◆李璨融 崔竹/审计署审计科研所

2021年5月7日，全美最大成品油输送管道运营商科洛尼尔管道公司网络系统遭黑客勒索软件攻击，被迫全面暂停运营。这一事件导致为美国东海岸供应45%的汽油、柴油、航空燃料的输油主干线中断，美国东南部各州迅速出现大规模油料短缺。5月9日晚，美国能源部宣布17个受影响的州及华盛顿特区进入紧急状态，解除多项对公路运油的限制，以缓解燃油短缺状况。5月13日，该公司最终支付了近500万美元的赎金以恢复被攻击的系统，但缺油的状况仍未立即得到解决。这一事件凸显了关键基础设施的重要性与脆弱性。

本文以“关键基础设施保护”为关键词对美国审计署的审计报告及证词进行检索，选择较有代表性的关键领域如石油、电力、金融和港口等开展的防范网络攻击能力专项审计情况，以及整体防护能力建设，如战略制定，威胁识别确认，分析、预警及应对能力建设，信息共享，信息系统可靠性等方面审计报告及证词18篇进行梳理，以期对我国开展相关审计工作提供参考借鉴。

一、美国关键基础设施网络安全法律体系及监管要求

美国政府通过制定出台一系列的法律建立了网络安全法律体系并明确监管要求。1998年，第63号总统令要求在联邦调查局内部建立国家关键基础设施保护中心（NIPC），负责协调联邦政府应急响应、调查威胁和监督恢复等工作；同时要求私营企业建立信息共享和分析中心（ISAC），负责收集、分析和共享其成员间的安全事件信息和应对信息，促成政府和私营企业之间在关键基础设施保护方面的信息共享。……