透视美国《国家网络安全综合计划(CNCI)》
美国打压竞争对手的惯常手法及对中国网络科技企业的防范启示
C N I T S E C美国打压竞争对手的惯常手法及对中国网络科技企业的防范启示文│中国信息安全测评中心 磨惟伟近年来，在处理中美大国关系问题上，美国政府几乎完全摒弃了理性思考，不断固持美国优先、零和博弈的冷战思维。
特别是2020年以来，特朗普政府强推强取豪夺的强盗逻辑，利用毫无根据的污名化指责和无所不用其极的强力“组合拳”，持续加大对中国网络科技企业的围猎力度。
面对纷繁复杂的国际政治环境、美式霸权的恶意欺凌与竞争对手的抄袭抹黑，中国网络科技企业走向海外、面向国际的道路绝非顺风顺水、一路坦荡，而是荆棘丛生、困难重重。
一、美国打压竞争对手的主要手法在国际交往中，各国间的双边关系本可以并行不悖、共赢发展。
但长期以来，出于维护自身霸权和利益的考虑，美国总是滥用“国家安全”借口，以政府打压、长臂管辖、企业捡漏等固有套路，频频对竞争对手施以组合重拳，即使是传统盟友也不能幸免。
虽然美国的逻辑套路与打压手法属于一种内部策略,但从其过往行径中仍有脉络可循。
（一）重视战略打压：以顶层设计、战略谋划为指引，明确对竞争对手的打压步骤与总体方针回顾美苏争霸这段历史可以看出，在打压、裂解竞争对手方面，美国一直高度重视战略指引，一旦战略方针确定下来，后续跟进步骤就会接踵而至。
1947年3月，时任美国总统杜鲁门在致国会的关于援助希腊和土耳其的咨文中，提出了以“遏制共产主义”作为国家政治意识形态和对外政策的指导思想，宣告了“杜鲁门主义”的正式诞生。
这是第二次世界大战后美国谋求世界霸权的指导方针与扩张计划，是“冷战”开启的重要标志。
在随后的44年中，美国历届政府虽然两党轮流坐庄，但均将“杜鲁门主义”奉为处理对苏关系的金科玉律，以持续的耐心与恒久的定力贯彻始终，直至苏联解体。
回到当前，在2018-2020短短三年的时间内，美国政府就接连发布了数份重量级网络安全文件，提出多项战略打压政策，分别是“国家安全总统备忘录13”“国防部网络战略”“国家网络战略”“分层网络威慑战略”等。
警惕中国的“棱镜门”
特征，虽然只有300万用户，也被卷入其中；2、掌握个人数据。
IM、邮箱、社交网络、存储分享服务等都涉及到大量的与人和账户关联的私密信息。
相关部门对隐私数据的觊觎正是互联网公司卷入棱镜门的根源；3、全球化的市场。
由于棱镜门的监视的主要目标是境外用户。
因此九大互联网公司无一不是国际化颇为成功的公司。
看回国内的互联网公司，具有海量用户的互联网巨头屈指可数。
老三大门户新浪、网易和搜狐；新三大被称为BAT即百度、阿里巴巴和腾讯；360依靠安全业务强势崛起成为与QQ对立的另一个桌面帝国。
不过社交网络Facebook在中国的对应产品也依然是QQ ，存储分享服务在中国也是对应这几个巨头。
优酷土豆与Youtube不同，优酷土豆更多是一个视频媒体，而不是分享社区。
因此优酷土豆不太需要考虑。
还有一个产品无法缺席：YY语音。
在多次社会热点事件中起到聚集的作用而崭露头角。
例如淘宝卖家集会声讨等。
YY语音拥有4亿注册用户，是一个不小的体量。
再看第二点隐私的个人数据。
新浪的微博一直是重点监控对象；网易有占有率极高的邮箱和新闻评论系统；搜狐旗下的搜狗则具备输入法、浏览器等最靠近用户的客户端，搜狐自身也有邮箱、微博（基本可忽略）。
百度因为账号体系建设不够完善进而缺少个人私密数据，但仍然有大量的用户行为数据，你搜索过什么，点击过什么，搜索一下，百度知道。
另外百度云的发力则让其拥有更多的云存储数据，包括文件、照片。
阿里巴巴则拥有涉及到国计民生的电商购物数据和信用数据，你买过什么，阿里知道。
但从美国九大涉事公司不包括Amazon以及eBay，也可以看出电子商务数据的监控价值没有其他几类数据大。
