3月2日訊 美國(guó)眾議院科學(xué)、空間與技術(shù)委員會(huì)于周三通過(guò)了《網(wǎng)絡(luò)安全框架》法案。按照此法案規(guī)定，美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院(簡(jiǎn)稱(chēng)NIST)將向聯(lián)邦機(jī)構(gòu)說(shuō)明如何實(shí)施這個(gè)《網(wǎng)絡(luò)安全框架》(Cybersecurity Framework)。這份框架專(zhuān)為擁有并運(yùn)營(yíng)關(guān)鍵行業(yè)的公司制定。

對(duì)于采用該框架的機(jī)構(gòu)而言，遵守這項(xiàng)法案，就不必滿足聯(lián)邦信息安全規(guī)則的傳統(tǒng)合規(guī)要求。

美國(guó)眾議院科學(xué)、空間與技術(shù)委員會(huì)通過(guò)的這項(xiàng)立法為——《2017 NIST網(wǎng)絡(luò)安全框架、評(píng)估和審查法》(NIST Cybersecurity Framework, Assessment, and Auditing Act of 2017)(H.R. 1224)，以19：14的投票通過(guò)。

投票記錄

委員會(huì)一位助理表示，這項(xiàng)法案旨在推進(jìn)聯(lián)邦機(jī)構(gòu)使用NIST《網(wǎng)絡(luò)安全框架》，NIST將為聯(lián)邦機(jī)構(gòu)提供實(shí)施該框架的指南。該框架是在重要行業(yè)投入下制定的，包含一系列靈活的自愿準(zhǔn)則供企業(yè)用來(lái)評(píng)估并管理網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。

這位助理指出，法案旨在提高聯(lián)邦網(wǎng)絡(luò)的網(wǎng)絡(luò)安全準(zhǔn)備和防御能力。但是，這項(xiàng)法案不能強(qiáng)制聯(lián)邦機(jī)構(gòu)使用此框架，因?yàn)槊绹?guó)眾議院科學(xué)、空間與技術(shù)委員會(huì)只對(duì)NIST具有管轄權(quán)。眾議院監(jiān)督和政府改革委員會(huì)或國(guó)土安全委員會(huì)可能需要通過(guò)一項(xiàng)法案。

他表示，“我們已經(jīng)與其它委員會(huì)的同事討論網(wǎng)絡(luò)安全監(jiān)督，還在初期討論階段，我們基本上讓他們參與了我們目前正在做的事。”

一份行政令也將奏效。例如，特朗普政府官員擬定的網(wǎng)絡(luò)安全行政令草案將強(qiáng)制聯(lián)邦機(jī)構(gòu)采用NIST這個(gè)《網(wǎng)絡(luò)安全框架》。但是，這份草案一直擱置數(shù)周，仍無(wú)任何要行動(dòng)的跡象，其未來(lái)不明朗。

科學(xué)、空間與技術(shù)委員會(huì)通過(guò)的這項(xiàng)法案還將強(qiáng)制NIST首先評(píng)估，之后使用基于結(jié)果的指標(biāo)和測(cè)試來(lái)審查機(jī)構(gòu)對(duì)該框架的使用情況。

這名助理表示，“最終，該框架應(yīng)該取代當(dāng)前《聯(lián)邦信息安全現(xiàn)代化法案》(the Federal Information Security Modernization Act，F(xiàn)ISMA)的網(wǎng)絡(luò)安全要求。”他將該框架稱(chēng)之為“更符合21世紀(jì)的方法。”

“這份框架是風(fēng)險(xiǎn)管理...協(xié)調(diào)和調(diào)整所有這些網(wǎng)絡(luò)安全要求的好工具。為了避免新的規(guī)則和安全措施重疊，我們認(rèn)為該框架最終應(yīng)取代FISMA。”他總結(jié)道，“從我們的觀點(diǎn)來(lái)看，這將是一個(gè)重大改進(jìn)。”

但是NIST的審查角色是委員會(huì)民主黨困惑的癥結(jié)。德克薩斯州民主黨人Eddie Bernice Johnson表示，“我不記得任何專(zhuān)家曾建議，讓NIST擔(dān)負(fù)起對(duì)其它機(jī)構(gòu)執(zhí)行年度網(wǎng)絡(luò)安全審查的職責(zé)。NIST并非審查機(jī)構(gòu)。他們過(guò)去沒(méi)有這樣做過(guò)、缺乏專(zhuān)業(yè)知識(shí)或能力”。她反對(duì)該法案。

這名助理表示，下一步舉措輪到眾議院決定。每個(gè)人都非常專(zhuān)注網(wǎng)絡(luò)安全立法的下一步方案。但我們不確定這項(xiàng)法案的具體確定時(shí)間。