罗克韦尔自动化因在华业务面临美国调查——《华尔街日报》

罗克韦尔自动化公司位于密尔沃基的总部。图片来源：Angela Peterson/密尔沃基哨兵报/今日美国网络华盛顿——据美国官员和《华尔街日报》查阅的文件显示，拜登政府正在调查全球最大的工业技术和信息公司之一罗克韦尔自动化是否通过其位于中国大连的设施，使美国关键基础设施、军事和其他政府资产面临潜在严重网络攻击的风险。

根据该公司网站信息，这家总部位于密尔沃基的信息巨头为包括国家电网、美国海军、海岸警卫队及联邦政府其他部门在内的客户提供生产力提升软件和网络安全服务。

美国政府调查的重点是该企业大连分部的员工，他们可能接触与上述计算机系统相连的软件代码。文件显示，参与调查的包括能源部和国防部的监察长以及司法部商业诉讼部门。

根据一份记录取证过程的调查活动备忘录，调查人员正在审查可能允许从中国访问美国政府及工业关键基础设施与计算机系统的潜在漏洞。这份标注日期为1月24日的备忘录详细记录了三个机构政府调查人员访谈举报人获得的证词。

罗克韦尔自动化公司的一位发言人表示，公司尚未收到任何关于其在大连业务相关调查通知，但若收到将全力配合。她补充说，罗克韦尔的供应链、开发实践和招聘流程均符合适用法律法规。

美国能源部及其监察长办公室拒绝置评。司法部商业诉讼部门和五角大楼监察长办公室未回应评论请求。

目前无法确定美国政府可能通过此次调查寻求何种补救措施或建议。调查尚处早期阶段，最终可能不会对罗克韦尔采取任何行动。

根据调查备忘录，当局正依据联邦指令审查罗克韦尔大连业务的潜在问题，该指令限制中国等被视为国家安全威胁国家的供应商向联邦政府提供技术和硬件。

美国政府调查机构对这家主要政府承包商在华业务实践的关注，表明两国关系已深陷相互猜疑的境地，同时也反映出美方对北京通过渗透美国计算机网络提升技术实力和情报收集能力的担忧。此次对罗克韦尔的审查，是继美国政府全球围堵中国电信设备制造商华为技术有限公司后的又一行动，美方声称华为因可能被中国政府强制要求提供数据而威胁美国国家安全。

罗克韦尔公司股价周三收盘下跌2.8%，报270.09美元。

备忘录中，举报人指控罗克韦尔仅通过大连设施中的中国籍员工进行代码开发、技术支持和补丁更新（即修复软件漏洞的更新）。大连是中国辽宁省南端的港口城市。

备忘录指出，美国官员证实，与罗克韦尔有业务往来的一些公司和政府机构因此担忧潜在的安全隐患。

主要担忧包括：在大连工作的中国籍人员，或通过这些员工运作的中国政府，可能在漏洞修复前识别并利用罗克韦尔代码中的漏洞入侵美国系统。

美国官员和文件并未表明罗克韦尔产品软件代码存在当前漏洞。

罗克韦尔自1994年起在大连开展业务，但近年来美中关系日益紧张促使美国修改法规。新规要求在中国、俄罗斯和伊朗等以激进网络行动著称的国家运营的企业，必须监控人员并限制当地员工接触产品代码。

美国近年来誓言要在网络安全威胁触及联邦政府及其承包商网络之前予以削弱或反击。

在去年俄罗斯入侵乌克兰引发全球谴责及西方制裁重创其经济之际，许多美国企业已撤离俄罗斯。美国在中国的投资也处于政治风口浪尖，尤其是来自国会的压力。

尽管部分美企已将业务转移至其他地区，但由于中国庞大的市场及其在供应链中的核心地位，许多公司仍不愿退出。

大连，位于中国辽宁省南端的港口城市。图片来源：Alamy Stock Photo上月，美国商会警告称在中国经营业务的风险正在上升，尤其是在北京实施新《反间谍法》的背景下，该法"对涉及国家安全的文件、数据或材料范围进行了广泛覆盖"。

罗克韦尔首席财务官尼克·甘杰斯塔德周三表示，安全是首要任务，如有必要，公司将考虑将软件业务撤出中国。

“这个问题是可以解决的，“甘杰斯塔德在奥本海默工业增长大会上表示，“我们认识到全球威胁形势正在演变，我们正与美国政府密切合作，并将继续密切监控环境变化。如果需要采取行动，我们当然会采取行动。”

