网络安全行政令--对制造业的重要影响
2025 年 1 月 16 日，乔-拜登总统发布了 "关于加强和促进国家网络安全创新的行政命令"，这是一项综合性指令，旨在应对针对美国的日益复杂和精密的网络威胁。该行政令旨在建立一个有凝聚力的国家战略，以改善联邦机构、私营企业和关键基础设施部门的网络安全。该行政令涉及一系列关键问题，包括联邦承包商的新网络安全标准、加强公私信息共享、推广抗量子密码学和人工智能（AI）等先进技术，以及对外国网络行为者实施制裁。该行政令的举措表明了在快速发展的数字环境中加强国家网络安全防御的决心，并纳入了被普遍认为是加强网络安全最佳做法的方法。
为进一步推进该命令中概述的各项举措，网络安全和基础设施安全局（CISA）--一个负责协调国家保护关键基础设施工作的重要联邦实体--以详细的实施框架和补充指南对该指令进行了扩展。CISA 的参与凸显了其在落实行政命令并将政策指令转化为可操作战略方面的关键作用。通过与行业领导者、技术创新者和政府利益相关者的合作，CISA 已解决了一些具体挑战，包括采用抗量子加密技术、在网络安全防御中部署人工智能以及改进公私信息共享机制。这些努力强调促进创新、增强复原力，以及保护国家的数字生态系统免受新出现的威胁。在行政命令的基础上，CISA 力求弥合政策目标与实际网络安全实践之间的差距，确保国家的网络安全态势与快速变化的威胁环境同步发展。
2025 年 1 月 20 日，总统职位将移交给唐纳德-特朗普总统，这使人们对拜登行政令的未来产生了疑问。从历史上看，特朗普总统一直赞成放松管制，并在其第一任期内废除了前几届政府发布的多项行政命令。修改或废除该行政令的可能性对制造业尤为重要，因为制造业既是美国经济的重要组成部分，也是网络攻击的频繁目标。
本指南有三个目的。首先，它审查了现行行政令的关键要素。其次，它探讨了特朗普政府可能实施的修改。最后，本指南以 Foley & Lardner 和网络安全制造创新研究所 (CyManII) 之前发布的相关资源为基础，为制造企业提供了指导，帮助他们驾驭不断变化的监管和威胁环境。
行政命令的主要条款及其对制造业的影响
联邦承包商最低网络安全标准
该行政令的一项核心条款规定了联邦承包商的基本网络安全措施。这些措施包括使用多因素身份验证（MFA）确保关键系统和数据的访问安全，采用端点检测和响应（EDR） 工具监控、检测和响应网络安全威胁，以及使用加密技术保护传输过程中和静态的敏感数据。
向联邦政府提供商品或服务的制造商必须遵守这些网络安全标准，以保持获得政府合同的资格。对于许多公司来说，这可能需要在升级系统、采用新技术和培训人员方面进行大量投资。不遵守标准可能会导致失去有利可图的联邦合同，并造成潜在的声誉损失。
加强公私信息共享
该行政令指示联邦机构加强与私营部门实体共享威胁情报的机制。这种合作旨在提供及时和可行的见解，帮助企业抵御新出现的网络威胁。
这一举措有利于制造业，因为制造业是勒索软件攻击和知识产权盗窃的主要目标。通过获取实时威胁情报，制造商可以识别漏洞、迅速应对事件并更有效地降低风险。在这里可以找到以制造业为重点的勒索软件事件计划：勒索软件操作手册。
向抗量子密码学过渡
该行政令强调，迫切需要采用抗量子加密算法来应对量子计算进步带来的长期威胁。随着制造业越来越多地采用数字技术和互联系统，保护专有设计、供应链数据和其他敏感信息对企业至关重要。尽早采用抗量子加密技术可以提供竞争优势，并保护关键资产免受现有和未来的威胁。有关抗量子加密技术的指南可从 NIST 获取，首个后量子加密标准可在此处找到。
利用人工智能促进网络安全
该行政令提倡使用人工智能驱动的网络安全工具来实时识别和应对高级网络威胁。人工智能对制造业具有潜在的变革意义，因为它可以实现威胁检测和应对策略的自动化。人工智能也是一种行之有效的工具，可最大限度地减少运营中断、保护知识产权和确保生产线的完整性。行政命令中概述的试点计划可以作为整个行业更广泛采用的典范。人工智能可能会大大加快网络攻击的检测和缓解速度，这也是 CyManII 正在开发的一个领域。
制裁外国网络行为者
该行政令授权联邦政府对针对美国组织实施网络攻击的个人和实体实施制裁。制裁是对国家支持的网络攻击和工业间谍活动的一种威慑。对于制造商来说，这一规定提供了额外的保护，并彰显了政府对保护关键行业的承诺。
