最新发布｜拜登政府《关于加强和促进国家网络安全创新的行政命令》剑指中国和俄罗斯（全文翻译）

敌对国家和犯罪分子继续对美国及美国人民发动网络攻击，其中中华人民共和国对美国政府、私营部门和关键基础设施网络构成了最活跃、最持久的网络威胁。这些攻击妨碍了美国的关键服务，造成数十亿美元的损失，并损害了美国人的安全和隐私。为应对这些威胁，必须采取更多措施来改善美国的网络安全。

基于2021年5月12日发布的第14028号行政命令（关于改善国家网络安全的行政命令）以及《国家网络安全战略》详述的举措，美国将采取更多行动来改善其网络安全，其中的重点是保护数字基础设施，保护对数字领域至关重要的服务和能力，提升应对关键威胁（包括来自中华人民共和国的威胁）的能力，加强对软件提供商和云服务提供商的问责，强化联邦层面的通信系统和身份管理系统的安全性，并推动各行政部门和机构（以下简称“各机构”）以及私营部门在网络安全方面开展创新和使用新兴技术。

（a）联邦政府和我国的关键基础设施依赖于软件提供商。然而，不安全的软件仍然是提供商和用户面临的一大挑战，并使联邦政府和关键基础设施系统容易受到恶意网络事件的影响。联邦政府必须继续采用安全的软件采购做法，并采取措施确保软件提供商使用安全的软件开发做法，以减少／减轻其所生产软件中的漏洞的数量和严重程度。

（b）2021年的第14028号行政命令指示采取行动，以提高联邦政府工作所需软件的安全性和完整性。该命令指示制定关于安全软件开发做法的指南，以及生成和提供以人工或自动化方式生成的工件（即计算机记录或数据）来证明符合采取了这些做法。此外，第14028号命令还指示管理与预算局（OMB）局长要求各机构仅使用那些“被证明使用了安全软件开发做法”的提供商的软件。在某些情况下，向联邦政府提供软件的提供商虽承诺遵循网络安全做法，但并未修复其软件中可被利用的已知漏洞，而这将使政府面临被入侵的风险。联邦政府需要采用更严格的第三方风险管理做法，并确保支持政府关键服务的软件提供商遵循其所声明的做法。

（i）在本命令发布之日起的30天内，OMB局长应分别通过商务部（由商务部长指示国家标准与技术研究院（NIST）院长开展相关工作）和国土安全部（DHS）（由国土安全部部长指示网络安全与基础设施安全局（CISA）局长开展相关工作），与商务部长和国土安全部长进行协商，从而向联邦采购监管委员会（以下简称“FAR委员会”）建议如何制定合同，而此类合同应要求软件提供商通过CISA的“软件证明与工件库”（RSAA），将以下材料提交给CISA：

1. 机器可读的安全软件开发证明文件；

2. 验证这些证明文件的高级工件；

3. 提供商的联邦民事行政部门（FCEB）机构软件客户列表。

（ii）在收到本条第（b）款第（i）项所述建议之日起的120天内，FAR委员会应审查这些建议，且国防部长、总务管理局（GSA）局长和国家航空航天局（NASA）局长（FAR委员会的机构成员）应联合采取措施修改《联邦采购条例》（FAR）以实施这些建议。FAR委员会的机构成员被强烈鼓励酌情根据适用法律考虑发布临时最终规则。

（iii）在本条第（b）款第（i）项所述建议发布之日起的60天内，国土安全部长应指示CISA局长评估“生成、接收和验证机器可读的安全软件开发证明和工件”的新兴方法，并酌情为软件提供商提供关于“向CISA的RSAA网站提交这些证明和工件”的指导，包括关于通用数据架构和格式的指导。

（iv）在对本条第（b）款第（ii）项所述的联邦采购监管（FAR）事宜进行任何修改之日起的30天内，国土安全部长应指示CISA局长制定一项程序，以集中验证所有证明形式的完整性。CISA应使用RSAA中的高级工件来持续验证取自完整证明文件的样本。

（v）如果CISA发现证明文件不完整，或工件不足以验证证明文件，CISA局长则应将此事通知软件提供商和签约机构。CISA局长应制定相关流程，以便软件提供商对CISA的初步决定作出回应，以及让CISA适当考虑此类回应。

（vi）对于经过验证的证明文件，CISA局长应通知国家网络总监，后者应公开发布结果，标明软件提供商和软件版本。本命令鼓励国家网络总监将验证失败的证明文件转交司法部长，由后者采取适当行动。

