白宮發布2024財年網絡安全預算備忘錄

本周三，白宮發布備忘錄公布了拜登政府的跨政府部門網絡安全投資優先事項，并呼吁聯邦民事行政部門(FCEB)在三個網絡安全重點領域進行投資，分別是：

• 提高政府網絡的防御能力和彈性
• 深化關鍵基礎設施防御方面的跨部門合作
• 加強數字化未來的基礎

備忘錄稱，網絡安全研發優先事項的指導可以在即將發布的政府部門重點研發項目2024財年預算備忘錄中找到。“這些優先事項應在管理和預算辦公室（OMB）公布的2024財年預算指導范圍內解決。”

政府部門零信任戰略落實到預算

管理和預算辦公室(OMB)和美國國家網絡總監辦公室(ONCD)將審查政府部門對這些網絡優先事項的反應，同時確定潛在差距和可能的解決方案來彌補這些差距。此外，這兩個部門將協調向其他政府部門提供反饋，說明其網絡優先事項是否得到充分解決并與整體網絡安全戰略和政策保持一致。

拜登在2021年5月的總統行政命令中呼吁美國政府“做出大膽的改變和重大投資，以捍衛支撐美國生活方式的重要機構”，加固IT系統和網絡并推動其現代化。FCEB將以身作則，在2024財年預算提交中優先考慮零信任實施和IT現代化。

拜登政府在今年1月份的一份備忘錄中指示各政府部門和機構選擇最高價值應用作為零信任戰略道路的起點。

“這一戰略是一個起點，而不是一個完全成熟的零信任架構的綜合指南。”備忘錄說。該備忘錄中規定的聯邦零信任戰略還要求各機構在2024財年年底之前實現具體的零信任安全目標，預計提交的預算需要優先確保完成這項工作。

“各政府部門已向OMB提交了零信任實施計劃，來自OMB、ONCD和網絡安全與基礎設施安全局(CISA)的跨政府網絡安全專家團隊正在與各政府部門合作，以完善這些計劃并確定可實現目標，”最新的備忘錄指出：“聯邦零信任戰略定義了政府部門的優先目標，在部門內實現一致的網絡安全基線，該基線基于最小特權原則、最小化攻擊面以及機構安全邊界被攻破的假設設計保護措施。”

白宮備忘錄補充說：“這是FCEB運營的重大轉變，各政府部門需要在預算中體現出對實現新的、更具彈性的安全基礎態勢的承諾。”

關鍵基礎設施安全：深化橫向和垂直合作

備忘錄指出，美國的關鍵基礎設施越來越多地與網絡空間交互并由網絡空間定義，因此確保基礎設施對網絡威脅的防御和彈性需要“公共部門和私營企業之間前所未有的（垂直）合作水平”。此外還需要深化跨部門橫向合作以確保關鍵基礎設施機構的安全。

根據備忘錄，美國各政府部門將在2024財年建立橫向深度合作，優先考慮其部門風險管理機構(SRMA)的職責，并確保通過指定的網絡安全中心進行充分的信息共享。

備忘錄強調，2024財年預算提交應優先考慮具體提案，以確保SRMA有足夠的資源來履行其第9002節的職責。這些提案應使SRMA能夠與CISA和其他SRMA更緊密地合作，以改善各政府部門的集體（政府和行業）防御、響應和恢復流程。預算還應該促進政府和行業之間的信息交流，包括通過美國聯邦網絡中心和信息共享和分析組織以及信息共享和分析中心，以開發可操作的運營情報。這些措施還將提供有意義的威脅緩解建議。

各政府部門提交的材料還必須深入闡述與各部門相關的國家安全風險的詳細內容，這些風險正在或可能被包括民族國家在內的對手利用。預算提案還需要更深入地了解威脅參與者的網絡策略、技術和程序（TTPs）以及對每個部門構成的風險。最后，這些提案必須促進行業和政府在網絡威脅情報、安全指標和防御措施（包括安全、物理或虛擬環境中的事件）方面加強共享和協作。

給數字化未來打下堅實基礎

隨著美國從數字化經濟向數字經濟轉型，各機構在塑造、指導和推動這一轉型方面做出的決策將在未來數十年內產生重大影響。FCEB各部門將優先考慮物理基礎設施、人力資本和供應鏈風險管理。

隨著拜登政府通過《基礎設施投資和就業法案》（IIJA）對基礎設施進行“千載難逢”的投資，FCEB各部門的預算應支持保護該基礎設施免受網絡攻擊的威脅。

備忘錄稱，IIJA資金沒有覆蓋與技術支持相關的成本，因此2024財年的投資預算應優先為（關鍵基礎設施安全）技術支持項目審查和評估提供資金，以應對網絡安全威脅，并在現有標準不足的情況下為基礎設施投資制定網絡安全性能標準。此外還必須推動跨部門的協作，以便在整體設計和實施階段為項目提供充分的安全保障。

對于供應鏈風險管理(SCRM)，被網絡指出成立聯邦采購安全委員會的目的就是為了管理此類網絡安全風險。

“聯邦機構必須為自己的采購建立正式的SCRM計劃，特別是與信息和通信技術和服務（ICTS）有關的項目，”備忘錄指出：“這些規定即將在2023年底到期，有待立法將該規定延長至2026年。2023財年的總統預算對政府部門的SCRM計劃進行了關鍵投資。各部門應在其2024財年提交的文件中延續這些投資。此外，各部門應將額外資源用于培訓和適當跟蹤供應鏈投資，以支持改進聯邦政府整體SCRM的工作。”

來源：@GoUpSec