但一个人的购买情况、支付宝账号、关联银行卡和收货地址，也是可以追溯到人的极度私密数据。
而腾讯则是极为恐怖的掌握用户极度核心私密数据的公司。
你什么时候上过网、与谁沟通过视频过、沟通的内容是啥、你的好友关系、你感兴趣的群、甚至你有几个QQ马甲，QQ比你记得还清楚。
揭秘美国网络安全体系架构
■王纯录揭秘美国网络安全体系架构美国作为拥有最复杂的信息网络的国家之一，平均每5年就会推出新的网络概念、新的网络架构和新的网络建设计划。
关于美国的网络安全体系架构是怎么样的？它是如何贯穿在美国的网络安全计划中、落实到具体机构的？带着这些困惑，一起来看看美国的网络安全体系架构。
安全体系模型先聊聊安全体系模型。
国家级的网络安全体系必然不是一蹴而就，要探究如此庞大的体系架构，还是要理论先行。
过去几十年，美国提出了多个网络安全体系模型和框架，比较经典的如PDRR模型、P2DR模型、IATF框架和黄金标准框架，都广为人知并被广泛应用。
P2DR模型：基于时间的动态安全循环安全=风险分析+执行策略+系统实施+漏洞监测+实时响应。
20世纪90年代末，美国国际互联网安全系统公司（ISS）提出了基于时间的自适应网络安全模型P2DR，该模型较大的特点是可以进行量化与数据证明。
在使用加密、防火墙等静态防御工具的同时，P2DR模型利用检测工具来评估系统的安全状态，通过安全策略、防护、检测和响应，达到一个动态的安全循环。
PDRR模型：强调修复能力这个阶段，安全的概念开始从信息安全扩展到了安全保障。
由美国国防部提出的PDRR模型，集防护、检测、恢复和响应于一体，更强调自动故障修复能力。
IATF框架：纵深防御IATF由美国国家安全局（NSA）制定并发布。
通过将信息系统的信息保障技术层面划分成4个焦点域，局域计算环境、区域边界、网络和基础设施、支撑性基础设施，再在每个焦点域内，描述其特有的安全需求和相应可控选择的技术措施，将信息基础设施的防护扩展到多层。
直到现在，IATF仍在不断完善和修订。
黄金标准框架：能力整合2014年6月，NSA发布《美国国家安全体系黄金标准》，可以说是基于美国国家安全系统信息保障的优秀实践。
黄金标准框架强调网络安全四大总体性功能是治理、保护、检测和响应恢复。
值得注意的是，该框架没有给出解决方法，而是按照逻辑，将基础设施的系统性理解和管理能力、以及通过协同工作来保护组织安全的保护和检测能力整合在了一起，给出方法而不是“标准答案”。
中美网络安全企业对比研究
中美网络安全企业对比研究随着网络的普及和发展，网络安全问题也日益严重，无论是中国还是美国，都对网络安全问题高度重视。
本文通过对中美网络安全企业的对比研究，来分析两国的网络安全产业现状和发展趋势。
首先从规模上来看，美国的网络安全企业相对较多且规模较大。
美国在网络安全技术的研究和应用方面一直处于世界领先地位，拥有众多知名的网络安全企业，如赛门铁克、思科等。
这些企业在技术研发、产品创新和商业化应用方面具有较强的实力和竞争力。
与此相比，中国的网络安全企业数量相对较少且规模较小。
不过，近年来中国的网络安全企业发展迅速，取得了一定的成绩。
中国的网络安全企业主要集中在防火墙、入侵检测和安全服务等领域，如绿盟科技、华为等。
这些企业在本地市场具有一定的知名度和影响力，正在逐步扩大其国际市场份额。
其次从技术实力上来看，美国的网络安全企业相对较强。
美国在网络安全技术研发方面投入较多，并聚集了大量的网络安全人才。
美国的网络安全企业拥有先进的技术和产品，并在网络安全攻防、数据安全、网络监测等领域具有强大的技术实力。
与此相比，中国的网络安全企业在技术上还存在一定的差距。
尽管近年来中国在网络安全领域加大了技术研发投入，但与美国相比还有待提高。
不过，中国网络安全企业在某些领域的技术研发上也取得了一些突破，例如在人工智能、大数据分析等方面的应用。