特朗普政府的潜在变化
放松对网络安全标准的监管
特朗普总统强调尽量减少监管负担，这可能会导致行政命令中的网络安全要求出现倒退。这可能会把实施强有力的网络安全措施的责任从联邦政府转移到各个公司。
关注供应链的复原力
基于美国制造业的重要性及其在全球竞争力和经济稳定中的作用，我们预计特朗普总统将发布有关确保供应链弹性的指导意见，以提高美国制造商的生产力。我们将密切关注这些预期变化，并酌情发布未来预警。
重新确定网络安全倡议的优先次序
虽然目前的行政令强调抗量子密码学和人工智能，但特朗普政府可能会首先关注眼前的网络安全挑战，而推迟需要大量投资的长期解决方案。
降低对公私合作的重视程度
信息共享举措的改变可能会减少政府对私营部门网络安全工作的支持，这可能会迫使制造商寻求其他威胁情报来源。
选择性执行制裁
更具选择性的制裁方式可能会改变对外国网络行为者的威慑效果，从而有可能增加对美国制造公司进行有针对性攻击的风险。
制造企业指南
鉴于行政命令的未来存在不确定性，制造商必须采取积极主动的网络安全方法。以下是增强应变能力的可行步骤：
加强核心网络安全措施
- 采用行业最佳实践：确保在所有关键系统上部署 MFA、EDR 和加密。
- 安全运行技术（OT）：保护工业控制系统（ICS）和其他对生产运行至关重要的 OT 组件。
- 进行定期评估：定期审计有助于发现漏洞并确定修复工作的优先次序。
- 投资于员工培训：超过 80% 的勒索软件和其他网络攻击都可追溯到 "环路中的人"。因此，网络安全培训是保护公司及其运营的可靠投资。
监测监管动态
- 随时了解信息：随时了解行政命令和其他相关网络安全政策的更新情况。
- 聘请法律顾问：咨询法律和合规专家，评估政策变更对企业运营的潜在影响。
投资先进的网络安全技术
- 探索人工智能解决方案：利用人工智能工具预测威胁、识别异常并自动进行事件响应。
- 过渡到抗量子加密技术：开始规划加密升级，保护敏感数据免受新威胁。
- 与业界同行合作：参与论坛和联盟，交流最佳实践，建立标准化网络安全协议。
确保供应链安全
- 评估供应商风险：对供应商和第三方合作伙伴进行全面的网络安全评估。
- 制定冗余计划：确定关键的供应链依赖关系，制定应急计划以减轻潜在的中断。
- 加密通信：保障整个供应链的数据传输，最大限度地降低被拦截的风险。
制定稳健的事件响应计划
- 制定全面的协议：制定针对制造业特定威胁的事件响应计划，例如针对生产系统的勒索软件攻击。CyManII 的《勒索软件准备指南》中提供了行业指导和模板范例：面向制造商的预防、缓解和恢复。
- 培训员工：提供持续的网络安全培训，以提高意识并尽量减少人为错误。
- 测试和完善计划：定期进行模拟，评估应对策略的有效性，并实施必要的调整。
最终想法
关于加强和促进国家网络安全创新的行政命令 "强调迫切需要采取强有力的网络安全措施，特别是在对国家安全、经济稳定和全球竞争力至关重要的制造业。该部门面临着越来越多的复杂威胁，包括勒索软件攻击、供应链中的漏洞和知识产权盗窃。虽然特朗普政府的行政令前途未卜，但制造商不能再拖延行动了。未来几年，针对制造商的网络攻击在数量和复杂程度上都将继续上升。积极主动的措施，如实施先进的安全技术、加强供应链防御以及紧跟监管变化，对于降低风险和确保运营连续性至关重要。
此外，遵守严格的网络安全标准可使制造商获得联邦合同，与利益相关者建立信任，并在市场中获得竞争优势。由于行政命令的潜在变化可能会导致横跨联邦、州和国际层面的分散监管格局，因此制造商必须为不同的合规要求做好准备。通过优先考虑网络安全，制造业不仅能保护其关键资产和流程，还能加强其在推动经济增长和技术创新方面的重要作用。
关于 CyManII
CyManII 于 2020 年由美国能源部发起，致力于与制造业、研究和学术机构以及联邦政府机构合作，开发能够确保美国制造业安全和增长的技术。Foley & Lardner 目前是 CyManII 的成员。
有关制造商面临的网络安全风险的更多信息，请参阅 Foley & Larder 和 CyManII 以前撰写的文章，其中包括：
作者
亚伦-坦特洛夫
合作伙伴
312.832.4367
霍华德-格兰姆斯
首席执行官
网络安全制造创新研究所