美国白宫发布 国家网络安全战略

白宫那份《国家网络安全战略》文件，美国我翻了两遍。白宫最直接的发布感受是：它不再把网络安全当成一个纯技术问题来谈了。过去几十年，网络美国政府在这个领域的安全基本思路是“加固防御、共享威胁情报、战略跟盟友搞联合演练”。美国这次不一样。白宫文件开篇就把矛头指向了“责任转移”——说白了，发布以前是网络让终端用户和中小企业自己扛，现在要往软件厂商、安全云服务商和关键基础设施运营商身上压。战略

这个转向有具体案例支撑。美国2020年SolarWinds被攻破，白宫黑客通过一家IT管理软件公司的发布更新包，直接渗透进美国财政部、商务部等九个联邦机构。事后调查发现，SolarWinds的代码安全流程存在明显漏洞，但法律上它几乎不用承担什么后果。2021年Colonial Pipeline输油管道被勒索软件锁死，东海岸燃油供应中断，公司付了440万美元赎金。问题出在一个没启用多因素认证的旧VPN账号上。这些事让政策制定者意识到，光靠“用户自己注意安全”这套说辞根本兜不住。

新战略里有个很具体的动作：要求软件开发商对产品安全负责，甚至考虑立法让“不安全产品”承担法律责任。这在美国政治语境下不算小事。科技游说团体已经在国会山活动了，说这会扼杀创新、增加合规成本。但白宫这边态度挺硬，文件里直接写“市场没能把安全作为优先项，因为企业不用为不安全的产品买单”。这话说得挺直白。

另一个值得盯的点是“关键基础设施”的重新定义。以前主要盯着电网、水厂、金融系统。这次把“云服务”单独拎出来，说如果一家云厂商服务了大量关键基础设施客户，那它本身就算关键基础设施。亚马逊AWS、微软Azure、谷歌云都在这个范围内。逻辑很清晰：你托管了别人的核心业务，你就得承担相应的安全义务。但实操层面麻烦不小——云厂商会说，客户自己配置错了防火墙，凭什么罚我？这个边界怎么划，文件里没给答案，留给后续立法和监管去吵。

战略还提了“进攻性网络行动”的常态化。这词听着唬人，其实就是授权军方和情报机构在境外对勒索软件团伙、国家背景黑客组织采取先发制人的打击。2022年FBI远程瘫痪了勒索软件团伙Hive的服务器，算是预演。但这类行动有个老问题：你打掉一个团伙，换个名字又冒出来。而且进攻行动容易引发升级，俄罗斯和中国肯定会盯着看。

我注意到文件里反复出现一个词——“韧性”。不是“绝对安全”，是“扛得住、恢复快”。这其实承认了一个现实：没有哪套系统能保证不被攻破。重点变成被攻破之后多快能恢复、损失能控制到什么程度。这个思路更务实，但也意味着企业得在备份、冗余、应急响应上砸更多钱。中小企业大概率跟不上，所以文件里又提了要给它们提供“规模化安全服务”，比如政府统一采购再分发。听着像产业政策，确实也是。

最后说个细节。这份战略发布当天，白宫同步发了一份“实施路线图”，列了三十多项具体行动，每项都标了牵头部门和截止日期。有些是2023年底前完成，有些拖到2025年。这种带时间表的做法比光喊口号强，但能不能落地是另一回事。国会那边两党对网络安全立法有共识，可一到具体条款——比如责任豁免、数据共享范围——就卡住。2022年通过的《关键基础设施网络事件报告法》已经算近年最大突破了，但离战略里描绘的图景还差得远。

我的判断是：这份战略方向对，但执行难度被低估了。把责任压给厂商和云服务商，逻辑上成立，政治上阻力大，技术上边界模糊。接下来两年看国会怎么立法、看FTC和CISA怎么执法，比看文件本身更有意义。

本文地址：http://www.79wt.cn/news/431b1699552.html