日前，美國蘭德公司網站發(fā)布題為《Improving the Cybersecurity of U.S. Air Force Military Systems Throughout Their Life Cycles》的研究報告，其作者是唐·斯奈德和詹姆斯D.鮑爾斯等6人。這份研究報告的主要內容如下：

在賽博空間里，對含有信息技術的美國空軍系統(tǒng)易被搜集情報和攻擊的擔憂與日俱增。在本報告中，作者分析了美國空軍采辦/壽命周期管理機構如何才能提高其軍用系統(tǒng)在整個壽命周期里的賽博安全。本研究主要聚焦于采辦系統(tǒng)的子集，相對于商用貨架產品信息技術和商用系統(tǒng)，空軍在其設計、架構、協(xié)議和界面(例如武器系統(tǒng)、平臺信息技術)上擁有一定的控制權。

本報告作者的主要研究結論是，過去建立和提出的賽博安全法律和政策是用來管理商用貨架產品信息技術和商用系統(tǒng)的，但不足以應對軍用系統(tǒng)安防的挑戰(zhàn)。它們也沒有充分抓住對作戰(zhàn)任務的影響。目前，賽博安全主要是添加到系統(tǒng)上，而不是進行內在設計。作者提出了美國空軍在軍用系統(tǒng)整個壽命周期內能改善賽博安全的12項建議。

本報告所研究的問題包括：(1)在采辦中應達到何種賽博安全，以及管理賽博安全有哪些關鍵原則。(2)利用哪些法律與慣例來塑造美國國防部內的賽博安全管理。(3)造成空軍軍用系統(tǒng)賽博安全管理出現(xiàn)缺陷的根本原因有哪些。(4)如何才能解決這些問題。

本報告的研究發(fā)現(xiàn)即造成空軍軍用系統(tǒng)賽博安全管理出現(xiàn)缺陷的根本原因包括：(1)賽博安全環(huán)境是復雜、快速變化和難以預測的，而治理賽博安全的政策更適用于簡單、不變和可預測的環(huán)境，這導致賽博管理上出現(xiàn)巨大缺口。(2)在軍用系統(tǒng)的整個壽命周期內，并不是持續(xù)警惕地實施賽博安全措施，而是主要依據(jù)采辦過程中的采辦事件進行安排，導致賽博安全問題方面的政策不完整。(3)對軍用系統(tǒng)賽博安全的控制和問責遍及多個組織機構且整合不佳，導致賽博安全的問責和指揮控制部門的一體化被削弱。(4)賽博安全的監(jiān)控與反饋對于有效的決策或問責來說還不完整、不協(xié)調、不充分。(5)在這些研究發(fā)現(xiàn)中有兩個基本主題：賽博安全風險管理還不足以抓住作戰(zhàn)任務使命所受的影響，以及賽博安全主要是添加到系統(tǒng)上，而不是進行內在設計。

本報告提出的12項建議是：(1)針對所要取得的成果，確定空軍軍用系統(tǒng)的賽博安全目標。(2)對系統(tǒng)的脆弱性、威脅、作戰(zhàn)任務使命進行權衡，重新調整賽博安全風險評估的職能作用和責任，并授權官員對利益相關方進行整合與評判。(3)為授權官員指定一個系統(tǒng)組合，并保證所有系統(tǒng)在其整個壽命周期內都由授權官員全面負責。(4)鼓勵項目辦公室利用更全面的賽博安全措施來補充所需的安全控制，包括健全系統(tǒng)安全工程。(5)在各個項目如何實施系統(tǒng)安全工程上，空軍通過制訂新的政策來促進賽博安全方面的創(chuàng)新和適應性。(6)降低賽博安全問題的復雜性，通過推翻只要有可能就使系統(tǒng)互聯(lián)的缺省文化來減少互聯(lián)數(shù)量。(7)在壽命周期管理機構內，成立能視情進行矩陣化轉換的賽博安全專家組，使得那些小項目和支撐項目也可獲得資源。(8)由企業(yè)確定優(yōu)先順序，評估和處理老舊系統(tǒng)的賽博安全問題。(9)持續(xù)定期評估，對空軍每個項目的賽博安全狀況進行總結，并根據(jù)問題的解決情況來對項目管理人員進行問責。(10)在空軍內部針對采辦/壽命周期管理專門成立賽博安全紅隊。(11)對違反賽博安全政策的個人進行問責。(12)開發(fā)任務線程數(shù)據(jù)，以支持項目經理和授權官員評估系統(tǒng)和項目賽博安全缺陷所導致的任務風險的可接受程度。