密级：
页数：
信息工程大学
毕业设计（论文）
题目：美国信息安全保障体系建设研究
学员姓名
学号
所在单位
指导教师
技术职务
完成日期
摘要
从第一台计算机的发明到现在的分子计算机、光子计算机和量子计算机，从阿帕网的建立到信息高速公路和全球信息基础设施的提出和实施，美国的信息和应用技术一直遥遥领先。信息技术及其产业不仅成为美国经济发展的支柱和动力，而且也成为美国交通、能源、金融、通讯乃至国防、情报等赖以存在和发展的基础。但与此同时，美国也意识到，信息优势必须建立在信息安全的基础之上，关键基础设施的安全直接影响国家经济、政治及军事安全。信息网络系统能根据克劳塞维茨的“三维说”把纵横交错的不同层次的社会各部门联接起来，形成错综复杂的社会网络，这种关系越来越复杂，容易遭到攻击的地方就越来越多。高度网络化的国家在石油和天然气管道、水、电力、交通、通信、银行、金融、商业和军事等等方面都依赖信息网络控制系统，因而极容易遭受信息武器的攻击，变的四面烽火。信息安全的保障变的尤为重要。
关键词：信息安全体系，网络安全，密码政策
目录
第一章信息安全对美国的重要性 (1)
1.1 处处是前线的信息边疆 (1)
1.2 非国家力量成为美国国家信息安全威胁的主体之一 (2)
1.3 美国信息网络安全 (3)
第二章美国信息安全保障体系的构成 (5)
2.1 安全技术 (5)
2.2 安全管理 (7)
2.3 政策法规 (9)
2.4 人才培养 (10)
第三章美国建设信息安全保障体系的着眼点 (12)
3.1 个人隐私权 (12)
3.2 密码政策 (13)
3.3 网络经济问题 (14)
参考文献 (18)
第一章信息安全对美国的重要性
美国对信息网络安全问题的关注由来已久，早在20世纪80年代初期，就已经着手解决并采取了一系列措施。近年来，其重大步骤主要有保证要害部门安全、加强基础设施安全、制订网络安全战略、加强国家安全与国际网络安全合作、强化网络安全研究及政府协调与监管、实施网络安全演习等等。据悉，2005年5月，美国中央情报局在弗吉尼亚州举行了为期3天、代号为“沉默地平线”的计算机网络反恐演习。演习中，中央情报局模拟了一次类似“9 · 11”恐怖袭击规模的互联网电子攻击，以检测近年来在实施网络安全战略中所拥有的防御能力。演习使美国政府认识到，如果不采取必要的措施，出现“网络9 · 11事件”是完全可能的。因此，为了国家安全，美国在网络安全上根本不敢掉以轻心。
1.1 处处是前线的信息边疆
守卫边疆一直是保卫国家安全、抵御外敌入侵的主要方式。随着生产力的发展，人类的活动范围不断扩大，国家的疆界也会相应地发生一些变化。对海上疆界和陆地疆界的重视，产生了两个经典的理论—海权论和地缘政治学，并决定了近两个世纪以来的国际关系。1983年，美国的里根政府提出了“高边疆政府”和“星球大战”计划，公开表明要取得“高边疆”控制权，在空间技术上彻底压倒主要对手—苏联。
一般认为，“信息边疆”是一种无形的代表国家或统治集团“信息疆域”的不规则界线。它以互联网为代表的形形色色的网络及其终端设备为基本表现形式和载体，人们可以将每一台上网电脑看作是信息边界上的一道关口。因此，从国家信息安全的客观角度上说，我们要把守的信息关口实在太多了，简直数不胜数，不免令人产生防不胜防、“处处是前线”的惊恐。从“信息疆域”的概念出发，美国很显然己在这块无形领土上捷足先登，目前是拥有“信息疆域”最大的国家。“信息疆域”、“网络边界”的安全，关系到一个民族、一个国家在信息时代的兴亡，为此世界各国纷纷拓展“信息疆域”，保卫无形的“信息边疆”，一场争夺网络信息领域的“战争”正在激烈地进行。
过去，地域边界能够保护美国不受入侵。但是，在网络空间中，这种物理边界已经毫无意义。信息在不同政治、宗教群体中持续和无缝隙的方式流动，甚至构筑网络空间的基础设施本身(软件和硬件)也在设计和开发过程中具有国际性的特点。由于网络空间具有国际性，其脆弱性便自然地面向全世界，并且可以被任何地方的任何人利用。在和平时期，美国的敌对方可以针对美国政府、研究中心和企业集团开展谍报工作。在战争或者危机时期，敌对方可以通过攻击关键基础设施、重要的经济运行功能，或者影响、打击甚至“摧
毁”民众对于信息系统信心的方式来攻击美国。在信息时代，信息攻击可从任何地方发起，可在瞬间穿过任何自然障碍，从而使地域作用降到有史以来的最低点，足以使任何国家包括美国再也无法享受到天然的“安全保障剩余”。
1.2 非国家力量成为美国国家信息安全威胁的主体之一
构建开放性的全球信息结构是美国的信息战略的一个目标，但这个目标却可能在某些情况下成为美国的后顾之忧。这是因为，在信息技术极大地增强政府行为力量的同时，国家控制信息扩散的能力却趋于逐渐丧失。在美国对非对称威胁的评估当中，另类战争是可能被潜在的敌人或者所谓的“无赖国家”用以对付美国的工具，“潜在的敌人不会在技术上和美国直接对抗，他们会有意识避免模仿西方的组织和行为模式，以此绕过美国的优势领域和方式”。那些对手不会接受西方价值模式的道德约束，拒绝按照美国认为是全球共同遵守的行为准则行事，因而获得自身优势。在冷战时期，国家安全面临的威胁比较单一和集中，威胁来源主要是“敌对国家”、核武器以及重大领土纠纷等问题。因此，国家安全问题的性质和特点主要表现为军事安全和政治安全问题信息网络技术的普及，使战争的发动者不仅限于国家，企业、宗教团体、恐怖组织、贩毒集团和犯罪团伙均可能拥有发动各种形式的战争手段和能力，一个人只要有极少的金钱和足够的技术，就可以实施对国家的“战略进攻”。因此，战争更具有突发性和不可预见特别是未来战争向政治、经济、科技、社会领域的扩展，将最终导致战争与非战争之间的界限模糊不清。
