|
最终规定于本周二生效，取代出台已一年多的临时规定。 本周二起，美国政府机构（民用和军用）要遵守一项正式的最终规定，禁止它们使用由总部位于俄罗斯的卡巴斯基提供的网络安全产品或开发的软件。 领导联邦采购监管委员会的三个政府机构：国防部、总务管理局和美国宇航局于周二向美国政府的官方出版物《联邦公报》（Federal Register）公布最终规定，最终规定概述了政府机构应如何遵守2018年《国防授权法案》中限制使用卡巴斯基产品的条文。 美国立法者出台该法律，是由于美国情报界担心卡巴斯基的高管（其中一些人是前俄罗斯情报官员）与俄罗斯政府官员关系密切。美国官员还表示担心俄罗斯法律会迫使这家公司与俄罗斯政府分享通过其平台获取的有关美国政府机构的敏感的网络安全信息。 国土安全部此前早已下令，要求政府机构在2017年10月之前从其系统中删除所有卡巴斯基产品，但采购规定将该命令的范围扩大到了为联邦机构提供服务的承包商。 该规定禁止任何联邦机构购买或以其他方式“签约使用卡巴斯基或相关实体开发或提供的硬件、软件和服务，或在开发履行本合同中的过程中首次产生的数据或可交付成果时禁止使用此类硬件、软件或服务”，《联邦采购条例》附增的合同条款中明文规定。规定特别指出，这包括各层面的分包商。 专业服务委员会（Professional Services Council）是一家代表联邦承包商的行业组织，该组织的执行副总裁兼法律顾问Alan Chvotkin表示，禁令甚至限制在涉及政府工作的任何IT系统上使用卡巴斯基产品，甚至适用于开展联邦业务的承包商的工资单系统。他表示，虽然供应商的商用业务可享受该规定的豁免权，但政府传达出来的意图明确无误。 他告诉Nextgov网站：“美国政府传达出来的明确讯息是，千万不要抱着侥幸的心态，从你的系统中删除卡巴斯基的产品，对许多公司来说这也是更明智的做法。” 最终规定还重申，该禁令也适用于金额低于简化收购限额的采购，限额原本旨在让小额采购尽可能享受豁免权。该规定还增加了另一层，将禁令扩大到所有的商用现成产品。 规定提到联邦采购政策办公室的决心时称：“虽然该法律并不专门针对商业产品的采购，包括商用现成（COTS）商品，但政府购买卡巴斯基全部或部分开发或提供的硬件、软件或服务存在令人无法接受的风险。这个风险并不因所采购的商品已出售给普通公众或面向普通公众销售这个事实而有所缓解。” Chvotkin表示，最终规定的出台代表了多年来努力将卡巴斯基从联邦系统中删除的一锤定音，至少对于政府机构和承包商来说是这样。 卡巴斯基认为该规定是非法的，声称规定将矛头针对单单一家公司，因此违反宪法。 卡巴斯基周一在发给Nextgov的声明中表示：“卡巴斯基坚持认为，构成现行最终规定的法定条款，即2018财年《国防授权法案》的Sections 1634（a）和（b），违反宪法，基于未经证实的指控，而且缺乏任何证明本公司存在不法行为的公开证据。通过全球透明度计划（Global Transparency Initiative），卡巴斯基继续表明自己不断致力于确保其产品的完整性和可信赖性以及保护用户数据。” 该委员会于2018年6月发布了一项临时规定，以符合该法律规定的2018年10月1日截止日期。从那时起，该组织采纳了一些补充意见，但最后决定不做任何修改、使临时规定确定下来。 根据周二发布的通告，该委员会在发布临时规定后收到了三条意见，“其中一条超出了规定的范围。” 一名评论者建议政府应制作一份具体的清单以列出被禁止的公司和产品，另外给出如何制作和修改此类清单的方法。 委员会注意到这个想法之前已提出过，附在临时规定的序言中，要求公众就“如何制作和维护一份清单”提出意见。然而，“没有提供公众意见。” 通告称：“由于技术产品和服务产品在不断变化，包括可能增加或消除卡巴斯基软件等元素的第三方产品，以及如何应对这个挑战方面没有建议，国防部、总务管理局和美国宇航局得出了结论，认为提供一份权威的清单以列出符合‘适用条款’这一定义的硬件、软件或服务是不切实际的，尤其是在监管方面。” 另一则意见认为，鉴于这个问题的紧迫性，最终确定规定的过程应该更快。委员会回复，临时规定在2018年10月1日截止日期之前完全生效，旨在成为“帮助政府机构实施的一种工具......但规定并未影响或损害政府机构为了应对适用条款而开展的其他任何计划中或进行中的工作。” 威胁检测公司Vectra AI的安全分析主管Chris Morales称，禁令不难实施，因为为散布的大批系统删除软件代理相对简单。不过他担心的是替代方案。 更大的问题是，什么软件取代卡巴斯基成为端点保护代理？市面上有许多方案，需要任何组织进行评估和测试，以确保软件与目前的系统和软件兼容。 然而面临的风险是，端点代理可能干扰系统，导致业务受到重大干扰。这意味着，如果组织立即删除卡巴斯基产品，却事先没有验证替代方法，它可能会在一段时期面临端点安全得不到保护的威胁。 权限访问管理解决方案公司Thycotic Software的首席安全科学家Joseph Carson特别指出，禁令会使一些政府机构（民用和军用）的关键系统遇到一些中断，甚至严重的停运。 删除任何反病毒产品方面的重大问题是，几乎总是要求系统重启，有时重启多次。这就意味着在清除卡巴斯基软件的过程中，所有那些系统（包括关键系统）可能会遇到一些中断，甚至较长时间的停运。这也会给员工带来严重的扰乱，这意味着会影响员工的工作效率。
|
|
|
