推特首席执行官埃隆·马斯克近日在采访中表示，他上任之前得知美国政府可以完全访问推特用户的私聊信息，这让他感到非常震惊。 马斯克此前在接受塔克·卡尔森(Tucker Carlson)采访的片段中表示，之前推特管理层一直和政府机构有所联系，因为政府机构有时候会安排他们直接禁止推特上的一些内容。该采访将于周一和周二晚间播出。 马斯克告诉卡尔森:“政府机构几乎能访问推特上的任何信息，这个监管的程度让我感到震惊。”2022年10月27日，马斯克以440亿美元的价格收购了推特，之后他解雇了该公司超过70%的员工。 据The Verge报道，马斯克之前一再强调，他认为推特的政策应该设定的符合国家法律标准。并且他也表示此前收购推特的目的就是最大程度的实现言论自由。所以近几个月，他一直在批评推特前领导层涉嫌与美国政府勾结，压制政治言论的这件事。 随后记者公布出了一个账户，该账户通过公共数据能自动跟踪马斯克的私人飞机的航班信息。该报道一出，推特立即改变了对所有用户的规定，禁止在未经他人同意的情况下分享他人的当前位置信息。 但对于《纽约邮报》来说，限制推特上的内容具有特殊意义。有几名记者很同情马斯克的遭遇，所以公布了一系列据称来自推特内部的文件。这些文件透露出此前《华盛顿邮报》刊登的关于亨特·拜登笔记本电脑的相关报道被限制发布。 前《滚石》杂志记者马特·泰比透露，2021年1月6日国会大厦骚乱造成5人死亡的事件发生后，推特曾向几个政府机构征求指导意见，询问是否在推特上禁止前总统唐纳德·特朗普的相关言论。泰比表示，这些年来，中情局其实一直都有参与推特的内容审核工作。 而近日，马斯克又与独立新闻机构美国国家公共广播电台(NPR)发生了争执，因为他在推特上给该机构错贴了“国家附属媒体”的标签。这个月月初，白宫已经就该事件为这家公共广播电台和出版商进行了辩护。 NPR上周表示，其后面将停止在推特上发帖。因为这个打标签的行为暗示了该媒体机构不具备编辑独立性，损害了其信誉。目前，据最新报道推特已经将美国国家公共广播电台和其他接受公共资金的媒体标签由“国家附属媒体”改为了“政府资助”。 4月5日，白宫新闻秘书卡琳·让·皮埃尔(Karine Jean-Pierre) 公开表示，NPR的记者一直都工作很努力，并始终致力于让政府官员负起责任。她表示任何关注NPR报道的人都十分清楚，他们的确是一家独立的新闻机构。 转自 Freebuf，原文链接：https://www.freebuf.com/news/364090.html 封面来源于网络，如有侵权请联系删除

安全内参消息，美国运输安全管理局（TSA，以下简称运安局）宣布，修订并重发关于石油及天然气输送管道的网络安全指令。经过修订之后，新指令将继续努力为美国关键输送管道建立网络安全弹性。 指令修订背景 针对关键管道公司重新发布的安全指令延续了2021年7月公布的原指令，制定过程得到了行业利益相关方及联邦合作伙伴（包括美国商务部、网络安全与基础设施安全局）的广泛支持。新指令将网络安全要求再延长一年，并把关注重点放在基于效能（而非规定）的关键网络安全成果实现措施上。 运安局长大卫·佩科斯奇(David Pekoske)表示，“运安局致力于保护国家交通系统免受网络攻击。修订后的安全指令将延续运安局同石油和天然气管道行业间的重大合作，期望建立一套新模型，适应系统与运营间的差异，满足我们的安全要求。” “我们意识到不同组织间存在诸多差异，因此我们开发出与这一事实相匹配的方法，并通过持续监控和审计来评估预期网络安全成果的实现情况。我们将继续与交通运输领域的合作伙伴携手，提高整个系统的网络安全弹性，也感谢过去一年各方为保护交通运输这一关键基础设施做出的重大努力。” 在2021年5月出现针对关键管道运输商的勒索软件攻击之后，运安局发布了多项安全指令，要求关键管道所有者及运营商实施几项紧急网络安全措施。在攻击之后的近14个月内，针对该领域的威胁不断演变加剧，而降低这一国家安全风险则需要公共及私营部门间开展广泛合作。 通过此次修订和重新发布的安全指令，运安局将继续采取措施，保护交通运输基础设施免受不断演变的网络威胁的侵扰。运安局还有意启动正式的规则制定流程，让公众也有机会考量现状、提交安全意见。 指令要求 此次重发的安全指令采用基于效能的创新方法增强安全水平，使行业能够利用新技术更好地适应不断变化的环境。安全指令要求运安局指定的管道及液化天然气设施所有者/运营商采取行动，防止基础设施遭受破坏和发生退化，实现以下安全结果： 制定网络分段政策和控制措施，确保在信息技术系统受到威胁的情况下，运营技术系统仍能继续安全运行，反之亦然； 建立访问控制措施，保护并防止针对关键网络系统的未授权访问； 建立持续监控和检测政策及程序，用以检测网络安全威胁并纠正影响关键网络系统运行的异常状况； 使用基于风险的方法，及时为关键网络系统上的操作系统、应用程序、驱动程序和固件等安装安全补丁和更新，降低未修复系统遭到利用的风险。 