计算机入侵者面临的风险极小。不同于攻击物理性基础设施，对信息网络的计算机攻击不需要物理上的接近。攻击可以来自世界上任何地方，通过互联网、其他网络和拨号线路的一种或几种组合来施行。无论经由多少通信网络和计算机发动攻击，入侵者都可以有效掩盖其身份和位置，因为追踪这些攻击非常困难且耗时极多。
这一问题的严重性在于，国家所面对的是看不见的敌人。而且，由于网络自身所具有的“无政府主义色彩”使得以往以国家行为为主要特点的攻击、入侵活动，增加了一种全新形式以个人行为为特点的攻击、入侵活动。他们仅仅依靠民间或个人所拥有技术、设备就能给企业乃至国家带来危害。信息网络技术是文明与知识的结晶，但它显示的“暴力”却使其破坏性大约不亚于“原子弹”，特别是利用信息网络能够达致恐怖的心理效果。攻击者使用现代的信息传输技术(视觉媒体和网络媒体)的快速便捷和视觉震撼力可以达到影响公众民意或决策层的心理的效果，比如政策制订过程的内幕曝光、详尽的恐怖过程的电视画面、恐怖组织通过互联网网站发布的声明以及不断发出恐怖威胁等等都是能够造成爆炸性公众心理影响效果的手段。美国和平协会的恐怖主义和通信专家加布里埃尔·维曼
指出:“互联网被恐怖分子用于传播信息、恐吓和发动心理战，他们在网上发布信息、进行威胁，发动了一场形式复杂的心理战争。”
美国曾试图通过战略转型，以进攻方式维护网络安全。由于网络袭击的隐蔽性和不确定性，仅靠防御是难以奏效的，所以在2001年7月，美国国防部提出了“网络中心战”的概念，试图将重点从防御向进攻与防御并重转变。尽管美国人深谙进攻是最好的防御之道，但在网络安全上，却仍处于英雄无用武之地的被动局面。因为，对于美国的敌对方来说，美国有确定性，因而可以从世界上任何地方向美国的网络系统发动攻击。而对于美国来说，它的敌对方特别是恐怖分子则具有不确定性，即使要进攻，也难以找到真正的攻击目标。
美国陆军在一份关于21世纪陆军战斗任务的报告书中，明确把“非国家力量”列为“未来的敌人”。在它的第二章第二节“未来敌人的特点”的B段“非国家力量”中写道:“使用各种现代技术的非国家安全威胁，已经变得越来越明显，并正在向传统的民族国家环境形成挑战。”根据报告书指定的范围来看，这些非国家力量可以分为三类:
其一是次国家性的。次国家性威胁包括政治、种族、宗教、文化和民族冲突，这些冲突从内部对民族国家的规定性和权威提出了挑战。
其二是无国家性的。无国家性威胁与它们所属的国家无关。这些实体不是民族国家的一部分，也不想建立这种地位。地区性的有组织犯罪、恐怖主义活动等构成了这类威胁。
其三是超国家性的。超国家性威胁超越了民族国家的边界，在地区间乃至全球范围内活动。它们包括宗教运动、国际犯罪组织，以及协助武器扩散的非正式经济组织。
美国陆军的这份报告已经清楚地说明了非国家力量所构成威胁的实在性及其大致的类别结构。从技术、资金、组织能力等方面看，这种现象几乎是信息社会的必然趋势。非国家力量将对美国的信息安全构成巨大的威胁。
1.3 美国信息网络安全
缺陷往往存在于优长之中。比如，信息化武器和信息化作战中，庞大的统一性中有唯一的依赖性，严密的系统性中有明显的脆弱性，无缝的链接性中有众多的可击性等。网络系统能根据克劳塞维茨的“三维说”把纵横交错的不同层次的社会各部门联接起来，形成错综复杂的社会网络，这种关系越复杂，易遭到攻击的地方就越多。网络化程度高的国家在石油和天然气管道、水、电力、交通、通信、银行、金融、商业和军事等等方面都依赖
信息网络控制系统，因而极容易遭受信息武器的攻击。如美国在1991年因计算机犯罪，各种公司损失50余亿美元，到1995年每年被盗的数据价值上升到100亿美元。
自冷战结束以来，美国在传统武器与核力量方面都处于世界领先地位，没有任何一个国家可以与之匹敌，而且，其信息优势也是其他国家无法比拟的。然而，具有讽刺意味的是，正是在拥有这种绝对优势的同时，也使美国成为网络攻击中最易受害的国家。近年来美国国防部屡遭电脑“黑客”袭击的事实，至少给世人以一点启示，即利用信息技术手段可以使当今世界最强大的美国的军事机器顷刻间陷入瘫痪状态。
军队是美国最早进入网络的部门，信息技术支持各种传感器、武器平台和指挥中心运行，美国以五角大楼为核心的信息基础设施，形成了一个庞大而复杂的军事网络系统。其中包括210万台计算机、1万个局域网和100个广域网、200个指挥中心和16个大型计算机处理中心。从武器设计、跟踪敌方目标、动员后备力量，到军饷发放、后勤供应管理，均依赖于这个信息网络系统。以最为敏感的美国军用计算机和通信系统为例，黑客在对ROME实验室、空军司令部和保密设施的攻击中，竟然控制了实验室的支持系统，与国外互联网接点建立联系，并窃取了战术研究和人工智能研究数据。
