯(lián)邦機構部署“愛因斯坦2”和“愛因斯坦3”，并在各網(wǎng)絡運行中心啟用并支持共享的風險感知和協(xié)作。

三是加強公私合作和安全威脅信息共享。美國將共享網(wǎng)絡安全威脅信息和共同處理危機事件作為關鍵信息基礎設施合作的主要內容。

四是規(guī)劃和執(zhí)行對網(wǎng)絡安全事件的協(xié)調反應。通過定期的實戰(zhàn)演練，增強安全事件發(fā)生后的響應和恢復能力。

由于網(wǎng)絡空間瞬息萬變、攻防技術不斷升級等多種主客觀原因，我國關鍵信息基礎設施尚未形成具有整體協(xié)同能力的防御體系。

“對手是否來過不清楚”、“威脅在哪不知道”的情況在關鍵信息基礎設施防護中普遍存在，對新型威脅不敏感甚至難以有效及時發(fā)現(xiàn)，對網(wǎng)絡安全的整體性、動態(tài)性、開放性、相對性和共同性認識嚴重不足，傳統(tǒng)防御體系“感而不知、掩耳盜鈴”的現(xiàn)實狀況，已經成為我國關鍵信息基礎設施防護的重大瓶頸。

因此，我國急需建立全面的關鍵信息基礎設施網(wǎng)絡安全防護體系。

一是加強網(wǎng)絡安全技術自主創(chuàng)新。

強化漏洞挖掘、風險研判、威脅分析等技術手段建設，加強新技術應用網(wǎng)絡安全防護相關技術研究，著力提升網(wǎng)絡安全技術保障能力。

二是建立網(wǎng)絡安全態(tài)勢感知與監(jiān)測預警體系。

大力推進軍民融合，協(xié)同攻關，突破核心關鍵技術，推動相關平臺建設，全面提高網(wǎng)絡安全防御的主動性。

三是構建網(wǎng)絡安全威脅情報知識共享體系。

構建網(wǎng)絡安全風險信息共享機制，建設中立、共享、信任的威脅情報交換平臺，實現(xiàn)網(wǎng)絡安全風險信息、消減方案、安全態(tài)勢的及時共享與通報。

四是建立應急響應協(xié)同機制。

組織開展跨區(qū)域、跨行業(yè)的攻防演練、應急演練、資源協(xié)同、指揮聯(lián)動，提升關鍵信息基礎設施對抗國家級網(wǎng)絡攻擊的應急響應處置能力。

（四）加強網(wǎng)絡安全隊伍建設與人才培養(yǎng)，提升網(wǎng)絡安全意識和防護技能。

美國歷年主要的網(wǎng)絡安全戰(zhàn)略文件，無一例外均囊括“提升網(wǎng)絡安全意識、加強網(wǎng)絡安全教育”的內容。

美國2010年4月啟動“國家網(wǎng)絡安全教育計劃”（NICE），其初衷是統(tǒng)籌協(xié)調政、產、學、研各利益相關方，全盤布局、加強協(xié)調，實現(xiàn)網(wǎng)絡安全人才工作的有序推進。

該計劃由美國商務部國家標準與技術研究院（NIST）牽頭，國土安全部（DHS）、國防部（DOD）、教育部（DoED）等十余個部委共同參與、各司其職，其中，DHS和DOD主責的職業(yè)發(fā)展工作推出了《網(wǎng)絡安全職業(yè)和研究國家倡議》（NICCS），匯聚大量職業(yè)培訓資源為美國聯(lián)邦政府及關鍵基礎設施網(wǎng)絡安全人才能力提升提供支持。

盡管美國已高度重視人才培養(yǎng)，但GAO報告中仍強調在關鍵信息基礎設施安全保護領域仍存在網(wǎng)絡安全人才不足的情況。

我國急需加強人才發(fā)展統(tǒng)籌規(guī)劃和分類指導，組織實施人才培養(yǎng)計劃，加大專業(yè)技術人才和管理人才的培養(yǎng)力度，完善從專家團隊、骨干核心團隊到專業(yè)技術人才等各層次的人才培養(yǎng)體系。

一是要進一步提升國家對網(wǎng)絡安全人才及人才工作的戰(zhàn)略重視程度，通過各類行政和立法手段為網(wǎng)絡安全人才隊伍建設提供實施保障，各級政府、關鍵信息基礎設施運營者，應加快推進網(wǎng)絡安全崗位人員規(guī)模和能力的測評工作，制定并落實專門的網(wǎng)絡安全人才隊伍建設方案。

二是要充分認識網(wǎng)絡安全崗位分類規(guī)范及能力標準的基礎性作用，加快推進網(wǎng)絡安全人才評價指標體系的研究和編制工作，積極實現(xiàn)對網(wǎng)絡安全人才的分類施策，并將其作為教育、培訓、評價和管理的重要依據(jù)。

三是要重點關注網(wǎng)絡安全從業(yè)人員群體，完善職業(yè)培訓體系，持續(xù)提升網(wǎng)絡安全從業(yè)人員隊伍整體能力。

四是加大關鍵信息基礎設施安全保護宣傳力度，開展網(wǎng)絡安全宣傳周活動，普及網(wǎng)絡安全基本知識和技能。

報告解讀作者簡介：

1.馬曉旭，中電科網(wǎng)絡空間安全研究院戰(zhàn)略與總體所，國防科技工業(yè)網(wǎng)絡安全創(chuàng)新中心，博士，高級工程師，主要研究方向為網(wǎng)絡安全。

2.張玲，中電科網(wǎng)絡空間安全研究院戰(zhàn)略與總體所副所長，國防科技工業(yè)網(wǎng)絡安全創(chuàng)新中心，碩士，高級工程師，主要研究方向為網(wǎng)絡安全戰(zhàn)略研究。

報告譯者：中電科網(wǎng)絡空間安全研究院牛長喜，朱治丞，羅仙

來源： 信息安全與通信保密雜志社