澳门尼威斯人网站(中国)有限公司

　　1月16日✿ღ★，拜登政府签署了《关于加强和促进国家网络安全的行政命令》✿ღ★，旨在应对日益严峻的网络威胁✿ღ★，尤其是中俄等国对美国政府和关键基础设施的持续网络攻击✿ღ★。该命令是对2021年5月发布的首份网络安全行政令的延续✿ღ★，继续深化了推进零信任安全架构迁移✿ღ★、加强软件供应链安全✿ღ★、建立漏洞披露政策等措施✿ღ★。

　　该命令强调了加强国家网络安全的重要性✿ღ★，通过加强监管✿ღ★、技术创新和国际合作方式✿ღ★，提出了旨在加强软件供应链安全✿ღ★、联邦信息系统安全✿ღ★、联邦通信安全等目标及相关措施✿ღ★，并推动后量子密码过渡✿ღ★、利用人工智能提升网络防御能力✿ღ★、改善云服务安全✿ღ★，为下一届政府的网络安全工作提供了框架✿ღ★。

　　敌对国家和犯罪分子继续对美国及美国人民发动网络攻击✿ღ★，其中中华人民共和国对美国政府✿ღ★、私营部门和关键基础设施网络构成了最活跃✿ღ★、最持久的网络威胁✿ღ★。这些攻击妨碍了美国的关键服务✿ღ★，造成数十亿美元的损失✿ღ★，并损害了美国人的安全和隐私✿ღ★。为应对这些威胁✿ღ★，必须采取更多措施来改善美国的网络安全✿ღ★。

　　基于2021年5月12日发布的第14028号行政命令（关于改善国家网络安全的行政命令）以及《国家网络安全战略》详述的举措✿ღ★，美国将采取更多行动来改善其网络安全✿ღ★，其中的重点是保护数字基础设施✿ღ★，保护对数字领域至关重要的服务和能力✿ღ★，提升应对关键威胁（包括来自中华人民共和国的威胁）的能力✿ღ★，加强对软件提供商和云服务提供商的问责✿ღ★，强化联邦层面的通信系统和身份管理系统的安全性✿ღ★，并推动各行政部门和机构（以下简称“各机构”）以及私营部门在网络安全方面开展创新和使用新兴技术✿ღ★。

　　（a）联邦政府和我国的关键基础设施依赖于软件提供商✿ღ★。然而✿ღ★，不安全的软件仍然是提供商和用户面临的一大挑战✿ღ★，并使联邦政府和关键基础设施系统容易受到恶意网络事件的影响✿ღ★。联邦政府必须继续采用安全的软件采购做法✿ღ★，并采取措施确保软件提供商使用安全的软件开发做法✿ღ★，以减少／减轻其所生产软件中的漏洞的数量和严重程度✿ღ★。

　　（b）2021年的第14028号行政命令指示采取行动✿ღ★，以提高联邦政府工作所需软件的安全性和完整性✿ღ★。该命令指示制定关于安全软件开发做法的指南✿ღ★，以及生成和提供以人工或自动化方式生成的工件（即计算机记录或数据）来证明符合采取了这些做法✿ღ★。此外✿ღ★，第14028号命令还指示管理与预算局（OMB）局长要求各机构仅使用那些“被证明使用了安全软件开发做法”的提供商的软件✿ღ★。在某些情况下✿ღ★，向联邦政府提供软件的提供商虽承诺遵循网络安全做法✿ღ★，但并未修复其软件中可被利用的已知漏洞✿ღ★，而这将使政府面临被入侵的风险✿ღ★。联邦政府需要采用更严格的第三方风险管理做法✿ღ★，并确保支持政府关键服务的软件提供商遵循其所声明的做法✿ღ★。

　　（i）在本命令发布之日起的30天内✿ღ★，OMB局长应分别通过商务部（由商务部长指示国家标准与技术研究院（NIST）院长开展相关工作）和国土安全部（DHS）（由国土安全部部长指示网络安全与基础设施安全局（CISA）局长开展相关工作）✿ღ★，与商务部长和国土安全部长进行协商✿ღ★，从而向联邦采购监管委员会（以下简称“FAR委员会”）建议如何制定合同✿ღ★，而此类合同应要求软件提供商通过CISA的“软件证明与工件库”（RSAA）✿ღ★，将以下材料提交给CISA✿ღ★：

　　（ii）在收到本条第（b）款第（i）项所述建议之日起的120天内✿ღ★，FAR委员会应审查这些建议✿ღ★，且国防部长✿ღ★、总务管理局（GSA）局长和国家航空航天局（NASA）局长（FAR委员会的机构成员）应联合采取措施修改《联邦采购条例》（FAR）以实施这些建议✿ღ★。FAR委员会的机构成员被强烈鼓励酌情根据适用法律考虑发布临时最终规则✿ღ★。

　　（iii）在本条第（b）款第（i）项所述建议发布之日起的60天内✿ღ★，国土安全部长应指示CISA局长评估“生成✿ღ★、接收和验证机器可读的安全软件开发证明和工件”的新兴方法✿ღ★，并酌情为软件提供商提供关于“向CISA的RSAA网站提交这些证明和工件”的指导✿ღ★，包括关于通用数据架构和格式的指导✿ღ★。

　　（iv）在对本条第（b）款第（ii）项所述的联邦采购监管（FAR）事宜进行任何修改之日起的30天内✿ღ★，国土安全部长应指示CISA局长制定一项程序✿ღ★，以集中验证所有证明形式的完整性✿ღ★。CISA应使用RSAA中的高级工件来持续验证取自完整证明文件的样本✿ღ★。

　　（v）如果CISA发现证明文件不完整✿ღ★，或工件不足以验证证明文件✿ღ★，CISA局长则应将此事通知软件提供商和签约机构✿ღ★。CISA局长应制定相关流程✿ღ★，以便软件提供商对CISA的初步决定作出回应✿ღ★，以及让CISA适当考虑此类回应✿ღ★。

　　（vi）对于经过验证的证明文件✿ღ★，CISA局长应通知国家网络总监✿ღ★，后者应公开发布结果✿ღ★，标明软件提供商和软件版本✿ღ★。本命令鼓励国家网络总监将验证失败的证明文件转交司法部长✿ღ★，由后者采取适当行动✿ღ★。