网络令人担忧的负面影响还在于其对“关键性基础设施”的威胁，一旦出现问题，不仅是经济损失，而且会给地区或国家安全带来巨大的、毁灭性的影响。美国一个战略家在谈到信息战的威胁时说，如果有人在不与美国军方发生对抗的情况下，利用计算机网络等攻击美国的通信、电力、金融和交通，他们将会轻易得手。在掌握了这些武器之后，“非国家实体，甚至个人，都能够挑战超级大国”。
信息战不分前方后方，任何被网络触及的地方都可能是潜在战场，美国本土已不再是不会受到外来攻击的世外桃源了。目前，美国是世界上计算机和互联网用户最多、依赖程度最高的国家，对于随时都可能爆发的计算机网络大战，他们似乎有着比别人更加切身的感受。他们认为，越是经济发达、互联网络发展越快、信息技术应用越多的国家，越容易受到网上攻击和电磁轰炸。美国国家安全局局长说过这样一段话:“我们比地球上任何一个国家都更容易遭到攻击。容易攻击的目标是美国的银行、整个金融界、股票市场、联邦储备委员会、空中交通控制系统，以及诸如此类的目标。”
因而，从处处是前线的“信息边疆”、非国家力量的“非对称”威胁以及美国对信息网络的高度依赖等上述三个特点出发，可以看出美国国家信息安全重要性。唯有把好信息安全大门，才可以提高国家安全的保障系数。
第二章美国信息安全保障体系的构成
美国的信息安全体系主要包括以下四个层次:一是安全技术层，二是安全管理层，三是政策法规层，四是人才培养层。四个层次的构架中，政策法规层保护安全管理层和安全技术层，安全管理层保护安全技术层，人才的培养是为了最好的实施目标。美国的经验是值得参考和借鉴的，因为在事实上，任何一个国家的信息安全都可以按照这样一种构架来分析。
2.1安全技术层
美国是网络的源起国，它的信息技术也是世界公认的处于领先水平。在信息使用技术发展的同时，美国一直致力于同时开发与完善信息安全技术。美国主要在以下三方面开发与完善信息安全技术。
2.1.1 制订计算机安全评价标准，积极参与开发国际通用安全准则
早在20世纪80年代初，美国就开始着手制订“可信计算机安全评价标准”。1985年，美国国防部国家计算机安全中心代表国防部制订并出版的“可信计算机安全评价标准TCSEC (又名“橘皮书”,Orange Book)，是国际公认的第一个计算机信息系统评估标准。最初，该标准只使用于美国政府和军方的计算机系统，但目前商业领域也开始使用，因而已成为事实上公认的标准。各公司已经开始给它们的产品更新换代，打上按《橘皮书》评定的安全级别的标记。TCSEC为计算机系统的安全定义了7个安全级别，最高为A级，最低为D，每一级内又包含一个或多个级别。安全级别按D,Cl,C2,B1,B2,B3,A1渐次增强。任何不满足较高级别安全可信性条件的系统都划入D类。
1987年，美国计算机安全中心(NCSO)为“橘皮书”提出了可依赖网络解释(TNI)，通常被称为“红皮书”。1991年，美国国家计算机安全中心又为“橘皮书”提出了可依赖数据库管理系统解释(TDD)。由于90年代开始黑客活动日益猖撅,1992年12月，美国政府又公布了联邦评价准则(FC)，用以代替80年代颁布的“橘皮书”。1993年，美国国防部国防信息系统局进一步提出在C4I系统(Command, Control，Communication, Computer, and Intelligence System)上采用多级安全(MLS)技术与概念。在上述标准的基础上，美国、加拿大和欧盟联合研制信息技术安全评测公共标准，并于1994年颁布了0. 9版，于1996年颁布了1.0版。
2.1.2 重视信息安全技术的发展和更新
保证信息的保密性、可用性和完整性的技术，在体系上可分为密码技术、安全控制技术(如访问控制技术、口令控制技术)和安全防护技术(防火墙技术、计算机网络病毒防治技术、信息泄漏防护技术)。凭借其深厚的科技水平，美国在这些技术的开发和使用上处于领先地位，在不断进行技术完善的同时，它还加强某些技术的控制和管理，企图维持在世界上的霸主地位。
以密码技术为例，由于密码技术是信息安全的基础和关键技术，美国历来十分重视对密码的管理。1993年4月，克林顿总统签署5号总统令——“公共加密管理”，该命令要求有加密功能的通信硬件厂商在产品中安装“Clipper Chip”芯片。1995年，密钥托管和密钥恢复体系取代了Clipper Chip。在管理密码出口政策方面，美政府也不断颁布有关规定。1996年，美国总统签署了关于加密出口政策的备忘录，将密码出口管理从国务院转到商务部。同时，颁布了关于密码出口条例的行政命令，允许支持密钥托管或密钥恢复、密钥长度大于56位的高强度密码出口。1998年，美政府宣布允许更高强度的密码出口到限定国家，但实际上却不允许密钥长度超过56位的密码出口，除非密码支持密钥托管与密钥恢复。
2OO0年10月，美商务部发布了新的密码出口条例，根据这个条例，任何密钥长度的密码产品或软件，经技术审查后无需许可证就可出口到除7个所谓的支持恐怖主义国家外的任何国家或非政府用户。
