美国《关于改善国家网络安全的行政命令》之五大“看点”

编者按

美国当地时间5月12日，总统拜登签署了一项行政命令，以改善国家的网络安全并保护联邦政府的网络。该行政令做了全文翻译见：【美国《关于改善国家网络安全的行政命令》（全文翻译）】公号君将撰写系列文章对该行政命令做出分析。

此前发表的文章：

今天的这篇文章，为特邀评论。作者是中国现代国际关系研究院科技与网络安全所副所长李艳。她提出：要真正理解该行政令的价值与意义既要基于行政令本身所传递的信息，更要结合拜登政府网络安全认知判断的转变，以及网络安全政策实践的整体方向来进行观察。

美国当地时间5月12日，总统拜登签署“改善国家网络安全”行政令，旨在采取更加务实到位的措施保护联邦政府网络安全。众所周知，最近美国作为“受害者”，遭受系列网络攻击，诸如“太阳风”（SolarWinds）、“微软邮件受攻击”（Microsoft Exchange）和科洛尼尔石油运输管道事件（Colonial Pipeline）不断挑动美政府神经。在此背景下，此行政令的出台显得格外“顺势”与“应景”。但实际上，真正理解该行政令的价值与意义既要基于行政令本身所传递的信息，更要结合拜登政府网络安全认知判断的转变，以及网络安全政策实践的整体方向来进行观察。

看点一：行政令并非临时起意。行政令早在计划之中，只不过恰逢美国科洛尼尔石油运输管道遭受网络攻击，使得外界有评论为“应急”之举，实则不然。拜登上台之后，一直在做全面战略与政策评估，网络安全是其评估重心。但这并不意味着在评估“尘埃落定”之前，一切工作按下“暂停键”。事实上，根据拜登政府上台之后，相关“涉网”官员的系列表态，以及重要智库报告提出的政策建议，特别是今年3月份公布的《国际安全战略临时指南》，其中对于网络安全的阐释议就已经较为明朗地展示了拜登政府在该领域的态度与立场。那就是重心放在国内，采取更加务实的举措确保自身的安全。这也是为什么在太阳风与微软邮件系统受攻击事件后，拜登政府就已经明确向外界“吹风”会以“总统行政令”的方式就美国进一步强化网络以及相关供应链安全问题出台政策。

看点二：行政令是“指南”更是“工具箱”。此项行政命令旨在确立系列更好为美联邦机构配备网络安全工具的计划。因此从具体内容看特点非常鲜明：一是非常“接地气”，基本上都是可以着手启动、实时推进与参照执行的意见或建议，具有很强的实践指导性。二是覆盖“全链条”，无论是调动资源进一步完善相关网络安全审查机制，从促进信息共享、强化态势感知、提高预警检测、设立安全标准到加大事后评估与补救措施，可以说是针对网络安全“全链条”更新升级了具体安全措施，从而建立起一整套非常全面实用的“工具箱”。这些内容再次充分印证了拜登政府在网络安全问题上的态度与立场，不断提高施策的务实与精准，以期更好维护自身网络安全。

看点三：行政令反映美“心态”的转变。长期以来，美政策界与学界对于到底是主动进攻还是加强防御更能有效维护网络安全存在一些争论和不同意见。但客观上，相当长一段时间里，鉴于美在网络技术与应用上的实力和优势，虽然它也承认网络攻防具有“非对称性”，但多数情况下还是比较“自信”，倾向“最好的进攻就是最好的防御”。正是基于同样的心理认知与行动逻辑，美不断抛出“网络威慑”、“前置防御”与“前沿狩猎”等提法。但近年来，其所遭受的网络攻击使其观念发生一定程度的转变，开始转向一种更加“平衡”与“务实”的政策选择，不再泛泛而谈进攻与防御。而是“双管齐下”，以一种更加谨慎和务实的心态，进攻与防御“两手都要抓，两手都要硬”。因此，强调尽可能完善安全工具。从此次行政令中涉及的找弱点，补短板，建立零信任架构体系，强化审查与信息共享，从供应链全流程去消除威胁可见一斑。

看点四：行政令只是“系统工程”的环节之一。全面评估美重要领域的“供应链安全”问题是拜登政府的工作重心。其中包括网络领域的“供应链安全”。美国国家反情报与安全中心 (NCSC)等机构一直呼应政府需要，不断呼吁采取切实举措。4月份，该中心推出第4次“国家供应链安全完整性之月”活动，携手美国国土安全部网络安全和基础设施安全局 (CISA)、联邦通信委员会 (FCC)、国防部卓越安全发展中心 (CDSE)、美国国家采购官员协会 (NASPO)等合作伙伴提高美国供应链威胁意识并共享风险缓解信息。正如NCSC 代理总监 Michael Orlando 指出，“如果新冠肺炎疫情和因此而导致的产品短缺还不足以唤醒我们，那么最近针对美国行业和政府的软件供应链攻击应当被视为行动号角。我们必须增强供应链的弹性、多样性和安全性。这关乎国家的生死存亡。”由此可见，美国从“供应链安全”角度全方位评估短板与弱点，并采取应对之策是大势所趋，会涉及诸多关键领域。而此次行政令正如参议院情报委员会主席马克·沃纳(Mark Warner)所言只是“迈出正确的第一步”，后续不仅在网络领域还会有系列举措，其他相关领域亦会“联动”，共同构建美“供应链安全生态”。

看点五：高度关注行政令的“外溢效应”。此次行政令表面上看属于“内政”，似乎应该不会产生什么“外溢”影响，实则不然。观察后续的外溢性影响可以从以下两个方面入手：一是对中国的影响。从美全面维护“供应链安全”的角度看，作为其可能“最不信任”的目标，中国在网络安全领域面临的审查范围与力度必然会只增不减，这应该是不难理解的；二是产生的“示范”效应。可以试想，如果美在后续工作推进中，很好完成了行政令的相关内容，那么其网络安全防护能力必然“再上新阶”，从而成为政府维护网络安全的“新标杠”，其示范效应不言而喻。事实上，美欧等国本来就一直在网络安全领域不断协调立场，声称要将美欧网络安全合作不断拓展到全部数字领域。与此同时，鉴于网络领域安全维护的传统惯例，好用的“工具箱”就是可以共享“公共物品”。因此，美采用的“工具箱”必然会对相关国家的政策与实践带来一定影响。最为重要的是，鉴于美当前政策设计均带有不同程度的“排华”意图，那么相关跟随与仿效国家在从“工具箱”中取用之时，其中的“排华”与“遏华”设计，不管有意还是无意，是否也会被不同程度“打包下载”？这些都是需要跳出“行政令”本身进一步观察与思考的问题。（完）

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

美国电信行业涉及外国参与的安全审查系列文

中国的网络安全审查系列文章：

自动驾驶系列文章：

数据安全法系列文章：

个人数据与域外国家安全审查系列文章

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

第29条工作组/EDPB关于GDPR的指导意见的翻译：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

数据跨境流动政策、法律、实践的系列文章：

传染病疫情防控与个人信息保护系列文章

人脸识别系列文章：

关于欧盟技术主权相关举措的翻译和分析：

关于数据与竞争政策的翻译和分析：

关于人工智能监管指导文件的翻译：

数据安全法系列文件：

中国个人信息保护立法系列文章：