信息共享与保护:
无缝框架还是拼布被子?

威廉伦纳德的评论
资讯保安监督办公室主任
在
国家船级社(NCMS)
年度培训研讨会,
盐湖城，犹他州

2003年6月12日

当然，我们的国家和政府在9/11后的世界里是截然不同的。我们公民的脆弱感增加了，他们对联邦政府保护他们安全的期望也增加了。在每种情况下，信息都是至关重要的。一方面，美国人担心信息可能会被我们国家的敌人利用来伤害我们。另一方面，为了国土安全的利益，需要克服联邦机构之间以及与州、地方和私营实体之间信息共享的障碍。更重要的是，如果公民想获得信息，如果他们想成功地让政府及其领导人负起责任，信息的自由流动是至关重要的。在许多方面，联邦政府面临着信息共享和信息保护这两项双重责任——这两项责任包含着内在的张力，但不一定是不相容的。

因此，我们发现我们今天正处于一个关键时刻，在制定和执行联邦政府有关信息保护和共享等问题的政策。乐动冠军在某些方面，今天存在的问题可以被看作是一系列官僚封地，一个名副其实的“拼布被子”，是联邦政府处理和公开信息的法律、法规和指令大杂烩的结果。在这方面，我们目前面临着一个独特的机会。我们可以继续，很有可能，在我们的信息保护和披露制度中增加各种漏洞，或者我们可以采取主动，开始发展和实施一个无缝的、协调的系统来保护和共享所有类型的信息，包括机密和非机密。

在审议我们的选择时，我认为重要的是要区分“披露”制度、“保护”制度，以及那些努力同时实现这两者的制度。披露制度试图限制信息的可获得性，并可能强加准入要求(例如，在向外国人披露某些受控信息之前，需要出口许可证或其他授权的各种出口管制制度)。保护制度实施保护标准(例如，信息可以向公众发布，但信息的完整性在包含在联邦计算机系统中时，仍必须根据1987年计算机安全法受到保护)。最后，还有一些制度，不仅限制披露，而且实施处理和保障标准(例如，分类制度，不仅有安全、警报、信息系统认证和批准、加密传输等，而且还建立安全许可标准)。

在非机密领域，我们面临着数十项限制披露某些类型非机密信息的法律。这些措施包括从武器出口(包括某些科学和技术资料)的管制到病人记录的保密和防止对公务员考试的干扰。这一领域的最新法律包括2002年的《国土安全法案》，该法案创建了关键基础设施信息(CII)这一类别。该法案还呼吁制定和实施识别、保护和共享敏感但非机密的国土安全信息的程序。

除了法律规定需要对其传播进行控制的某些非机密信息类别(通常称为属于信息自由法b(3)豁免范围)之外，该法规还规定了八种其他类型的信息可以免于公开披露。有些是相当具体的(例如，关于井的机密信息或数据)。其他的则相当模糊(例如，机构的内部人事规则和惯例)。在任何情况下，《信息自由法》(FOIA)的基本前提是，除非信息得到特别豁免，否则联邦机构持有的信息必须公开披露。然而，需要注意的是，如果只是为了保持信息的完整性和可用性，受公开披露的约束并不意味着不需要保护该信息。

然而，保护或保障制度经常与披露制度相混淆。例如,1987年的计算机安全法案指出,“……提高敏感信息的安全与隐私在联邦计算机系统是公共利益…”因为这法律特别有限的“敏感”信息的信息没有分类,有人说,实际上,它是名副其实的“敏感但不机密”的定义信息。然而，值得注意的是，《计算机安全法》包含了特定的条款，规定不有权根据《信息自由法》拒绝提供所寻求的信息。更是如此,敏感信息的持续有效性的概念在1987年的计算机安全法案——设想作为一个兼职计算机安全系统设计和操作的概念和使用敏感信息作为建立最低可接受的标准安全实践——在信息时代已经失去了效用。正如任何一个家庭个人电脑的拥有者可以证明的那样，从安全的角度来看，我们现在并不关心计算机，也不关心那些我们不关心的计算机。正如后来的国会语言所规定的，无论其内容如何，每个联邦计算机系统都必须有安全设计。

