close
近年來，各國網絡安全領域的立法呈現集中爆發之勢。由於網絡安全越來越同國傢安全、反恐等密切相紅貴賓飼料關，因此網絡安全立法的外延也在不斷擴展，關鍵基礎設施、網絡人才儲備、網絡監控、信息共享等都被納入其中。美國的《網絡安全法案》就相當有代表性。
2015年年底，在美國國會例行通過的年度《綜合財政撥款法》中，《網絡安全法案》被夾在其中，一並出臺。法案由《網絡安全信息共享法》、《國傢網絡安全促進法》、《聯邦網絡安全人力資源評估法》等共計四章四十七節構成，是一部組合性質的法律。
——系列核心定義的范圍被擴展，“網絡安全”所指內容由之前單一的“信息系統安全”調整為“信息系統安全和網絡數據安全”兩大部分。
法案所謂“網絡安全”，一是傳統意義上的“信息系統安全”，二是“數據安全”，具體包括三種形態，“存儲在信息系統上的”、“正處於處理過程中的”、“途經該信息系統的”，所有牽涉到這三種形態臘腸狗飼料推薦的數據，都屬於這部法案最新調整的范圍。
在新思路的引領之下，系列定義被重新調整。如，法案SEC.102（5）“網絡安全威脅”，是指“可能對某一信息系統的安全、有效、機密和完整等屬性造成負面影響的未經授權的行動，或者對存儲於該信息系統的數據、正在該信息系統上處理的數據、途經該信息系統的數據造成負面影響的未經授權的行動”。
——法案對國土安全部大力授權，助其成為美國網絡安全權力架構的最核心。
體現在三個方面，其一，法案授權國土安全部作為美國網絡安全信息共享的樞紐，不僅是私營部門向聯邦政府機構進行信息傳遞的樞紐，也是聯邦政府各機構之間信息共享的樞紐，由此，國土安全部將一舉躍升為美國網絡數據最大的存儲基地和中轉港。其二，法案重新確認國土安全部在網絡安全事故應急處置和關鍵基礎設施安全保障兩大任務中的牽頭部門地位，新增其在網絡安全人才教育培養中的負責部門地位。其三，法案授權新設國傢網絡安全和通信一體化中心，為國土安全部下設機構的權力再度加碼。
——以網絡安全為名，法案賦予美國網絡服務提供商史無前例的網絡監控權。
法案SEC.104節名為“網絡安全威脅之防止、發現、分析和減輕等系列行動之授權”，其核心是授予網絡提供商對網絡實施監控，並采取所有必要的防禦行動。
依據SEC.104（a），監控目標可以是自傢網絡信息系統，也可以是其他任何網絡提供商的信息系統，隻要獲得書面同意即可。此外，對於那些被存儲於、正處於處理過程中的、途經該信息系統的數據，均可實施監控。
啟動監控之後，網絡提供商可采取SEC.104（b）所規定的各項防禦措施。值得註意的是，法案授權網絡提供商可以與其他主體簽訂書面協議，授權其代表自己對網絡實施監控和采取防禦行動，即，監控行動可以被外包出去。此類規定給人的想象空間實在巨大，比如，外包的主體可以理解為市場上專業的網絡安全公司，但也極有可能是國傢安全局、中央情報局這樣的老牌情報機構。法案這種無所控制的規定，基本可以視為2013年棱鏡事件之後，美國在網絡監控方面的又一次立法大擴張。
——新設信息共享制度，將私營部門和聯邦政府各部門擰成一股繩。
信息共享的主線有兩條，一是私營機構向聯邦政府進行信息共享，二是聯邦政府各部門之間的信息共享。共享的內容包括網絡威脅跡象、防禦措施、安全漏洞等等。共享主體上，主要由國土安全部部長、國傢情報總監、國防部部長領銜，具體牽涉某一類信息到底在何種范圍共享之類的法律細則將再行制定。
——網絡安全人才教育和專業培養，百年樹人，著眼長遠。
網絡安全的特殊重要性促使法案將網絡安全人才單獨列出來進行重點培養。法案提出“網絡安全教育之國傢倡議”，由國土安全部、國傢標準技術研究院、聯邦情報機構牽頭，對網絡安全和信息技術類人才進行專門培養，設定人員上崗要求，並對網絡安全、相關工種進行全國統一職業編碼。法案要求立即啟動全國網絡安全緊缺人才的申報和確認工作。
除以上之外，法案還規定瞭其他內容，如，要求對移動設備安全、網絡醫療、網絡金融等領域的安全予以前瞻性研究，進行重點關註。對2011年白宮《網絡空間國際戰略》發佈5年以來的實施效果進行評估，並計劃2016年年底之前出臺新版《網絡空間國際戰略》。
總體上看，《網絡安全法案》是美國立法機構動用國傢強制力對網絡空間進行規則重塑的又一部文本典范。其思想基本延續瞭《國土安全法案》、《愛國者法案》、《外國情報監控法案》、《美國自由法案》的立法精髓，體現瞭美國思維。
制度搭建方面，很多構想十分超前，力透紙背。比如，關鍵基礎設施的安全保障計劃從之前的“100%安全目標”調整為“基於風險”，將“某一”關鍵基礎設施遭受網絡攻擊的情景假設調整為“多個”關鍵基礎設施“同時”遭到極其重大網絡攻擊，並引發毀滅性後果的情景假設。類似此類的考慮，其實質是將立法思路整體轉變為重大災難很難回避的假設，這在全球恐怖主義襲擊線上線下聯動的背景之下，是有其現實意義的。
管轄范圍方面，條文跨越國界，對全球網絡安全進行管控。一方面，對於自然人，一旦觸犯美國法律，不管你是哪國人，翻遍全球也要追捕到底。SEC.403節規定，美國法官在“確信”的情況下，可以向任何國傢網絡犯罪分子發佈逮捕令，可以動用國際刑警組織發佈紅色通緝令，實施抓捕行動。另一方面，對於其他國傢，美國並不致力於塑造和諧、和平、友好的對外形象，尤其是對中國、俄羅斯、巴西和印度，美國將特別關註其在國際網絡空間規則制定方面的一舉一動，比如這些國傢提出的一些新詞匯。
時間效力方面，法案有效期為10年，截至2025年年底失效，這與那些致力於法典化的國傢相比，期限的確短暫，但也恰恰因此，法案的思路不以理論公正為目標，而是追求一種立竿見影的實際效果，有些制度甚至以1年或者3年為期。相比於那些反反復復斟酌詞匯、希望網絡安全立法條文“一部永流傳”的國傢，美國的出發點是角力當下。
很難想象10年之後，另一部美國網絡安全法將會以何種面目出現。但變化的其實是形式，不會改變的，是美國立法機構將網絡空間視為自傢資產並掌控全球的慣性思維。從9·11之後的《愛國者法案》，到反恐背景下的《美國自由法案》，再到目前的《網絡安全法案》，脈絡其實始終清晰，美國立法不追求說服別人，隻要說服自己即可。
(原標題：網絡安全不再狗飼料推薦隻是“網絡”安全)
本文來源：中國信息產業網-人民郵電報
責任編輯：王曉易_NE0011
B4BC5953F69239F1
文章標籤
全站熱搜
留言列表