随着美国信息安全观念向信息保障的转化，在大量开发防火墙、安全路由器、安全服务器、用户认证产品等保护类技术和产品的同时，也加强了对预警、检测、追踪、响应和恢复等积极防范技术和产品的研制。例如北卡罗来纳州开发了可追踪黑客使用“拒绝服务程序”攻击源头的软件、联邦计算机入侵侦查网络(Federal Intrusion Detection Net)和国防部的自动入侵侦查系统等。其中FIDNet由一系列侦查入侵的传感器组成，主要关注属于联邦政府的非公开网络的安全，它可以完成入侵探测、自动报告和处理事件、分析已受攻击系统的情况并发布有关消息、警报并进行协调等工作。虽然美国政府在维护信息系统安全方面采取了众多的措施，但它也意识到，仅仅依靠政府的力量是不够的，必须动员一切可以动员的社会力量，建立起一个全方位的防御体系。因此，美国政府十分重视与私营企业之间建立合作关系，重视发挥学术研究机构的优势，同时也重视培养美国公民的信息安全意识，提高他们维护基础设施安全的自觉性和能动性。
2.1.3 重视发展信息战能力，开发反侦探技术，实行“积极防御”
密码技术不仅被美国用来保护自己的信息安全，同时还被作为一种反侦探的工具。目
前，美国微软公司的Windows操作系统是全球市场利用率最高的软件。微软视窗系统的一个安全问题是视窗本身的保密功能不强，解决的办法是采用其他加密软件。视窗系统内设有一个用于加密和解密的应用编程接口函数集CryptoAPI，加密软件开发商可以通过CryptoAPI编制加密软件。当软件开发商得到微软的许可使用CryptoAPI时，他们实际上是得到了一个验证许可的密钥。1999年8月，加拿大Cryotonym公司首席科学家Andrew Fernande、发现视窗系统中存在第二把叫做NSAKey，而NSA就是美国国家安全局(NationalSecurity Agency)的简称。也就是说，在风行全球的Window、系列操作系统中留有一个“后门”，从而使美国著名的情报机构国家安全局可以秘密地访问电脑用户的操作系统。这一密码存在于目前常用的几乎所有Window、操作系统中，如WINK, WIN98,WIN200。以及Windows NT。也就是说，微软在每一份视窗系统中都安装了一个“后门”，专供NSA在需要时侵人全世界用户的电这就是所谓的“NSA密钥”事件。经过密码技术处理后的信息只有拥有密钥的相关人员才能得到相关算法，弄明白密文的意义。
国防系统信息安全是美国政府保护的重点对象。因此，在遵循有关政策和法令的同时，美国国防部还制订了本部门专门的信息安全政策和措施，例如国防关键基础设施保护方案、国防系统信息保护计划等，对国防信息保护行动进行协调、综合和监督。国防部关键基础设施保护与政府其他部门及私营部门最显著的不同是，国防部在所有关键节点采用并不断完善入侵侦查系统(Intrusion detect systems, IDS)，以及建立计算机网络保护联合特别小组来管理该项工作。目前，自动入侵侦察环境一一先进技术示范(automated intrusion detection enrironment-advanced concepttechnology demonstration)计划开始启动，提供自动侦查和威胁预警及攻击评估。而且自1992年12月开始，美国国防部就开始实施一项防御性信息战计划。1995年1月，美国国防部组建了信息战执行委员会。同年12月，美国国防部的防御性信息战管理计划提出了三项措施，用以防止、侦测和反击对国防部信息基础设施的威胁行为。
2.2 安全管理层
信息安全管理可以分为多个层次，如国家的宏观管理、网络经营者的行业管理以及网络使用单位的具体管理等。信息安全管理具体内容主要包括密钥管理、系统安全管理、安全服务器、安全机制管理、安全时间管理、安全审计管理、安全恢复管理、安全组织管理、安全制度管理、安全意识教育、安全规章制度以及人事管理等美国对信息安全管理非常重视，这可以从许多信息安全管理机构的设立看出。在美国，信息和信息系统安全是由总统亲自领导的，投入力度相当可观。美国在执行《网络空间安全国家战略》的过程中，成立了整合有关22个联邦机构安全力量的国土安全部。国土安全部在该战略中处于核心地位，
除了负责实施本部门所承担的项目外，还充当联邦政府的主要联络点，为州和地方政府、私人机构以及普通公众就网络安全问题展开讨论提供沟通平台。
2001年10月，布什政府颁布了《信息时代保护关键基础设施的行政命令》，组建了新的关键基础设施委员会，其成员包括国务卿、国防部长、司法部长、商务部长、行政管理与预算局局长、科学与技术政策办公室主任、国家经济委员会主席、总统国家安全事务助理、总统国土安全助理等官员。根据该命令，委员会主席兼任总统有关网络安全的特别顾问。他有权了解各部/局内属于其管辖范围的所有情况，召集和主持委员会的各种会议，制订保护关键基础设施的政策和方案，并向总统国家安全事务助理和国土安全助理汇报。
