3 Steps Government Policymakers Can Take to Reduce Critical Infrastructure Cyber Attacks

Recommendation: 建立跨部门风险登记系统，以识别互联公共系统中的风险敞口，然后协调各项政策，以增强保护并简化托管服务。.

行动 1： 构建和跟踪机构和私人合作伙伴之间统一的信息共享闭环，以识别许多风险，包括犯罪和敏感数据泄露。.

行动 2： 部署基于产品的保护方法和托管服务，以策略为基础，使您能够跟踪面向公众的系统的成本和效益。.

操作 3： 更新采购和内部政策，采用标准化控制，要求各机构报告当前正在发生的风险和事件，然后应用一般信息来为各机构自身的预算和项目更新提供信息。.

关键基础设施实用数据保护框架

实施针对关键服务网络的专门数据保护计划，应用正式的数据分类和持续监控，以应对不断上升的风险并打击持续入侵。.

通过绘制横跨网络空间的资产、数据流和用户旅程来了解威胁态势。根据 CISA 的建议，使控制设计与那些运营、依赖或依赖这些网络的人员保持一致，并通过强制执行分段和最小权限访问来维持连续性。.

采取深度防御方法：识别需要保护的数据，对静态和传输中的数据进行加密，并通过专用流程管理密钥。利用多因素身份验证 (MFA)、细粒度访问控制以及季度访问审查，同时在网络边缘和端点（包括医疗卫生服务和其他提供商）保持强大姿态。.

建立清晰的事件处理和报告规范：定义操作手册，每季度进行桌面演练，并及时向相关实体报告事件，以缩短潜伏时间并防止二次渗透。保持 24/7 全天候监控和快速遏制，以应对实时的网络空间活动。.

为 OT 和 IT 网络建立基于风险的数据保护基线

尽管情况紧急，但实施该基线既困难又必要。单一的全组织范围基线将 OT 和 IT 资产清单以及数据流整合到一个视图中。这一事实为管理者制定保护重要数据和降低电力和工业部门风险敞口的策略提供了依据。该基线应具有可操作性，并可在 60 天内开发完成，同时明确数据类别和流的优先级顺序。该计划有助于管理者了解风险点以及数据保护的价值。.

机构领导应委托制定一项国家标准，概括连接网络和工作人员的基于风险的基线。该框架必须是可衡量的，与现有合规性对齐，并按季度更新以反映真实事件和不断上升的威胁。数字犯罪激增，突显了正式基线的必要性。高价值资产和数据流的识别应由已确定的所有者完成，并能够快速将补救措施纳入执行计划。这确保了已识别的风险被纳入基线。.

主要行动包括：识别资产和数据流以弥补缺口；在可行的情况下，在OT和IT之间移动分段；对管理员和工程师强制执行最小权限访问；要求管理员帐户使用MFA；加密静态和传输中的敏感数据；对高风险项目实施30天补丁和固件更新周期；进行季度演练以测试响应；建立事件响应剧本。此举降低了风险敞口，并使组织更能抵御攻击者。.

为了衡量进展，应采用基于事实的仪表板：具有当前固件的已连接设备百分比、已分类数据流的百分比、事件的遏制时间以及平均恢复时间。过去一年的真实事件表明，整个网络中的威胁活动正在增加，尤其是在员工意识薄弱的地方。当控制措施在各个站点之间不一致时，遏制速度会变慢。总体趋势表明，与行业内的同行相比，具有明确基线的组织面临的违规行为更少，恢复速度更快。这种模式证实了治理和基线例程至关重要。.

持续监控和验证已识别的控制措施；委员会可以要求进行季度审计，并建立一个全国数据集来衡量整个行业的绩效。在实践中，一个管理良好、互联互通的网络即使面对复杂的威胁行为者，也能朝着弹性姿态发展。总而言之，基线对于一致的风险管理至关重要，并有助于员工理解数据保护在日常工作中的作用。.

在关键系统中强制执行加密、密钥管理和数据最小化

要求默认对静态和传输中的数据进行加密，部署集中式密钥管理，并在重要资产上实施自动数据最小化，以防止数据丢失并限制暴露。.

1. 跨重要资产的加密和密钥治理：

   • 默认对静态和传输中的数据进行加密，使用通过 FIPS 验证的加密模块；将密钥材料集中在硬件安全模块 (HSM) 或云 KMS 中，并进行自动轮换和严格的访问控制。分离职责，确保没有单一角色既可以访问数据又可以控制密钥；实施不可变的审计跟踪以支持事件分析。在需要时包含密钥托管，以防止丢失并实现恢复。利用您的技术堆栈来自动化跨所有存储库和通信的强制执行；krishnan 指出集中控制和定期验证加密实现可以增强韧性，并帮助识别黑客可能利用的弱点。.

2. 数据最小化和受控数据流：

   • 记录收集的数据类型并证明其对服务交付的必要性；对数据进行分类并应用保留期限；在可行的情况下进行匿名化或假名化处理；在定义期限后自动清除过期记录。限制与供应链中必要合作伙伴的共享，并要求传输过程中对传输进行加密；将主体数据保持在所需最低限度，并根据健康和其他部门的需求定制处理策略。展示其对经济的重要性，并利用这种方法来实现一些政策目标，同时减少风险敞口。.

