美国2017年度国防授权法案之网络作战规定解析
E安全2月4日文
美国众议院和参议院在2016年11月底敲定了《2017财年国防授权法案》（简称NDAA），当地时间12月23日，美国白宫宣布，时任美国总统奥巴马正式签署了《2017财年国防授权法案》，NDAA法案正式成为法律的同时也为美国国防部提供高达6187亿美元的预算。
由此我们可以看出美国国会开始积极参与军事网络作战相关事务，而2017 NDAA法案将直接影响到美国军事机构的组织方式以及如何实施网络作战等多个层面。在今天的文章中，E安全将从网络视角解析NDAA法案中最为重要的几项规定，探讨特朗普政府在其首年任职期间需要处理的关键性网络任务。
为网络作战建立起一套统一指挥体系
最重要的是，美国国会最终确定了“其是否会”参与美国网络司令部应否由当前美国战略司令部辖下子单位或者下级组织的地位“晋升”至统一性作战司令部的辩论。此次晋升通过为美国网络司令部赋予对其它非由其内部及亲自执行之传统统一化作战行动的指挥权限。事实上，子司令部在职能方面与统一司令部并无明确区别。然而通过将美国网络司令部晋升为统一司令部，美国战略司令部中的四星指挥官（负责国家核武器等重要事务）将不再成为美国国防部长与美国网络司令部之间指挥链的一环。其指挥官现在也将与其他作战指挥官身处同一公平环境，共同负责引导部队及其它资源。鉴于近年来美国网络司令部一直享有的高度自治权，这种晋升在很大程度上只是一种象征性的变化。
赋予新权利以增强美国网络司令部。美国国会并未阻止将美国网络司令部晋升为统一司令部，该法案为美国网络司令部赋予高于且超出大部分其它作战司令部的权限。大部分作战司令部主要负责部队招募工作——即筹备战争行动。美国网络司令部将同样拥有这一职责，但立法法案亦要求其负责建立相关部队——即对网络作战部队进行组织、培训与装备。其中大部分权利与美国军方机构所处理的事务高度相似（包括美国陆军、海军、空军与海军陆战队）。这些额外的权利包括：
制定策略、方针与战术;
筹备并向美国国防部长提交美国网络作战部队之相关意见及预算建议;
除了指派给美国网络司令部的部队之外，亦可对指派给其它司令部的网络作战部队的资金支出进行指挥、指导以及控制;
负责所指派联合部队的培训与认证工作;
为现役及非现役士官提供专业教学课程;
设置网络作战所需要之能力要求，并验证其它国防部下辖机构之网络能力水平;
确保设备与部队间具备互操作能力;
制定并提交情报支持要求;
监控网络运营能力提升效果，并与其它各军事部门就网络作战部队的指派、驻留、培训、专业军事教育以及特殊奖励支出等事务进行协调。
只有特种作战司令部在部队的组建与调派方面拥有如此广泛的授权; 事实上，此次新立法中的大部分内容与美国上世纪八十年代建立特种作战司令部时的作法如出一辙。就目前来看，美国国会正在努力避免重复当初建立特别作战司令部时曾经给各特别作战机构带来的各类困扰。直到1987年正式成立，特别作战司令部还一直无法适应特殊作战任务的独特需求。具体而言，相较于其具备的特别作战推动与任务执行权限而言，该机构并没能将特别作战作为自身的一项核心能力，并以此为基础集中力量发展原则及策略且实现专业化。这直接导致其在（美国政府于1980年4月24日，为解救伊朗人质危机事件中被伊朗政府扣押的52名人质而采取的一次军事行动。此次行动最终以失败告终，该行动的失败也直接导致了美国特别行动指挥部和美国陆军第160特种作战航空团的成立。）及其它多次行动当中遭遇失败，而美国国会也因此迅速采取行动。为美国网络司令部赋予新型权限的作法似乎类似于在军方之内建立起网络界的一套中央指挥体系。
这种新型授权再加上美国国会去年向美国网络司令部划拨专门款项以采购军备的举措，已经证明美国军方已经在网络作战事务的组织、培训与装备等层面迎来显著转变——即将权力从美国陆军、海军、空军与海军陆战队手中剥离，并将其赋予专门的中央网络司令部。然而将这些新型职责赋予美国网络司令部亦会带来一系列风险，特别是考虑到该司令部（与其它大多数司令部一样）并不具备必要的人力及资源执行如此繁重的任务。更遑论其还需要一段时间——正如上世纪八十到九十年代的特别作战司令部一样——真正建立起能够符合政府当局要求的特殊执行能力。