再次从市场需求上来看，中美网络安全企业在市场需求上存在一定差异。
美国的网络安全市场较为成熟，企业在技术需求和安全防护意识上相对较高。
而中国的网络安全市场还处于起步阶段，许多企业对网络安全的重视程度有所欠缺。
然而，随着中国经济的发展和网络安全威胁的不断增加，网络安全市场将会迎来更多的机遇和挑战。
综上所述，中美网络安全企业在规模、技术实力和市场需求等方面存在一定的差异。
美国的网络安全企业相对较多且规模较大，技术实力强。
而中国的网络安全企业数量较少且规模较小，技术实力还有待提高。
但随着中国网络安全市场的不断发展和对网络安全的重视程度的提高，中国的网络安全企业在未来有望迎头赶上，取得更大的发展。
棱镜门
• This program contributed in preventing terrorist attacks world. • 棱镜门项对阻止世界范围的恐怖袭击有贡献。
What we will do
• Show our strong protest to Chinese government for what Hong Kong have did. • 向中国政府就香港的行为作出严正抗议。 • Suspend passport of Snowden. • 吊销斯诺登护照 • Cancel the meeting with the leader of Russia in G20. • 取消G20峰会上与俄罗斯领导人的单独会晤。
3
Hale Waihona Puke 6月6日，美国《华盛顿邮报》披露称，过去6年间，美国国家安 全局和联邦调查局通过进入各大网络巨头的服务器，监控美国公 民的电子邮件、聊天记录、视频及照片等秘密资料。世界舆论随 之哗然。直接进入美国网际网路公司的中心服务器里挖掘数据、 收集情报。 涉及到的国际网络巨头包括
微软、雅虎、谷歌、苹果等在内的9家皆参与其中
欧 萌
European Union
在有情报表示美国曾对欧盟驻纽 约和华盛顿办事处进行监视后， 欧盟正在对全世界的欧盟办事处 进行“安全大扫除”。在联合国， 欧盟代表团也受到类似的监视； 另外，间谍活动也扩展到了由27 个成员国组成的欧盟位于布鲁塞 尔的总部。所以所有的欧盟办公 室都为了防止漏洞而接受“例行 扫除”。
英国在监听方面做得不比美国差
GCHQ曾经对客户电脑或服务器进 行端口扫描，本该发现是否有漏洞 存在安全行业使用的手段，但却用 于针对其他国家的情报采集。 其中一份文件显示，27个国家联网 电脑的端口进行了完整的扫描，而 其他5个国家，则完成了部分扫描。
斯诺登事件与网络安全
斯诺登事件与网络安全斯诺登事件是近年来最引人注目的网络安全事件之一。
2013年，美国国家安全局前雇员爱德华·斯诺登向媒体披露了美国政府进行的全球大规模监控计划，震惊了全世界。
这起事件引发了对个人隐私权和网络安全的关注和讨论。
斯诺登泄露的文件揭示了美国政府通过秘密监控计划，收集和分析大量国内外公民的通信数据，无视隐私权和自由的原则。
这一行为引发了全球范围内的争议和批评，许多人对政府的侵犯个人隐私的行为感到愤怒。
斯诺登事件在全球范围内引发了对网络安全的关注。
人们开始意识到，个人信息和隐私正受到来自政府和其他组织的威胁。
随着数字时代的到来，我们在互联网上存储、传输和共享的信息越来越多，保护网络安全和个人隐私变得尤为重要。
斯诺登事件引发了对信息监控和数据收集的广泛讨论。
人们开始反思政府和相关机构对个人通信和数据进行监控的合法性和必要性。
一些国家采取措施加强对网络安全的保护，并制定了更加严格的法律来保护个人隐私。
同时，一些互联网公司也开始改变他们的政策和实践，加强用户数据的保护，以提高用户对其产品和服务的信任。
斯诺登事件还推动了加密技术的发展。
加密技术被视为保护个人信息和隐私的关键技术之一。