（c）仅靠安全软件开发做法，还不足以应对“有资源和决心的国家行为体”带来的网络事件风险。为了减轻此类事件的风险，软件提供商还必须确保软件交付过程及软件本身的安全性。联邦政府必须确定一套协调一致、实用且有效的安全做法，并要求在采购软件时遵循此类做法。

（i）在本命令发布之日起的60天内，商务部长应指示NIST院长与参与国家网络安全卓越中心的企业建立联盟，并酌情根据该联盟提供的信息制定指导文件，而该指导文件应证明落实了基于NIST特别出版物800-218（NIST SP 800-218）《安全软件开发框架（SSDF）》的安全软件开发做法、安全措施和操作做法。

（ii）在本命令发布之日起的90天内，商务部长应指示NIST院长更新NIST特别出版物800-53（NIST SP 800-53）《信息系统和组织的安全与隐私控制》，以提供关于如何安全可靠地部署补丁和更新内容的指导。

（iii）在本命令发布之日起的180天内，商务部长应指示NIST院长在于与其认为适当的机构负责人协商后，开发和公布SSDF的初步更新版本。此更新版应包括关于安全可靠地开发和交付软件以及确保软件自身安全的做法、程序、控制措施和实施示例。自公布初步更新版之日起的120天内，商务部长应指示NIST院长公布SSDF的最终版本。

（iv）在本条第（c）款第（iii）项所述的SSDF最终版更新之日起的120天内，OMB局长应将NIST更新后的SSDF中所包含的安全软件开发和交付做法，纳入OMB备忘录M-22-18《通过安全软件开发做法增强软件供应链的安全性》或相关要求中。

（v）在发布本条第（c）款第（iv）项所述的OMB更新文件之日起的30天内，CISA局长应准备对CISA的安全软件开发证明文件的通用表格进行修订，使之符合OMB的要求，并启动按《文书减少法》（《美国法典》第44编第3501节（44 U.S.C. 3501）及后续条款）规定批准修订版表格所需的任何程序。

（d）随着各机构改进其网络防御，对手已瞄准机构供应链中的薄弱环节以及联邦政府所依赖的产品和服务。各机构需要将网络安全供应链风险管理计划纳入全机构的风险管理活动中。在本命令发布之日起的90天内，OMB局长应与商务部长（通过NIST院长行事）、总务管理局局长和联邦采购安全委员会（FASC）进行协调，以采取措施要求（OMB局长认为适当的）各机构遵守NIST特别出版物800-161（NIST SP 800-161修订版1）《系统和组织网络安全供应链风险管理做法》中的指导。OMB应要求各机构在完成实施后，每年向OMB提供相关最新情况。根据SP 800-161修订版1， OMB的要求中应包括通过采购规划、来源选择、责任确定、安全合规评估、合同管理和绩效评估等环节，将网络安全融入采购寿命周期中。

（e）开源软件在联邦信息系统中发挥着关键作用。为帮助联邦政府继续获得开源软件的创新效益和成本效益，并为开源软件生态系统的网络安全做出贡献，各机构必须更好地管理其开源软件使用方式。在本命令发布之日起的120天内，国土安全部长应指示CISA局长与OMB局长、总务管理局局长和其他适当机构负责人进行协商，共同向各机构提议关于“如何使用安全评估、修补开源软件以及为开源软件项目做出贡献”的最佳做法。

1. 及时搜寻和识别整个联邦文职机构中的新型网络威胁和漏洞；
2. 识别同时针对多个机构并在联邦机构中横向移动的协调性网络攻击活动；
3. 协调政府范围内的信息安全政策和做法，包括汇编和分析关于威胁到信息安全的各事件的信息。

1. 要求各FCEB向CISA提供足够完整且符合时间要求的数据，以使CISA能够实现本条第（c）款第（i）项所述目标；
2. 要求CISA在直接从各机构的EDR解决方案获取所需遥测数据时，提前通知各FCEB；
3. 各机构可根据本条第（c）款第（ii）项第（A）目中的要求提供遥测数据，而不是让CISA直接访问其EDR解决方案的具体用例；
4. 用于管理“CISA如何访问各机构EDR解决方案的高级技术和政策控制措施”的相关要求，这些要求应符合被广泛接受的网络安全原则，包括基于角色的访问控制、“最小权限”和职责分离等原则；
5. 对“为保护数据的机密性或完整性，而受法定限制、监管限制或司法限制的高度敏感的机构数据”的专项保护措施；
6. 行动概念的附录，该附录应明确按本条第（c）款第（ii）项第（C）目之规定，适用于司法部的某些具体用例类型（包括本条第（c）款第（vi）项和第（c）款第（vii）项中描述的某些信息类别），此外该附录还应要求在在司法部或其下属机构的网络上实施行动概念之前，司法部应先同意该附录中的条款。

