拜登-哈裡斯政府最近公佈了 《國家網路安全戰略 》，以應對數位世界日益增長的互聯性和軟體系統日益複雜的情況。該戰略旨在保證一個安全可靠的數位生態系統，供所有美國人使用並從中受益。數字連接現在幾乎滲透到我們生活的方方面面，連接著個人和專業領域，並彌合了數位領域和實體領域之間的鴻溝。隨著民族國家和惡意行為者繼續發動網路攻擊，政府致力於透過確保我們的數位生態系統強大、有彈性並符合我們的核心價值觀來改變其應對這些持續威脅的方法。
雖然政府已為實現這些目標採取了重大措施，但這項新策略著重於五個支柱，我們可藉此建立並加強合作：捍衛關鍵基礎設施、瓦解並殲滅威脅行為者、引導市場力量以促進安全與韌性、投資於韌性未來，以及建立國際夥伴關係以追求共同目標。 這五項支柱皆至關重要，而從捍衛關鍵基礎設施著手，我們便能向美國人民保證，我們將致力於保護這十六個領域及其所提供的基本服務。
保護關鍵基礎設施
我們必須建立網路安全要求（目標1.1），以支持國家安全與公共安全。此策略可能導致關鍵領域出現更多法規，這些法規將與其他領域的現有規範保持一致。雖然並非所有領域都需要相同的網路安全要求，但確保法規的一致性與可預測性，可降低合規負擔。現有與新法規的目標，在於大規模推動並要求更完善的網路安全實踐。 此外，網路安全要求應優先採用經實證數據驗證的關鍵技術——例如能消除網路威脅並確保全面可靠防護的Deep Content Disarm and Reconstruction Deep CDR™ Technology）——而非僅關注網路安全企業的解決方案行銷成效。
規模對這項策略至關重要，合作亦然（目標 1.2）。要有效且大規模地應對先進威脅，必須加強公私部門的合作。正如策略文件所闡述，針對俄羅斯對烏克蘭戰爭而發起的「Shields Up」行動，不僅提升了防備態勢，也推動了對抗惡意活動的有效措施。 未來的努力必須複製這種合作模式，並納入國際盟友與民間力量，共同投資於更具韌性的未來——這樣的未來不應僅仰賴小型組織與個別公民的持續警惕。私營部門實體若能與聯邦機構密切合作，將能實現更迅速且協調一致的應對，從而將攻擊對關鍵基礎設施的影響降至最低，甚至最好能預先防止攻擊發生。我希望這種合作能保持開放、互助的態度，並優先考慮美國企業，以促進國內的成長與創新。
目前已有多個部門和機構負責支援關鍵基礎設施的防禦工作。新戰略旨在整合聯邦網路安全中心（目標 1.3），建立協作節點以推動政府內部協調。CISA 轄下的「聯合網路防禦協作組織」（JCDC）透過整合網路防禦規劃與運作，是實現此目標的第一步。 JCDC 透過橫跨聯邦政府各部門，並與國際夥伴及私營部門合作來達成此目標。儘管仍有許多工作待完成，但這些中心不僅能創造更多合作機會，更能與私營部門夥伴及時分享相關且可付諸行動的資訊。為了達到最佳成效，我們希望聯邦政府能公開這些中心的目标、衡量指標，以及非機密且非敏感的運作活動。
雖然私營部門通常能在無需聯邦協助的情況下緩解網路事件，但新的目標是在必要時提供統一的應對措施。這意味著需更新聯邦事件應對計畫與流程（目標 1.4），以便各組織在遭受網路威脅時，清楚知道應聯繫哪個政府機關。各組織也必須了解可從聯邦政府獲得何種形式的支持。 為此，CISA 正主導更新《國家網路事件應變計畫》（NCIRP）的流程，致力於強化相關流程、程序與系統。《2022 年關鍵基礎設施網路事件通報法》（CIRCIA）規定，關鍵基礎設施中的受規範實體必須在數小時內向 CISA 通報受規範的網路事件。這種快速通報機制能加速釐清事件原因，並協助做出迅速且有根據的決策。 總體而言，這是一項值得讚許的舉措，但我希望能夠公開部分已通報網路事件的關鍵細節，以便我們能從中學習如何防範威脅。這種做法將使我們得以從典型的「偵測與應對」循環，轉向更為主動且著重於預防的思維模式。
最後，該戰略旨在實現聯邦防禦現代化（目標1.5）。聯邦政府仰賴通訊系統、具韌性且安全的信息，以及運作技術與服務來履行職責。在這個複雜的數位環境中，這意味著聯邦政府系統必須現代化，以確保其網路具備韌性與可防禦性。 現代化措施包含採用零信任原則，以應對傳統網路邊界內外的威脅。此為卓越的倡議，期盼能整合深度CDR™技術、來源國評估等技術，確保零信任策略不僅止於取代VPN，進而建立更全面且強韌的網路安全戰略。
私營和公共部門的零信任
透過使自己的系統更具防禦性和彈性，聯邦政府可以確保更有效地保護關鍵基礎設施。這從零信任架構策略開始，同時還要實現現代化 IT 和 OT 基礎設施。零信任方法將防禦從基於網路的邊界轉移到基於資源、使用者和資產的邊界。供應鏈（包括軟體供應鏈）也必須採用零信任原則，並且不假設基於實體或網路位置的隱式信任。
此方法更側重於透過確保在與受保護的資料或系統建立連接之前進行身份驗證和授權來防止攻擊。隨著軟體變得越來越複雜和互聯，網路安全必須包括遠端使用者的新現實、自帶設備 （BYOD） 趨勢以及存取雲端運算的資產。雖然該方法更側重於預防而不是檢測，但該策略的部分目標是提高整體網路彈性和可靠性，即使確實發生了未遂攻擊。
所有這些措施都依賴於培養一支稱職的網路勞動力隊伍，以測試、保護、分析和現代化我們的國家安全。雖然保護資料和確保關鍵系統的可靠性是該系統的擁有者和營運商的責任，但技術供應商、關鍵基礎設施系統和聯邦機構之間的合作可以幫助我們安全地保存我們的資料，並確保我們作為一個自由和互聯的社會運作。