许多互联网公司和个人用户开始采用更加安全的加密技术来保护他们的通信和数据。
同时，加密技术也被广泛应用于网络支付、电子商务等领域，以保护用户的身份和资金安全。
然而，斯诺登事件也揭示出网络安全依然面临许多挑战。
黑客攻击、跨国网络犯罪等问题依然存在，对网络安全构成威胁。
此外，随着物联网和人工智能技术的发展，网络安全问题变得更加复杂和严峻。
网络安全需要来自政府、互联网公司和个人用户的共同努力，建立起全球合作和合理规范的网络安全体系。
总之，斯诺登事件引发了全球对网络安全和个人隐私的关注。
它让人们认识到在数字时代，保护网络安全和个人隐私的重要性。
斯诺登事件不仅促使政府和互联网公司加强对个人信息和隐私的保护，也推动了加密技术的发展。
美国网络安全和发展历程
美国网络安全和发展历程美国的网络安全和发展历程可以追溯到20世纪60年代。
那时，冷战期间美国政府非常关注和依赖于计算机技术和信息系统。
在这个时期，美国国防部建立了一个名为“先进研究计划局（ARPA）”的机构，以推动计算机和通信技术的发展。
ARPA的目标是确保美国在大规模报复和国防能力方面保持领先地位。
在70年代，随着个人计算机的发展，互联网也开始出现。
然而，当时对于网络安全并没有太多的关注。
1986年，美国国会通过了一项重要的法律，即《计算机欺诈和滥用法》（Computer Fraud and Abuse Act）。
这是美国第一次正式对计算机犯罪进行了规范，标志着网络安全开始引起重视。
20世纪90年代是美国网络安全发展的一个重要时期。
随着互联网的普及，组织和个人对网络的依赖性不断增加，同时网络犯罪事件也日益增多。
1997年，美国总统比尔·克林顿签署了一项行政命令，成立了一个名为国家信息保护中心（National InfraGard and the National Infrastructure Protection Center）的机构，以加强对网络安全的监督和保护。
进入21世纪，网络威胁和攻击变得更加复杂和严重。
2001年的“911”事件以及2003年的“大停电”事件引起了对网络安全的更大关注和重视。
美国政府加强了网络安全的法规和政策，并成立了一个名为国家网络安全局（National Cybersecurity and Communications Integration Center）的机构，以提供对威胁和攻击的实时响应和保护。
随着信息技术的快速发展，美国网络安全的挑战也在不断增加。
为了应对这些挑战，美国政府制定了一系列措施来推动网络安全的发展。
其中包括成立国家网络安全联盟（National Cybersecurity Alliance）、改革网络安全法律和政策以及加强合作与国际交流等。
网络安全敏感的国家
网络安全敏感的国家网络安全敏感的国家指的是在网络安全领域非常重视、高度关注和加强网络安全的国家。
这些国家通常拥有强大的网络安全能力和技术设施，致力于保护自己的网络免受外部攻击和入侵。
以下是一些被认为是网络安全敏感的国家。
美国是世界上最早开始研究和发展网络安全技术的国家之一。
美国政府高度重视网络安全问题，并投入大量资源用于加强网络防护和监控。
美国国家安全局（NSA）负责网络情报和攻击行动，在全球范围内拥有广泛的网络监控能力。
美国还设立了网络安全和基础设施安全局（CISA）来负责网络安全政策和协调网络安全事务。
以色列也是网络安全敏感的国家之一。
作为一个技术创新和创业热土，以色列在网络安全领域取得了世界领先地位。
以色列政府对网络安全问题高度关注，投入大量资金用于培养网络安全人才、推动网络安全技术研发和推广应用。
以色列的网络安全公司和技术在全球范围内享有盛誉，被广泛应用于政府、军事和商业领域。
中国是全球最大的网络使用国家之一，也是网络安全敏感的国家之一。