关于该公司做法的担忧首次浮出水面是在去年，当时备忘录描述了罗克韦尔与多米尼恩能源公司南卡罗来纳州分公司之间充满争议的合同续签谈判。多米尼恩是一家美国能源公司，从事电力与天然气的生产、传输和分销。

根据备忘录及熟悉谈判的官员所述，当多米尼恩试图在合同中加入数据泄露报告要求、第三方安全评估以及对来自中国、俄罗斯和伊朗等国的计算机软件支持进行限制等条款时，谈判陷入了僵局。

据美国官员和备忘录显示，罗克韦尔向多米尼恩表示，所有在中国编写的代码都会由该公司美国员工进行漏洞检查和防范网络攻击的测试，这一流程得到了罗克韦尔女发言人的确认。

调查详细记录显示，罗克韦尔告知多米尼恩，其内部安全与合规实践使得对方要求的条款变得多余。

备忘录称，罗克韦尔还向多米尼恩说明，其设备通过内部网络安全计划进行防护，既无外部机构审查代码或系统，多米尼恩也无法自行审查代码。

最终多米尼恩与罗克韦尔签署了截至3月31日的六个月短期协议，而非原计划的五年期合同。

一位熟悉罗克韦尔安全合规实践的人士对谈判描述提出异议，但未提供具体细节。

多米尼恩公司发言人亚伦·鲁比证实，备忘录中关于近期与罗克韦尔合同谈判的细节是真实的。

由于短期协议已到期，双方均未对当前合同谈判进展置评。

“罗克韦尔自动化为我们部分设施的传统控制系统提供维护服务，“鲁比表示，“这些服务均不涉及对我们系统的网络、远程或无人值守访问。此外，我们不接受罗克韦尔在中国、俄罗斯、伊朗、白俄罗斯或其他敌对国家的任何服务。”

罗克韦尔女发言人表示，该公司在中国的软件开发工作"规模有限，主要集中于维护少量上市多年的成熟产品，这些产品都经过多年开发和测试。”

网络安全专家指出，从评估网络安全风险的角度看，产品是否成熟并不影响风险存在，因为漏洞仍可能存在。“不存在所谓成熟代码，“哈佛大学肯尼迪政府学院计算机安全专家布鲁斯·施奈尔表示。

当前举报人的指控延续了2021年和2022年国土安全部对罗克韦尔软件漏洞的通报。美国土安全部网络安全和基础设施安全局曾三次发布公告，针对罗克韦尔产品中可被攻击者利用来向受影响系统注入代码的漏洞提供相关修复方案。

罗克韦尔发言人表示，这些安全公告是其既有的漏洞披露计划的一部分，公司正与政府密切合作解决相关问题。

据其官网显示，自1997年以来，罗克韦尔自动化的产品和软件已成功安装于美国海军及海岸警卫队多艘舰艇。

官网信息显示，自1988年进入中国市场以来，罗克韦尔自动化业务迅速扩张。目前该公司在中国34个城市拥有2000名员工，设有上海全球研发中心、大连软件开发中心及两家生产基地。

根据调查结果及接受《华尔街日报》采访的美国官员说法，罗克韦尔与数十所中国高校的长期合作关系，以及其中国员工与军工院校的关联引发了美方担忧。多名罗克韦尔中国区员工在网络公开资料中显示毕业于或曾任职于"国防七子"院校——这些高校因与中国解放军关系密切而闻名。

专注全球情报分析的科技初创公司Strider Technologies数据显示，罗克韦尔部分中国员工与中国军方关联高校、国有企业、政府人才计划及其他政府机构存在直接联系。

《华尔街日报》查阅的统计数据显示，罗克韦尔中国现有员工中至少有217人与承担国防科研任务的军民融合高校存在直接关联，这些院校或被指定为国防目标支持单位，或由国防主管部门直属管理。另有至少15名现员工当前或曾经与政府管控机构存在直接关联。

“企业处于美中战略竞争的前线，”Strider公司首席执行官格雷格·莱韦斯克表示，“它们正日益成为试图破坏美国关键基础设施的国家支持行为者的目标或工具。”

一位熟悉罗克韦尔公司安全与合规操作的人士称，该公司的招聘流程包括背景调查及其他第三方入职前审查。该人士拒绝就具体员工或Strider的研究置评，也未详细说明任何人员审查程序。

联系Vivian Salama请发送邮件至[email protected]

本文发表于2023年5月11日印刷版，标题为《罗克韦尔因在华运营接受调查》。