1997年7月31日
行政命令的基础12829是政府和行业安全官员的强烈愿望，通过适用于行政部门和承包公司相似的标准化政策和程序，为工业安全带来一致性和均匀性。实施这些政策和程序是导致更大的均匀性;根除重复要求;并执行成本效益的安全措施。根据该订单，国家工业安全计划（NISP）营运手册 - 由国防部长发出和维护，受影响机构的合作 - 是通过担任单一监管标准来对这些目标进行实际应用对于NISP。
随附的报告中提出的信息表明，国家工业安全方案的实施产生了相当大的福利。调查结果还表明，已经不足以实现E.O的目标。12829.另外一件事，拆迁和不均匀的执行，以及弱势执法，以及其他事项，阻碍了完全取得单一和凝聚力的NISP。
执行不均衡也带来了相当大的负面成本影响。该报告的调查结果还表明，对第12958号行政命令关于分类指导、分类标记和特别准入计划的规定的执行不力。
虽然没有完全实现，但有效的国家工业安全计划的目标仍在视线之中。我们希望本报告有助于确定国家工业安全方案的重要方面，以及处理的分类管理和特殊访问计划的问题，这是有需要注意的。乐动冠军我们还希望我们的建议对那些承担监测和执行工业安全和分类管理政策和要求的人有用。在工业安全和分类管理中的更大效力，包括特殊访问计划的管理，是高级行政部门的肯定领导，以及坚定地努力在每个机构内各级实施共同程序。因此，应对本报告中确定的实施中确定的弱点应对的需要得到认真和及时的考虑。我们期待着您的回答，我们建议完全实施NISP，并提供可靠和有效的执行能力。具体而言，我们的建议包括采取适当措施以实现E.O的目标。12829;确保遵守NISPOM和NISPOM补充剂中所载的标准和程序;并要求全面执行执行订单12958对分类指导，分类标志的规定。 and special access programs.
评估团队赞赏各行政部门官员提供的援助，负责实施NISP。该团队也很感谢在为此评估提供信息时合作的个人和私人组织。
真挚地，
史蒂文加菲克尔
经理
评价报告
本报告的选定方面
国家工业安全计划
6月2日至1997年6月6日进行
评估由
埃塞尔R.泰斯博士，副主任
菲利普A.卡拉布雷斯先生，程序分析员
伯纳德S. Boyd先生，计划分析师
目的。评估的目的是评估是否签约机构3.国家工业安全计划(NISP)的实施大体上符合行政命令12829的总体目标，包括:
指导原则。本次评测的基本原则是在E.O.那些引用12829，即它是在美国的经济和技术利益，规范的规则和程序，在工业安全领域。序言的顺序是具体的，它强调的是，国家工业安全计划（NISP）应作为一个单一的，集成的，和凝聚力的制度，以保障发布政府承办的分类信息服务。4.该命令还明确规定，NISP“应适用于所有行政部门和机构。”
方法。在进行评估的目的时，ISOO团队依赖于初级和二级来源。术语“主要来源”是指通过专门为评估开发的问卷获得的信息，以及承包商的某些未经请求的意见。二级来源是纪录片材料，简报和讨论，作为参考材料或提供了评估的上下文背景。
主要资源：
第二来源：这些包括：
这份报告既没有指明访问过的承包商，也没有指明那些主动提供意见的承包商。在为参加者保密的同时，ISOO设法加强充分和坦诚的信息交流。评估小组使用两个主要标准来选择评估的参与者。一是涉及的承包商必须包括大型、中型和小型公司。另一个原因是，承包商必须与政府签订合同，这些合同涉及附带的国家安全机密信息、受限制数据和以前受限制数据信息、敏感隔离和特殊访问项目信息。
此外，本报告不姓签约机构或机构的部件或元素，其名称在评估过程中走了过来。正如本报告强调，应用程序和执法显然是层次不齐并不局限于两个或三个机构或部件，但一般性质的。