同样值得注意的是，此次立法的重点在于将美国网络司令部的作战工作与地理区划指挥官加以结合。国会在法案内容中规定，各网络作战行动应当由对应的地理区划指挥官负责指挥，而非由网络司令部直接负责——亦不应由美国总统或者国防部长直接管理。在谈到“网络战争”这一标题时，我们很容易忽略整体地缘政治背景对其造成的影响，而事实上网络空间本身亦是一种国家权力工具。本项立法鼓励军方将网络能力纳入自身整体作战范畴，而非将网络作战视为独立且脱离联合作战体系的集中性指挥单元。
加强对网络司令部的文职监督能力
最后，2017年NDAA为国防部长授予首席网络顾问（简称PCA）职务，要求其对网络司令部的各类新行动提供授权、指导以及控制。首席网络顾问及其办公室由美国国会于2014年建立，旨在对跨越国防部之内的各军事网络空间作战与网络安全相关组织加以合并，同时任命一位中央官员向国防部长直接负责。这项于2014财年出台的立法法案要求PCA对国防部网络活动进行“全面监督”，但该办公室并不具备永久性职务——全部人员皆以短期轮换的方式组成。此前PCA角色一直由国防部副部长办公室政策处理助理秘书担任，而其工作人员则主要来自负责政策事务的副部长的办公室内网络政策相关人员担任。尽管网络政策办公室专注于网络战争政策与策略，但PCA本身实际上更关注美国国防部之内全部网络组织与行动间的管理工作。
作为2017年NDAA的一项结果，PCA将需要发展为一个在职能上更加类似于军事部长的组织，其类似于特别作战与低强度冲突助理秘书长在特别作战司令部中的角色定位。该部门应积极接受文职部门的监督，且接纳态度应与对待该司令部自身的晋升政策保持一致。PCA将在确保司令部本身处于正确发展轨道以确保指挥活动成功完成并接受国家文职部门监督与领导方面发挥关键性作用，同时亦应任命永久性工作人员以监督各类受到网络司令部批准的管理、预算、采购、训练以及其它各类新型职能性行动。
设置障碍以维护“双重头衔”领导形式
美国国会还面临一系列新的争议，包括是否应将美国网络司令部与美国国家安全局（NSA）交由第一位领导者负责管理。美国国会在授权法案中添加了一项条款，确保行政部门更难对这种“双得头衔”进行拆分。这项规定要求美国国防部长与参谋长联席会议主席共同向武装部队、拨款与情报委员会证明，这种拆分不会给美国网络司令部的军事能力造成无法接受的风险。
在美国网络司令部于2009年组建之初，高层官员们曾决定由美国网络司令部与NSA进行协作，从而确保司令部能够充分使用来自NSA的全球顶尖技术人才。他们决定为这两大机构设置同一位领导者，从而使双方能够在网络进攻与防御性活动中实现联动，并鼓励NSA将各类最为敏感的实时网络威胁情报分享至美国网络司令部。即使在当时，美国国内部分人士担心这意味着将太多职能与责任交由第一位人选手中，将导致美国网络司令部更偏向于进攻性任务。
奥巴马政府此前曾有意结束这种“双重头衔”的职能分配方式。在2013年斯诺登泄密事件之后的检讨当中，美国政府当局选择保留这一职能安排，从而确保两大机构之间能够继续协调而避免发生资源重复投入。而在2016年，美国政府方面又决定将两项领导职务进行拆分。在签署2017 NDAA法案时，时任总统奥巴马表示通过最近的一项研究发现，美国网络司令部本身已经非常成熟且不再需要依赖于NSA的技术能力，因此两大机构已经适合由不同的领导者人选致力于执行各自职能任务。
现在，这一举措很可能再度面临变化：随着发展成熟，美国网络司令部无疑能够从NSA的支持中获益，而分别设置不同的部门领导很可能导致组织职能层面的割裂问题，甚至在处理说明记录时产生不必要的风险。根据报道，一部分美国官员担心如果这两大机构不能由同一位领导者负责统辖，双方合作将受到严重影响，这意味着美国网络司令部将无法获得来自NSA的支持以成功执行任务。其他美国高层军方官员亦认为美国网络司令部的军事任务（包括实现一定程度开放性并建立军事影响力）实际上仍然依赖于NSA（此机构负责秘密搜集信息情报）。根据在认证工作中设立主席一职的作法来看，美国国防委员会显然希望进行一轮范围更为广泛的政策与政治效益评估工作，旨在立足于客观的军事观点了解“双重头衔”机制到底应否得以延续。
提升网络部队的能力
吸引更多信息安全人才已经成为政府官员们最为关注的核心议题，而美国国会亦在不断要求政府当局拿出更具竞争优势的政策，从而自私营部门（以及其它政府机构）处吸引更多经验丰富的从业者。去年的NDAA授权为平民网络运营人员建立一项“特别服务”，其依照当前情报机构的招聘流程，旨在免除各部门在招聘网络工作人员时需要面对的某些联邦限制性法律。这项最新法令包括：
允许网络人员直接晋升为军官，类似于医生及律师的职业成长轨迹;
