2025年第30周安全周报 | 本周安全要闻速览

为解决移动智能终端摇一摇广告乱跳转问题，规范摇一摇广告的展示和触发行为，全国网络安全标准化技术委员会秘书处组织编制了《网络安全标准实践指南——摇一摇广告触发行为安全要求》。本《实践指南》规定了移动智能终端摇一摇广告个人权益保障的基本原则和触发行为安全要求，适用于规范摇一摇广告的展示和触发行为，也可为移动智能终端、App、第三方SDK等个人信息处理者或评估机构提供参考。

为指导餐饮商家规范扫码点餐服务个人信息处理活动，减少因扫码点餐造成的个人权益损害问题，全国网络安全标准化技术委员会秘书处组织编制了《网络安全标准实践指南——扫码点餐个人信息保护要求（征求意见稿）》。根据《全国网络安全标准化技术委员会<网络安全标准实践指南>文件管理办法》要求，秘书处现组织对《网络安全标准实践指南——扫码点餐个人信息保护要求（征求意见稿）》面向社会公开征求意见。如有意见或建议，截止时间为于2025年8月4日前。

欧盟《人工智能法案》（EU AI Act）即将于 8 月 2 日起对生成式 AI 模型生效，该法案旨在规范 AI 技术，确保其安全、透明并尊重人权。此前，众多欧盟国家和行业呼吁 “暂停时钟”，延迟法案实施，理由是重要指导方针、标准和合规工具尚未准备就绪。不过，欧盟委员会发言人明确表示，针对生成式 AI 模型的法律截止日期不会变动，不存在 “暂停时钟”“宽限期” 或 “暂停” 的情况。虽然 AI 委员会正讨论给予签署方 “宽限期”，但这仅适用于自愿性的行为准则，AI 法案的相关规则仍于 8 月 2 日生效。另外，欧盟委员会针对 GPAI 规则的指南草案中，已包含一年的合规宽限期，这意味着监管机构实际将于 2026 年 8 月 2 日开始执行相关规则，而对于 2025 年 8 月 2 日之前已上市的模型，法案则从 2027 年 8 月 2 日起适用。

特朗普总统计划在7月23日正式推出《人工智能行动计划》前，签署三项聚焦人工智能的行政命令。这三项行政令分别聚焦于构建人工智能就绪基础设施、推动美国人工智能技术出口，以及确保大型语言模型中不出现“觉醒AI”或偏见信息。第一项命令由能源部牵头，解决数据中心能源和许可问题，发布新建数据中心招标；第二项命令联合美国国际开发金融公司和进出口银行，加速AI技术海外推广；第三项命令针对联邦政府采购的AI工具，清除“觉醒AI”概念及意识形态偏见，由白宫AI主管和高级政策顾问主导设计。此外，行动计划强调推动联邦政府内部AI应用，设立由国土安全部主导的AI信息共享与分析中心，发布针对AI的网络安全指南，更新美国国家标准与技术研究院的AI风险管理框架，移除其中关于多样性、公平性及气候变化的内容。计划还致力于扩大国内基础设施规模，简化数据中心许可，发展相关教育与培训项目，并在国际舞台上抵制中国技术治理影响，保持美国科技竞争力。白宫科技办公室发言人表示，该计划将为联邦AI政策提供具体、可操作的路线图，预计将在未来几日内正式发布。

纽约州宣布针对服务人口超过3 300人的供水和废水处理系统推出新的网络安全法规，要求其建立全面的安全计划、定期风险评估并实施技术防护和事件响应机制；对服务人口超5万的系统则需额外指定高管监控网络活动。州政府还在2026财年预算中预留250万美元专项拨款，用于支持合规所需的风险评估、漏洞扫描及员工培训等工作。公众将于9月前对拟议规则提出意见，受监管实体须于2027年初前完成合规。根据估算，中小系统的年度网络安全支出可达15万美元，大型系统可达500万美元，资产清查和记录维护等单项成本最高可达13.5万和5.4万美元。该政策旨在填补审计中发现的网络成熟度不足漏洞，与EPA和CISA指导保持一致，同时为资源匮乏的市政机构提供必要支持，以应对不断升级的网络威胁。

美国能源部网络安全、能源安全和应急响应办公室（CESER）于盐湖城举办为期三天的“能源韧性网络安全峰会”（CyFERS），汇聚来自40个州的80余位州政府领导人、能源企业代表和国家实验室专家，共同商议能源行业持续演变的网络威胁应对策略。峰会通过专题研讨与实战演练相结合的方式，重点探讨威胁情报收集与信息共享机制，梳理网络风险与物理风险交叉影响路径，并演练应急响应与恢复流程。CESER主任亚历克斯·菲茨西蒙斯（Alex Fitzsimmons）在开幕式上强调，美国产业竞争力与国家安全高度依赖能源系统韧性，须通过联邦与州层面深度协作来构建零信任、防御纵深和持续监测能力，以支撑人工智能和制造业前沿应用。本次峰会还契合特朗普总统行政命令提出的“强化州和地方准备能力”要求，由全国州能源官员协会（NASEO）、全国州长协会（NGA）和全国监管公用事业委员会（NARUC）等机构联手组织，搭建了跨部门协调与资源调配平台。CESER SLTT项目经理Megan Levy表示，此次活动不仅提供了可量化的策略与工具，并促进了各州之间的经验交流，将有效推动各地根据自身需求定制网络安全框架，提升全美能源基础设施的整体防御水平。

美国海岸警卫队网络安全、能源安全和应急响应办公室（CESER）本周发布《海上运输系统（MTSA）最终规则网络安全常见问题解答》，为所有悬挂美国国旗的船舶、外大陆架设施及MTSA监管场所提供遵循2026年1月生效的网络安全强制要求的指导。即便网络安全计划尚未正式获批，受监管实体也必须立即依照已批准的设施安全计划（FSP）、外大陆架设施安全计划（OCS FSP）或船舶安全计划（VSP）开展合规工作，并由符合CySO知识标准的个人或机构提供网络安全培训，培训记录需覆盖法规要求的所有主题。所有IT与OT系统均须纳入网络安全评估，评估须在2027年7月16日前完成并每年复审，网络安全审计则需每年或在所有权、措施变更时进行；如需申诉，可向相关港口船长（COTP）申请复审。网络安全计划可与现有VSP/FSP合并，五年一周期续签；每半年和每年均需分别组织演习与综合演练，测试计划各组成部分及整体有效性。若发生缺陷，海岸警卫队可通过MTSS C或CPT等渠道提供支持，且网络安全检查可与其他安全审查同步进行。