为了加强信息安全管理，美国成立了许多信息安全机构，主要包括:国家安全局(NSA)、美国国家保密通信和信息系统安全委员会(NSTISSC)、总统信息安全政策委员会国家信息安全监察办公国会国家计算机系统安全和个人隐私咨询委员会、国家安全局中央安全服务处、国家标准与技术局、国家标准与技术局计算机安全部、联邦政府安全基础结构项目管理办公室，以及美国能源部计算机安全技术中心、美国总务管理局信息安全办公室、美国国会计算机安全协会、国家计算机应急处理小组协调中心等等。根据《联邦政府信息资源的管理通告》(A一130通告)的规定，行政管理与预算局(OMB)负责制订和监督政府部门有关信息系统安全的政策、原则、标准和指导方针。在它统一领导下，美国的信息安全工作分别由商务部下属的国家标准与技术局(NIST)和国防部下属的国家安全局(NSA)分工负责。NIST主要负责非保密信息(即敏感信息)的安全工作，包括民间与商业方面的安全。NSA 负责保密信息(即国家安全系统)的安全工作及与国防部相关的安全保密标准的制订及其相关活动。所谓国家安全系统，是指由美国政府及其合同单位或代理机构管理的通信和信息系统，包括存有保密信息以及美国宪法2315款第102项规定的信息，涉及情报活动，涉及与国家安全有关的隐蔽活动，涉及军队的指挥与控制，涉及属于武器和武器系统的设备或对于完成军事或情报任务至关重要的设备。
联邦机构与私营部门之间的联盟是否能够发挥效力，依赖于有效的协调和交流。为了简化和增进这种组织结构，美国政府任命了各个主要部门的“领导机构”:科技政策办公室负责协调支持基础设施保护的研发工作，行政管理与预算局宏观地审视政府范围内有关计算机安全的政策、规则、标准和方针的实施，国务院协调网络安全方面的国际事宜，中央情报局负责对美国的网络和信息系统所遭受的外国威胁进行评估，司法部和联邦调查局负责网络犯罪的调查与惩治工作。同时，还为每个容易受攻击的主要经济领域指定了“指导部门”，如银行与金融领域的网络安全保护工作由财政部领导。
在明确主管机构的基础上，美国政府按照部门的重要程度进行划分，责成各部门内设相应机构，执行OMB, NIST和NSA的规定和计划，并根据各自具体情况，以国家有关部门的信息安全法规政策为依据，制订类似“信息技术管理手册”的用户指示性文件，指导其下属部门的信息安全工作。各部门是其下属基础设施部门安全的主管机构，由部门联络官员进行信息的上传下达时必须任命一名首席关键基础设施保护官员(Chief Infrastru Assurance fficer CIAO)，主管本部门关键基础设施的保护工作。例如，国防信息系统局(NISA)是国防系统信息安全的主管部门，下设信息系统安全中心和自动化系统安全事故支持小组(ASSIST)等部门，负责制订国防部信息安全标准，处理国防部所有的信息安全事故，分析薄弱环节并提出保护、侦测和应对措施。
为了落实各项信息安全政策，美国将政策执行、监督、管理等权利分配给多个政府部门，其中包括：审计署、行政管理和预算局、国家标准局、国土安全部、国防部、商务部、财政部等多个部以及多个委员会和办公室，这就构成了美国庞大的信息安全机构体系。美国成立了“全国信息保障委员会”、“全国信息保障同盟”和“关键基础设施信息保障办公室”等10多个全国性机构。其中总统信息安全政策委员会、总统关键基础设施保护办公室等，直接为总统决策服务。这些委员会成员主要包括主要政府部门，定期举行会议并提交报出为总统信息安全状况和制定政策提供建议，并协调各项保护信息系统计划的实施。
美国军方也有较为健全的信息安全管理机构，包括国防信息系统局、国防信息系统局信息系统安全中心、美国空军信息战中心、美国海军SPAWAR信息系统安全计划办公室、美国陆军信息系统安全办公室、美国国防部安全研究所、美国宇航局自动化系统事故处理中心等等。至于信息安全在军事上的极端重要性，美国国防部已把信息安全对策提高到信息战的高度来认识，因而自1995年以来，美国陆、海、空三军相继成立了专门负责信息战的信息战中心等。
2.3 政策法规层
政策法规层，主要包括制订各项安全政策和策略、制订安全法规和条例、打击国内外的犯罪分子，依法保障通信网络和信息安全等。美国是计算机网络发展最快、应用最普及的国家，同时也是计算机网络犯罪发生最早、数量最多的国家。1966年，美国首次发生了篡改银行计算机数据的事件，这也是世界上第一例利用计算机进行犯罪的案件。1977年，美国颁布了《联邦计算机系统保护法案》，首次将计算机系统纳人法律的保护范畴。1978年，佛罗里达州制订了《计算机犯罪法》，这是世界上第一部针对计算机犯罪的法律。随后，美国各州相继就计算机犯罪问题进行了立法。
1987年，美国再次修订了《计算机犯罪法》。该法在80年代末至90年代初被作为美国各州制订其地方法规的依据。该法规定，联邦政府各机构必须确认存有敏感信息的信息系统，并制订保护这些信息的信息安全计划。1997年美国通过《计算机安全增强法》,1999年又由总审计局向国会提交了《1999年计算机安全增强法案》，相关的法律还有《1998年数据保护法案》,《1999年政府信息安全法》等。为了规范网上行为，打击网络犯罪活动，美国先后制订了一系列法律加以规范。目前，美国已确立的有关信息安全的法律无所不包，如信息自由法、个人隐私法、反腐败行径法、伪造访问设备和计算机欺骗滥用法、计算机安全法、正当通信法令、电讯法、上保护法、网络安全法、数字电话法案、电子签名法案及反黑客法案等等。
这些法律主要涉及以下几个领域:一是加强信息网络基础设施保护，打击网络犯罪，如《国家信息基础设施保护法》、《计算机欺诈与滥用法》、《公共网络安全法》、《计算机安全法》、《加强计算机安全法》、《加强网络安全法》;二是规范信息的收集、利用、发布，以及对隐私权的保护，如《信息自由法》、《隐私权法》、《电子通信隐私法》、《儿童在线隐私权保护法》、《通信净化法》、《数据保密法》、《网络安全信息法》、《网络电子安全法》;三是确认电子签名及认证，如《电子签名法》;四是其他安全问题，如《国土安全法》、《政府信息安全改革法》、《网络安全研究与开发法》等。
