美國(guó)政府問(wèn)責(zé)局報(bào)告顯示，盡管新的風(fēng)險(xiǎn)管理指南已經(jīng)開始實(shí)施，但負(fù)責(zé)關(guān)鍵基礎(chǔ)設(shè)施管理工作的各聯(lián)邦部門一直未就安全改進(jìn)效果開展量化評(píng)估；
報(bào)告稱，16大關(guān)鍵基礎(chǔ)設(shè)施領(lǐng)域中，僅3個(gè)評(píng)估了NIST關(guān)基安全改進(jìn)框架的采用情況，多數(shù)表現(xiàn)滯后；
有聯(lián)邦機(jī)構(gòu)表示，持續(xù)的疫情和勒索軟件攻擊影響了對(duì)該工作的資源投入。
美國(guó)政府問(wèn)責(zé)局（GAO）日前發(fā)布的最新報(bào)告顯示，隨著聯(lián)邦網(wǎng)絡(luò)安全指南在各關(guān)鍵基礎(chǔ)設(shè)施部門的落地，仍有不少負(fù)責(zé)網(wǎng)絡(luò)風(fēng)險(xiǎn)管理工作的聯(lián)邦部門尚未對(duì)指南實(shí)施帶來(lái)的安全改進(jìn)做出衡量與評(píng)估。GAO建議相關(guān)部門抓緊推進(jìn)該項(xiàng)工作。
《2021年國(guó)防授權(quán)法案》將2013年的一項(xiàng)總統(tǒng)行政令納入法律，要求將16大關(guān)鍵基礎(chǔ)設(shè)施領(lǐng)域的風(fēng)險(xiǎn)管理職責(zé)劃歸9個(gè)聯(lián)邦機(jī)構(gòu)負(fù)責(zé)管理。但政府問(wèn)責(zé)局的報(bào)告顯示，這些聯(lián)邦機(jī)構(gòu)至今仍未對(duì)16大主要關(guān)鍵基礎(chǔ)設(shè)施領(lǐng)域中的13個(gè)采用網(wǎng)絡(luò)安全標(biāo)準(zhǔn)情況開展全面評(píng)估。
GAO報(bào)告封面
報(bào)告稱，從核反應(yīng)堆到關(guān)鍵制造、再到醫(yī)療保健與應(yīng)急服務(wù)，這9個(gè)肩負(fù)風(fēng)險(xiǎn)管理職責(zé)的聯(lián)邦機(jī)構(gòu)，一直沒(méi)能確定美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究所（NIST）《關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全改進(jìn)框架》的實(shí)施情況。這套框架意在為整個(gè)行業(yè)提供全面的網(wǎng)絡(luò)安全規(guī)劃，涵蓋核心安全功能與技術(shù)保障手段，希望能緩解漏洞影響并預(yù)防入侵行為。
截至目前，各負(fù)責(zé)機(jī)構(gòu)只評(píng)估了這套框架在國(guó)防工業(yè)基地、政府設(shè)施及自來(lái)水/廢水處理系統(tǒng)（3個(gè)領(lǐng)域）中的應(yīng)用情況。
其他關(guān)鍵基礎(chǔ)設(shè)施領(lǐng)域的框架落地現(xiàn)狀則可謂好壞參半。
部分行業(yè)已經(jīng)確定了框架的應(yīng)用方式，比如能源部開始跟蹤各機(jī)構(gòu)內(nèi)的網(wǎng)絡(luò)安全工具包申請(qǐng)情況。但大多數(shù)機(jī)構(gòu)仍然停滯在跟蹤并評(píng)估跨部門框架實(shí)施水平的階段。
NIST關(guān)基安全框架為自愿性質(zhì)，除了與特定行業(yè)團(tuán)體開展協(xié)同調(diào)查與信息共享之外，各機(jī)構(gòu)其實(shí)無(wú)權(quán)從關(guān)鍵基礎(chǔ)設(shè)施運(yùn)營(yíng)者處直接獲取信息。
政府問(wèn)責(zé)局在報(bào)告中還提到，國(guó)際社會(huì)的持續(xù)性危機(jī)也可能影響到各級(jí)機(jī)構(gòu)的網(wǎng)絡(luò)安全框架實(shí)施進(jìn)展。
在報(bào)告中，美國(guó)衛(wèi)生與人類服務(wù)部（HHS）官員指出，“COVID-19疫情防控、抵御并恢復(fù)勒索軟件攻擊影響等事務(wù)已經(jīng)嚴(yán)重侵占各部門資源，也迫使管理者將注意力從框架實(shí)施轉(zhuǎn)向更為迫切的現(xiàn)實(shí)問(wèn)題?！?/p>
報(bào)告稱，目前有三家聯(lián)邦風(fēng)險(xiǎn)管理機(jī)構(gòu)在衡量NIST框架實(shí)施方面取得了顯著成功。以環(huán)境保護(hù)署為例，其下轄的地下水與飲用水辦公室官員提到，在146家要求自愿接受技術(shù)評(píng)估的自來(lái)水公司之內(nèi)，框架中所推薦安全控制措施的普及度提升了32%。
