从未有过在北美的关键基础设施（CI）一个成功的网络攻击灾难性的 - 然而。
美国国家标准与技术研究所（NIST）网络安全架构1.0，为响应奥巴马总统的行政命令2月13日发出，目的是保持这种方式。
但它是否会提高CI的保护，其中包括运输，能源，食品，水，金融服务等系统安全社区内相当多的争论。
有些人，像安德鲁·金特，在加拿大的公司瀑布的安全解决方案的工业安全的副总裁，争辩说，它需要一个被误导的方法来威胁的规模和复杂性。
Ginter在最近的一篇博客中写道，这个框架对于工业控制系统(ICS)的高层管理人员和董事会成员来说过于复杂。他说，更糟糕的是，它“导致高级管理层对关键基础设施站点的安全性提出错误的问题”，因为他们关注的是“精算”风险，而不是最老练的潜在攻击者的能力。
这个问题，他说，不应该是，“多少次在过去十年被带到北美电网降了网络攻击，并没有什么每个这样的事故成本呢？答案是，当然是零。”
相反，他说，应该是，“当我们最有能力的敌人攻击我们，什么是最有可能的结果？”
乔·魏斯，在应用控制解决方案的管理合伙人，已经争论了多年，政府机构，如NIST和ICS-CERT（工业控制系统网络紧急响应小组）都过于集中在“合规性”和够不上真正的安全。
但是，凯文Bocek，产品营销和威胁研究在Venafi的副总裁表示，即将Framework 1.0中，“移动IT安全战略的推进，包括现代防御战略。该框架的地方检测和响应安全事件，而不是只是想更加强调阻止他们。”
Bocek说，他认为框架，“打击了广大观众的能力与精算之间的平衡。”他说，这包括专注于事实“的检测，响应和补救，而不是仅仅防止放框架领先于假定攻击者可以在防火墙被锁定目前许多IT安全策略。”
Lancope的CTO TK Keanini认为一些批评可能是由于不切实际的期望。他说，这个框架并不是一颗神奇的子弹，而是“在发生事故时，一个合理的底线”。
先进的威胁，他说，“发展和创新每天，而网络安全架构上需要几个月，甚至几年来取得共识和实施。”
NIST是商务部的一个非监管机构，在总统于2013年2月12日签署了“改善关键基础设施网络安全”的行政命令之后，框架1.0的工作已经进行了一年。该机构表示，“通过与关键的基础设施所有者和运营商、行业领袖、政府合作伙伴以及其他利益相关者广泛合作，”该项目得以开发。
框架1.0的总部设在很大程度上取决于题为发现，保护，检测，响应和恢复，作为一个系统来保护CI资源，并有效应对攻击的部分。
NIST通过发言人Jennifer Huergo表示，他们无法回应Ginter的批评。“我们没有机会消化博客,就需要给它更多的想,”她说,但他补充称,奥巴马政府认为保护CI“高优先级”,并认为,框架,”将是一个有用的工具来帮助提高网络安全的关键基础设施等行业。”
灾难性袭击的风险也是一个持续争论的话题。一些安全专家说，即使是一次重大的袭击也不太可能造成比一场飓风更大的破坏。基尼尼说，他认为“世界末日”是不可能的。相反，他预测，“只是一连串的安全事件，让网络犯罪有利可图，让组织和个人在事件反应方面做得更好。”
但也有人同意联邦官员的观点，近年来，联邦官员曾多次警告发生“网络珍珠港事件”的风险。
对于灾难性破坏和生命损失的可能性被证明七年前在爱达荷国家实验室在什么被称为极光项目，其中网络攻击摧毁了柴油发电机。
战略与国际研究中心(CSIS)技术与公共政策项目主任和高级研究员詹姆斯·刘易斯(James Lewis)曾在2009年11月的哥伦比亚广播公司(CBS)《60分钟》(60 Minutes)节目中说过一句著名的话:“如果你能侵入控制系统，你就能指令机器将自己分解。”这就是极光测试。”He added that it requires a lead time of three or four months just to order major electrical generators, let alone get them manufactured and installed.
当时，CNN援引为联邦政府提供安全数据的经济学家斯科特·博格的话说，如果全国三分之一的地区停电三个月，经济成本将高达7000亿美元，“相当于40到50场飓风同时袭击美国”。
更近期的研究也令人不安。虽然一些安全官员说很难拿下一个广泛的部分电网由于控制系统的多样性,要求多种类型的恶意软件攻击,三个网络科学中心的研究人员在西点军校发表了一篇论文,1月6日说,敌人可能的目标,“某些变电站和发电启动级联故障来源,最大化客户的数量没有电。”
韦斯说，这种损害的风险是很高的。他说，要求有CI控制系统的广泛多样性是一个神话。他们中的大多数，他说，“是完全一样的不只是相似 - 。完全一样的”
在一篇博客文章中，Weiss指出，“ICS- cert向整个社区而不仅仅是向单个实体提供ICS恶意软件的建议是有原因的，ICS供应商也会向他们的所有客户发送建议。”
菲纳菲的博切克补充说，毁灭性的伤害并不一定是身体上的。他说:“当荷兰证书颁发机构DigiNotar遭到入侵时，荷兰政府好几天无法使用电子通信，因为由加密密钥和数字证书建立的信任被破坏了。”
“虽然这次事件不是针对发电厂或供水系统的攻击，但它说明了对关键基础设施的攻击是多么真实。”
有一两件事是肯定的。CI的网络攻击也日益增多。ICS-CERT，国土安全部（DHS）的一个部门去年夏天的报告，有三分之一的网络事件（111）报道在六个月的报告期内，能源部门在五月比前12个月结束（81）。
因此，很少有在需要改善CI系统的安全性没有任何争论。无论Framework 1.0中会做到这一点可能会通过其部署及以后进行辩论。来自安全专家的普遍看法似乎是，虽然它有缺陷和疏漏，它仍然是有用的。
大多数鼓掌总统奥巴马把注意力集中在保护CI，但仍怀疑政府框架将跟上快速变化的威胁。也有一些担心，不是所有的运营商签署，因为框架将至少在一开始，是自愿的。
在一次采访中，Ginter认为高层管理人员仅仅问“我们的通信网络安全吗(NIST的要求之一)”是不够的。
“他们得到的答案总是，‘是的，当然。’这是什么意思呢?”他说。“具体的问题可能是，‘任何来自互联网的信息能直接或间接到达我们的安全关键系统吗?’”’这个框架并没有给高管提供这类工具。”
Bocek批评它忽略了“信任的关键元素，信任是由加密密钥和数字证书建立的，这是所有网络安全的基础。”But, he added, "One thing is certain: critical infrastructure protection will be better off with the framework than without."
“说,他认为这个框架应该呼吁单向安全网关(USG),网络设备,允许数据旅行只有一个方向,从一个网络连接,不需要安全,并防止它从侧面,需要更多的安全旅行。
但他承认，安全是一场持久战。“我的职责是提供我最好的建议和见解，”他说。“标准总是落后于最先进的水平，而且在某种程度上通常落后于最先进的实践。这是野兽的本性。”
这个故事，“NIST的敲定网络安全框架收到的评论褒贬不一”最初发表CSO 。