各个不同领域还有相应的关于信息安全的法案，如针对恐怖主义的《爱国者法案》(2001)、针对商业秘密的《美国经济间谍法》(1996)、针对金融业的《金融服务现代化法案》、针对财务责任的《 Sarbanes-Oxley法案》及《公众公司会计改革和投资者保护法》(2002)等等。
此外，自1984年以来，美国政府共颁布近10个涉及关键基础设施和信息安全的政策通告、总统行政命令和国家计划，其中包括“关于通信和自动化信息系统安全的国家政策”(即NSDD-145,1984年9月17日)、《联邦政府信息资源的管理通告》(即A-130通告，1985年12月)、《关于反恐怖主义政策的总统令》(1995年6月)、第13010号(1996年7月)及第13025号(1996年11月)和13064号(1997年10月)行政命令、第63号总统令(PDD-63,1998年5月)、《信息系统保护国家计划》(2000年1月)、《信息时代保护关键基础设施的行政命令》(2001年10月16日)等。这些通告、政策与命令各有侧重，是对前述法案的补充，保障了安全管理的顺利实施，并促进了安全技术的研究与开发。
2.4 人才培养
美国政府历来重视信息安全人才的培养，为培养信息安全人才出台了各类信息安全教
育项目。其中比较有代表性的教育项目包括：
2.4.1 联邦计算机服务(FSC)项目
它是综合性的项目，它的很多活动都遵循信息安全培训概念性框架。这个框架是国家标准局在《信息技术安全培训要求：基于角色和表现的模型(NIST SP 800．16)》中提出的。FSC项目整合和借鉴了联邦政府内已有的相关项目和成果，此外它还完成人事管理办公厅(0MP)的信息技术职位研究。
2.4.2 服务奖学金(SFS)项目
在该项目中，政府资助研究生和本科生的信息安全学习，他们学成后要服务于联邦政府。
2.4.3 中小学拓广项目
该项目和前面几个项目保持了很好的衔接性，也体现了美国政府眼光的长远，为培养信息安全人才奠定了良好的基础。
2.4.4 联邦范围内的信息安全意识培养项目。
2.4.5 计算机公民项目。
第三章美国建设信息安全保障体系的着眼点
3.1 个人隐私权
美国作为互联网最发达的国家，又是隐私权的发源地，是最早意识到这方面问题的国家之一。但自从互联网蓬勃兴起，基于商业获利原则，立法者主要采取的是鼓励制订行业自律规则或是网站的经营者自愿采取隐私权保护政策来保护隐私权，这一导致美国的网络隐私权法相对有限并暴露了一些问题。例如，对隐私权的担忧和缺乏信任仍是在线贸易增长的最大障碍，也是目前区别于传统贸易主要的“缺点”之一。2000年TRUSTe公司的一项调查指出，个人隐私的丧失是新世纪美国人最关注的问题。
互联网的出现对于隐私权的保护产生了极大的冲击。在网络时代，个人的存在和活动在一定程度上被约化为一系列的符号、代码或者信息，如姓名、住址、身份证号码、网名、密码等。互联网的存在使得信息的收集、处理和传播极为方便。在方便现代社会生活的同时，互联网也使得个人隐私遭到前所未有的威胁。网络所涉及的隐私权保护问题主要有三类:一是个人数据收集，即当用户在填表填空的同时一些信息已被收集，尽管用户通常并不知道网络方面将如何处理这些信息;当用户访问网站时许多信息在用户不知情的情况下通过Cookies或对用户机器的其他检测被收集。二是个人数据二次开发利用，即商家把网上收集到的个人数据存放在专门的数据库中，然后经过数据加工、数据挖掘等方法得到有商业价值的信息，用于生产经营之中的过程。三是个人数据交易，即公司之间相互交换个人信息或对掌握的个人信息进行买卖。
从对公民隐私权的侵害主体来看，主要存在以下几种情形:一是网站与网络服务提供商对个人隐私的侵害。目前的网站大都配有监视用户上网习惯的软件，甚至在未经授权的情况下就制作了用户的档案，记录用户的电子邮件地址和网上购物习惯，这是对公民私人信息的一种侵犯。二是黑客入侵。黑客通过非授权的登陆(如让“特洛伊木马”程序打着合法程序的幌子进入用户的电脑)攻击他人计算机系统，窃取网络用户的私人信息，破坏他人通信内容的安全，从而引发个人数据隐私权保护的法律问题。三是雇主对员工隐私权的侵犯。许多公司开始使用监视软件，这些软件可以使雇主得以了解员工的想法，进而利用这些信息达到自己的目的，例如通过监视获得的雇员“不务正业”的证据甚至可以作为合法解雇雇员的依据等。四是硬件制造商的侵权行为。例如CPU独一无二的处理器序列号虽然可以帮助认证，加强电子商务的安全性，并且能够帮助企业管理公司的个人电脑和软件，但却被批评者认为其本质上就是超级Cookies，网站可以使用它跟踪用户在网上的一举一动。五是政府的侵权行为。例如美国联邦调查局的“食肉者”网上邮件窃读系统可以被安
装在网络服务商的设备上，从浩如烟海的电子邮件中找出发自或送至目标嫌疑犯的邮件，这种计算机系统一秒内可浏览数百万封电子邮件，并将其内容复制到“食肉者”电脑的硬盘上，联邦调查局用它来调查黑客及反恐怖活动和追击贩毒活动。