中国政府对网络安全问题高度重视，制定了一系列法律法规和政策措施来保护国家的网络安全。
中国成立了国家互联网应急中心（CNCERT）来负责网络安全监测和应急响应工作。
中国还加强了网络安全技术研发和人才培养，发展了一批优秀的网络安全企业和专业人才。
英国是网络安全敏感的国家之一。
英国政府成立了国家网络安全中心（NCSC），负责指导国家的网络安全工作，提供网络安全咨询和支持。
英国在网络安全研究和教育方面具有一定的优势，培养了一批专业的网络安全人才。
英国还通过立法和监管措施来加强网络安全，保护国家的网络免受攻击和恶意活动。
在当前全球网络安全形势复杂严峻的背景下，网络安全敏感的国家对于维护国家安全和稳定、促进经济发展具有重要意义。
这些国家不仅应加强自身的网络安全能力和技术设施，还应加强国际合作，共同应对全球网络安全挑战，维护全球网络的安全与稳定。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
透视美国《国家网络安全综合计划（ＣＮＣＩ）））张文贵，彭博，潘卓（国家信息技术安全研究中心，北京１０００８４）
摘要：２０１０年５月２日，白宫宣布解密并公布了ＣＮＣＩ计划部分内容，引起了广泛关注。ＣＮＣＩ是一个涉及美国网络空间防御的综合计划，其目的是打连和构建国家层面的网络安全防御体系。介绍了ＣＮＣＩ出台背景。解读了ＣＮＣＩ的主要内容，阐述了可信互联网连接（ＴＩＣ）实施步骤与ＣＮＣＩ面临的挑战。关键词：美国国家网络安全综合计划（ＣＮＣＩ）；爱因斯坦计划
１ＣＮＣｌ出台与部分解密的背景情况近期美国官方文件透露，２【）０７年５月，美国国家网络研究组负责ＣＮＣＩ的起草工作，其目的是为了提高美国重要网络设施的防御能力。２００７年底，ＣＮＣＩ的后续工作转交到白宫的政策协调委员会。２００８年１月８日，美国总统布什签署发布了第５４号国家安全总统令／第２３号国土安全总统令，即ＣＮＣＩ。出台该计划是布什总统认为美国网络安全需要一个国家层面的综合计划并付诸实施，但由于其任期将满，已经没有时间解决美国网络安全方面的诸多问题，希望下届政府完善和继续推行确定的网络安全计划。该计划旨在保护美国的网络安全，防止美国遭受各种恶意或敌对的电子攻击，并能对敌方展开在线攻击。由于该总统令是密令，一直对外保密。应国内多方呼吁，２０１０年３月２日，美国总统奥巴马高调宣布解密其部分内容，主要目的是提高透明度以争取民心。２００９年的旧金山美国信息安全大会上，被称之为美国。网络沙皇”的现任白宫瓦联网安全协调官霍华德·施密特曾介绍过该计划的小部分内容。他说：“我们不能要求企业帮助政府，政府也无法帮助企业。而这样做（提高透明度）将使得美国人民愿和政府合作。”据有关报道，ＣＮＣＩ计划总投资３００至４００亿美元，大致计划如下：２００８年５．８亿２００９年１７．８亿２０１０年２４亿２０１１年５５亿２０１２年７５亿总计１７７．６亿２ＣＮＣＩ重点内容解读２．１强力推行“可信互联网连接”计划。合并和缩减外部接入点数量ＣＮＣＩ第一条明确要求：“各机构，无论是作为可信互联网连接（ＴＩＣ）访问服务供应商，或作为通过联邦总务局管理的Ｎｅｔｗｏｒｘ合同的商业性托管可信ＩＰ服务（ＭＴＩＰＳ）供应商，一律参与ＴＩＣ计划。”ＴＩＣ是２００７年１１月３０日举行的美国政府大会上提出的，旨在构建政府各大小部门和机构的互联网门户网站，给出了网络安全外线防御的蓝图。其核心内容如下；（１）合并成一个数量较小的（目标是５０个）优化的标准外部接入点（包括使用“互联网门户网站”的国际互联网接口）；（２）计算机应急响应小组（ＵＳ—ＣＥＲＴ）利用爱因斯坦技术和支持流程优化的标准门户网站实施监溯、事件通知、支持和响应；（３）继续推行代理商和服务提供商网络与安全工作，包括纵深防御、事件响应和直接的业务支持；（４）确保各方之间签订基于性能的安全和服务等级协议。
国
＾ｏ量ｖ
