美国国防承包商MORSE Corp长期未满足NIST数据安全标准、虚报安全评估分数违反《虚假申报法》支付460万美元和解金案

【案件背景】
2025年，美国司法部宣布与国防科技公司MORSE Corp达成460万美元（约合人民币3340万元）的和解协议，以解决其涉嫌违反《虚假申报法》（False Claims Act）的指控。MORSE Corp总部位于马萨诸塞州剑桥市，由麻省理工学院校友创立，与美国陆军和空军有多项合同关系，专注于国家安全领域的软件和硬件开发。根据美国国防联邦采购法规（DFARS）的要求，所有处理受控非密信息（CUI）的国防承包商必须实施NIST SP 800-171规定的110项安全控制措施。

【违法事实】
根据美国司法部调查和举报人（whistleblower）的指控，MORSE Corp存在以下违法行为：一是未全面实施NIST要求的110项数据安全控制措施——而NIST标准的核心正是数据分级保护（将信息分为公开、内部、机密、绝密等级别），承包商必须根据数据的敏感级别实施对应的安全控制；二是使用第三方供应商托管电子邮件服务，但未能确保该供应商符合NIST规定的安全要求；三是未为其所有信息系统制定书面安全计划，包括系统边界、运行环境、安全要求执行方式以及与其他系统的关系；四是在2021年进行网络安全态势评估时严重夸大自身防护水准——自评得分高达104分（满分范围-210至110），但次年受聘审计员给出的评分却是-142分，发现该公司未能遵守78%的NIST标准要求；五是在近一年时间内未向监管机构提交修订后的评分，直到调查人员发出传票后才提交。

【处罚决定】
MORSE Corp同意根据《虚假申报法》向美国政府支付460万美元和解金。作为和解的一部分，MORSE承认未能达到联邦网络安全标准。美国联邦检察官Leah B. Foley强调：'联邦承包商必须履行其保护敏感政府信息的义务。我们将继续追究承包商未能满足网络安全标准承诺的责任。'

【典型意义】
本案是美国近年对国防承包商网络安全合规的最严厉执法之一，具有多重警示意义。一是NIST网络安全标准框架本质上是数据分级保护思想的制度化落地——它要求承包商先识别处理的数据类别（CUI、FCI、Classified等），再根据数据级别实施对应的安全控制，与中国《数据安全法》的分类分级保护逻辑高度相似。二是'自评虚高'的严重后果——本案中MORSE的自评得分与审计得分差距高达246分，说明缺乏第三方独立验证的合规自评可能完全脱离实际。三是《虚假申报法》为网络安全执法提供了强有力的工具——向政府虚报合规状态本身就是一种独立的违法行为，不依赖于是否实际发生了数据泄露。