隐私权是人们享有的精神人格权，主要以个人的心理、情感为依托。网络空间是现实社会的延伸，个人以化名的形式进人网络社会，同样具有属于私人的精神生活领域。但是隐私权并不禁止以公共利益或者个人的一般利益为保护目的的公开。政府在存在公共利益或是为了更好地保护个人某种特定利益时，可以收集与利用网络个人信息。对于网络隐私权保护来说，政府的这种存在是具有双重影响的:一方面，政府是网络隐私权的保护者，由于网络的虚拟性、技术性等特征，权利主体对个人隐私的控制能力较低，侵权行为手段较智能化、隐蔽化。网络隐私一旦遭到侵害，个人想追究侵权责任是十分困难的，这时往往需要政府出面对于网络隐私加以保护，为受到侵权的当事人提供帮助。例如，在网络隐私保护—特别是儿童隐私权保护的问题上，许多国家的政府进行了必要的介入。美国儿童网上隐私保护法授权联邦贸易委员会执行其规定，允许其采取行动并实施民事制裁。另一方面，在现代社会，行政机关的权力在不断扩张，行政权的触角已经深人到社会生活的各个领域，政府对个人活动的控制范围以及提供服务的范围都达到了前所未有的程度，大量涉及金融、医疗、保险、财产、家庭等方面的个人信息隐私资料被保存在政府的数据库中，网络空间也受到各国政府不同程度的管制。这使得政府往往成为潜在的最大的隐私侵权人，如果政府对于隐私资料疏于管理，或者将这些数据用于职责以外的其他目的，或者在管制的过程中对于私人行为进行了公益以外的过多管理，就很容易对公民的隐私权造成侵害。
3.2 密码政策
美国信息安全的第二个关注点是密码政策问题。密码是信息安全的核心。要保证电子信息的保密性，使用密码对其加密是最有效的方法。要保证信息的完整性，使用密码技术实施数字签名，进行身份认证，对信息进行完整性校验是当前实际可行的办法。保障信息系统和电子信息为授权者所用，利用密码进行系统登陆管理、存取授权管理是有效的办法。保证电子信息系统的可控性也可以有效地利用密码和密钥管理来实施。密码政策不仅是保护国家机密的专利，同时也是任何装备个人计算机和加密软件的个人或经济组织的“护身符”。
在密码政策方面，美国一方面通过积极推行密码标准，发展密码技术，为实施其经济全球化、信息化和商务电子化战略作技术储备和支持;另一方面则在密码政策制订及立法
方面，实行内外有别的密码控制政策。
密码国内控制是以确保密码产品和技术的合法使用为目的实现美国政府对社会公共秩序的有效管理和公正执法。例如，密码国内监管政策可以防止强密码技术和产品落入恐怖分子或组织的手中，并避免对社会公共安全构成威胁。美国密码技术的国内控制除了密码产品和技术的进口控制和使用控制外，主要涉及密钥和所处理敏感信息移交给第三方的问题。国内控制的方式有两种:一种是对使用密码进行控制，也就是说，未经授权，不得使用密码产品或技术;另一种是允许对密钥进行存取，常用的密钥存取方式有密钥托管、密钥恢复、可信第三方等三种。在密钥托管情况下，用户私钥副本由第三方以托管方式保存，用户可以销毁该私钥，也可以将该私钥分割给多个人。在密钥恢复的情况下，私钥开始不进行托管，但密码系统允许授权组织根据需要再建或恢复密钥。可信第三方作为一种服务，为用户生成密钥，并分发密钥给适当的信赖方，而且自己保存密钥副本。在所有的密钥存取方式中，政府都力图获得存取密钥以对付网络犯罪。
美国政府认识到，增加安全保密性虽可减少由于系统脆弱性所导致的攻击，但是这种防范措施同时会被认为具有攻击他国的可能性。所以，美国出口相应的信息安全技术给盟国，甚至是敌国。当年里根政府将主动战略防御(SDI)技术送给苏联，以减少苏联对所谓美国攻击的恐惧，实践证明这种策略是明智的。因此，近年来，美国政府减少了对密码等安全技术向盟国出口的限制，这样不仅能够增加美国敏感信息系统的安全保密性和系统稳定性，同时能够促进美国的软件产业发展，使美国公司继续在这一领域保持相对领先的地位。
3.3 网络经济问题
网络经济问题也是美国信息安全的关注点，包括知识产权的网络化保护、电子商务安全问题等。互联网为世界经济带来了“不可抗力”影响，就是互联网必然会衍生电子商务。大部分商业活动改为网络进行，网络经济已是不可逆转的趋势。网络经济代表了未来经济发展的趋势，不仅是因为它创造了美国经济长达10年的高增长奇迹，更重要的是因为它为现实经济增长构筑起一个全新的技术平台，提供了一种将信息资源转化为经济收益的高效工具，营造了一种全球化的经营环境。然而与之同时产生的还有许多问题。
网络作为一种全新的传播方式，对知识产权的影响很大，传统的知识产权被赋予了新的内容。当前网络上的知识产权侵权行为包括很多方面，例如网页著作权侵权、提供下载侵权、网络游戏侵权、内容著作权侵权等。有关内容著作权的纠纷和侵权行为是网络知识产权中最主要部分。内容著作权纠纷可以分为三类:一是网络载体侵犯印刷载体的著作权，
主要发生在作家、传统杂志社、新闻社、科技工作者和网络内容服务商(ICP )之间;二是网络载体侵犯数字化内容著作权，主要是具有原创内容的ICP被侵权;三是印刷载体侵犯网络载体的内容著作权，具有原创内容的ICP被出版社、杂志社侵权。