扩大面向私营部门的现有信息技术人员就业交流计划，其中包括网络安全从业人员;
为人力资源相关人员提供培训要求，旨在确保其具备对应的新型招聘灵活性;
允许管理者在网络特别服务仍在发展之过程中临时聘用重要网络人才。
尽管这些规定表达出美国政府对人力资源的高度关注与重视，但就目前来看其仍属于边际改革而非真正积极的信息安全与网络运营军事人员与人才吸引政策思路。举例来说，英国就明确放弃了原本涵盖各类体能以及仪表的常规性军事法规，同意破格为网络储备部门招募技术人才。而现在发布的这份NDAA法案无疑旨在帮助美国国防部建立并维持自身军事力量，而似乎并不打算选择目前这个时间点在人力资源方面作出其它根本性变化。
在网络空间阻止敌对势力
美国国会将继续致力于提升行政部门的威慑性姿态，具体包括要求美国国防部长及参谋长会议联席主席提供一份可用于阻止或者应对恶意网络活动的军事与非军事选项，外加一份具体参与与作战计划执行规则清单。在这份清单正式交付之后，美国总统必须明确表达这些选项将在何时及何种情况下得到其授权。这一规定是为了迫使政府当局利用更为强大且清晰的公共政策阻止网络攻击活动。此前发布的法案还要求政府当局制定一份关于网络威慑性政策的报告，但这一提议却未能在美国国会中得到广泛认可。虽然此类报告在任何政府中都有可能引起争议，但必须承认的是，美国的国防政策制定工作属于行政部门的特权; 而特朗普领导下的美国政府很可能以激进的态度颠覆这种敏感的国家安全决策方式。
国防部关键性基础设施安全漏洞
该法案还要求美国国防部制定计划与试点项目，旨在评估美国国防部所拥有的各类关键性基础设施中的网络安全漏洞。一般来讲，关键性基础设施的网络安全相关讨论往往集中在私营企业拥有及运营的基础设施领域，例如供电网络。此次颁布的新规定将起到很好的警示作用，其提到美国军方本身亦拥有并运营着广泛的关键性基础设施，且其中大部分与商业性关键基础设施拥有同样的安全漏洞。
应急性网络能力采购机制
美国国会最近几年来一直在针对网络采购工作进行授权; 其最近发布的授权法案尝试为网络功能提供快速授权获取通道，即允许美国网络司令部建立自己的采购办公室。这一新法案改变了此前设立的权限以确保促进美国在网络攻击防御与恢复工作中的特殊应急性采购能力，即除面向核武器、生物武器、化学武器或者放射性武器的攻击与恢复事务之外，亦支持其它应急性行动。这一应急权限允许美国网络司令部拥有更高灵活性以及更为可观的临时性消费额度，且此前已经在2005年卡特琳娜飓风灾后恢复与伊拉克战争的MRAP（即地雷伏击）战车采购中发挥作用。然而必须承认，其在网络攻击场景下的实用性可能受到限制。毕竟如果网络攻击已经迫在眉睫，那么官员临时通过签订合同购买额外防火墙恐怕为时已晚。
针对高层领导的网络支持
最后，此项法案给出了一项有趣的条文，即允许美国国防部长提供军事性网络支持以保护任何被认定易受网络攻击威胁的国防部内部官员的个人设备。虽然该项法案明确指出，这部分条文并不是为了鼓励美国国防部人员利用其个人设备处理公务，但可以看到立法者们已经明确意识到高层领导者的通信内容、本身或者其它相关因素已经对国家安全构成明确风险。
总结
此份2017年NDAA法案给出了一系列规定，其将决定美国国防部未来对自身组织与职能的发展方式，并最终决定其对网络空间内各类冲突的管理效果。目前，美国新任国防部长马蒂斯及其新团队必须执行相关规定，从而加快将国防部作为职能整体加以治理的脚步。E安全（微信公众号E安全）预计美国网络司令部的晋升将推动2017年NDAA法案中相当一部分其它规定的切实执行。独立运营的全新网络司令部还将需要一段时间才能真正演变为足以支撑2017年NDAA中部分设想的职能实体。美国网络司令部与美国国防部长办公室的核心任务在于立足新的一年通过递交给美国国会的报告与简报给出明确进展信息。当然，可以肯定的是，其还需要更长时间才能全面实现美国国会在2017年NDAA法案当中提出的各项网络安全建设目标。
推荐阅读
E安全注：本文系E安全独家编译报道，转载请联系授权，并保留出处与链接，不得删减内容。联系方式：① 微信号zhu-geliang ②邮箱eapp@easyaq.com
@E安全，最专业的前沿网络安全媒体和产业服务平台，每日提供优质全球网络安全资讯与深度思考，欢迎关注微信公众号「E安全」（EAQapp），或登E安全门户网站www.easyaq.com , 查看更多精彩内容。