　　（c）仅靠安全软件开发做法✿ღ★，还不足以应对“有资源和决心的国家行为体”带来的网络事件风险✿ღ★。为了减轻此类事件的风险✿ღ★，软件提供商还必须确保软件交付过程及软件本身的安全性✿ღ★。联邦政府必须确定一套协调一致✿ღ★、实用且有效的安全做法✿ღ★，并要求在采购软件时遵循此类做法✿ღ★。

　　（i）在本命令发布之日起的60天内✿ღ★，商务部长应指示NIST院长与参与国家网络安全卓越中心的企业建立联盟✿ღ★，并酌情根据该联盟提供的信息制定指导文件✿ღ★，而该指导文件应证明落实了基于NIST特别出版物800-218（NIST SP 800-218）《安全软件开发框架（SSDF）》的安全软件开发做法✿ღ★、安全措施和操作做法✿ღ★。

　　（ii）在本命令发布之日起的90天内✿ღ★，商务部长应指示NIST院长更新NIST特别出版物800-53（NIST SP 800-53）《信息系统和组织的安全与隐私控制》✿ღ★，以提供关于如何安全可靠地部署补丁和更新内容的指导✿ღ★。

　　（iii）在本命令发布之日起的180天内✿ღ★，商务部长应指示NIST院长在于与其认为适当的机构负责人协商后✿ღ★，开发和公布SSDF的初步更新版本✿ღ★。此更新版应包括关于安全可靠地开发和交付软件以及确保软件自身安全的做法✿ღ★、程序✿ღ★、控制措施和实施示例✿ღ★。自公布初步更新版之日起的120天内✿ღ★，商务部长应指示NIST院长公布SSDF的最终版本✿ღ★。

　　（iv）在本条第（c）款第（iii）项所述的SSDF最终版更新之日起的120天内✿ღ★，OMB局长应将NIST更新后的SSDF中所包含的安全软件开发和交付做法✿ღ★，纳入OMB备忘录M-22-18《通过安全软件开发做法增强软件供应链的安全性》或相关要求中✿ღ★。

　　（v）在发布本条第（c）款第（iv）项所述的OMB更新文件之日起的30天内✿ღ★，CISA局长应准备对CISA的安全软件开发证明文件的通用表格进行修订✿ღ★，使之符合OMB的要求✿ღ★，并启动按《文书减少法》（《美国法典》第44编第3501节（44 U.S.C. 3501）及后续条款）规定批准修订版表格所需的任何程序✿ღ★。

　　（d）随着各机构改进其网络防御✿ღ★，对手已瞄准机构供应链中的薄弱环节以及联邦政府所依赖的产品和服务✿ღ★。各机构需要将网络安全供应链风险管理计划纳入全机构的风险管理活动中✿ღ★。在本命令发布之日起的90天内✿ღ★，OMB局长应与商务部长（通过NIST院长行事）✿ღ★、总务管理局局长和联邦采购安全委员会（FASC）进行协调✿ღ★，以采取措施要求（OMB局长认为适当的）各机构遵守NIST特别出版物800-161（NIST SP 800-161修订版1）《系统和组织网络安全供应链风险管理做法》中的指导✿ღ★。OMB应要求各机构在完成实施后✿ღ★，每年向OMB提供相关最新情况✿ღ★。根据SP 800-161修订版1✿ღ★， OMB的要求中应包括通过采购规划✿ღ★、来源选择✿ღ★、责任确定✿ღ★、安全合规评估✿ღ★、合同管理和绩效评估等环节澳门威尼斯✿ღ★，将网络安全融入采购寿命周期中✿ღ★。

　　（e）开源软件在联邦信息系统中发挥着关键作用✿ღ★。为帮助联邦政府继续获得开源软件的创新效益和成本效益✿ღ★，并为开源软件生态系统的网络安全做出贡献✿ღ★，各机构必须更好地管理其开源软件使用方式✿ღ★。在本命令发布之日起的120天内✿ღ★，国土安全部长应指示CISA局长与OMB局长✿ღ★、总务管理局局长和其他适当机构负责人进行协商红尘佳人如烟事✿ღ★，共同向各机构提议关于“如何使用安全评估✿ღ★、修补开源软件以及为开源软件项目做出贡献”的最佳做法✿ღ★。

　　（a）联邦政府必须采用经过验证的企业界安全做法（包括身份和访问管理）✿ღ★，以提高网络威胁的可视性和加强云安全✿ღ★。

　　（b）为优先投资新的防钓鱼身份验证方案所需的创新性身份技术和流程✿ღ★，各FCEB应以OMB和CISA自第14028号行政命令发布以来所制定的文件和确立的机制为基础✿ღ★，通过试点部署或更大规模的部署（视情况而定）践行商业防钓鱼标准（如WebAuthn）✿ღ★。这些试点部署应用于指导未来联邦层面的身份✿ღ★、凭证和访问管理策略的发展方向✿ღ★。

　　（c）联邦政府必须保持“能迅速有效地识别整个联邦机构范围内的各种威胁”的能力✿ღ★。在第14028号行政命令中✿ღ★，指示国防部长和国土安全部长制定程序✿ღ★，立即共享威胁信息✿ღ★，以加强国防部和民用网络的集体防御✿ღ★。为识别威胁活动✿ღ★，必须增强CISA根据《美国法典》第44编第3553节第（b）条第（7）款在各FCEB内搜寻和识别威胁的能力✿ღ★。

　　（i）国土安全部部长应指示CISA局长与联邦首席信息官（CIO）委员会和联邦首席信息安全官（CISO）委员会进行协调✿ღ★，以开发技术能力来及时获取来自各FCEB机构的端点检测与响应（EDR）解决方案以及来自各FCEB安全运营中心的所需数据✿ღ★，从而实现以下目标✿ღ★：

　　（ii）在本命令发布之日起的180天内✿ღ★，国土安全部长应指示CISA局长与联邦CIO和CISO委员会进行协调✿ღ★，以制定和发布一种行动概念✿ღ★，从而使CISA能够获得“实现本条第（c）款第（i）项所述目标”所需的数据红尘佳人如烟事✿ღ★。OMB局长应监督该行动概念的制定工作✿ღ★，期间应考虑各机构的观点和本条所述目标✿ღ★，并应批准最终的行动概念✿ღ★。该行动概念应包括✿ღ★：