管道所有者和运营商必须： 制定并执行运安局批准的网络安全实施计划。此计划描述了在实现安全指令中规定的安全结果的过程中，管道所有者和运营商所需使用的具体网络安全措施。 制定并维护网络安全事件响应计划，其中包括在遭遇因网络安全事件引发的运营中断或业务严重退化时，管道所有者和运营商应当采取的措施。 建立网络安全评估计划，主动测试并定期审计网络安全措施的有效性，识别并解决设备、网络和系统中的安全漏洞。 以上要求，是对此前提出的向美国网络安全与基础设施安全局上报重大网络安全事件、建立网络安全联络点、开展年度网络安全漏洞评估等条款的额外补充。 转自 安全内参，原文链接：https://www.secrss.com/articles/45064 封面来源于网络，如有侵权请联系删除

安全内参5月27日消息，对于希望在部门内部署5G无线通信项目的联邦官员，这份最新发布的安全指南将帮助他们考量最重要的“运营授权”流程。 《5G安全评估》（5G Security Evaluation）指南由美国国土安全部（DHS）网络安全与基础设施安全局、国土安全部科技司、国防部（DoD）研究与工程司共同牵头，指派研究小组负责具体制定。 文件指出，“重要的是，政府应采用灵活、自适应且可重复的方法对任何5G网络部署的安全性和弹性做出评估。此外，具体评估可能需要在现行联邦网络安全政策、法规和最佳实践之外更进一步，以解决已知攻击向量、尚未发现的威胁和特定实施中存在的漏洞。” 整理评估方案的官员强调，这份指南并非新的安全要求或框架。相反，它只是为各级机关的5G系统评估工作，特别是评估其安全水平是否符合生产要求，制定出一个五步走流程。整个流程与美国国家标准、技术风险管理框架等现有评估机制挂钩。 网络与基础设施安全局网络质量服务管理办公室主管Vincent Sritapan在采访中表示，“我们经常面对各种各样的应用场景：用于训练的AR/VR，提供数据存储与分析功能的智能湖仓等。但关键在于，必须找到一种通行的方式来看待问题并理解政策。我们并不是要重新构建评估机制，而是立足于现有成果，比如风险管理框架。” 图：5G子系统面临的威胁 各级机关都希望能在未来几年内将5G系统部署落地，因此安全评估工作就成了通信升级的关键。作为联邦首席信息安全委员会授权负责发现常见无线与移动问题、开发解决方案并分享最佳实践的专项团队，联邦移动工作组（Federal Mobility Group）曾在2020年发表论文，确定了政府内60多项与5G技术相关的举措，其中包括数十项研发计划。 与其他新兴技术一样，在将5G引入生产环境之前，各团队必须首先获得运营授权（ATO）。此次发布的评估指南，就是以专项测试与传统运营授权流程为基础，面向5G技术提供评估调查指引。 Sritapan表示，“很多人单纯关注功能本身。他们可能会想，「太棒了，我想在技术新鲜出炉后立马用上。」但在摸清风险之前，大家不宜轻举妄动。换句话说，在把5G用例纳入业务的同时，我们又增添了哪些风险？” 5G安全评估的五个阶段 这个五步走评估流程的第一步是定义5G用例，包括5G系统、子系统及属性等关键参数。 美国国防部5G to NextG倡议的运营部分负责人Dan Massey在采访中指出，这个流程将帮助各级机构考量5G系统的复杂性，包括最终用户设备、无线接入网络、5G核心网络和边缘计算系统等。 Massey还提到，“该流程将帮助大家确定系统组件的风险级别、系统边界、已知指导方针等，避免从零开始自行摸索。” 第二步，定义安全评估的边界。考虑到5G技术极高的复杂性和相互关联性，这一部分可能会极具挑战。 Sritapan解释道，“要使用专用网络吗？是否包含云系统？作为边界的组成要素，应该选择怎样的端点和技术应用接口？” 第三步，要求对各个5G子系统开展“高级威胁分析”，并进一步确定安全要求，如是否采用身份、凭证和访问管理控制或网络安全控制等。 第四步，要求同联邦指导方针和行业规范相匹配，包括与美国国家标准技术研究所网络风险管理框架（NIST RMF）、联邦信息流程标准及其他相关指南挂钩。 第五步，评估安全指导方针中存在的差距。如果联邦指导意见确实存在差距，文件要求项目主管应求助于“由商业或贸易团队建立的行业认证、安全保障计划，或者其他最佳实践评估框架。”但文件同时强调，在采用这些方法之前，务必“认真”进行研究权衡。 Massey总结道，“我们不会引入全新的流程或指令。相反，我们认为现有方案已经够多，最重要的是把新流程跟现有指导方针匹配起来。当然，在实施过程中难免会发现差距。但大多数情况下，只要我们能够充分理解自身安全要求，就完全可以把新流程与原有指导意见联系起来。这里我想呼吁那些打算部署5G系统的同仁，这绝不是什么庞大、可怕、前所未见的事物。只要按照这份流程有序推进，大家就会发现它跟以往的工作没多大区别，基本原理也并不难理解。”   转自 安全内参，原文链接：https://www.secrss.com/articles/42887 封面来源于网络，如有侵权请联系删除