3. 治理、监督和事件响应：

   • 设立一个跨部门委员会，以确定角色定义和责任；协调各经济体和部门（包括其他部门）的政策执行；整合关于黑客日益增长的威胁和攻击的情报；确保网络空间以及卫生保健和其他基本服务的治理；跟上不断变化的风险，并通过事件应对手册和演练发挥带头作用。记录所采取的行动，并应用经验教训及时弥补薄弱环节，以展示加强领导力的价值。.

对远程维护和供应商连接强制执行零信任访问

对远程维护和供应商连接采用零信任访问模型，要求每个交互都使用有效期短的凭据、设备姿态检查和持续会话验证。这种方法通过确保真实的身份、受控的访问以及跨系统的可审计活动，从而增强业务弹性。.

• 身份和设备验证：对每个供应商和技术人员强制执行基于证书的身份验证和 MFA；与单一身份提供商集成；要求从已注册设备进行持续的状态检查并将日志路由到集中式数据存储；应定期审查策略，以确认与风险偏好和角色期望保持一致。.
• 访问范围和最小权限原则：将每个供应商任务映射到定义的系统组合；应用基于角色的访问控制和有时限会话；将命令和数据暴露限制在绝对必要的范围内；这可在保持业务敏捷性的同时，显著降低影响。.
• 中介连接和会话控制：所有对核心系统的远程访问都必须通过具有相互TLS的安全网关或跳转主机；阻止直接的供应商连接；强制执行细粒度的会话边界，并在任务完成时自动终止；在不可变的日志中跟踪操作。.
• 监控、数据跟踪和审计：启用会话的持续监控；跟踪数据移动和配置更改；维护操作的可审计分解以供审查；为异常行为设置近乎实时的警报；确保数据目前可以为风险决策提供信息。.
• 生命周期、运行状况和开发技术管理：维护最新的资产和供应商组合清单；要求在将开发项目中的变更部署到生命支持系统之前，先在受控环境中进行测试； 监控系统运行状况并在可行的情况下自动进行修复。.
• 治理、监督和持续改进：与业务优先级保持一致；区IT团队和机构监督应纳入政策审查；不断改进技术和政策；跟踪绩效指标以及这些控制措施对更广泛技术组合的重要性；该框架应有助于该组合在增长时保持弹性。.

细分网络并实施持续监控，以及实时警报

在您的区域网络中实施分段拓扑，并在集中式管理控制台中部署连续的实时警报。通过将服务置于隔离区域并应用动态访问控制，这种方法将降低暴露风险。使用单一管理平面协调警报、策略更改和响应剧本，以便您的团队能够快速做出反应。.

首先绘制资产所在的区域地图，并确定哪些服务可以公开访问。 在每个区域，绘制暴露面和资产重要性地图。 对于每个区域，分配一个可信赖的供应商并实施严格的控制。 纳入威胁情报，以加强检测，并监控自上次选举以来最近的事实模式中的指标。 维护大量的的事件和经验教训，以便快速适应。.

通过受控边界确保服务保持连接：包括微隔离和零信任框架；实施功率受限访问。使用支持实时通知、用于遏制的自动化以及持续变更计划的托管安全堆栈。目的是防止单次攻击在多个区域和服务中传播，以防遏制失败。.

从国家层面来看，要与涵盖供应链、供应商风险以及选举等高压时期防御等重要规划的计划保持一致。安全团队一直在关注情报，应继续以情报为主导，并根据黑客当前攻击目标的威胁态势调整策略。重点关注大多数入侵始于暴露的服务和薄弱的配置这一事实；首先要弥补这些漏洞。.

为了量化进展，监测暴露级别、检测时间和遏制时间。使用区域仪表板，并根据情报和事实持续改进策略。维护早期的大量已验证的行动手册，包括来自戴尔和其他供应商的输入。为下一次攻击做好准备，并相应地调整分段。在世界各地，采用这些实践可保持电力和服务连接。.

构建事件响应、数据备份和恢复演练手册

确定区域特定运营中最重要的资产，并为数据、网络和卫生系统等主题领域指定负责人。创建一个专门的机构团队来运行事件响应、数据备份和恢复活动，并制定一份不同组织单位都能理解的策略。这种方法有助于政府制定标准和有针对性的行动，以便该计划能够在威胁出现时应对。程序适量，避免团队负担过重。.

构建数据备份操作手册，内容涵盖范围、频率、加密、异地副本和完整性检查。选择一款具有版本控制和气隙隔离的产品；每月测试恢复，并将结果记录在中央堆栈中以供安全审查。安排自动备份完全运行，并在恢复测试失败时发出警报，并了解每个数据层的运行状况。.

制定恢复剧本，明确关键服务的恢复时间目标 (RTO) 和恢复点目标 (RPO)。绘制网络依赖关系图，确定关键恢复顺序，并按优先级划分不同的组织单元和区域。使用标准化程序，确保恢复步骤可重复、可扩展，并符合机构、标准和政策。培训团队了解如何在演练期间执行计划并记录差距。.

演练计划：桌面演练、模拟入侵和实况恢复演练。安排演练时间；让来自政府、地区和组织的利益相关者参与。使用客观评分来评估检测和遏制时间、恢复时间和数据完整性；在简洁的事后行动报告中记录经验教训，并相应地更新剧本。.

治理和改进：维护一份不断更新的问题和改进目录；保持所有人都可访问的事件学习堆栈，确保数据保护和安全主题得到解决。与标准对齐并确定风险目标；测量健康指标，如平均识别时间、理解时间和恢复时间；这确保了区域范围内的可扩展弹性。.