　　要求各FCEB向CISA提供足够完整且符合时间要求的数据✿ღ★，以使CISA能够实现本条第（c）款第（i）项所述目标✿ღ★。

　　各机构可根据本条第（c）款第（ii）项第（A）目中的要求提供遥测数据✿ღ★，而不是让CISA直接访问其EDR解决方案的具体用例✿ღ★。

　　用于管理“CISA如何访问各机构EDR解决方案的高级技术和政策控制措施”的相关要求✿ღ★，这些要求应符合被广泛接受的网络安全原则✿ღ★，包括基于角色的访问控制✿ღ★、“最小权限”和职责分离等原则✿ღ★。

　　对“为保护数据的机密性或完整性✿ღ★，而受法定限制✿ღ★、监管限制或司法限制的高度敏感的机构数据”的专项保护措施✿ღ★。

　　行动概念的附录✿ღ★，该附录应明确按本条第（c）款第（ii）项第（C）目之规定✿ღ★，适用于司法部的某些具体用例类型（包括本条第（c）款第（vi）项和第（c）款第（vii）项中描述的某些信息类别）✿ღ★，此外该附录还应要求在在司法部或其下属机构的网络上实施行动概念之前✿ღ★，司法部应先同意该附录中的条款✿ღ★。

　　（iii）在开展本条第（c）款所述活动时✿ღ★，除非有关机构获得其它授权✿ღ★，否则国土安全部长应指示CISA局长✿ღ★，仅当CISA要求进行威胁搜寻✿ღ★，或CISA根据《美国法典》第44编第3553节第（b）条第（7）款（44 U.S.C. 3553（b）（7））的授权开展威胁搜寻时✿ღ★，方可对该机构的网络红尘佳人如烟事✿ღ★、系统或数据进行更改✿ღ★。

　　（iv）在发布本条第（c）款第（ii）项所述技术控制措施之日起的30天内✿ღ★，国土安全部长应指示CISA局长✿ღ★，应建立面向所有机构的工作组✿ღ★，以制定和发布实现本条第（c）款第（ii）项所述目标的具体技术控制措施✿ღ★，并与EDR解决方案提供商合作✿ღ★，在各FCEB的EDR解决方案中部署这些控制措施✿ღ★。国土安全部长应指示CISA局长✿ღ★，对于CISA授权在“持续诊断和缓解项目”中使用的每项EDR解决方案✿ღ★，CISA都至少应建立一个对应的工作组✿ღ★，且所有这些工作组都应允许所有机构参与✿ღ★，并至少包含一名使用指定EDR解决方案的FCEB派出的代表✿ღ★。

　　（v）在发布本条第（c）款第（iv）项所述技术控制措施之日起的180天内✿ღ★，凡是使用了“这些控制措施所涵盖的EDR解决方案”的端点✿ღ★，各FCEB负责人都应将其纳入CISA的“持续访问能力”项目✿ღ★。

　　（vi）在本命令发布之日起的90天内✿ღ★，并在此后根据需要定期✿ღ★，各FCEB负责人应向CISA提供“需要额外控制措施或要求在特定时期不得中断”的系统✿ღ★、端点和数据集清单及相关解释文档✿ღ★，并在此后根据需要定期提供此类清单和解释文档✿ღ★，以确保CISA的威胁搜寻活动不会破坏对任务至关重要的行动✿ღ★。

　　（vii）当有关机构数据受到法定✿ღ★、监管或司法访问限制时✿ღ★，CISA局长应按该机构所要求的程序和流程来访问此类数据✿ღ★，或与该机构合作制定不违反任何此类限制的适当行政安排✿ღ★，以确保数据不会受到未经授权的访问或使用✿ღ★。

　　（viii）本命令中的任何内容✿ღ★，均不应理解为要求各机构提供受法院命令保护不得披露的信息✿ღ★，或提供根据司法程序要求保密的信息✿ღ★。

　　（d）联邦信息系统的安全依赖于政府云服务的安全✿ღ★。在本命令发布之日起的90天内✿ღ★，总务管理局局长✿ღ★、商务部长和国土安全部长应分别指示“联邦风险和授权管理项目”（FedRAMP）主管✿ღ★、NIST院长和CISA局长进行协调✿ღ★，制定与FedRAMP有关的政策和做法✿ღ★，以激励或要求FedRAMP市场中的云服务提供商根据各机构的要求✿ღ★，为这些机构的云基系统配置基线提供相关规范和建议✿ღ★，以确保联邦数据的安全✿ღ★。

　　（e）随着对太空系统网络安全威胁的增加✿ღ★，这些系统及其支持的数字基础设施在设计上必须能够适应不断变化的网络安全威胁✿ღ★，并能在对抗性环境中运行✿ღ★。鉴于太空系统在全球关键基础设施和通信弹性中的核心作用✿ღ★，以及为了进一步保护对国家安全（包括经济安全）至关重要的太空系统及其支持的数字基础设施✿ღ★，各机构应采取措施不断验证联邦太空系统是否具备必要的网络安全能力✿ღ★，包括通过持续评估✿ღ★、测试澳门威尼斯✿ღ★、演练以及建模和模拟等方式✿ღ★。

　　（i）在本命令发布之日起的180天内✿ღ★，内政部长（通过美国地质调查局局长行事）✿ღ★、商务部长（通过商务部海洋与大气管理局副局长和国家海洋与大气管理局局长行事）以及国家航空航天局局长应各自审查FAR中的民用空间合同要求✿ღ★，并向FAR委员会和其他适当机构建议更新民用空间网络安全要求和相关合同条款✿ღ★。建议的网络安全要求和合同条款应采用基于风险的分层方法✿ღ★，适用于所有新的民用太空系统✿ღ★。这些要求应至少适用于民用太空系统的在轨段和链路段✿ღ★。对于风险最高的层级（以及其他层级✿ღ★，视情况而定）✿ღ★，这些要求应涵盖以下要素✿ღ★：

　　（ii）在收到本条（e）（i）小节所述建议的合同条款之日起的180天内✿ღ★，FAR委员会应审查该提案✿ღ★，并酌情根据适用法律✿ღ★，FAR委员会的机构成员应联合采取措施修改FAR澳门威尼斯✿ღ★。

　　（iii）在本命令发布之日起的120天内✿ღ★，国家网络总监应向OMB提交一份关于各FCEB拥有✿ღ★、管理或运营的空间地面系统的研究报告✿ღ★。该研究报告应包括✿ღ★：

