2018年美國國會將拿出切實可行的措施，旨在維護網絡安全，以防止數據泄露問題，抵御國外勢力威脅，籌劃關鍵機構在網絡、政府信息技術采購相關事宜。專家普遍認為美國國會可能圍繞以下幾個方面展開工作：

加快“網絡安全與基礎設施保護局”的重組與重新命名

2018年，美國會將跟進美國土安全部(DHS)“網絡安全與基礎設施保護局”的重組與重新命名法案(H.R.3359)。這份法案已經于2017年12月在白宮眾議院內得到投票通過，允許將美國國土安全部(DHS)的“國家保護與計劃局”的部門重新命名為“網絡安全與基礎設施保護局”，以防止原有名稱與縮寫在私營企業以及其它部門處引起誤解。

“網絡安全與基礎設施保護局”將有權指定一名局長直接向DHS部長報告;該部門還將設置一名網絡安全與基礎設施安全副局長，以及一名負責網絡安全、基礎設施保護與應急通信的副局長。“重組與重新命名法案(H.R.3359)”法案由美國國土安全委員會主席邁克爾·麥考爾力推，麥考爾2016年也曾經提出類似的立法申請，但卻因當時各國會委員會間管轄權存在糾紛而未能實現。這一次，此項法案被遞交至擁有同等管轄權的各委員會處，包括能源、商務、運輸以及基礎設施委員會，并最終由國土安全部于2017年7月正式宣布通過。麥考爾在演講中指出，第一網絡威脅需要加強數字化美國的安全水平與自身網絡的彈性能力。

美國會2018年網絡安全工作重點全解析-E安全

重點關注選舉工作的網絡安全問題

近日，美國多位參議員提出了一項法案，旨在推動出臺針對美國選舉投票系統的網絡安全防護措施，以應對日益嚴峻的網絡安全威脅。該法案提出應設立專家小組，起草風險管理指導方針和具體舉措。該法案還將設立一個高達3.86億美元(約合人民幣24.8億元)的撥款計劃，以協助各州政府實施上述指導方針并替換老舊的電子投票系統。

網絡安全問題一直伴隨2016年美國大選的進程，成為左右選情的重要因素，并對最后的選舉結果產生了重要的影響。黑客攻擊的對象不僅包括政府機構和私營部門，也包括與選舉關系密切的個人。由此引發的安全問題涉及網絡系統安全、數據安全以及關鍵信息基礎設施的安全。盡管俄羅斯政府堅決否認利用網絡手段干涉美國大選，但美國不會輕易改變態度。

將大力提升偵查能力

如何保證數字時代“民主選舉”的公平公正將是美國政府的長期議題。為了遏制黑客的攻擊并維護自己在網絡空間的有利地位，美國未來將努力提升網絡防御、偵查和威懾能力。這三方面能力的提升將使美國可以更加主動地應對黑客入侵，并在數字空間展示美國在關鍵安全指標上的優勢。

提高網絡偵查能力：有助于盡早發現敵手并將其從網絡系統中清除，從而減少損失。偵查水平的提高可以增加防御者對所有發生的情況的能見度。網絡能見度的提升，有助于防御者監控自己的網絡，及時發現入侵行為并進一步追蹤到入侵者。

此外，美國政府將加大與私營機構的信息共享合作，并將優先解密高級外國攻擊者的威脅情報，把這些數據提供給特定的信息共享和分析組織。當相關機構把共享的信息用于自己網絡系統時，惡意網絡行為的檢測和溯源變得更加容易。

對于已經潛伏在美國某些關鍵基礎設施網絡中的黑客工具，美國政府將鼓勵開展廣泛的偵查工作。鑒于黑客往往擁有持續的網絡收集能力，如何識別出已經發生的入侵并將其從網絡系統中清除是對美國的考驗。

美國會2018年網絡安全工作重點全解析-E安全

加強物聯網網絡安全

2016年10月，惡意軟件Mirai攻擊物聯網設備事件;2017年5月，“WannaCry”勒索病毒大規模暴發，這類事件給物聯網的安全敲響了警鐘。

不法分子利用物聯網設備實施網絡攻擊的威脅，讓美國政府意識到了物聯網安全問題的嚴重性。無論是美國聯邦政府還是國會，開始積極探討和研究如何應對物聯網面臨的安全沖擊。

法案建議“禁止使用硬編碼”