在政府内外，关于公开信息的数量和维护非机密信息的制度方面都存在着大量的混乱。对于某些信息，披露有限制，但没有保护标准。对于其他信息，可能存在保护标准，但对披露没有限制。无论如何，在制订新制度的要求和颁布新标准时，很少承认已经存在的东西，如果有的话。这可能导致重叠或不一致的规则或应用程序。它还导致许多制度的延续，其中许多制度可追溯至冷战时期，由于我国所处的新环境，这些制度从未得到重新确认或修订。它还可能导致不协调的标准。例如，如果联邦雇员在未经授权的情况下泄露了某些非机密信息，特别是关键基础设施信息，那么根据《国土安全法案》第214(f)条，该雇员将受到刑事制裁。与此同时，同一名员工未经授权泄露某些类型的机密信息，不一定会受到刑事制裁。造成这种差异的原因并不明显。

机密领域的情况也好不到哪儿去。最大的错误之一是认为联邦政府使用三级分类程序——最高机密、秘密和机密。实际上，联邦政府有太多种类的分类，这使得亨氏食品的种类看起来并不多。

首先，当然，还有分类依据第12958号行政命令国家安全信息，修正。再有就是能源部的保护要求根据1954年的原子能法的范围，修订下信息。此外，还有关于保护情报来源和方法，这是中央情报局局长的职权范围的信息。虽然这些是利用分类级别和类别的“三巨头”机制，它并没有结束。美国国家安全局，例如，负责有关的信号情报信息的保护和传播以及通讯安全信息的事项。此外，国防部担任美国国家安全局北约，因此政府颁布全北约的保护要求在美国机密情报。这样的例子不胜枚举。

上面的结果就是我所说的不同的分类“口味”。每一种“口味”都有自己的保护和披露标准。这些不同的标准通常并不比可比标准更好或更差——它们只是不同而已。事实上，这种差别更多的是细微之处，而不是实质。然而，正是这些细微差别可能成为信息共享的重大障碍，特别是在信息系统的网络中。

我给大家举一个例子。几年前，这个国家从事巴尔干科索沃武装冲突。美国服务成员被放置在伤害的方式在什么本质上是北约的行动放电。由于这是一个北约空袭，许多信息生成，如空中任务订单（ATOS）等通常被认为是北约的机密情报。通常情况下，这些信息将在五角大楼的指挥和控制系统，安全的计算机网络被称为SIPRNET的骨干传输。然而，SIPRNET被认定发射的美国国家安全机密信息，而不是北约机密情报。Clearly, if the SIPRNET was secure enough to transmit U.S. military classified information, it should be secure enough to transmit NATO classified information, especially since more often than not, the information in question originated with one U.S. unit and was being transmitted to another U.S. unit. However, since NATO requirements were "different" - not better or worse but just different - many U.S. units were prohibited from using the existing secure network and had to employ work-around procedures. In the final analysis, these work-around procedures were no more and, quite possibly less secure and even more importantly, potentially delayed information from being shared in a timely manner.

我用上述不挑出美国程序北约机密信息从几年前的举个例子无数障碍,继续坚持共享机密信息不仅与其他非联邦机构和元素之间,但即使在单独的联邦机构。当信息被引入到由不同权威机构使用不同标准认可和批准的信息系统时，情况尤其如此。难怪政府的计算机系统很难相互“交谈”。

那么，这给我们留下了什么?即使没有911事件，信息共享和保护也将是联邦政府今天面临的重要任务之一。我们分享和利用信息的能力是21世纪美国力量和力量的源泉。这是我们经济实力的源泉。我们的军事力量，我们的情报和执法能力，以及我们的技术研究和发展优势，都高度依赖于有效的信息共享，这需要从不同的来源获取大量信息，并以前所未有的方式及时地综合起来。无论是在战场上，在分析人员或刑事调查人员的办公室，还是在实验室里，正是以前所未有的深不可测的方式对信息的创新应用，为我们国家在诸如全球反恐战争等事业中提供了决定性的优势。

