拜登-哈里斯政府最近公布了《国家网络安全战略》，以应对数字世界日益增长的互联性和软件系统的复杂性。该战略旨在保障一个安全可靠的数字生态系统，让所有美国人都能利用并从中受益。现在，数字连接几乎渗透到我们生活的方方面面，将个人和职业领域联系在一起，并在数字和实体领域之间架起了桥梁。随着民族国家和恶意行为者不断发起网络攻击，政府致力于转变应对这些持续威胁的方法，确保我们的数字生态系统稳健、有弹性并符合我们的核心价值观。
尽管本届政府已为实现这些目标采取了重大举措，但新策略侧重于五个支柱领域，我们可在这些领域建立并加强合作：捍卫关键基础设施、瓦解和遏制威胁行为体、引导市场力量以促进安全与韧性、投资于具有韧性的未来，以及建立国际伙伴关系以追求共同目标。 所有这些支柱都至关重要，而从保护关键基础设施入手，我们可以向美国人民表明，我们致力于保护这十六个行业及其所提供的基本服务。
保卫关键基础设施
我们必须制定网络安全要求（目标1.1），以支持国家安全和公共安全。该战略可能导致关键领域出台更多法规，这些法规将与其他领域的现有法规保持一致。虽然并非所有领域都需要相同的网络安全要求，但确保法规的一致性和可预测性可减轻合规负担。现有法规和新法规的目标是鼓励并要求大规模实施更完善的网络安全实践。 此外，网络安全要求应优先采用基于实证数据证明有效性的关键技术——例如Deep Content Disarm and Reconstruction Deep CDR™ Technology）——以消除网络威胁并确保全面可靠的网络安全防护体系，而非仅关注网络安全企业对其解决方案的营销能力。
规模对这一战略至关重要，协作同样如此（目标1.2）。要有效应对大规模的先进威胁，必须加强公私部门的合作。正如战略文件所概述的，针对俄罗斯对乌克兰发动的战争而发起的“Shields Up”行动，提高了防备水平，并推动了打击恶意活动的有效措施。 未来的努力必须复制这种合作模式，并吸纳国际盟友和普通民众共同参与，以投资建设一个更具韧性的未来——一个不再依赖小型组织和普通公民持续保持警惕的未来。私营部门实体与联邦机构密切合作，能够实现更迅速、更协调的响应，从而最大限度地减少对关键基础设施的攻击影响，甚至最好能预防攻击的发生。我希望这种合作能够保持开放、互助的姿态，并优先考虑美国企业，以促进国内的增长和创新。
目前已有多个部门和机构负责支持关键基础设施的防御工作。新战略旨在整合联邦网络安全中心（目标1.3），建立协作节点以推动政府内部的协调。CISA下设的联合网络防御协作中心（JCDC）通过整合网络防御规划与行动，为实现这一目标迈出了第一步。 JCDC 在整个联邦政府范围内开展工作，并与国际合作伙伴及私营部门通力合作。尽管仍有许多工作有待完成，但这些中心为合作创造了更多机会，并使各中心能够与私营部门合作伙伴及时共享相关且可付诸行动的信息。为了发挥最大效用，我们希望联邦政府能够公开这些中心的目标、考核指标以及非机密、非敏感的活动信息。
虽然私营部门通常无需联邦政府协助即可应对网络安全事件，但新的目标是在必要时提供统一的应对措施。这意味着需要更新联邦事件应对计划和流程（目标 1.4），以便各组织在遭受网络威胁时知道应联系哪个政府机构。各组织还必须了解可以从联邦政府获得何种形式的支持。 为此，CISA正牵头更新《国家网络安全事件响应计划》（NCIRP），以加强相关流程、程序和系统。《2022年关键基础设施网络安全事件报告法》（CIRCIA）要求关键基础设施领域的受管辖实体，须在数小时内向CISA报告受管辖的网络安全事件。这种快速通报机制有助于加快查明事件原因，并协助做出迅速且明智的决策。 总体而言，这是一项值得称道的举措，但我希望能够披露所报告网络安全事件的一些关键信息，以便我们学习如何防范威胁。这种做法将使我们能够从传统的检测与响应循环中转变，转向一种更注重预防的主动思维模式。
最后，该战略旨在实现联邦防御现代化（目标1.5）。联邦政府依赖通信系统、具有弹性且安全的信息，以及运营技术与服务来履行其职责。在如此复杂的数字环境中，这意味着联邦政府系统必须实现现代化，以确保其网络既具备弹性又可防御。 现代化举措的核心在于运用零信任原则，抵御传统网络边界内外双重威胁。这项卓越计划应整合深度CDR™技术、来源国评估等前沿手段，确保零信任策略不仅止于替代VPN，更要构建全面而坚固的网络安全战略体系。
私营和公共部门零信任
通过提高自身系统的防御性和弹性，联邦政府可以确保更有效地防御关键基础设施。首先要实施零信任架构战略，同时对IT 和 OT 基础设施进行现代化改造。零信任方法将防御从基于网络的边界转移到基于资源、用户和资产的边界。包括软件供应链在内的供应链也必须采用零信任原则，并假定不存在基于实体或网络位置的隐含信任。
这种方法更侧重于通过确保在与受保护数据或系统建立连接之前进行身份验证和授权来防止攻击。随着软件变得越来越复杂和相互关联，网络安全必须包括远程用户、自带设备（BYOD）趋势和对云资产的访问等新的现实情况。虽然该方法更注重预防而非检测，但该战略的部分目标是提高整体网络弹性和可靠性--即使在企图攻击发生时也是如此。
所有这些举措都有赖于培养一支有能力的网络队伍，以测试、保护、分析我们的国家网络安全并使之现代化。虽然保护数据和确保关键系统的可靠性是系统所有者和运营商的责任，但技术提供商、关键基础设施系统和联邦机构之间的合作可以帮助我们安全地保存数据，并确保我们作为一个自由和互联的社会运行。