Ｃ一Ⅲ一ｖⅢ＾Ｃ埘～一吒
万方数据费３到５年时间。。有时候，有些较大型的传统应用可能不得不加以改变。”唐兰称，联邦政府所管理的外部互联网连接数量问题和安全的入口相比，重要性要低一些。“我们不要只关注数量问题，而是要关注安全的联邦网络的使命，”“即便我们把外部互联网连接减少到５０个或者▲１００个，这个数目也会随着各机构职能的变化而随之增，：加或者减少。”目前，美国的大部分政府机构已经部署了：＝符合ＴＩＣ要求的防病毒和其他安全软件。但是ＴＩＣ方案ＩＶ＝要求这些软件进行统一部署，时间印记和标准注册程序—＇同步。ＴＩＣ方案还将会给美国计算机应急响应小组（ＵＳ－－邑ＣＥＲＴ）提供有关网络攻击的常规信息。ＴＩＣ方案或许不Ｉｉｌ能监测到或者消除所有的黑客攻击企图。例如它就不能：二防范ＤＤｏＳ攻击，但是它所提供的额外的网络安全服务层和它所施用的一致性方法将会帮助政府部门封锁基于ｎｒＩ邮件的攻击，例如病毒、蠕虫和恶意软件等。唐兰认为，ＩＵＴＩＣ方案最基本的益处就是可以达成政府范围内一致的●Ｊ处境意识。“没有哪个单独部门是可以自己去完成一切事ｊ情的，尤其是当我们在处理安全威胁环境这一类事件的儿时候，”“即便是设备最先进的部门，有时候也会看不到￡！攻击的威胁。”１２．２在整个联邦企业部署爱因斯坦２和爱因斯坦３～一ｃＮｃＩ第二条和第三条明确阐述：“使用被动感应Ｖ技术的入侵检测系统（ＩＤＳ），是美国政府网络安全防范２００１年之前给国会的报告中明确的。另外，这一计划涉及检测计算机蠕虫、入站和出站流量异常、配置管理以及计算机应急响应小组提供给美国部门和机构的关于。Ｆｅｄｅｒａｌ．ｇｏｖ域安全”的实时趋势分析。创建“爱因斯坦”的目的是要收集一段时间的数据，包括：独立系统号码；网间控制报文协议；数据包长度；数据传递协议；传感器识别和连接状态（数据源位置）；ＩＰ地址源和目标，端口源和目标；传输控制协议标志信息；时间戳和时间信息。“爱因斯坦”包括：爱因斯坦ｌ、爱因斯坦２和爱因斯坦３。爱因斯坦ｌ的主要功能是对网络流量进行监测；爱因斯坦２配备入侵检测系统（ＩＤＳ），其主要功能是扫描网络数据包的内容，以确定它们是否含有恶意代码。是一个能自动检测恶意网络活动的系统，当发现异常情况时会自动警报；爱因斯坦３是一种由ＮＳＡ研制，原本用于军事系统的入侵检测防御系统。它是爱因斯坦ｌ和爱因斯坦２的演变混合体，既具备入侵检测功能，又具备入侵防御功能。２．３搭建各网络运行中心信息共享体系。提高整体态势感知能力ＣＮＣＩ第五条明确阐述：“在负责执行美国网络活动的六个中心整个范围内启用并支持共享的态势感知和协作，这一活动关注的主要方面是使得跨越美国各地的网络活动的内容衔接：基础能力和投资，如基础设施的升级，增加带宽，综合业务能力；加强合作，包括共同的技术、工具和程序；以及通过共享的分析和协作技术，加强共享态势感知。”根据这一计划，通过协调和综合来自六个中心的信息，提供横跨六个中心的态势感知与分析，并报告美国网络和系统状态，以促进结构问的合作与协调。国土安全部内的国家网络安全中心（ＮＣＳＣ）在保护美国政府网络和系统上将起到关键的作用。２．４保护网络空间安全的同时，又要保护公民的隐私权和民主自由权ＣＮＣＩ第三条要求：“网络入侵方面的信息共享将会依法进行，并将会对与国土安全、情报、国防有关的活动进行监督，以保护个人隐私及公民权。”２０１０年２月１９日美国国土安全部发布的《计算机网络安全与隐私保护》白皮书里表示：“在完成此项任务（网络安全）的同时，国土安全部还需肩负认真保护隐私和公民自由的使命。”关于隐私权，ＣＮＣＩ计划，包括爱因斯坦，将住确保美国公民的隐私权和其他法定的权利得到保护前提下加以实施。鉴于国土安全部部长为整个国家联邦行政部门民用网络的保护，防御和减少漏洞工作的负责人，该部之法定授权的隐私保护条款适用于国土安全部ＣＮＣＩ计划的每一项活动。尽管如此，由于爱因斯坦３具有读取电子邮件和其他互联网流量内容的功能，在美国已经发生隐私倡议者与爱因斯坦３争议，特别是国家安全局