2017年8月，美國弗吉尼亞州民主黨參議員馬克·沃納和科羅拉多州共和黨參議員克里·加德納提出新法案《物聯網網絡安全改進法案》，要求聯邦政府的設備供應商遵循行業范圍內的安全實踐，例如確保可穿戴設備、智能傳感器等設備能修復漏洞、更新密碼、推向市場時不存在已知安全漏洞。這項法案將禁止廠商使用硬編碼和無法更改的用戶名和密碼。

立法人員希望通過“最小限度的干預”解決“顯而易見的市場失靈”狀況。《物聯網網絡安全改進法案》將確保美國政府“以身作則”，防止因物聯網領域缺乏重大創新使聯邦系統遭遇進一步入侵。該法案2017年9月被提交到了美國立法機構，以確保向聯邦政府出售和部署物聯網的設備制造商滿足經過安全標準篩選。其中還有一些條款規定，包括必須確保可修補性和避免默認密碼等，所有這些都是一種積極的舉動，或將促使其他國家政府也進行思考并采取類似行動。

《物聯網網絡安全改進法案》具體要求

《物聯網網絡安全改進法案》提出，聯邦政府的物聯網設備供應商要保證其設備采用政府認可的標準協議，不能包含硬編碼密碼，不能含有已知的安全漏洞，并且是可以打補丁的。該法案其他要求：

如果供應商發現新的安全漏洞，必須向有關部門披露，并解釋為什么設備存在這樣的漏洞仍被認為是安全的，以及他們針對漏洞采取了哪些措施。

美國聯邦政府采購部門的首席信息官可以決定是否放棄采購這些設備。

對于某些不能滿足上述要求的設備，如果能證明可有效控制安全風險，采購部門可向美國政府管理預算局(OMB)申請，獲準購買這樣的設備。

授權OMB和NIST與相關行業協調，確認政府機構可采取的特定安全防范措施，如網絡分段、使用網關等是否有效。

如果聯邦政府機構有自己更嚴格的安全標準，或相關行業有更嚴格的第三方設備認證標準，可提供等效或更嚴格的安全保證(具體由NIST來認定)，則可以不采納該法案的建議。

要求美國國土安全部計劃司(NPPD)與相關行業合作開發物聯網設備安全漏洞披露指南，免除《計算機欺詐與濫用法》和《數字千年版權法》規定的網絡安全研究人員責任。同時，這些設備的安全漏洞一經發現，則應第一時間進行修補，或者更換設備。

美國會2018年網絡安全工作重點全解析-E安全

建立數據泄露通告標準

數字空間身份問題是數字經濟的核心問題。隨著互聯網身份數據不斷擴充，每一次觸目驚心的數據泄露事件的發生，都將進一步加劇數字空間身份危機。

美國眾議院能源及商務小組委員會主席鮑勃·拉塔表示，數據泄露和消費者保護問題將是2018年的首要議程，該委員會目前正與大量利益相關方合作，以提出方案加強安全并防止數據泄露。美國民主黨參議員也已提出一項嚴格的“數據泄露通知”法案。有消息稱，兩黨參議院工作組已經草擬了政策方案。

數據泄露問題日益嚴峻

數據泄漏事件威脅嚴重，近年來犯罪分子已經趨于組織化、規模化、專業化，形成了一個非常完善的流水性作業，威脅著公民的身份和財產安全。黑客攻擊、個人信息泄露、信用卡支付信息泄露、賬戶被盜等事件層出不窮。當一場事故中發生敏感，受保護或機密數據可能被未經授權的個人查看、偷竊或使用的事件，即可定義為數據泄露。數據泄露往往涉及支付卡信息(PCI)，個人健康信息(PHI)，個人身份信息(PII)，商業秘密或知識產權。

隨著科技的發展，互聯網數據越來越多，也越來越詳實，數據泄露好比現實世界的核泄漏，給人們帶來巨大影響。

對于個人，用戶信息泄露，則用戶賬號面臨被盜風險，個人隱私及財產安全難以保障。

對于企業，信息泄露事件會導致其公信力下降，會直接使客戶改變原有選擇傾向。數據泄露事件可能會使企業失去一大批已有的或者潛在的客戶。

2018將推出“數據被泄事件”披露法令

在數據信息的作用與地位日漸重要的今天，早有專家提出觀點認為“隨著企業組織存儲的個人數據逐漸增多，美國民眾有權利知曉他們的信息是否已被竊取或是不合時宜地披露出來。”鑒于此，美國國會或將在2018年頒布法令，創建一個全國性標準，以便在消費者數據遭到黑客攻擊后，能夠及時通知消費者本人。