5th域安全微讯早报【20241220】305期

2024 年 12 月 19 日，奥本大学麦克拉里网络和关键基础设施安全研究所发布了一份政策简报，探讨了美国网络安全的复杂经济问题。简报指出，在当前威胁环境下，网络攻击的财务动态往往有利于攻击者，并提出了联邦网络政策的战略转变，以平衡这种优势，使防御者受益。报告由 Kiran Sridhar 和 Frank Cilluffo 共同撰写，探讨了网络攻击成本低、攻击者常逃避惩罚的经济激励根源，并提出了联邦政府的政策措施，通过提供激励措施鼓励私营部门采取主动的安全措施和投资。简报强调，联邦政府应全面考虑如何激励健全的网络安全实践，同时更积极地打击不良网络行为者。报告提出了三项策略：建立国家网络安全认证和标签管理局、利用政府采购激励软件制造商优先考虑网络安全、通过激励运营商投资于提高性能的功能来加强关键基础设施。此外，报告还强调了追究攻击者责任的重要性。

2. 欧盟允许使用个人数据训练 AI 模型

2024 年 12 月 19 日，信息安全杂志报道，欧洲数据保护委员会（ EDPB ）发布新意见，明确在 AI 工具输出不泄露个人信息的前提下，使用个人数据训练 AI 模型不一定会违反欧盟《通用数据保护条例》（ GDPR ）。 EDPB 是欧盟成员国数据保护机构的总括组织，其意见旨在为 AI 模型的 GDPR 适用性提供指导。爱尔兰数据保护局（ DPC ）曾请求 EDPB 解答使用个人数据训练的 AI 模型是否不符合个人数据定义。 EDPB 认为，若能证明 AI 模型后续运行不涉及处理个人数据，则 GDPR 不适用。 EDPB 强调，需对 AI 模型进行逐案分析，以评估识别个人身份信息（ PII ）的风险，并考虑数据的公开性、数据主体与控制者关系、服务性质、数据收集背景、数据来源及隐私设置等因素。若 AI 模型使用非法处理的个人数据创建，其他控制者需评估模型是否合法开发。爱尔兰 DPC 对此表示欢迎，认为这将促进欧盟 / 欧洲经济区的监管一致性，为行业提供清晰指导，同时支持负责任的创新。

3. 美国禁令难挡卡巴斯基产品使用：政策落实面临挑战

2024 年 12 月 19 日，《信息安全杂志》报道，尽管美国政府因国家安全风险禁止使用卡巴斯基产品，但 Bitsight 的分析显示，禁令实施后仍有约 40% 的美国组织继续使用卡巴斯基产品，其中包括 19 个政府实体。这些结论基于 Bitsight 对全球 IP 地址与卡巴斯基更新服务器通信数据的分析。研究指出，禁令对卡巴斯基全球使用产生了显著影响。 2024 年 4 月至 11 月，与卡巴斯基服务器通信的全球组织数量从 22,000 降至 8,000 ，美国独立 IP 数量减少了 58% ，低于德国（ 69% ）、英国（ 70% ）和意大利（ 65% ）的降幅。然而，部分美国组织未能按规定期限完全停止使用卡巴斯基产品，反映政策执行的复杂性。美国商务部工业和安全局于 2024 年 6 月发布最终禁令，禁止卡巴斯基在美运营，理由是其与俄罗斯政权的联系构成国家安全威胁。尽管卡巴斯基否认指控并试图抗议禁令，但其已宣布逐步退出美国市场。分析还发现，美国禁令在未实施全面限制的国家中对卡巴斯基使用量下降起到了间接作用，表明政策影响具有国际连锁效应。此次事件表明，政府在处理供应链风险和执行技术禁令时需要更加有效的监管与执行手段。