万方数据参与的问题。２．５要采取类似上世纪五十年代提高科学和数学教育领域的举动，扩大网络安全知识和技能方面的教育ＣＮＣＩ第八条阐述：“虽然在保护美国政府网络空问安全的新技术上花费了数十亿美元，但成功与否的关键因素在于具备过硬知识、技能和能够实现这些技术的人。然而，恰恰是在联邦政府或者私营部门内我们缺少贯彻落实ＣＮＣＩ的网络安全专家，而且也没有建立起一个建全的、完善的联邦网络安全职业圈（领域）。现有的网络安全人员培训发展计划虽然不错，但它存在一定的局限性。重点不够突出，且缺少万众一心和同心协力。为了有效地保证我们持续的技术优势和未来的网络安全，我们必须建立起技术精湛和精通网络技术的人才队伍以及未来员工的有效渠道。为了应对这一挑战，需要制定一项类似于上世纪五十年代努力提升科学和数学教育的国家战略。”为了做好网络安伞教育，美国网络安全专家建议：（１）战略暨国际研究中心委员会建议通过为网络专家提高奖学金以及发展职业道路的方法增加熟练工人的数量。（２）联邦政府需要宣传和提高网络安全问题严重性的认识，增加具有丰富网络安全技能的专业人才数量。（３）白宫政策审查把教育和队伍发展作为国家网络安全战略的重要组成部分，它建议：①发起一个全国性的公众意识和教育运动，以促进网络安全，②扩大教育方案和研发，确保国家在信息经济时代的持续竞争能力；③制定一项战略，以扩大和培训的劳动力，包括吸引和保留联邦政府内的网络安全专业知识；２．６开发制订一种全球供应链风险管理的多管齐下的方法ＣＮＣＩ第十一条要求：“商业信息和通信技术市场的全球化为那砦专注于通过渗透供应链来危害美国的人们提供了更多获得未经授权的访问数据，篡改数据和阻断通信的机会。对这些来自干国内和全球化供应链的风险必须通过一个战略的和全面的方法，对产品、系统和服务进行全生命周期的管理。”要做好这种风险管理，就需要：更深刎的认识威胁、漏洞和相关采购决定所产生的后果；开发和利用从技术和操作环节上减少产品生命周期（从设计到退役）中风险的工具和资源；开发制订新的采购政策和做法，以应对复杂的全球市场；与相关业界合作，制订一套适用于供应链的风险管理标准和最佳操作规程。该计划将促进联邦政府的技能、政策和程序，为各部门和机构提供管理及减少供应链风险的更好办法，从而减少联邦政府部门和机构所面临的系统及网络风险。２．７定义联邦政府在将网络安全融入关键基础设施工作中的职责ＣＮＣＩ第十二条阐述：。美国政府依赖私人拥有和运营的各种关键基础设施来实施公共事务。同样，这些关键基础设施的运转也需要高效的信息系统和网络来支撑，而这些系统和网络极易遭到恶意攻击。该计划是建立在联邦政府与关键基础设施和重要资源（ＣＩＫＲ）的公私营领域所有者及运营商之间现存的或正在发展中的伙伴关系之上的。”国土安全部与其私营企业合作方已制定了一个具有里程碑意义的积极的共享行动计划，包括短期和长期建议，特别是吸收和利用以前取得的成就及现实经验，从而增强关键基础设施和重要资源部门的安全弹性及运作能力。其重点是当政府部门、关键基础设施和重要资源遭受网络威胁或发生网络安全事故时，所有相关信息须共享。２．８明确赋予计算机应急响应小组应肩负的使命ＣＮＣＩ第二条阐述：“美国计算机应急响应小组要大
幅度地提高态势感知意识，从而更有效地挖掘相关安全信息，更快捷地与整个政府的网络防御人员、民营机构的安全专业人员和社会公众共享信息。”美国计算机应急响应小组将：（１）运营从可信互联网连接访问服务提供商（ＴＩＣＡＰ）获得的相关设备；（２）签署和实施方案，以确保收集、保存和传达已知
或疑似的网络威胁；（３）利用保密或非保密签名监控镜像流量；（４）生成警报，存储、分析、并保留已知或疑似的网络威胁流量部分；（５）基于现有的政策和程序分析预警和有关机构的流量