与持有保密合同的承包商数量众多相比，受访者数量相对较少，这可能会促使一些人对此处报告的调查结果的有效性产生怀疑。无论这项评估的内在局限性如何，调查结果都为实施国家工业安全计划的重要方面提供了有效的第一视角。
本报告所讨论的执行方面的许多弱点早于E.O. 12829的发布。事实上，推动NISP的建立和随后的E.O. 12829的发布，是一种强烈的愿望，即通过标准化的政策和实践，将适用于承包机构和承包商的方法，使工业安全计划具有一致性和一致性。因此，NISP的实施是为了更有效地保护提供给承包商的机密国家安全信息。虽然尚未完全实现，但这一目标仍然在望。因此，各订约机构应迅速认真考虑解决本报告所指出的执行方面的弱点的必要性。
同样的意义为背景，本次评测的是第12958号行政命令及其实施1号指令与交易指导分级，分类标志和特殊访问程序的这些规定。
本报告中提出的信息表明，NISP的实施产生了相当大的利益。调查结果也表明了。取得了足够的进展来实现E.O的目标。12829.除了其他事情之外，不平衡的执行，不均匀的实施和薄弱的执法阻碍了完全取得单一和凝聚力的NISP。积分以更大的有效性是受影响机构最高级别的肯定领导，以及坚定的努力，努力在承包机构内实施共同程序。
一些行政部门官员将NISP实施进展缓慢与承包商不愿将不合规问题提请其服务的承包机构注意联系起来。有两个原因，这一论点不具有说服力。首先，这一论点忽略了一个事实，即执行中的许多差距都是由乐动冠军系统的无法通过临时手段解决的问题。第二，政府与承包商之间的契约关系是不对称的。与政府不同的是，私营企业在竞争环境中运营，很可能不愿意通过投诉违规来破坏当前或未来的合同。
讨论：在过去几年里，国防调查处(DIS)不断努力修改其检查方法，帮助重塑了DIS与承包商之间的关系。DlS以前的检查方法是以服从为导向的，并倾向于将政府和行业视为对手。因此，行业内的普遍看法是，DIS检查是以“我们到这里来抓你”的态度进行的，并且过分关注于“挑剔”和“计算”，而不是实质性问题。乐动冠军这种做法在政府和工业界之间造成了不必要的摩擦。这种摩擦可能会限制交流和阻碍合作，从而对整个项目的有效性产生负面影响。
在NISP的发展岁月中，DIS开始修改其检查方法。这些变化远比将名称从“检查”改为“安全审查”要深刻得多。它涉及对进行审查的办法从对抗性转变为协助性。受访者认为这一变化是一项非常积极的发展，DIS值得给予相当大的赞扬。
DIS使用安全审查不仅评估承包商是否符合既定要求；也可以作为提供和交换信息的手段。这种关系不再是对抗性的，而是合作与信任的关系。DIS代表的访问现在受到欢迎，而不是担心。事实上，一些受访者将这种关系的改变称为合伙关系。
虽然这种改进的检查方法预见了E.O的发布。12829，改变的推动与订单和NISPOM的发展有关。在很大程度上，NISP的起源以及E.O的发展。12829可归因于政府和行业官员之间越来越多的合作，以实现工业契约的改善，成本效益。
在信息技术的迅速增长在变化获得，交换，存储和处理信息的图案。在这方面，它是不寻常的民营企业是在信息技术比政府机构更先进的技术水平。此外，在时间，民营企业可能增加的能力，包括拥有最新的电子通讯技术，以满足由其中使用的信息的多样化和不断变化的环境所产生的挑战。这种能力可能涉及到费用问题。往往是过时的技术的应用，解决了管理电子信息，是成本过高的问题。这些因素表明，DIS提高其专业工作人员的通信技术技能给予认真考虑。如果没有DLS的成就减损，我们认为其作战效能可以通过提供DIS安全的代表与电子通讯技术的技术技能一定水平的显着提高，并具有高水平的电子通讯技术的技术技能的DIS系统安全性的代表。这将加强显著DIS功能，显示器行业的行动和加强合作关系。