网络经济特点很多，例如虚拟性、不确定性、爆发性等等，然而这些特点的后面，贯穿有一条主线，那就是经济风险的增大。虚拟化突出的特征是货币从有形走向无形。虚拟化使得价值和价格分离，实物流通与价值流通分离，交易和消费分离，交易双方的地域分离。在众多的分离中，隐藏着背离、隔阂、欺骗，因此带来经济的不安全。同时，在网络经济条件下，经济活动出现多重的不确定性，包括信息质量的不确定、交易对象的不确定、交易手段的不确定，存在较多的隐患。此外，技术依赖也带来经济风险的压力。网络经济就是以微电子技术为核心扩展而成的一个庞大的高技术群，包括电脑技术、通信技术、广播电视技术、多媒体技术、网络技术、软件技术和数字压缩等。网络经济的技术性，造成经济安全依赖技术，而经济的安全状况又与技术状况紧密相连。技术的不当应用和恶意使用，会给安全带来无穷隐患。
具体而言，相对于传统经济，网络经济的风险包括以下几方面:一是在传统交易过程中，交易活动中的信息传输和保存主要通过有形的单证进行，信息接触面比较窄，容易受到保护和控制，即使在信息传输过程中出现丢失、篡改等情况，也可通过留下的痕迹查找出原因;电子商务交易活动是在开放的网络上进行的，信息的传输依赖于网络，信息接触面多，信息被篡改后可不留痕迹，故风险较大;信息风险主要有:冒名偷窃、篡改数据、信息丢失、虚假信息、信息传递过程中的破坏等。二是传统商务交易时，交易双方可面对面地直接进行交易，因此很容易保证交易过程的安全性和建立起信任关系，但在电子商务过程中，买卖双方是通过网络来联系的，甚至彼此远隔千山万水，因而建立交易双方的安全和信任关系相当困难，信用风险不易控制。三是传统的商务交易已形成相对完善的控制机制，管理也较规范，而电子商务交易活动只经历了很短时间，技术设计上的超前性又使其超过现有法律约束范围，因而从事电子商务活动具有更大的管理风险与法律风险。
网络环境下的金融安全则是典型的网络犯罪的对象。同金融管理方式相比，金融电子化如同金库建在计算机里，把存在数据库里，资金流动在计算机网络里，金融计算机系统已为犯罪活动的新目标。例如，在美国这样金融系统高度发达国家里，信用卡安全问题也扰得人心惶惶。2007年4月，美国折售巨头TJX曝出4570万张信用卡和借记卡资料遭黑客窃取的“闻”，成为美国迄今最严重的一次金融信息安全事件。可见银卡的安全漏洞已成为网络经济的一个重大隐患。针对电子支付风险与欺诈，美国鼓励信息的共享以及支付行业与执法部门之间的合作;在交易发生时采用预防和阻止欺诈的手段，例如信用卡的号
码验证和地址验证方法;鼓励企业适用《信用卡支付企业数据保证标准》(PCI标准)等。
在立法上，一方面，美国在1997年7月颁布了“全球电子商务纲要”(A Framework For Global Electronic Commerce)作为美国政府发展电子商务的战略性政策框架，以促进电子商务与网络经济的发展。这一框架自诞生之日起，一直是美国政府电子商务发展政策的纲领性文件。美国政府电子商务工作组每年报告执行情况，提出政策调整与更新战略建议，并促进相关政策及战略的实施。
另一方面，为了对付网络经济中的各种风险与犯罪，美国政府早在1966年就颁布了《联邦电信法》，后又先后出台《伪造存取手段及计算机诈骗与滥用法》、《联邦计算机安全处罚条例》、《正派通信法案》等。美国各州也有针对网络传播方面的立法。此美国政府还拨款数十亿美元用于对付网络犯罪，并建议针对网络黑客日益猖撅的形势，尽快建立起全球反黑法网。然而，令人担忧的是网络安全“盾”的发展远远落后于黑客武器“矛”的发展。
执法问题主要指原法律在网络空间的延伸与新法的制订等美国是世界上制订信息政策最多的国家，这一方面说明美国的政策制订紧跟信息产业的发展形势，同时也说明美国的信息环境变化多样，因为任何信息政策的制订都是以信息环境为依据的。然而美国信息政策面临着两大挑战:一是与各种国家法律的冲突;二是新的信息环境中出现的新的信息问题。由于美国的信息政策存在着许多与信息法律不一致的地方，致使信息政策在有些方面表现得无能为力，常常处于“违宪”的境地。因此，美国信息政策的决策者们一方面要促进信息政策法律化，另一方面又要敦促政府部门对与社会现实不相符的有关法律进行修改，从而促使信息政策与信息法律能协调一致地解决信息与信息安全问题。
管辖权的确定是网络纠纷审理中的重点。在确定管辖权方面，传统的规则一般基于三个标准来确定，即以地域、当事人国籍或当事人的意志为基础。而针对网络纠纷，根据美国有关法院对网络纠纷的判决来看，存在两种不同的方法:一种方法是应用原告住所地或主要营业所所在地的法律以调整网络纠纷;另一类案例是适用被告居住地的法律，这些地方通常也是互联网传输开始的地方。美国各州的法律也不尽相同，例如明尼苏达州是第一个实施广泛的管辖权的州，根据该州的法律，整个网络空间都将受制于明尼苏达州的法律，当然这一做法曾遭到国际社会的批评。同时，关于网站可否作为主张管辖权的基础问题，各国做法并不统一。在美国，这方面已经出现了一些判例，如在一个判例中，美国法院将网站分为两类，即被动性网站和互动性网站，对于后者，美国法院可主张管辖权。根据不同的案例，美国也在探索不同的方法，例如根据传统“长臂管辖”(Long Arm Jurisdiction)的基础理论来解决网络纠纷诉讼管辖的问题。
除了个人隐私权、密码政策、国际经济问题与执法问题外，美国信息安全其他的问题还包括网络恐怖与信息战等。由于网络恐怖与信息战已经上升至国家战略层面，因而不再单独列出。