美国全方位构建网络空间安全战略

可信身份国家战略：建立身份生态体系

美国发布了《网络空间可信身份国家战略》(简称NSTIC)，计划用10年左右的时间，通过政府推动和产业界努力，建立一个以用户为中心的身份生态体系。



在NSTIC体系环境下，个人和组织遵循协商一致的标准和流程来鉴别和认证数字身份，从而实现互相信任。为此，美国成立了专门办公室(NPO)，负责协调政府和私人部门的活动，并牵头制定实施路线图。

总体来说，该战略共8章，核心内容包括指导原则、前景构想、身份生态体系构成、任务目标和行动实施。具体内容如下：

第一，NSTIC明确身份生态体系必须遵循4个原则：一是身份解决方案应当增强隐私保护并且由公众自愿应用；二是身份解决方案应当是安全、可扩展的；三是身份解决方案应当是互操作的；四是身份解决方案应当是高效且易于应用的。

第二，NSTIC提出的愿景和构想是个人和组织可利用安全、高效、易用和具备互操作的身份解决方案，在一种信心提高、隐私保护意识增强、选择增多和创新活跃的环境下获得在线服务。该构想是以用户为中心的身份生态体系，适用于个人、企业、非赢利性组织、宣传团体、协会和各级政府。

第三，NSTIC提出身份生态体系由参与者、策略、流程和相关技术构成。参与者主要包括个人、非个人实体、身份提供者、属性提供者、依赖方等。个人或非个人实体是在线交易或使用在线业务的主体，他们从身份提供者处获得身份证书，从属性提供者处获得相关属性声明，并将身份证书和属性声明直接展示给依赖方，以从事在线交易或使用在线业务。身份生态体系的策略基础是身份生态体系框架，该框架为体系的所有参与者提供了一套基础标准和政策。

第四，为确保身份生态体系的建立，NSTIC明确了4项任务和目标：一是制定身份生态体系框架，细分任务包括建立隐私保护机制、建立基于风险模型的身份鉴别和认证标准、界定参与者的责任并建立问责机制、建立指导小组对制定标准和认证流程进行管理；二是建立和实施身份生态体系，建立和实施身份生态体系互操作基础设施；三是增强用户参与身份生态体系的信心和意愿；四是确保身份生态体系的长期运行和可持续性。

第五，NSTIC明确了身份生态体系实施各方职责和进度计划。实施身份生态体系需要政府部门和私人部门共同努力，NSTIC明确了私人企业负责具体建立和实施身份生态体系，联邦政府负责指引和保障，NPO负责制定实施路线图等。同时，NSTIC还明确了阶段性目标，即3年～5年内身份生态体系的技术和标准初步具备实施条件，10年内身份生态体系基本建成。



国际战略：共同营造安全网络环境

美国政府发布的题为《网络空间国际战略》的纲要性文件，集中阐述美国对互联网未来的看法、目标以及其计划着力推进的多项政策。



《网络空间国际战略》的基础是，美国坚信网络技术具备促进本国乃至世界发展的巨大潜力。同时，美国也认识到网络发展给国家和国际社会的安全带来了新的挑战。从内容上看，该战略文件主要由“制定网络空间政策”、“网络空间的未来”、“政策重点”和“继续前进”4个部分组成，分别从政治、经济、安全、司法、军事等多方面阐释了美国对全球互联网空间未来发展、治理与安全的战略目标。正如美国系统奥巴马在其撰写的文件前言中所说，这不是美国第一次就互联网阐述政策，但却是美国第一份比较全面的综合性互联网战略。战略文件内容可以从4个方面概括。

1个总体目标。美国希望，网络空间的未来发展是由美国与国际社会一起促进建立开放、互动、安全、可靠的信息和通信基础设施，以此来支持国际贸易、加强国际安全，并促进言论自由和创新。为了实现这一目标，美国致力于建立和维护一种网络空间环境。同时，美国将努力维持伙伴关系，并全力支持遵守网络空间的法律法规。

3项基本原则。美国政府声称，《网络空间国际战略》反映了其3项核心原则，即保护基本自由、隐私和信息自由流动。在基本自由方面，美国认为不能无视那些有邪恶意图的互联网用户，必须意识到对网络空间的自由言论也要加以适当限制。在隐私方面，美国主张通过相应的调查机构进行执法，同时通过相应的司法审查和监督来保护个人权利，确保法律法规的一致性。在信息自由流动方面，美国认为，网络空间必须保持一个鼓励创新、创业的公平的竞争环境，而不是去任意破坏信息自由流动。