受访者提到的另一个可以节省开支的领域是安全许可的处理。在这方面，处理一个许可的成本与处理它所花的时间正相关，也就是说，一个增加，另一个也增加。虽然DISCO(国防工业安全审查办公室)的调查时间有所改善，但处理安全审查的时间(大约12个月)仍然太长。
建议:我们建议DIS：
DIS应该在1997年11月3日之前向ISO报告，关于执行这些建议的思考行动，并为助理助理，控制，通信和情报提供助理，向ISOOO副本。在11月3日截止日期之后，还应准备准备简要介绍第一次会议，这是对执行这些建议的进展。
发现：关于实现成本节约的混合记录。
讨论：在不损害保密国家安全信息保护的情况下降低安全成本是E.O.12829的主要目标之一。根据这一目标，在1995年2月17日的备忘录中，7.副助理国防部长（情报和安全）表示：“由于NISPOM更加重视工业安全管理中的风险管理，因此应通过限制和/或降低安全成本来实现立即效益。”
评估期间获得的信息表明，南部南京核鸣声已经减少了某些领域的安全成本，但减少尚未与预期或期望的戏剧性。在很大程度上，降低安全成本基本上依据缔约机构的标准化程序的统一实施，以及消除重复和不必要的做法。随着下一个查找所指出的讨论，ISOO团队收集的信息表明，实施已经分散，有一些小或没有实施的实例。
放宽标准在物理安全，但是，已经在某些领域降低了行业的行政负担，并，因此，一直有利于降低安全成本。受访者普遍的共识是，这是一个积极的发展。它作为政府实现征收承包面对面的人的后面签约机构的保障要求的一致性力度的指示。在归因于改性要求安全成本削减的例子包括：（1）控制和销毁秘密分类信息，（2）的组合的改变;的空间（3）共同利用;（4）授权访问请求时，（5）再现分类信息，以及（6）允许一些自动信息系统的承包商自我认证。一些受访者认为节省成本的另一个领域涉案准备DIS安全审查。对于这些访问准备被认为是资源密集型比规划的ISM下的DIS检查更少，从而减少对承包商的管理负担。
然而，一些受访者认为放宽管制对秘密有些矛盾的信息，因为承包商必须保留的数量的估计秘密用于解读或签订机构的检查的目的手头文件。
对工业界来说，直接安全成本的一个重要方面是，在未来某个时候，所有用于存储机密国家安全信息的容器必须得到gsa的批准。正如答复者所指出的，满足这一要求将意味着更换目前不符合GSA标准的集装箱的大笔开支。在他们看来，这一要求似乎与NISP的风险管理理念不符。似乎没有什么证据表明，替换未经gsa批准的容器将为信息带来更多的保护，或使信息不那么容易妥协。
被引用的另一个领域具有减少安全成本的潜力是授权承包商使用私人承运人，例如联邦快递用于传输分类信息，以排除最高秘密信息。国防部长似乎是负责国家工业安全计划的经营监督的官员，审查了一些政府机构对使用私人承运商的经验，以便转交分类信息。在这方面，我们提出以下具体建议：
建议:我们建议国防部长与受影响的机构协调，并在中央情报局局长、能源部长、核管理委员会主席和安全政策委员会代理主任的协作下:
发现：零散和不均衡的实施妨碍了单一、综合和连贯计划的实现。
讨论：NISP实施有效性的一个指标是缔约机构遵守既定政策和要求的程度。在这方面，ISO收集的数据表明，缔约机构的不均匀和分散的执行干扰了实现完全综合的NISP，并进行了相当大的负面成本影响。
了解问题的性质是有助于设计纠正解决方案。与系统问题的性质一致，收集的信息表明，实施的不均匀性和碎片不仅限于单一的合同机构，而且它在整个机构和下属组成部分或元素中运行，并分散在围绕所需的色调程序。问题的全身性质，事实上，NISP已经到达了几年的问题提出了关于政府致力于全面执行NISP的问题的问题。
为表述清楚起见，以下我们描述这个碎片的具体方面的“子弹”的格式。这种格式是人为的，但是。孤立地看，这些因素掩盖了它们的相互关系，因此，它们对有效实施国家信息社会政策的集体影响。
