DHS提出新体系以加强公私合作关键基础设施安全协作

美国国土安全部（DHS）于本周二提出一项新的公私合作关键基础设施协作体系，以取代总统唐纳德·特朗普重返白宫后不久即废除的原有框架。根据一份将于周三在《联邦公报》上发布的DHS文件，新体系名为“国土行动韧性-关键基础设施国家委员会联盟”（ANCHOR-CI），将作为由关键基础设施运营商、政府官员及“直接负责网络安全和关键基础设施安全韧性活动的组织”组成的多个咨询委员会的伞形架构。

DHS表示，ANCHOR-CI将“提供论坛，使联邦、州、地方、部落和领地层面的网络安全、执法、情报、国家安全及其他政府代表，能够与私营部门实体及关键基础设施所有者和运营商的代表互动，共同审视当前威胁环境，讨论潜在漏洞，并就如何保障更具韧性的关键基础设施和网络空间提出建议。”

新体系取代了特朗普政府于2025年3月突然终止的“关键基础设施伙伴关系咨询委员会”（CIPAC）。该决定令关键基础设施运营商感到沮丧和震惊，他们很快发现与联邦机构的伙伴关系出现恶化。政府除了一些模糊的表述，称CIPAC不足以适应当前威胁环境外，几乎没有解释终止原因。许多网络安全专家认为，这一决定危及国家安全。

根据新的ANCHOR-CI框架，关键基础设施运营商及其政府伙伴可设立四类委员会：部门特定委员会，包括由主要基础设施运营商和行业协会组成的部门协调委员会（SCC），以及由负责监督和协助这些基础设施提供商的联邦、州和地方机构组成的政府协调委员会（GCC）；跨部门委员会，旨在处理基础设施类别之间的相互依赖关系；行业委员会，面向跨多个部门的行业；以及区域委员会，用于建立以地理为重点的韧性伙伴关系。

区域委员会选项反映了特朗普政府将更多网络安全韧性责任下放到州和地方层面的意愿，这一趋势令基础设施运营商感到不安，他们认为地方政府尚未准备好应对复杂的黑客威胁。DHS在文件中解释设立区域委员会的理由时称，“安全与韧性最有效的所有权和管理应位于州和地方层面，并由可及且高效的联邦政府提供支持。”该部门表示，各委员会必须“确保农村地区的关键基础设施实体能够获得代表和参与机会”。

填补协调真空

从表面上看，新体系与CIPAC非常相似。CIPAC框架于2006年建立，创建了SCC和GCC结构，并在此后近二十年中成为政府与行业联合预测、规划和防御新兴安全风险的基础。它还豁免了SCC和GCC会议须遵守联邦透明度规则的要求，使政府和行业代表能够私下讨论敏感安全问题。

自CIPAC终止以来，基础设施运营商及其行业协会一直敦促DHS尽快用同等或更强大的体系予以替代。多位行业代表此前曾告诉Cybersecurity Dive，由于缺乏CIPAC的保护，他们所在的行业已停止与政府讨论某些敏感问题。ANCHOR-CI的计划在2026年初开始成形，但DHS内部的领导层动荡推迟了该体系的批准。

软件行业贸易组织BSA对特朗普政府的新伙伴关系结构表示赞赏。“这一努力加强了政府与行业之间的可信协作，增强了网络和物理威胁信息的及时共享，并能够对重大事件做出更快、更协调的响应，”BSA政策高级总监亨利·扬表示。

然而，新框架可能仍无法消除关键基础设施界的全部担忧。它未包含CIPAC中的责任豁免保护，而正是这些保护使行业组织有信心在无需担心监管问题的情况下共享信息。“要使ANCHOR实现其降低风险的既定目标，政府需要解决那些常常阻碍公司共享敏感网络事件信息的法律风险，”健康信息共享与分析中心首席安全官埃罗尔·韦斯表示，“行业领导者曾依赖旧CIPAC框架中内置的法律保护，以就敏感漏洞进行坦诚的战略对话。”

管理与时间框架

网络安全和基础设施安全局（CISA）将管理ANCHOR-CI的各委员会，包括批准拟议成员并根据该机构认为合适的情况任命额外成员。DHS表示，各委员会必须包括其各自社区的代表性横截面，包括不同规模和地理位置的成员。

DHS将ANCHOR-CI的初始设立期限定为两年，但该体系可无限次续期，每次续期两年。“我希望ANCHOR-CI能够带来CIPAC曾经在部门风险管理机构和私营行业之间激发的那种合作水平，但乍一看，缺乏责任豁免保护和有限期限似乎令人担忧，”WaterISAC基础设施网络防御主任詹妮弗·林·沃克表示，“只有时间能证明一切。”

编者注：本报道已更新，补充了评论内容。