　　（iv）在提交本条（e）（iii）小节所述研究报告之日起的90天内✿ღ★，OMB局长应采取适当步骤✿ღ★，确保各FCEB拥有✿ღ★、管理或运营的空间地面系统符合OMB发布的相关网络安全要求✿ღ★。

　　（a）为提高联邦政府通信对抗敌对国家和罪犯的安全性✿ღ★，联邦政府必须在切实可行的范围内✿ღ★，并符合任务需求✿ღ★，使用现代✿ღ★、标准化和市售的算法和协议实施强大的身份认证和加密✿ღ★。

　　（b）互联网流量的安全性取决于数据被正确路由并传递到预期接收方网络✿ღ★。利用边界网关协议（BGP）在互联网上起源和传播的路由信息容易受到攻击和配置错误的影响✿ღ★。

　　（i）在本命令发布之日起的90天内✿ღ★，联邦民事行政部门（FCEB）机构应采取措施✿ღ★，确保其分配的所有互联网编号资源（互联网协议（IP）地址块和自治系统编号）均通过与美国互联网编号注册局或其他适当的区域互联网注册局签订的注册服务协议得到保护✿ღ★。此后✿ღ★，各FCEB应每年在其区域互联网注册局账户中审查和更新与分配的编号资源相关的组织标识符✿ღ★，如组织名称澳门威尼斯✿ღ★、联系人姓名和关联的电子邮件地址✿ღ★。

　　（ii）在本命令发布之日起的120天内✿ღ★，所有持有IP地址块的各FCEB应在其持有的IP地址块对应的公共资源公钥基础设施（PKI）存储库中创建并发布路由源授权（ROA）✿ღ★。该存储库由美国互联网编号注册局或相应的区域互联网注册局托管或委托✿ღ★。

　　（iii）在本命令发布之日起的120天内✿ღ★，国家网络总监应与其他机构负责人协调（如适用）✿ღ★，向联邦采购条例（FAR）委员会建议合同语言✿ღ★，要求向机构提供互联网服务的承包商采用并部署互联网路由安全技术✿ღ★，包括发布路由源授权和执行路由源验证过滤✿ღ★。建议的语言应包括关于机构合同中涉及海外运营和海外本地服务提供商的要求或例外情况（如适用）✿ღ★。在收到这些建议后的270天内✿ღ★，FAR委员会应审查建议的合同语言✿ღ★，并且FAR委员会的成员机构应共同采取措施（如适用并符合适用法律）来修订FAR✿ღ★。在FAR进行任何此类修订之前✿ღ★，鼓励各机构在符合适用法律的前提下✿ღ★，在未来的合同中纳入此类要求✿ღ★。

　　（iv）在本命令发布之日起的180天内✿ღ★，商务部长应通过国家标准与技术研究院（NIST）局长向机构发布关于在联邦政府网络和服务提供商中部署当前可操作的BGP安全方法的最新指南✿ღ★。商务部长还应通过NIST局长提供关于提高互联网路由安全性和弹性的其他新兴技术的最新指南✿ღ★，如路由泄露缓解和源地址验证✿ღ★。

　　（c）加密域名系统（DNS）传输中的流量是保护传输到DNS解析器的信息的机密性和与DNS解析器的通信完整性的关键步骤✿ღ★。

　　（i）在本命令发布之日起的90天内✿ღ★，国土安全部长应通过网络安全与基础设施安全局（CISA）局长发布模板合同语言✿ღ★，要求任何作为联邦政府的DNS解析器（无论是客户端还是服务器）的产品支持加密DNS✿ღ★，并向FAR委员会推荐该语言澳门威尼斯✿ღ★。在收到推荐语言后的120天内✿ღ★，FAR委员会应审查该语言✿ღ★，并且FAR委员会的成员机构应共同采取措施（如适用并符合适用法律）来修订FAR✿ღ★。

　　（ii）在本命令发布之日起的180天内✿ღ★，各FCEB应在其现有客户端和服务器支持加密DNS协议的地方启用这些协议✿ღ★。在任何额外的客户端和服务器支持这些协议后的180天内✿ღ★，各FCEB也应启用这些协议✿ღ★。

　　（d）联邦政府必须加密传输中的电子邮件消息✿ღ★，并在可行的情况下使用端到端加密✿ღ★，以保护邮件免受损害✿ღ★。

　　（i）在本命令发布之日起的120天内✿ღ★，每个各FCEB应技术性地强制执行其电子邮件客户端与关联电子邮件服务器之间所有连接的加密和认证传输✿ღ★。

　　（ii）在本命令发布之日起的180天内✿ღ★，管理与预算局（OMB）主任应建立一项要求✿ღ★，扩大各FCEB使用的电子邮件服务器之间认证传输层加密的使用范围✿ღ★，用于发送和接收电子邮件✿ღ★。

　　（iii）在建立第（d）（ii）小节所述要求之日起的90天内✿ღ★，国土安全部长应通过CISA局长采取适当步骤✿ღ★，协助机构满足该要求✿ღ★，包括发布实施指令以及技术指南✿ღ★，以解决任何已确定的能力差距✿ღ★。

　　（e）现代通信方式✿ღ★，如语音和视频会议以及即时消息传递✿ღ★，通常在链路级别加密✿ღ★，但往往没有端到端加密✿ღ★。在本命令发布之日起的180天内✿ღ★，为提高基于互联网的语音和视频会议以及即时消息传递的安全性✿ღ★，OMB局长应与国土安全部长（通过CISA局长）✿ღ★、国防部长（通过国家安全局（NSA）局长）✿ღ★、商务部长（通过NIST局长）✿ღ★、美国国家档案与文件管理局局长（通过美国联邦政府首席记录官）以及总务管理局局长协调✿ღ★，采取适当步骤✿ღ★，要求机构✿ღ★：

　　（ii）在技术上支持的情况下✿ღ★，默认使用端到端加密✿ღ★，同时保持日志记录和存档能力✿ღ★，以便机构能够满足记录管理和问责要求✿ღ★。

　　（f）量子计算机在带来益处的同时✿ღ★，也对美国国家安全（包括经济安全）构成了重大风险✿ღ★。最显著的是✿ღ★，足够大和复杂的量子计算机——也称为密码分析相关量子计算机（CRQC）——将能够破解美国及世界各地数字系统中使用的许多公钥加密算法红尘佳人如烟事✿ღ★。在2022年5月4日的国家安全备忘录10《促进美国在量子计算方面的领导地位✿ღ★，同时减轻对易受攻击的加密系统的风险》中✿ღ★，我指示联邦政府为过渡到不受CRQC影响的加密算法做好准备✿ღ★。