1. 通过以下方式保护民用太空系统的指挥和控制（包括备份或故障转移系统）：1. 加密命令以保护通信的机密性；2. 确保命令在传输过程中未被修改；3. 确保经授权方为命令的来源；4. 拒绝未经授权的指挥和控制尝试；
2. 建立检测、报告和从异常网络或系统活动中恢复的方法；
3. 使用符合NIST SSDF或任何后续文件的安全软件和硬件开发做法。

1. 空间地面系统清单；
2. 每个空间地面系统是否根据44 U.S.C. 3505（c）（“主要信息系统清单”）被归类为主要信息系统；
3. 改善此类空间地面系统的网络防御和监督的建议。

1. 与相关标准和信任框架互操作，以便公众可以使用任何符合标准的硬件或软件，其中包含官方政府颁发的数字身份文件，无论制造商或开发人员如何；
2. 不允许发行数字身份文件的机构、设备制造商或任何其他第三方监视或跟踪数字身份文件的展示，包括用户设备在展示时的位置；
3. 支持用户隐私和数据最小化，确保仅请求数字身份文件持有人进行交易所需的最少信息——通常是针对某个问题（例如，某人是否超过特定年龄）的“是”或“否”的回答。

1. 概述机构网络安全信息共享和交换、企业可见性以及机构首席信息安全官（CISO）对企业范围网络安全计划的问责制的期望；
2. 修订OMB通告A-130，在适当的关键领域减少技术规定，以更清晰地促进在联邦系统中采用不断发展的网络安全最佳做法，并包括迁移到零信任架构和实施关键要素，如端点检测与响应（EDR）能力、加密、网络分段和防钓鱼多因素认证；
3. 说明机构应如何识别、评估、应对和减轻IT供应商和服务集中对任务关键功能构成的风险。

1. 损害或以其他方式破坏支持关键基础设施领域一个或多个实体的计算机或计算机网络提供的服务；
2. 破坏关键基础设施领域一个或多个实体提供的服务；
3. 破坏计算机或计算机网络的可用性，或损害存储在计算机或计算机网络上的信息的完整性；
4. 挪用资金或经济资源、知识产权、专有或商业秘密信息、个人身份标识或财务信息，以获取商业或竞争优势或私人经济利益；
5. 篡改、更改或挪用信息，目的是或涉及干扰或破坏选举进程或机构；
6. 对美国个人、美国、美国盟友或合作伙伴及其公民、国民或根据其法律组织的实体，实施勒索软件攻击，如通过恶意使用代码、加密或其他活动影响数据的机密性、完整性或可用性，或影响计算机或计算机网络的机密性、完整性或可用性；

1. 明知是通过网络手段挪用的资金、经济资源、知识产权、专有或商业秘密信息、个人身份标识或财务信息，仍在美国境外为商业或竞争优势或私人经济利益而接收或使用此类资金或资源；
2. 负责、参与或直接或间接从事与获取或试图获取美国个人、美国、美国盟友或合作伙伴及其公民、国民或根据其法律组织的实体的计算机或计算机网络未经授权访问有关的活动，且此类活动源自或受位于美国境外（全部或部分）的人员指挥，并很可能导致或已对美国国家安全、外交政策、经济健康或金融稳定构成重大威胁；
3. 为本条（a）（ii）或（a）（iii）（A）或（B）小节所述的任何活动，或为根据本命令其财产和财产权益被冻结的任何人员，提供实质性协助、赞助或提供财政、物质或技术支持，或提供货物或服务；
4. 由根据本命令其财产和财产权益被冻结的任何人员拥有或控制，或直接或间接为其行事或声称为其行事，或为本条（a）（ii）或（a）（iii）（A）–（C）小节所述的任何活动行事；
5. 试图从事本条（a）（ii）和（a）（iii）（A）–（D）小节所述的任何活动；
6. 是或曾是任何根据本命令其财产和财产权益被冻结的人员，或从事本条（a）（ii）或（a）（iii）（A）–（E）小节所述任何活动的任何人员的领导、官员、高级管理人员或董事会成员。”

约瑟夫•R•拜登

白宫

2025年1月16日

免责声明：本文内容仅供业界学习参考，文内所包含的信息或所表达的意见，均不代表杂志社的立场和态度。