美國 CISA 發布更新版《國家網路事件應變計畫》初稿

美國網路暨基礎建設安全局（CISA）發布《國家網路事件應變計畫》（NCIRP）新版初稿，這是自 2016 年計畫發布以來的首次修訂。這份 42 頁的更新版 NCIRP 詳細說明政府如何應對可能影響國家經濟的大規模資安事件，內容包括政府機關間的協調機制、關鍵決策的權責單位及應變優先順序。

CISA 表示，本計畫涵蓋「跨部門、公私協力及聯邦層級的網路事件協調機制」。此更新版計畫由 CISA、國家網路總監辦公室（ONCD）及聯合網路防禦協作組織（JCDC）的民間成員共同制定。這份計畫並非嚴格的標準作業程序，而是一份指導各單位協調合作的綱要文件，以因應美國面臨的各類資安威脅。

CISA 署長 Jen Easterly 指出，面對當前日益複雜的威脅環境，我們必須建立無縫、靈活且有效的資安事件應變框架。這份 NCIRP 更新草案不僅整合了近年來的經驗教訓，更強化了政府與民間的合作關係。我們誠摯歡迎各界提供意見回饋，以協助提升計畫的實務效益。

CISA 網路安全執行助理主任 Jeff Greene 在記者會上強調，相較於 2016 年版本，這次的更新版本進行了精簡，並納入了當時尚未成立的政府機構（包括 CISA 本身）。此計畫也涵蓋了可能影響政府機構角色的法規與政策變革，並明確訂定下次更新的時程。

Greene 表示，公眾意見徵詢期將持續至 2025 年 1 月 15 日，計畫制定過程共有來自 66 個組織的 150 位專家參與。期間舉辦三場公聽會，所收集的寶貴意見及各方觀點皆已納入計畫中。Greene 強調，面對當前情勢，國家必須做好準備，以因應可能威脅經濟、國家安全及公共衛生與安全的重大資安事件。CISA 已與相關單位共同檢視過往資安事件的應變經驗，並將這些寶貴教訓融入本次計畫中。

展望未來，Greene 希望每當發生資安事件時，應變人員都能回顧這份文件，檢視哪些內容有幫助，或是哪些部分需要補充說明。

這次計畫更新是依據去年《國家資安戰略》的要求而進行。CISA 在 2023 年 9 月因拒絕制定「經濟持續營運計畫」（COTE）而遭兩黨議員批評。COTE 計畫原本納入 2021 財年《國防授權法》中，目的是規劃聯邦政府應對重大資安事件對美國經濟衝擊的因應措施。

本文轉載自 TheRecord。