　　（i）在本命令发布之日起的180天内✿ღ★，国土安全部长应通过CISA局长发布并定期更新一份产品类别列表✿ღ★，其中广泛提供支持后量子密码学（PQC）的产品✿ღ★。

　　（ii）在某一产品类别被列入第（f）（i）小节所述列表之日起的90天内✿ღ★，机构应采取措施✿ღ★，在该类别产品的任何招标中纳入一项要求✿ღ★，即产品应支持PQC✿ღ★。

　　（iii）机构应尽快在其网络架构中已部署的网络安全产品和服务支持下✿ღ★，实施PQC密钥建立或混合密钥建立（包括PQC算法）✿ღ★。

　　（iv）在本命令发布之日起的90天内✿ღ★，国务卿和商务部长应通过NIST局长和国际贸易副国务卿✿ღ★，确定并与关键我国的外国政府和行业组织接触✿ღ★，鼓励它们过渡到由NIST标准化的PQC算法✿ღ★。

　　（v）在本命令发布之日起的180天内✿ღ★，为准备过渡到PQC✿ღ★，国防部长就国家安全系统（NSS）而言✿ღ★，以及OMB局长就非NSS而言✿ღ★，应各自发布要求✿ღ★，规定机构应尽快但在不迟于2030年1月2日的情况下✿ღ★，支持传输层安全协议版本1.3或其后续版本✿ღ★。

　　（g）联邦政府应利用商业安全技术和架构✿ღ★，如硬件安全模块✿ღ★、可信执行环境和其他隔离技术✿ღ★，以保护和审计对具有扩展生命周期的加密密钥的访问✿ღ★。

　　（i）在本命令发布之日起的270天内✿ღ★，商务部长应通过NIST局长✿ღ★，并与国土安全部长（通过CISA局长）和总务管理局局长协商✿ღ★，制定关于云服务提供商使用的访问令牌和加密密钥的安全管理指南✿ღ★。

　　（ii）在发布第（g）（i）小节所述指南之日起的60天内✿ღ★，总务管理局局长应通过联邦风险和授权管理计划（FedRAMP）主任✿ღ★，并与商务部长（通过NIST局长）和国土安全部长（通过CISA局长）协商✿ღ★，制定更新后的FedRAMP要求红尘佳人如烟事✿ღ★，酌情纳入第（g）（i）小节所述指南✿ღ★，并与OMB局长发布的关于加密密钥管理安全做法的指导保持一致✿ღ★。

　　（iii）在发布第（g）（i）小节所述指南之日起的60天内✿ღ★，OMB局长应与商务部长（通过NIST局长）✿ღ★、国土安全部长（通过CISA局长）和总务管理局局长协商✿ღ★，采取适当步骤澳门威尼斯✿ღ★，要求各FCEB遵循云服务提供商在向机构提供服务时使用的硬件安全模块✿ღ★、可信执行环境或其他隔离技术的最佳做法✿ღ★，以保护和管理访问令牌和加密密钥✿ღ★。

　　（a）犯罪集团利用被盗和合成身份系统性地欺诈公共福利项目✿ღ★，给纳税人造成损失✿ღ★，并浪费联邦政府资金✿ღ★。为解决这些犯罪问题✿ღ★，行政部门的政策是强烈鼓励接受数字身份文件以访问需要身份验证的公共福利项目✿ღ★，只要这样做能够以不妨碍弱势群体广泛参与项目的方式保护隐私✿ღ★、最小化数据并促进互操作性✿ღ★。

　　（i）在本命令发布之日起的90天内✿ღ★，具有拨款权的机构被鼓励与OMB和国家安全委员会工作人员协调✿ღ★，考虑是否可利用联邦拨款资金协助各州开发和发行符合本节所述政策和原则的移动驾驶证✿ღ★。

　　（ii）在本命令发布之日起的270天内✿ღ★，商务部长应通过NIST局长✿ღ★，与相关机构和其他利益相关者通过国家网络安全卓越中心合作✿ღ★，发布实用的实施指南✿ღ★，以支持使用数字身份文件进行远程数字身份验证✿ღ★，这将有助于数字身份文件的发行者和验证者推进本节所述的政策和原则✿ღ★。

　　（iii）机构应考虑接受数字身份文件作为访问公共福利项目的数字身份验证证据✿ღ★，但前提是使用这些文件应符合本节所述的政策和原则✿ღ★。

　　与相关标准和信任框架互操作✿ღ★，以便公众可以使用任何符合标准的硬件或软件✿ღ★，其中包含官方政府颁发的数字身份文件✿ღ★，无论制造商或开发人员如何✿ღ★。

　　不允许发行数字身份文件的机构✿ღ★、设备制造商或任何其他第三方监视或跟踪数字身份文件的展示✿ღ★，包括用户设备在展示时的位置✿ღ★。

　　支持用户隐私和数据最小化✿ღ★，确保仅请求数字身份文件持有人进行交易所需的最少信息——通常是针对某个问题（例如✿ღ★，某人是否超过特定年龄）的“是”或“否”的回答✿ღ★。

　　（b）使用“是/否”验证服务（也称为属性验证服务）可以提供更多保护隐私的手段来减少身份欺诈✿ღ★。这些服务允许程序通过隐私保护的“是”或“否”回答✿ღ★，确认申请人提供的身份信息是否与官方记录中的信息一致✿ღ★，而无需共享这些官方记录的内容✿ღ★。为支持使用此类服务✿ღ★，社会保障专员以及OMB局长指定的任何其他机构负责人应酌情并根据适用法律✿ღ★，考虑采取措施开发或修改与政府运营的身份验证系统和公共福利项目相关的服务（包括酌情通过启动拟议的法规制定或发布新的或大幅修改后的常规使用记录通知）✿ღ★，以便这些系统和程序将申请人提供的身份信息提交给提供服务的机构✿ღ★，并收到关于申请人提供的身份信息是否与提供服务的机构存档的信息一致的“是”或“否”的回答✿ღ★。在这样做时✿ღ★，这些机构的负责人应特别考虑在确保符合适用法律的前提下✿ღ★，做到以下几点✿ღ★：

