利用《政府技术现代化法案》改善网络安全（现在）

2017 年《政府技术现代化法案》（MGT 法案）签署成为法律，其目的是为各机构提供资金用于其 IT 现代化工作，包括网络安全方面的工作。 各机构可以申请技术现代化基金的资助，该基金旨在帮助他们摆脱传统系统并投资于敏捷、变革性的技术。

事实证明，MGT法案的建立比任何人想象的都更有远见。

由于 COVID-19，对传统网络安全系统进行现代化改造和迁移到云端的需求大大加速。 此次疫情还为阴险的黑客打开了大门，他们利用勒索软件、DDoS/DoS 攻击等各种手段利用漏洞。 事实上，今年早些时候，美国 美国国土安全部和英国国家网络安全中心发出严厉警告，称恶意软件和勒索软件数量有所增加。

当然，安全威胁早在新冠疫情爆发之前就已经开始上升。 根据Verizon在疫情初期发布的一份报告，勒索软件占公共部门恶意软件事件的 61%，其中 33% 的违规行为是由内部人员造成的。 美国网络安全和基础设施安全局 (CISA) 在 2020 年初发布的一份报告中指出，“外国网络攻击分子继续利用公开已知的（通常是过时的）软件漏洞，攻击广泛的目标群体，包括公共和私营部门组织。”

没有周界

但是，COVID-19 扩大了攻击面。 远程工作如今已成为常态，用户越来越依赖基于云的应用。 随着越来越多的政府雇员在家办公，容量和安全需求已使系统和流程不堪重负。

这些因素对负责保护日益分散的网络和一系列潜在易受攻击的应用的IT 安全团队提出了挑战。 以前他们可能依赖传统的安全解决方案来保卫其网络边界，但如今基本上已经不存在边界了。

因此，组织应该考虑将 MGT 法案资金投资于多种形式的动态保护，以确保它们在不同方面的安全。 例如，监控特权用户访问和实施身份管理协议可确保只有合适的人才能访问网络和高度敏感的信息。 同时，应用安全工具提供针对 API 漏洞、注入、跨站点脚本攻击等的保护。

组织还必须确保其安全策略在多云或混合云平台上一致，这可以提供极大的灵活性和成本效益，但也会带来巨大的复杂性。 不同的云提供商遵守不同的政策 - 包括确立客户对数据安全负责的共享责任模型 - 因此，要清楚了解跨多个云的应用安全性可能具有挑战性。 在本地和各种云环境中实现安全性自动化可以确保应用遵循相同的策略并且无论位于何处都能保持安全。

成功的框架

当各机构考虑将可用资金投资于新的网络安全技术时，他们也应该开始构建网络安全框架来帮助他们使用这些技术。 美国国家标准与技术研究所 (NIST) 网络安全框架是一个理想的起点。

NIST 网络安全框架通过采用整体生命周期风险管理方法帮助机构建立更好的风险管理实践。 根据 NIST 制定的指导方针，各机构通过五项核心功能不断评估和降低风险：识别、保护、检测、响应和恢复。 上述技术非常适合所有这些类别，因为它们提供了对潜在漏洞的可见性以及在发生违规时采取补救措施的方法。

NIST 网络安全框架是一个有用的工具，因为它为组织提供了一个标准化的结构，通过该结构他们可以创建高度适应的安全程序。 它提供了灵活性，因此组织可以根据自己的独特需求进行定制，同时提供管理风险和解决漏洞的通用蓝图。 组织可以将自己的安全政策纳入框架，同时利用 NIST 推荐的标准和最佳实践。

不要付出代价

根据 Ponemon 最近的一份报告，数据泄露的平均成本高达惊人的 386 万美元。 这是令人震惊的，特别是考虑到由于疫情导致预算不断紧缩，许多组织（包括政府机构）现在被要求用更少的资金做更多的事情。

显然，无论从字面意义还是象征意义上来说，各机构都不能放松警惕。 现在是时候将《MGT法案》提供的部分资金投资于现代自动化网络安全解决方案，以防御不断演变的威胁，从而节省数据和数百万美元。 详细了解F5 解决方案如何帮助联邦机构保护其网络、降低成本并成功完成其任务。

作者：F5 联邦解决方案工程负责人 Michael Coleman