建议:我们建议，机构和部门在本报告的附录B列出：
发现：特殊访问程序的管理显示没有变化。
讨论：分类特殊访问计划(sap)是成本最高的项目之一，因为需要独特的、有时是冗余的安全措施。多年来它们的扩散和不一致的控制促使第12958号行政命令的起草人设法限制它们的增长和加强它们的问责制。这一努力的结果是命令的4.4节，该节规范了sap的创建和管理。4.4节。E.O. 12958加强了E.O. 12829的一个主要目标，即提高工业安全的效率和降低成本。
第4.4节包含了几个关于sap的具体要求。例如，它限制了可能建立sap的行政部门官员的数量，指示这些官员将sap保持在最低限度，并规定了可能建立sap的条件。它还指示机构负责人对SAP负责，包括对每个SAP进行年度审查，以确定其是否继续满足订单的要求;并将sop置于ISOO主任的监督之下。9.此外，该命令还要求每个指定的机构主管或主要副主管在该机构管辖下的所有现有特别行动计划生效后180天内进行审查。任何不符合订单规格的SAP必须停产。如需继续执行，则必须视其为在命令生效日成立的特别方案。
NISPOM的未分类补充概述了签约机构和承包商保护分类的SAP信息和活动的程序。补充还概述了高于NISPOM中概述的安全要求，适用于分类的关键限制数据秘密和绝密级别，特殊访问计划和SAP型舱室计划由行政部门或中央情报局主任创建和批准。
收集的信息表明，补充剂提供了比上一个手册的物理安全要求的更大标准化。它提供了例如安全检查方面的浮雕。相比之下，在上一个手册下，每个SAP在该地区都有自己的标准。
尽管如此，整体上的进步显得慢。所获得的信息表明，作为一般规则，适用和执行的不同的水平也占上风SAP的范围内。到国家信息社会政策的实施是否导致SAP的数量的增加或减少问题的广义的反应，是“没有变化”。非标准指导，不一致的程序，并在应用中指定的标准机构之间的分歧已经在SAP的管理产生最小的节约。正如一些受访者的话来说，实施将大大如果签约机构进行了改进“从音乐的同一张唱歌。”这些条件也存在相对于SCI的信息，但在较小的程度。同样显著的是，所获得的数据表明，无论是4.4节。E.O.12958正在执行弱或根本没有落实。所获得的信息表明，少数人在该命令生效之日起180天所需的审查已经发生。
合同机构在SAPS和SCI领域申请安全政策和程序的具体例子遵循。
如果适当和完全实施，则E.O的第4.4节中概述的政策和要求。12958承诺节省成本节约和更好的管理SAP。这些福利尤其应该是对建立SAP的更严格的要求，包括限制可能创建它们的官员人数;并对每个SAP进行年度审查，以确定它是否继续符合订单的要求。此外，通过在NISPOM补充中的标准程序更积极地执行标准程序，可以增加成本节约和更好的管理SAP的好处。实施第4.4节的经验，目前的NISPOM补充标准的侵略性执行也应提供SAPS工作组10.短期有关改进管理和降低SAP成本的方法的短期有价值的信息。遵循的建议旨在与承包机构可以选择改善SAP的管理以及SAPS工作组的工作的任何措施进行补充。
建议:我们建议，机构和部门在本报告的附录B列出：
我们还建议方案工作组准备在1998年日历年第一次会议上就该工作组的工作状况向国家政策和政策协调委员会作简报。
附录A
2.你有什么绝密，机密和/或保密分类volving能源部合同：国家安全机密信息，限制数据或以前限制的数据;和敏感的隔间和特殊访问计划信息？
3.你有任何绝密，机密和/或保密分类volving与CIA合同：国家安全机密信息，限制数据或以前限制的数据;和敏感的隔间和特殊访问计划信息？
4.您是否熟悉建立国家工业安全计划的行政命令？
5.你熟悉工业安全秩序的总体目标是什么？
6.NISPOM是否做了足够的工作来明确规定的要求和标准?