　　（i）提交给服务的任何申请人提供的身份信息以及服务提供的任何“是”或“否”回答仅用于协助身份验证✿ღ★、项目管理✿ღ★、反欺诈操作或与提交身份信息以申请公共福利项目的反欺诈调查和起诉✿ღ★。

　　（ii）在最大可行和适当的范围内✿ღ★，向公共福利项目✿ღ★；政府运营的身份验证系统（包括共享服务提供商）✿ღ★；支付诚信项目✿ღ★；以及受美国监管的金融机构提供这些服务✿ღ★。

　　（iii）使用这些服务的机构✿ღ★、公共福利项目或机构提供报销✿ღ★，以适当覆盖成本并支持服务的持续维护✿ღ★、改进和广泛获取✿ღ★。

　　（c）财政部长应与总务管理局局长协商✿ღ★，研究✿ღ★、开发和实施一项试点计划✿ღ★，该计划采用一种技术✿ღ★，该技术可在个人和实体的身份信息被用于申请公共福利项目的付款时通知他们✿ღ★，给予个人和实体在潜在欺诈交易发生前阻止交易的选择✿ღ★，并向执法实体报告欺诈交易✿ღ★。

　　人工智能（AI）有可能通过快速识别新漏洞✿ღ★、扩大威胁检测技术的规模以及自动化网络防御来变革网络防御✿ღ★。联邦政府必须加速AI的开发和部署✿ღ★，探索利用AI提高关键基础设施网络安全的方法✿ღ★，并加速AI与网络安全交叉领域的研究✿ღ★。

　　（a）在国防部高级研究计划局（DARPA）2025年人工智能网络挑战赛完成后180天内✿ღ★，能源部长应与国防部长（通过DARPA局长）和国土安全部长协调✿ღ★，启动一项试点计划✿ღ★，与私营部门关键基础设施实体（如适用并符合适用法律）合作✿ღ★，利用AI增强能源部门关键基础设施的网络防御✿ღ★，并在试点计划完成后进行评估✿ღ★。该试点计划及其评估可能包括漏洞检测✿ღ★、自动补丁管理以及识别和分类信息技术（IT）或运营技术系统中的异常和恶意活动✿ღ★。

　　（b）在本命令发布之日起的270天内✿ღ★，国防部长应建立一个利用高级AI模型进行网络防御的计划✿ღ★。

　　（c）在本命令发布之日起的150天内✿ღ★，商务部长（通过NIST局长）✿ღ★、能源部长✿ღ★、国土安全部长（通过科学与技术副国务卿）以及国家科学基金会（NSF）主任应各自优先为其鼓励开发大规模标记数据集的计划提供资金✿ღ★，这些数据集对于网络防御研究取得进展至关重要✿ღ★，并确保网络防御研究现有的数据集在最大可行范围内（考虑到商业秘密和国家安全）对更广泛的学术研究界（无论是以安全方式还是公开方式）开放✿ღ★。

　　（d）在本命令发布之日起的150天内✿ღ★，商务部长（通过NIST局长）✿ღ★、能源部长✿ღ★、国土安全部长（通过科学与技术副国务卿）以及NSF主任应优先研究以下主题✿ღ★：

　　（e）在本命令发布之日起的150天内✿ღ★，国防部长✿ღ★、国土安全部长和国家情报总监应与OMB局长协调✿ღ★，将AI软件漏洞和妥协的管理纳入其各自机构现有的漏洞管理流程和机构间协调机制✿ღ★，包括通过事件跟踪✿ღ★、响应和报告✿ღ★，以及共享AI系统的妥协指标✿ღ★。

　　（a）支持机构关键任务的IT基础设施和网络需要现代化✿ღ★。机构的政策必须将投资和优先事项与提高网络可见性和安全控制结合起来✿ღ★，以降低网络风险✿ღ★。

　　（i）在本命令发布之日起的3年内✿ღ★，OMB局长应发布指南（包括对OMB通告A-130的任何必要修订）✿ღ★，以解决关键风险✿ღ★，并使联邦信息系统和网络适应现代做法和架构✿ღ★。该指南应至少包括✿ღ★：

　　概述机构网络安全信息共享和交换✿ღ★、企业可见性以及机构首席信息安全官（CISO）对企业范围网络安全计划的问责制的期望✿ღ★。

　　修订OMB通告A-130✿ღ★，在适当的关键领域减少技术规定✿ღ★，以更清晰地促进在联邦系统中采用不断发展的网络安全最佳做法✿ღ★，并包括迁移到零信任架构和实施关键要素✿ღ★，如端点检测与响应（EDR）能力✿ღ★、加密✿ღ★、网络分段和防钓鱼多因素认证✿ღ★。

　　（ii）商务部长（通过NIST局长）✿ღ★、国土安全部长（通过CISA局长）和OMB局长应建立一个试点计划✿ღ★，采用规则即代码的方法✿ღ★，为OMB✿ღ★、NIST和CISA发布和管理的网络安全相关政策和指导制定机器可读版本✿ღ★。

　　（b）管理网络安全风险现已成为日常行业做法✿ღ★，并应成为所有类型企业的预期✿ღ★。最低网络安全要求可以使威胁行为者更难以✿ღ★、更昂贵地破坏网络✿ღ★。在本命令发布之日起的240天内✿ღ★，商务部长应通过NIST局长✿ღ★，评估各行业部门✿ღ★、国际标准机构和其他风险管理计划中常用或推荐的共同网络安全做法和安全控制成果✿ღ★，并基于该评估发布指南✿ღ★，确定最低网络安全做法✿ღ★。在制定该指南时✿ღ★，商务部长应通过NIST局长✿ღ★，征求联邦政府✿ღ★、私营部门✿ღ★、学术界和其他适当方的意见✿ღ★。

　　（c）机构在购买产品和服务时面临多种网络安全风险✿ღ★。虽然机构已在改进供应链风险管理方面取得了显著进展✿ღ★，但需要采取额外行动以跟上不断演变的威胁态势✿ღ★。在本节第（b）小节所述指南发布之日起的180天内✿ღ★，FAR委员会应审查该指南✿ღ★，并且FAR委员会的成员机构应共同采取措施（如适用并符合适用法律）来修订FAR✿ღ★：

