【国际视野】美国政府问责局发布《网络安全和基础设施安全局持续诊断与缓解计划》报告

国土安全部建立了CDM，以支持整个政府和特定机构提供充分的、基于风险的和具有成本效益的网络安全。CDM计划的目标是：

该计划旨在让联邦机构实现网络监控自动化，关联和分析与安全相关的信息，并在单个机构和联邦层面加强基于风险的决策。如图1所示，自动化工具将连接到机构网络的硬件设备信息（包括任何相关软件）发送到收集点。收集点将信息与预期结果进行比较，如实际设备配置设置是否符合机构或联邦基准。

然后，这些比较结果会被发送到机构的电子可视显示屏上，称为机构仪表盘。每个机构仪表盘都会被联邦仪表盘查询，联邦仪表盘由CISA 管理，为各机构提供整个联邦文职行政部门的可见性。

图1:持续诊断和缓解计划数据流

国土安全部将CDM划分为四个能力领域：资产管理、身份和访问管理、网络安全管理和数据保护管理。国土安全部进一步将每个能力领域细分为旨在支持每个领域的子能力。图2描述了支持 CDM计划的能力领域。

图 2：持续诊断和缓解能力领域

每个能力领域都使用工具将数据输入机构和联邦仪表板。

CDM工具。CDM计划以较低的成本向各机构提供工具。具体来说，这是因为各机构可以集体而非单独购买工具。尽管如此，各机构仍可自行决定使用其他工具来满足该计划的要求。

机构CDM 面板和国土安全部联邦CDM 面板。CDM计划为每个机构提供一个仪表盘，用于接收、汇总和显示来自其网络上安装的CDM工具的信息。机构仪表盘将生成警报，通知仪表盘用户需要立即关注的关键问题。如前所述，机构仪表板中的数据可从由CISA 维护的联邦仪表板中查询。

清洁发展机制计划要求负责实施该计划的多个利益相关方之间相互协调。每个利益相关者在计划中都有特定的角色和责任。

2023年，CISA在其CDM 技术能力卷2，第2.5 版中发布了一套管理CDM计划的功能要求更新。该文件旨在作为工程基线，提供给各机构和CDM 集成商，供其在合同活动中开发CDM解决方案时使用。集成商应使用功能要求来开发一整套系统级要求，包括额外的部署考虑因素，如机构需求、政策和/或环境限制。

此外，OMB已将CDM 纳入整个政府的FISMA 报告和网络安全指南。例如：

2020年8月，问责局报告称，3个选定机构已普遍部署了旨在提供网络安全数据以支持CDM 计划的工具。然而，这3个机构中没有一个有效实施了与资产管理计划能力相关的所有关键CDM计划要求。

我们向国土安全部提出了6项建议，包括确保承包商提供唯一的硬件标识符；向联邦航空管理局、印第安人健康服务局和小型企业管理局各提出了3项建议，包括将配置与基准进行比较。国土安全部已实施了所有6项建议，联邦航空管理局和小型企业管理局各实施了3项建议。

截至2025年5月，印第安人健康服务署仍在落实问责局向其提出的3项建议中的两项。其余的建议包括记录硬件库存信息以及将配置设置与联邦基准进行比较。

根据CISA，CDM计划的目标是：

CDM正在实现其中的两个目标，即减少机构的威胁面和提高网络安全响应能力，同时部分实现了其余两个目标。进一步的努力可以实现所有四个目标，降低联邦机构面临的网络安全风险。

CDM正在实现减少机构威胁面的目标。CDM计划采购并部署了监控设备、传感器和工具、仪表盘以及网络运营服务。这些要素结合在一起，形成了持续识别网络安全风险并对其进行优先排序的能力，同时使网络安全专业人员能够管理和降低政府数据和网络的风险。这反过来又使各机构能够降低其受到攻击的风险。

各机构CDM官员普遍认为该计划正在实现这一目标。具体来说，23个机构中有 22个机构的官员认为 CDM计划有助于降低其机构的威胁面。例如，四个机构的官员表示，虽然所有潜在的威胁载体仍然存在，但他们的机构拥有更多的能力。

CDM正在实现提高联邦网络安全响应能力的目标。该计划制定了操作要求，以便实时确定修复活动和资源的优先级。

23个机构中有14 个机构的官员认为，CDM计划至少在一定程度上提高了他们机构的网络安全事件响应能力。例如，14个机构中有4个机构的官员表示，CDM计划通过提供实时监控和自动威胁检测，提高了机构的事件响应能力。

其余9 个机构中有4 个机构的官员告诉我们，在CDM计划的允许下，他们正在使用自己的替代响应能力。三个机构的官员可能也在使用自己的响应能力，但他们没有向我们提供这方面的信息。其余两个机构没有分享他们对事件响应改进的意见。