我坚信，我们从来没有像现在这样明确和明显地需要一个无缝的过程来共享和保护信息，而不考虑保密问题。然而，在许多方面，我们不仅在延续目前的“拼布被子”，而且很可能每天都在增加新的接缝。这些接缝不仅会成为信息共享的障碍，还会发展成织物上的裂口，需要保护的信息可能会通过裂口滑落，而有意保护的个人为了完成工作，也会采用解决办法。

上述问题与其说是政策或技术问题，不如说是文化问题。然而，政策的变化和最新技术的使用可以帮助推动必要的文化变革，以实现更无缝的框架。

那么需要做些什么呢?在保密领域，挑战很多，从我个人的角度来看，包括:

• 我们需要重新设计现有的政策，以便与该国政府越来越多地操作电子环境更加一致。目前的框架都是以文档为中心的，从根本上为过去60年保持不变。
• 我们需要在不同的分类制度中有更大的一致性，我们需要消除保护标准中的细微差别，特别是在认证信息系统方面。
• 我们需要重新审视通常被称为“第三方机构规则”或ORCON，它代表“发起者被控制”。I firmly believe that restrictions on interagency information sharing should no longer be the default position of Executive Order 12958 and other frameworks. We should replace the current default position of "that shall not share unles" with one that states that it is clearly expected that we will share and that therefore affected agencies need to work out issues beforehand so as to permit the timely sharing of information.
• 我们还需要重新考虑“必须知道”原则等其他基本问题。乐动冠军虽然资料的发起者最能认识到他们的利益，但他们并不是无所不知的，也不可能认识到资料的所有可能的使用者以及如何使用资料。此外，当前的环境突显出这样一个事实:尽管发起机构的股票可能很强劲，但它们并不会自动凌驾于所有其它机构之上。如果信息不能有效共享，可能会产生更深远的后果。
• 最后，我们需要更加精通“为发布而写作”。Oftentimes, substantive information can be conveyed without gratuitous references to intelligence sources or methods or other issues that would, if included, result in the information being classified or classified at a higher level than otherwise would be required.

虽然我们在机密领域面临的挑战是重大的，但在某些方面，非机密领域的挑战超过了这些挑战。同样，从我个人的角度来看，这些包括:

• 我们需要在词典上达成一致。敏感但非机密信息是一个非常不精确的术语，经常被误解。它可能指的是应该受到保护以免公开披露的信息，或应该受到保护的信息，或两者兼而有之。
• 我们还需要在联邦政府内的中央监管机构，与国会合作，将负责重新验证并同步现有的各种制度控制机密信息。
• 最后，我们需要一个简化的框架，作为一个模板，对传播受控的非机密信息进行识别、控制和保护。此外，该模板应与提供的机密信息相一致，以便更容易地融合所有来源的信息，包括非机密信息，无论是否受控。这个框架不应该被视为，也不应该作为事实上的“第四个分类级别”来运作。It should, however, bring consistency and uniformity to the myriad of control regimes currently in place for various types of unclassified information.