　　（i）要求与联邦政府签订合同的承包商遵循NIST根据本节第（b）小节所述指南确定的适用于机构合同工作的最低网络安全做法✿ღ★，或在开发✿ღ★、维护或支持提供给联邦政府的IT服务或产品时遵循这些做法✿ღ★。

　　（ii）要求机构到2027年1月4日✿ღ★，要求向联邦政府提供消费者物联网产品（如47 C.F.R. 8.203（b）所定义）的供应商为这些产品携带美国网络信任标志标签✿ღ★。

　　（a）除本命令第4节（f）（v）小节另有规定外✿ღ★，本命令第1至7节不适用于作为国家安全系统（NSS）或被国防部或情报界确定为致瘫影响系统的联邦信息系统✿ღ★。

　　（b）在本命令发布之日起的90天内✿ღ★，为帮助确保NSS和致瘫影响系统受到最先进的安全措施保护✿ღ★，国防部长应通过国家安全局（NSA）局长作为国家安全系统国家经理（国家经理）✿ღ★，与国家情报总监和国家安全系统委员会（CNSS）协调✿ღ★，并与OMB局长和国家安全事务助理（APNSA）协商✿ღ★，制定与本命令所述要求一致的NSS和致瘫影响系统要求（如适用并符合适用法律）✿ღ★。国防部长可根据独特的任务需求✿ღ★，对此类要求给予例外✿ღ★。这些要求应纳入拟议的国家安全备忘录✿ღ★，通过APNSA提交给总统✿ღ★。

　　（c）为帮助保护太空NSS免受与新兴威胁保持同步的网络安全措施的影响✿ღ★，在本命令发布之日起的210天内✿ღ★，CNSS应审查和更新（如适用）关于太空系统网络安全的相关政策和指导✿ღ★。除了进行适当的更新外✿ღ★，CNSS还应确定并实施适当的要求✿ღ★，以在联邦政府采购的太空NSS领域实施网络防御✿ღ★，包括入侵检测✿ღ★、使用硬件信任根进行安全启动以及开发和部署安全补丁✿ღ★。

　　（d）为加强对联邦信息系统的有效治理和监督✿ღ★，在本命令发布之日起的90天内✿ღ★，OMB局长应发布适当的指导✿ღ★，要求机构清点所有主要信息系统✿ღ★，并将清单提供给CISA✿ღ★、国防部或国家经理（视情况而定）✿ღ★，它们应各自维护其管辖范围内的机构清单注册表✿ღ★。CISA✿ღ★、国防部首席信息官和国家经理将酌情共享其清单✿ღ★，以识别监督覆盖范围的空白或重叠✿ღ★。本指导不适用于情报界的组成部分✿ღ★。

　　（e）本命令中的任何内容均不改变《1947年国家安全法》（Public Law 80-253）✿ღ★、《2014年联邦信息安全现代化法》（Public Law 113-283）✿ღ★、《1990年7月5日国家安全指令42号——国家安全电信和信息系统安全国家政策》或《2022年1月19日国家安全备忘录8号——改进国家安全✿ღ★、国防部和情报界系统的网络安全》授予国家情报总监✿ღ★、国防部长和国家经理对适用系统的权力和职责✿ღ★。

　　鉴于发现✿ღ★，必须采取进一步措施来应对2015年4月1日《阻止从事重大恶意网络活动者的财产》行政命令（经2016年12月28日《就重大恶意网络活动相关的国家紧急状态采取进一步措施》行政命令以及2021年1月19日《就重大恶意网络活动相关的国家紧急状态采取进一步措施》行政命令修订）所宣布的✿ღ★，针对美国面临的日益严重和不断演变的恶意网络活动威胁的国家紧急状态✿ღ★，包括外国行为体对关键基础设施进行未经授权的访问✿ღ★、勒索软件攻击✿ღ★、网络入侵以及逃避制裁等日益严重的威胁✿ღ★，我特此命令✿ღ★，对《行政命令13694》第1（a）条做如下进一步修订✿ღ★：

　　“第1条✿ღ★。（a）所有在美国境内的✿ღ★、今后进入美国的✿ღ★、或者今后处于任何美国个人拥有或控制之下的以下人员的财产和财产权益均被冻结✿ღ★，且不得转让✿ღ★、支付✿ღ★、出口红尘佳人如烟事✿ღ★、提取或以其他方式处理✿ღ★：

　　（ii）财政部长在与司法部长和国务卿协商后✿ღ★，认定其负责✿ღ★、参与或直接或间接从事源自或受位于美国境外（全部或部分）的人员指挥的网络活动✿ღ★，且此类活动很可能导致或已对美国国家安全✿ღ★、外交政策✿ღ★、经济健康或金融稳定构成重大威胁✿ღ★，并涉及以下目的或行为的人员✿ღ★：

　　挪用资金或经济资源✿ღ★、知识产权✿ღ★、专有或商业秘密信息✿ღ★、个人身份标识或财务信息✿ღ★，以获取商业或竞争优势或私人经济利益✿ღ★。

　　对美国个人✿ღ★、美国✿ღ★、美国盟友或合作伙伴及其公民✿ღ★、国民或根据其法律组织的实体✿ღ★，实施勒索软件攻击红尘佳人如烟事✿ღ★，如通过恶意使用代码✿ღ★、加密或其他活动影响数据的机密性✿ღ★、完整性或可用性✿ღ★，或影响计算机或计算机网络的机密性✿ღ★、完整性或可用性✿ღ★。

　　（iii）财政部长在与司法部长和国务卿协商后✿ღ★，认定其负责✿ღ★、参与或直接或间接从事以下行为的人员✿ღ★：

　　明知是通过网络手段挪用的资金✿ღ★、经济资源✿ღ★、知识产权✿ღ★、专有或商业秘密信息澳门威尼斯✿ღ★、个人身份标识或财务信息✿ღ★，仍在美国境外为商业或竞争优势或私人经济利益而接收或使用此类资金或资源✿ღ★。

　　负责✿ღ★、参与或直接或间接从事与获取或试图获取美国个人✿ღ★、美国✿ღ★、美国盟友或合作伙伴及其公民✿ღ★、国民或根据其法律组织的实体的计算机或计算机网络未经授权访问有关的活动✿ღ★，且此类活动源自或受位于美国境外（全部或部分）的人员指挥✿ღ★，并很可能导致或已对美国国家安全✿ღ★、外交政策✿ღ★、经济健康或金融稳定构成重大威胁✿ღ★。