CDM部分实现了提高网络安全可见度的目标。CISA开发了一个仪表板供参与机构使用，旨在整合CDM 工具收集的信息并使其可视化。该计划还开发了一个联邦仪表板，使CISA 和OMB能够看到整个政府通过该计划收集的机构网络安全信息。仪表盘旨在将每个能力领域的信息可视化，让人们深入了解与资产、用户、网络和数据相关的网络安全状况。

然而，《首席财务官法案》23个民事机构中有21个机构的官员表示，他们尚未完全实施网络安全管理和数据保护管理领域的能力。据一些机构的官员称，他们正在等待CISA 就这些能力提供更多指导。图3显示了有多少所选机构认为其CDM 能力领域的实施处于运行和维护阶段。

图3：23个民用首席财务官法案机构在运营和维护阶段的持续诊断和与缓解能力

据CISA 称，联邦CDM 项目管理办公室打算在2025 财年（FY）重新确定网络安全管理和数据保护管理能力 领域的优先次序并进行改造。这将包括重新评估该计划当前的网络市场和市场中的产品，以及修订CDM 能力目录，使其采用与政府优先事项（如零信任）相一致的适当安全技术。CISA计划最早在2025 财年与准备就绪并有意愿的机构启动试点项目，但该机构尚未承诺这样做的具体时间框架

在CISA 发布进一步指南以优先实施该计划的网络安全管理和数据保护管理能力之前，各机构的CDM 解决方案有可能存在明显的可见性差距。

CDM计划提供的数据收集和可视化功能为各机构提供了自动收集和报告所需数据的能力。因此，CDM提供了将曾经的手工流程简化为FISMA 报告自动化流程的机会。

一些机构报告称，CDM简化了FISMA 报告。例如，4个机构的官员报告说，CDM计划帮助该机构实现了FISMA 报告要求的自动化。

但是，有7个选定机构的官员报告说，其不得不手动编辑FISMA 报告中不正确的数据。具体地说，其中3个机构的官员报告说，他们不得不100% 地更正数据。其余4个机构的官员报告说，他们不得不在20%到50%的时间内进行修改。

为了帮助解决数据质量问题，联邦CDM 项目管理办公室更新了数据质量管理计划，旨在帮助减轻一些数据质量问题。此外，由于CDM解决方案需要高度的互操作性才能正常运行，因而具有固有的复杂性，项目管理办公室还制定了一套新的活动，其中包括直接关注数据相关问题的独立任务和资源。CISA的 2025财年数据质量管理计划指出，CDM数据管理小组应向CDM 领导层和OMB报告数据质量评估结果。此外，该小组还将分析和实施新的数据分析工具，供小组在数据质量评估过程中使用（如异常检测和可视化）。

虽然CISA 已制定了数据质量管理计划，其中包括质量阈值，但该计划并不包括解决数据质量问题的 里程碑。尽管 CISA已制定了数据质量管理计划，其中包括质量阈值，但该计划并未包括解决数据质量问题的阶段性目标。在CISA 制定持续解决数据质量问题的阶段性目标之前，CDM计划将无法完全实现其简化FISMA 报告的目标。

CISA和 OMB表示，CDM旨在支持其他政府范围内的网络安全计划。这些计划包括ZTA、EDR和云资产管理。CDM总体上支持ZTA 的实施，部分支持EDR 计划和机构云资产管理。

ZTA要求机构全面了解其IT环境中交互的设备、用户和系统。对于大多数企业而言，创建并长期维护完整的清单需要能够支持动态发现和编目资产的工具。OMB的零信任战略要求持续、可靠和完整的资产清单，包括利用CDM 计划。

清洁发展机制的资产管理计划领域如能有效实施，应能使各机构建立持续、可靠和完整的资产清单。该计划的各项内容应支持机构实施零信任原则。例如：

此外，清洁发展机制项目管理办公室官员表示，他们正在努力使清洁发展机制项目要求与零信任倡议保持一致。具体而言，官员们表示，他们将努力使计划要求与相关的OMB 备忘录保持一致，只要这些备忘录适用于CDM。

许多选定的机构表示，CDM总体上有助于支持他们实施ZTA。图4 显示了每个选定机构的官员认为CDM 对支持其ZTA 部署的帮助程度。

图4：持续诊断与缓解(CDM) 计划对支持零信任架构计划的有用性

端点检测和响应(EDR) 提供端点设备的网络安全监测和控制。EDR是 CDM计划网络安全管理能力领域的子能力。

OMB指导要求CISA 与各机构合作，帮助提高政府范围内的端点检测和响应能力：

根据OMB 的要求，CISA开发了持久访问能力（PAC）。该计划旨在提高CISA 对机构EDR 解决方案的可见性。具体而言，PAC将使 CISA能够更好地支持网络威胁猎杀活动，以及CISA 或其机构合作伙伴正在领导的检测和响应活动。如果该计划得到有效实施，将有助于通过集中的EDR 计划实现整个政府的可见性。