什么将是这样一个框架的基本要素是什么？进行类比与国家安全的信息，目前的分类系统，尽管它的不完善之处，是很好理解的，可预测的，我个人认为，这样一个框架应该包括：

• 在哪些信息被涵盖和哪些信息没有被涵盖方面有很强的特异性。一个有效的例子是国家安全保密信息制度所要求的保密指南。这一领域的不精确实际上是信息共享的一个重大障碍，因为个人不确定哪些信息被覆盖，往往会犯谨慎的错误，并不当地限制不应该被限制的信息的传播，这可能会影响到我们国家的福祉。我们不能低估官僚主义的冲动，即“谨慎行事”和隐瞒信息。
• 关于谁可以指定信息属于控制系统的严格限制-类似于在保密领域的原始保密当局。
• 内置的自由裁量权，允许控制不被应用，即使信息是合格的。例如，国家安全保密制度规定了什么可以保密，而不是什么应该保密。原始分类机构可以决定不对符合分类标准的信息进行分类。
• 必须满足的内在标准，以便对传播进行控制(例如，其现有的可用性)。
• 需要控制的信息必须明确指定，包括口头传播的信息。
• 在如何处理和保护受控信息方面，我们应该采用统一的“尽职”标准。这些标准应与私营和非联邦公共部门的常规标准相结合，以尽量减少或排除颁布独特的联邦保障标准。
• 控制的应用应该有一个固定的持续时间。时间的流逝明显地影响了信息的相对敏感性，特别是在信息系统技术漏洞的动态领域——简单的系统配置更改可以立即关闭现有的漏洞，同时打开新的漏洞。
• 应该有一个程序，授权持有者和外部人士都可以就传播控制的应用提出上诉——尽管这些程序不必像国家安全机密信息领域的跨机构安全分类上诉小组所提供的那样详尽。
• 有效的教育，培训和意识是必不可少的。其中一个在今天的许多机密控制制度的主要问题是，基层员工是相对于即使是最起码的基本知识，以不知情时间在他们身上什么机密信息受到控制，什么是正确的程序遵循。他们通常会留下这样的细节代理公司FOIA和隐私法的专家。与此相比，如果将传统的培训和灌输大多数人清理相对于分类信息的正确处理接收。
• 任何制度要想发挥作用，就必须有内在的问责制，既要对不适当地实施控制，也要对没有实施或遵循合法控制负责。在建立与私营和非联邦公共部门合作伙伴的问责制度时，我们应该避免大规模集中指定授权接受者和记录保密协议等过程。相反，我们应该利用所有私人和公共组织现有的雇主-雇员程序，让员工知道什么适合在工作场所之外传播，什么不适合，让他们对遵守这一政策负责。
• 最后，我们必须避免落入制度化的控制系统的某些机密信息时，我所说的“需要知情陷阱”。例如，水厂运营商可以提交异常活动的涉及水务部门报告。通过自身站立，这些信息可能会出现无害的;但是，它可能是一个关键的环节，例如，一位公共卫生官员与交易他或她自己的异常。公共卫生官员应该能够访问并意识到从自来水厂操作员信息，而无需中间发出奇异的决定，至于谁应该接收信息的所谓无所不知的权威，谁不应该。信息共享的实质是，在“边缘”的实体应在的位置以接收相同的信息的那些在“中心”。这，当然，大约是显著文化变革，因为是可能的。尽管如此，受控非保密竞技场可以尽可能多的从“以文为释”也可以如此分类的境界，以及来自于信息技术的最新应用中受益。

我要强调的是，我并不主张建立一种新的分类制度，以涵盖通常被称为敏感但非机密信息的短暂信息。相反，我承认控制某些非机密信息传播的现实已经存在了几十年。因此，特别是鉴于今天的环境，这一领域的控制需要标准化和一致性，并且需要缩小范围，以便处理“谨慎行事”的冲动，并不必要地限制信息的传播。它们还需要在知情的情况下进行公开辩论，讨论在这样的系统中包括哪些信息，哪些信息被排除在外。

最后，我注意到你们今年研讨会的主题:保护我们的过去-保护我们的未来。在很大程度上，它描述了ISOO的任务，所以我对你们今年出色的项目特别感兴趣。你们的主题也反映了我们国家今天面临的一些挑战的性质。然而，正如过去的几代人有效地应对了他们所面临的严峻挑战一样，我相信今天的美国人，特别是新cms的成员，将在9/11后的环境下成功地应对当前信息共享和保护方面的挑战。我还相信，在应对这些挑战的过程中，我们将变得更加强大、更加团结，并像以往一样致力于我们的基本民主原则。