　　为本条（a）（ii）或（a）（iii）（A）或（B）小节所述的任何活动✿ღ★，或为根据本命令其财产和财产权益被冻结的任何人员✿ღ★，提供实质性协助✿ღ★、赞助或提供财政✿ღ★、物质或技术支持✿ღ★，或提供货物或服务✿ღ★。

　　由根据本命令其财产和财产权益被冻结的任何人员拥有或控制✿ღ★，或直接或间接为其行事或声称为其行事✿ღ★，或为本条（a）（ii）或（a）（iii）（A）–（C）小节所述的任何活动行事✿ღ★。

　　是或曾是任何根据本命令其财产和财产权益被冻结的人员✿ღ★，或从事本条（a）（ii）或（a）（iii）（A）–（E）小节所述任何活动的任何人员的领导✿ღ★、官员✿ღ★、高级管理人员或董事会成员✿ღ★。”

　　（a）“机构”一词的含义与《美国法典》第44编第3502（1）节所述的含义相同✿ღ★，但《美国法典》第44编第3502（5）节所述的独立监管机构除外✿ღ★。

　　（b）“工件”一词是指通过手动或自动化手段生成的记录或数据✿ღ★，可用于证明符合既定的做法✿ღ★，包括用于安全软件开发✿ღ★。

　　（c）“人工智能”或“AI”一词的含义与《美国法典》第15编第9401（3）节所述的含义相同✿ღ★。

　　（d）“AI系统”一词是指任何全部或部分使用AI运行的数据系统✿ღ★、软件✿ღ★、硬件✿ღ★、应用程序✿ღ★、工具或实用程序✿ღ★。

　　（f）“边界网关协议”或“BGP”一词是指用于在构成互联网的数万个自治网络之间分发和计算路径的控制协议✿ღ★。

　　（g）“消费类物联网产品”一词是指主要用于消费者使用而非企业或工业使用的物联网产品✿ღ★。消费类物联网产品不包括美国食品药品监督管理局监管的医疗设备或美国国家公路交通安全管理局监管的机动车辆和机动车辆设备✿ღ★。

　　（h）“网络事件”一词的含义与《美国法典》第44编第3552（b）（2）节所述“事件”一词的含义相同✿ღ★。

　　（i）“致瘫影响系统”一词是指《美国法典》第44编第3553（e）（2）和3553（e）（3）节分别为国防部和情报界所描述的系统✿ღ★。

　　（j）“数字身份文件”一词是指由政府机构（如州政府颁发的移动驾照或电子护照）颁发的电子✿ღ★、可重复使用✿ღ★、可通过密码学验证的身份凭证✿ღ★。

　　（l）“端点”一词是指可以连接到计算机网络以创建数据通信的入口或出口点的任何设备✿ღ★。端点的示例包括台式计算机和笔记本电脑✿ღ★、智能手机✿ღ★、平板电脑✿ღ★、服务器✿ღ★、工作站✿ღ★、虚拟机和消费类物联网产品✿ღ★。

　　（m）“端点检测和响应”一词是指网络安全工具和功能✿ღ★，它们将端点数据（例如工作站✿ღ★、移动电话✿ღ★、服务器等联网计算设备）的实时连续监控和收集与基于规则的自动化响应和分析功能相结合✿ღ★。

　　（n）“联邦民用行政部门”或“FCEB部门”包括除国防部下属机构和情报界机构以外的所有机构✿ღ★。

　　（o）“联邦信息系统”一词是指由机构✿ღ★、机构承包商或代表机构运作的其他组织使用或操作的信息系统✿ღ★。

　　（p）“政府运营的身份验证系统”一词是指由联邦✿ღ★、州✿ღ★、地方✿ღ★、部落或领土政府机构拥有和运营的进行身份验证的系统✿ღ★，包括为多个机构提供服务的单机构系统和共享服务✿ღ★。

　　（r）“混合密钥建立”一词是指本身是密码密钥建立方案的两种或多种组件的组合而成的密钥建立方案✿ღ★。

　　（s）“身份验证”一词是指收集身份信息或证据✿ღ★，验证其合法性✿ღ★，并确认其与提供信息的真实个人相关联的过程✿ღ★。

　　（v）“最小权限”一词是指安全架构的设计原则✿ღ★，即每个实体仅被授予执行其功能所需的最小系统资源和授权✿ღ★。

　　（w）“机器可读”一词是指产品输出采用结构化格式✿ღ★，可以使用一致的处理逻辑由另一个程序进行消费✿ღ★。

　　（x）“国家安全系统”或“NSS”一词的含义与《美国法典》第44编第3552（b）（6）节所述的含义相同✿ღ★。

　　（y）“补丁”一词是指当安装时✿ღ★，直接修改与不同软件组件相关的文件或设备设置✿ღ★，而不更改相关软件组件的版本号或发布详情的软件组件✿ღ★。

　　（z）“以代码形式制定规则的方法”一词是指规则（例如立法✿ღ★、法规或政策中包含的规则）的编码版本✿ღ★，可由计算机理解和使用✿ღ★。

　　（aa）“安全启动”一词是指一种安全功能✿ღ★，可防止计算机系统在启动时运行恶意软件✿ღ★。该安全功能在启动序列期间执行一系列检查✿ღ★，有助于确保仅加载受信任的软件红尘佳人如烟事✿ღ★。

　　（bb）“安全控制结果”一词是指为信息系统或组织规定的保障措施或对策的性能或非性能的结果✿ღ★，以保护系统的机密性✿ღ★、完整性和可用性及其信息的机密性✿ღ★、完整性和可用性✿ღ★。

　　（c）本命令无意且不会为任何一方针对美国✿ღ★、其部门✿ღ★、机构或实体✿ღ★、其官员✿ღ★、雇员或代理人✿ღ★，或任何其他人员✿ღ★，创造任何可依法或衡平法强制执行的权利或利益✿ღ★，无论是实质性的还是程序性的✿ღ★。网路安全威斯尼斯人✿ღ★，威斯尼斯人官方登录数据防泄✿ღ★。澳门威尼斯✿ღ★，尼斯✿ღ★，澳门尼威斯人✿ღ★。