7.你有没有发现任何的NISPOM要求不切实际的或不合理的或更昂贵的比以前的要求来实施？如果是这样，请你详细说明。
8.您是否发现NISPOM在提供需要援助时提供有关联系的信息？
9.您如何评价关于从签约或用户机构收到的NISPOM指南的质量和及时性？
10.您认为，NISP/NISPOM的实施是否对机构现场检查的重复做法产生了任何影响？
11.是否适用设施安全许可的互惠原则？
12.是否适用有关人员安全许可的互惠原则？
13.在原子能机构检查和安全许可以外的安全程序中实施了NISP / NISPOM的统一性和互惠性吗？
14.总的来说，如何看待NISP/NISPOM的实现?它对实现行政命令所确立的目标有消极或积极的影响吗?
15.在你看来，有落实NISP / NISPOM的生产安全费用减少任何？如果是，请解释。如果没有，为什么你认为是这样的。
16.你会说，NISP / NISPOM的实施导致了SAP的数量的增加或减少？
17.NISP/NISPOM的实施是否导致SCI项目数量的增加或减少？
18.您对国防部和能源部的不同需求的看法是什么，以保护秘密RD信息？
19.您对与自动信息系统有关的不同用户代理要求有何看法？
20.你熟悉的NISPPAC及其产业安全中的作用？如果是的话，你觉得它足够有效，或者它可能是在实现EO 12829的目标更有效？
21.是否有尚未讨论过的具体领域，在这些领域中，NISP的实施实现了《工业安全法令》的目标?
22.是否有特定的领域，还没有已经讨论过了，在很少或根本没有取得长足发展，实现国家信息社会政策的目标是什么？
23.你能提出改进工业安全程序的建议吗?请解释并提供例子。
24.您有任何疑问您是否询问我们？
25.在这种评估中是否有任何疑问，您认为我们应该问我们？
附录B
澄清:第7页，该报告是一项括号声明，通过国防工业安全许可办事处发布的安全许可调查，以“约12个月”完成。本声明是基于轶事评论ISOO的审核人员从几个来源收到。但是，它显然代表了“最坏情况”情景。我们被告知，目前没有提出裁决问题的“秘密”或“机密”间隙的平均平均工业安全许可处理时间不到40天，以及“最高秘密”清关，不征收裁决问题，小于120乐动冠军天。在FY '96期间，DIS为行业员工处理了54,040个安全许可申请，其中截至1997年6月，只有615个案件开放了超过一年。
史蒂文加菲克尔
信息安全监督办公室主任
1。联邦登记册，卷。60，第76号，1995年4月20日，第19825-19843。
2。《联邦公报》，第58卷，第5号，1993年1月8日，第3479-3483页。
3。正如本报告中使用“缔约机构”是指任何行政部门的部门或机构 - 在连接已发布的分类信息给承包商，持牌人或受让人 - 以及一个部门或机构的任何辅助成分或元素与政府合同的履行。
4.本报告使用“承包商”作为通用术语，指涉及机密合同、许可证或授予的美国机构的任何承包商、被许可人或被许可人。承包商、被许可人或受让人可以是私人公司、私人公司或私人组织。
5。国家工业安全计划操作手册，二国防部5220.22-M，1995年1月。
6.“制定标准化工业安全政策”，国防部助理部长办公室（公共事务）第567-94号新闻稿，1994年10月5日。
7。备忘录的收件人为陆军部助理部长（研究、开发和采办）、海军部助理部长（研究、开发和采办）、空军部助理部长（采办）、国防机构负责人和国防后勤局副局长（采办）。
8.并非所有的机构已经批准了第8章“代理NISPOM各项实施准则，”未签名，没有抬头，并于1995年3月1日，美国，关于1994年9月29日，中央情报局局长批准代表情报界的NISPOM，第8章，和第5章的例外，第3和第8，“物理安全要求。”该准则还指出，直到修改后的第8章由DCI认可，“承包商指示继续使用AISSIM 200的......”
9该命令允许再次雇员进行监督。但是，只有导演可能监督太敏感和脆弱的SAP。
10。特别准入方案工作组是根据《公约》所载的一项建议设立的保护和减少政府机密委员会的报告，S. Doc。1997年3月3日105-2。此特定建议表示，安全政策委员会在一年内实施联合安全委员会关于为SAP制定单一安全标准的建议。SAP工作组由Richard F. Williams，董事，国防部长办公室办公室办公室和John Illiff，控制访问计划协调办公室，DCI / CMS董事。