關基安全重大挫折！美國水務行業叫停強制性網絡安全規定

安全內參10月16日消息，美國環保署將不再強制要求，美國供水設施在衛生檢查過程中執行網絡安全審計。這對于正在努力改進美國關鍵基礎設施網絡安全的拜登政府不啻為重大打擊。

上周四，環保署給各州飲用水管理機構致信表示，由于共和黨執政州和貿易協會提起訴訟，質疑對供水設施網絡安全進行監管的提案不具備長期法律可行性，環保署決定廢除3月要求實施水務部門網絡安全規定的備忘錄。

環保署的上述聲明，標志著白宮加強關鍵基礎設施部門網絡安全法規的努力遭受了重大挫折。拜登政府的國家網絡安全戰略將改善關鍵基礎設施的數字防御能力視為重要任務。

關鍵基礎系統的所有者和運營商正努力應對泛濫的勒索軟件攻擊和國家網絡攻擊，以及對美國最敏感網絡的滲透行為。在關鍵基礎設施領域，一次重大網絡攻擊可能會造成極其嚴重的后果。美國的供水設施在網絡安全方面尤為薄弱。

環保署發言人在聲明中表示：“盡管備忘錄因訴訟而撤銷，改善水務部門的網絡安全依然是環保署的最高優先事項之一。供水和廢水設施面臨嚴重網絡安全威脅，這種威脅在不斷增加。”

環保署表示，他們鼓勵“所有州自愿審查公共供水系統的網絡安全計劃，確保發現并糾正任何漏洞，并為需要幫助的系統提供支持。”

推動強制性網絡安全阻力重重

對于未來如何協調現有16個關鍵基礎設施領域的各項法規而言，水務部門網絡安全管理規定的撤銷并不是一個好兆頭。許多關鍵基礎設施領域，譬如供水和廢水領域，缺乏網絡安全法規。美國國家網絡安全戰略認為，如果這些行業按照自愿原則來規范網絡安全，會面臨“成效不充分或不平衡”等問題。

通過環保署規范供水設施網絡安全是拜登政府的創造性政策舉措。然而，此舉從一開始就備受爭議。水務行業強烈反對使用環保署現有權限增加網絡安全法規。一些專家質疑衛生檢查并非執行網絡安全法規的正確工具，因為傳統上衛生檢查并不涉及任何了解保護工業系統復雜性的審計人員。

水務部門網絡安全規定頒布后一個月，密蘇里、阿肯色和艾奧瓦州即提起訴訟，試圖阻止環保署通過衛生檢查執行網絡安全規定。美國第八巡回上訴法院裁定在訴訟期間停止實施該措施。

美國供水協會和全國農村供水協會也提起訴訟，導致水務部門網絡安全規定實施受阻。兩家協會發表聲明，表示他們“對（法院）決定感到滿意，并再次呼吁在水務部門采用與電力部門類似的合作性網絡安全措施。”

這兩家貿易團體再次呼吁采用與電力部門相似的共同監管模式。該模式將賦予環保署對標準的監督和審計權，并與業界合作制定標準。

環保署因未能保護美國供水與廢水系統而受到批評。一些人建議設立新的水務部來承擔這項任務。