讨论和建议总统激励关键基础设施所有者和运营商

核心观点与建议

背景与目标
2013年2月12日，美国总统发布行政命令13636，指出网络威胁对关键基础设施的持续增长是美国面临的最严重国家安全挑战之一。该命令要求美国国家标准与技术研究院（NIST）制定网络安全框架（框架），以及国土安全部（DHS）建立自愿性计划（计划），以支持关键基础设施所有者和运营者采用框架。商务部（Commerce）作为参与方，提交了关于激励措施的分析报告，旨在协调国家利益与公司利益的平衡。

关键建议

1. 保险行业参与框架制定

   • NIST应与网络安全利益相关者（包括保险行业）合作，评估框架标准的有效性，促进基于风险定价的网络安全保险市场发展。

2. 研究侵权责任

   • DHS应研究网络攻击引发的侵权责任对关键基础设施所有者和运营者的法律与财务风险，评估保险或法定责任限制机制能否降低其风险。

3. 将参与计划作为评估标准

   • NIST应将框架一致性作为NSTIC试点及其他联邦补助项目的评估标准；Commerce应考虑将框架采纳和计划参与作为关键基础设施发展补助的考量因素。

4. 联邦机构合规指导

   • 白宫应发布指导文件，要求联邦机构将网络安全保护作为补助申请的评估标准。

5. 研发与实际需求结合

   • NIST的国家网络安全卓越中心（NCCoE）应与DHS、计划参与者和IT供应商合作，确定商业化解决方案与研发需求的结合点。

6. 监管简化

   • 行政部门、独立机构和国会应基于框架和计划的信息，推动具体监管简化提案。

7. 快速专利试点计划

   • 美国专利商标局应探索为计划成员建立快速专利试点，以保护关键基础设施企业的研发成果。

8. 政府采购考量

   • Commerce和NIST将研究国防部与通用服务管理局联合发布的报告，探讨政府采购如何激励框架采纳。

9. 排除税收激励

   • 因缺乏共识且成本过高，Commerce不推荐进一步研究税收激励措施。

10. 公开认可计划

    • 研究如何通过公开认可机制激励参与者，需考虑不同组织的风险偏好。

11. 技术援助

    • 提供基于公共利益的技术援助，协助框架的采纳与实施。

12. 安全许可

    • 认为现有行政命令已提供的快速安全许可措施充足。

结论
框架和计划的成功依赖于广泛实施，Commerce将与美国政府合作，解决框架和计划最终确定后的潜在问题。