【国际视野】美国云安全工作组发布安全策略文件《云安全工作组建议路线图》

最近对美国政府云IT基础设施的攻击通常是由国家行为者实施的，这些攻击导致了大规模的数据泄露，影响了数百万条记录，同时也引发了人们对在国家安全和其他关键政府业务中使用云解决方案的担忧。随着越来越多的数据迁移到云中，攻击也随之升级，引起了人们对网络复原力和操作卫生方面缺陷的关注，特别是在认证流程和处理已知漏洞方面。

2023年 9月，MITRE、云安全联盟(CSA)、先进技术学术研究中心(ATARC) 和 IT采购咨询委员会 (IT-AAC)在内的四家非营利性公司发起成立了云安全特别工作组，以审查政府云基础设施，并提供应对威胁的解决方案。该工作组于12月举行了首次活动，与行业和政府参与者共同讨论政策建议，以确保国家关键云托管数字基础设施的安全。本文总结了这些专家为改进标准、实践和政策而提出的主要建议。右图从整个政府的角度总结了这些建议。

在加强联邦政府云计算安全方面存在重大机遇。政府和行业利益相关者都认为：

如果不采取合作的方式来解决云安全的这些改进问题，我们的国家将继续面临重大攻击，给我们的国家安全和关键政府任务带来不必要的风险。特别工作组认识到业界、管理和预算办公室(OMB)、总务管理局(GSA)、国防部(DoD)、国土安全部(DHS)、国家标准和技术研究院(NIST)等机构迄今为止在提供和保护政府云环境安全方面所做的重要工作。特别工作组向国会、白宫、联邦机构和行业提出了本建议路线图。

引入安全云采用立法，解决以下问题：

在国家网络安全总监办公室和联邦首席信息安全官的协助下，制定网络安全记分卡，其中包括实时指标，并利用行业的云安全衡量标准。

云安全工作组正在与政策制定者接触，帮助其考虑解决这些立法和行政政策改进问题。目前已安排在2024年召开更多工作会议，并计划就这些建议发布详细文件，提供具体的解决方案，以更好地保护不断发展且至关重要的云环境。积极推进工作计划为所有利益相关者制定一个定期会议时间表，欢迎政府和行业参与。