Beyer主席、Babin高级成员和小组委员会成员，我是Matthew Scholl，美国商务部国家标准与技术研究所（NIST）信息技术实验室（ITL）计算机安全部部长。感谢您今天有机会代表NIST就改善太空作业网络安全的努力作证。
NIST拥有五位诺贝尔奖获得者，其项目专注于国家优先事项，如人工智能、先进制造业、数字经济、精密计量、量子科学、生物科学，当然还有网络安全。NIST的使命是通过推进计量科学、标准和技术，以增强经济安全和提高我们的生活质量，从而促进美国的创新和产业竞争力。
NIST在网络安全中的作用
在网络安全领域，自1972年以来，NIST一直与联邦机构、行业、国际合作伙伴和学术界合作，帮助制定并发布了数据加密标准，该标准实现了安全效率，就像我们今天都喜欢的电子银行一样。NIST的作用是提供标准、指导、工具、数据参考和测试方法，以保护信息系统免受信息和服务的机密性、完整性和可用性的威胁。1987年《计算机安全法》（公法100-235）加强了这一作用，2002年《联邦信息安全管理法》（FISMA）（公法107-347）扩大了这一范围1并在2014年《联邦信息安全现代化法案》（FISMA 2014）（公法113-283）中重申。此外，2014年《网络安全增强法案》（公法113-274）授权NIST促进和支持关键基础设施自愿、行业主导的网络安全标准和最佳实践的发展。
NIST以公开、透明和协作的方式制定指导方针，并吸收世界各地的广泛专业知识。这些资源被联邦机构以及各种规模的企业、教育机构、州、地方、部落和地区政府所使用，因为NIST的标准和指南是有效的、最先进的，并且被广泛接受。NIST通过多种方式传播其资源，鼓励广泛共享工具、安全参考数据、信息安全标准、指南和实践，以及与利益相关者的联系、参与政府和行业活动以及在线机制。
网络安全和空间挑战
正如《2021年美国空间优先权框架》所述，“进入和使用空间是一项重要的国家利益。”然而，空间资产（如商业卫星）和配套基础设施所面临的网络相关威胁对这一经济承诺和商业空间新兴市场构成了越来越大的风险。
空间是一个高风险的操作环境，因此需要了解和管理涉及商业空间的网络安全风险以及其他类型的风险，以确保安全和成功的操作。这些操作的物理风险通常是可以量化的，并且最有可能对商业卫星运营企业产生不利影响，通常发生在低地球轨道上。虽然这些物理风险是卫星操作的主要风险考虑因素，这一新的商业基础设施的持续增长为解决网络安全风险以及许多其他风险因素提供了机会。
2020年9月发布的《关于空间政策指令5（SPD-5）——空间系统网络安全原则的备忘录》确立了关键的网络安全原则，以指导并作为美国处理空间系统网络安保的基础。它指示美国政府机构与商业公司合作，在整个行业推广这些服务。SPD-5进一步强调了此类系统的风险：
“空间系统从设计概念化到发射和飞行操作都依赖于信息系统和网络。此外，航天器和地面网络之间的指挥控制和任务信息传输依赖于射频相关无线通信信道的使用。这些系统、网络和通道可能容易受到恶意活动的攻击，这些恶意活动可能会拒绝、降低或中断空间操作，甚至摧毁卫星。
对空间行动有害的恶意网络活动包括欺骗传感器数据；腐蚀传感器系统；干扰或发送未经授权的制导和控制命令；注入恶意代码；以及进行拒绝服务攻击。此类活动的后果可能包括任务数据丢失；空间系统或星座的寿命或能力缩短；或失去对空间飞行器的积极控制，可能导致碰撞，从而损害系统或产生有害的轨道碎片。”2
NIST在空间网络安全方面的工作
为了与SPD-5保持一致，并协助解决其中许多问题，NIST已采取行动，以进一步推动这一机会，将网络安全风险管理纳入太空作业。
NIST不是一个航天任务机构，而是一个在网络安全方面有着悠久历史的测量和计量机构。根据我们的任务，我们向任务所有者（如空间运营商）提供我们的专业知识，在那里，我们将深入的网络安全经验与他们对任务区域的理解和背景知识结合起来，以创建适用的网络安全工具、参考和指导。这些资源包括：
- PNT基本概况：应用网络安全框架负责使用定位、导航和定时（PNT）服务。美国的国家和经济安全取决于PNT服务的可靠运行。为了缓解PNT中断或操纵的潜在影响，政府于2020年2月12日发布了行政命令（EO）13905，即通过负责任地使用定位、导航和定时服务来加强国家复原力。EO 13905第4节指示商务部长与行业风险管理机构负责人协调，制定PNT档案，以管理依赖PNT服务的系统的风险。NIST制作了PNT基础网络安全简介，PNT基本概况：应用网络安全框架负责任地使用定位、导航和定时（PNT）服务（NIST IR 8323）回应本行政命令第4条。PNT简介是通过应用广泛使用的NIST网络安全框架创建的，并用作风险管理计划的一部分，以帮助组织管理使用PNT服务的系统、网络和资产的风险。NIST最近宣布将更新此简介，目前正等待利益相关者审查和评论。
- 商业卫星运营网络安全简介。本指南、商业卫星运营网络安全简介（NIST IR 8270），概述了商业卫星运营的网络安全风险管理。虽然本指南并不全面，但它提出了基本概念，引发了讨论，并提供了示例参考，以获取有关网络安全风险管理模型的其他信息，供业界在开始管理商业卫星的网络安全风险时使用。该指南是为了响应2018年网络安全国家战略并支持SPD-5而编写的。
- 卫星地面部分：应用网络安全框架确保卫星指挥和控制。 卫星地面部分：应用网络安全框架（CSF）确保卫星指挥和控制（NIST IR 8401），应用NIST网络安全框架解决空间操作地面部分的风险。该文件定义了地面部分，概述了其职责，并提供了相关网络安全信息参考的映射。本报告中定义的概况为管理网络安全风险提供了一个灵活的框架，并继续实现SPD-5的目标。
- 混合卫星网络：网络安全草案注释大纲。NIST最近发布了一份将NIST网络安全框架应用于混合卫星网络的大纲草案。该出版物目前正在供利益相关者审查和评论。
活动：NIST还联合举办了多项活动：
- 太空网络安全研讨会系列。NIST与美国商务部（DOC）空间商务办公室和美国国土安全部（DHS）合作举办了一系列联合举办的专题讨论会，以了解空间基础设施面临的最新网络威胁、现有空间网络安全政策以及行业网络安全经验和缓解策略。
结论
商业空间运营和机会继续增长，为我们的经济提供了引擎，扩大了我们对世界和宇宙的理解。从本质上讲，太空行动充满了传统信息技术或作战技术系统所没有的风险。商业空间技术的新兴性质为我们提供了一个机会，以广泛、综合的方式尽早解决网络安全风险。及时提供网络安全指导、标准机构与业界共同努力、共享网络安全威胁信息以及创造有弹性和可恢复的空间技术，是我们支持空间任务的关键部分，这些任务有助于我们的经济、安全和对宇宙的理解。
NIST对其在建立和改进网络安全解决方案、标准、指南和其他资源方面的作用感到自豪，并对我们与联邦政府合作伙伴、私营部门合作伙伴和国际同事建立的长期而有力的合作感到自豪。
感谢您给我机会讨论NIST与空间运营和网络安全相关的活动。我很乐意回答您的任何问题。
1FISMA作为2002年《电子政府法》（公法107-347）的第三章颁布。
2空间政策指令-5；空间系统网络安全原则。2020年9月4日。