3大努力方向。为推进互联网的繁荣、安全和开放，美国将综合利用外交、防务和发展手段，并将这3个方面作为重点努力方向。外交方面，美国提出将创造激励机制，以建立起对开放、兼容、安全、可靠的网络空间的内在价值达成共识且利益相关者共同工作的国际环境。国防方面，美国提出将同其他国家一道反对破坏网络和系统的行为，劝阻和制止恶意行为，并保留采取必要和适当措施的权利来保护这些重要的国家资产。发展方面，美国提出在国外将推动网络空间安全能力的建设，并在建设更为开放、兼容、安全、可靠的网络方面与合作伙伴建立更为密切的关系。

7项重点政策。美国政府提出了7方面的重点政策，作为其当前和今后各项行动、计划的指导意见。在经济方面加强接触，确保互联网为全球繁荣和科技创新作出贡献，并加大保护知识产权。在网络安全方面增进合作，增强美国及全球互联网的安全性、可靠性及灵活性。在执法方面加强网络立法和执行力度，提高全球打击网络犯罪的能力。在军事方面与盟友通力合作，提高盟友应对网络威胁的能力，并确保美国军用网络的安全。在互联网管理方面加强各国间的沟通交流，保障全球网络系统、包括域名系统的稳定和安全。在国际发展方面援助合作伙伴构建“数字基础设施”，帮助他们提高抵御网络威胁的能力。



行动战略：挖掘网络空间潜力

美国国防部又发布了题为《网络空间行动战略》的重要文件，评估了美国国防部在网络空间领域面临的巨大机遇和严峻挑战，并为美国国防部在网络空间领域制定了明确的战略方针和行动原则。



《网络空间行动战略》是美国国防部推出的首份关于网络空间行动的战略性文件。《网络空间行动战略》的出台主要基于两大背景：一方面，美国国防部在网络空间拥有独特的优势和机会；另一方面，国家安全在网络空间面临严峻的威胁和挑战。

从篇幅短小的战略文件公开版中，可以清晰地看出美国国防部对网络空间的战略定位、行动基调以及方式手段。具体说来，其核心内容主要包括以下方面。

把网络空间视为与陆、海、空、太空并列的行动领域，通过有效组织、训练和装备，充分利用和挖掘网络空间的潜力。为了能够在网络空间进行有效作战和高效地组织资源，美国国防部专门设立了美国网络司令部，直接隶属美国战略司令部。网络司令部将协调美国各军种中网络空间行动机构有效运作，确保更好地履行美国国防部的使命。

运用新的防御行动理念，保护美国国防部的网络和系统。首先，采取“网络卫生”行动提高网络安全；其次，为阻止和减少内部威胁，将加强员工通信、员工问责、内部监控和信息管理能力；再次，将形成有效的网络主动防御能力，防止对美国国防部网络和系统的恶意入侵；最后，制定新的防御行动计划和计算架构。以上4步将共同形成适应性强的美国国防部网络和系统主动防御体系。

加强与其他政府部门和私营机构的合作，实现一体化政府网络空间安全战略。美国国防部将加强与其他政府部门的合作，同时，也将加强与国防工业基地的合作，其中包括提供防御技术、武器系统、政策与发展战略和人力资源的公共、私营机构和企业。

建立与美国盟国和国际伙伴之间的合作，加强网络空间安全。美国国防部将国际关系，以实现网络空间与国际伙伴的共同利益。这些努力体现在发展共享预警、增强能力建设和进行联合培训上。

建立一支卓越的网络行动队伍，提高信息技术创新能力，巩固美国在网络空间中的优势地位。美国国防部将整合美国的科学、学术和经济各方面资源，组织一批有才华的文职或军事人员在网络空间中开展行动。此外，美国国防部将遵循以下5个原则促进信息技术创新：第一，行动过程和法规必须符合技术发展的周期；第二，进行渐进式的测试，而不采用大规模、复杂的系统部署；第三，放弃或推迟一些专用项目，以实现快速的渐进式发展；第四，信息技术改进需求将根据美国国防部系统优化的关键程度而采取不同层次的监管；第五，提高安全性的措施将被应用于国家安全部购买的所有系统中。

(本文由赛迪智库信息安全所提供)

（责任编辑：落雪）