美国政府正式发布零信任战略,拟在2024财年前实现特定目标
2022-1-27 17:31:0 Author: www.freebuf.com(查看原文) 阅读量:6 收藏

freeBuf

主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

美国当地时间1月26日,白宫发布了最终零信任战略,要求在2024年财年前“实现具体的零信任安全目标”,这将是业内首个国家级零信任架构

这项战略由白宫管理与预算办公室(OMB)发布,备忘录编号为M-22-09。此次公告是2021年9月发布首次草案后的正式政府文件,其制定授意来自拜登的第14028号总统行政令。该战略是落实该行政命令的关键一步,其重点是在整个政府范围内启动零信任框架迁移,大幅降低针对联邦政府数字基础设施的网络攻击风险。

该战略共计30页,计划列出了联邦机构在未来两年内需要采取的数十项措施,包括更严格地网络分割、多因素认证和广泛地加密,以确保系统安全,并限制安全事故的风险。

该战略对设联邦政府提出了以下几点展望:

联邦政府人员拥有企业管理的账户,供其访问工作所需的资料,同时还能保护其免于针对性、复杂性的网络钓鱼攻击。

联邦政府人员使用的工作设备被被持续跟踪和监控,而且在授予内部资源访问权限时,也应考虑到设备的具体安全状况。

各代理系统之间相互隔离,往来于不同系统及同一系统内部的网络流量应经过可靠加密。

企业应用程序需经过内部和外部进行测试,确保可通过互联网安全地交付给雇员。

联邦安全团队和数据团队共同合作规划数据类别和安全规则,以实现自动检测并最终阻止对未经授权访问敏感信息。

战略中提到,政府机构必须在2024财年结束前满足特定的网络安全标准和目标。各部门有60天或120天的时间来任命领导,领导将执行这些措施,并根据敏感性对某些信息进行分类。

据了解,此次修订部分受启发于 SolarWinds攻击事件,该活动潜入美国司法部、国土安全部和其他部门的非机密网络,且几个月都未被发现。OMB表示,新版本纳入网络安全专业人士、非营利组织和私营企业要求的更改。最终确定的战略包括强调体系访问控制,包括多因素身份验证以及加密所有DNS和HTTP 流量。

白宫表示,复杂的网络攻击威胁日益增长,强调联邦政府不能再依靠传统的外围防御来保护关键系统和数据。

网络安全与基础设施安全局(CISA)局长珍·伊斯特利表示,零信任是政府现代化和加强防御的一个关键因素。

伊斯特利表示,“随着我们对手的攻击和破坏方式不断创新,我们必须继续从根本上改变我们对待联邦网络安全的方式。”


文章来源: https://www.freebuf.com/articles/database/321032.html
如有侵权请联系:admin#unsafe.sh