此外，大多数选定机构认为CDM 支持其EDR 计划。图5显示了CDM 官员认为CDM 在支持其EDR 计划方面的作用。

图5：持续诊断和缓解(CDM) 计划在支持端点检测和响应计划方面的作用

然而，CISA尚未完全实现政府范围内对机构电子数据记录解决方案的可见性。CISA官员表示，截至2025 年3月，并非所有机构都已加入PAC。具体而言，据CISA官员称，有5个《首席财务官法案》机构已完全加入，另有五个《首席财务官法案》机构已部分加入PAC。这些官员强调，入职是当务之急，但各机构必须愿意参与该计划。在CISA 将选定的机构纳入PAC 计划之前，CISA无法全面了解整个政府的端点安全情况。

云计算为各机构提供了更有效地获取IT 服务的潜在机会。如果不能有效实施，也会带来网络安全风险。

OMB要求 CISA更新CDM计划，以更好地支持面向云的联邦架构。CISA官员表示，该机构正在开发一个解决方案，旨在协助各机构清点和保护机构环境中的云资产。官员们还解释说，例如，该计划将包括更好地说明云资源供应情况的功能，以及如何清点和保 护这些资源。此外，官员们还表示，该计划还将包括合规性管理、漏洞管理和云工作负载的实时威胁检测。

此外，CDM项目管理办公室官员解释说，CISA正在按照OMB 的要求开发其解决方案。官员们表示，该计划计划于2025 财年开始实施。如果该计划得到有效实施，将能增强CDM 在云中管理资产的能力。

美国政府问责局关于循证决策的指南指出，除其他事项外，各机构应确定实现目标的战略和相关资源。然而，截至2024 年12 月，CDM项目管理办公室的官员表示，CISA正在积极修订额外云活动的计划，以调整该机构当前的战略，并更有效地调整资源，以加强CDM 的云服务。2025年 5月，CISA向我们提供了一份高级战略，但并未确定实现其目标所需的资源。

虽然CISA 官员表示额外的云活动是一个优先事项，但五个选定机构认为CDM 在支持云资产管理方面没有任何帮助。图6显示了所选机构的官员认为CDM 在支持其云资产管理方面的帮助程度。

图6：CDM计划在支持云资产管理方面的作用

CISA官员解释说，由于资金的不确定性，很难确定与云相关的其他工作的时间框架。尽管如此，在CDM计划更新其战略以纳入所需资源、实施该战略并为各机构提供进一步指导之前，该计划对云资产安全的保证将大打折扣。

CISA正在努力解决各机构在实施清洁发展机制过程中面临的挑战。该机构还在努力寻找更多的机会来改进该计划。

各机构报告了在实施清洁发展机制项目过程中遇到的挑战。图7 列出了这些挑战。

图7：实施CDM计划要求所面临的挑战

CISA正在采取行动应对这些挑战。这些挑战包括：

尽管各机构在执行计划要求方面面临挑战，但它们对联邦清洁发展机制项目管理办公室 回应各机构所发现问题的方式普遍表示满意。此外，在21 个选定的机构中，有17个对项目管理办公室解决机构提出的问题的情况表示满意或非常满意。通过持续的响应和解决问题的努力，CISA的行动应有助于缓解与资金和持续运营及维护费用、人员更替和集成商经验下降相关的挑战。

各机构指出了其他改进CDM 计划的机会，CISA正在努力解决这些问题。例如：

为CDM面板添加其他功能。部分机构表示有兴趣为机构仪表盘添加其他功能，如自定义可视化和其他数据源。CISA官员表示，项目管理办公室一直在寻求解决方案，以便在可集成到CDM 的数据类型和来源方面为各机构提供最大的灵活性。此外，CISA官员表示，该机构定期更新CDM面板，使其与各机构的业务更加相关，并允许各机构实施自定义数据字段和可视化，以跟上不断变化的联邦优先事项。

CDM计划正在实现其中两个目标，并部分实现了另外两个目标。然而，就可视性目标而言，额外的指导可以大大改进网络安全管理和数据保护管理能力的实施。此外，尽管CDM项目管理办公室已制定了解决数据质量问题的计划，但该计划缺乏确保问题得到持续解决的里程碑。减少这些问题将有助于该计划实现简化FISMA 报告的目标。

关于参与CDM 计划持久访问能力(PAC) 的机构，CISA无法了解整个政府的机构端点检测和响应能力。此外，由于CDM项目管理办公室尚未更新和实施其有关计划内云资产管理的战略，因此各机构对其云资产将受到保护的信心不足。通过让各机构加入PAC 并提供更新的云指导，CISA可以使各机构加强政府范围内的端点检测和响应以及云资产管理。