您的安全计划准备好迎接 CISA 的网络安全战略规划了吗？

本文的一个版本曾发表于《福布斯》。本文已在此处更新并转载。


‍《网络安全战略计划》推动了大多数组织处理网络安全方式的重大变革，而开发人员在实现这些新目标方面处于独特的地位。

‍

美国网络安全与基础设施安全局（CISA）自 2018 年成立以来，不仅在保护美国关键基础设施和计算网络方面发挥了重要作用，其影响力和专业知识也已波及全球。该机构提供的全面建议、安全公告、漏洞报告和网络安全计划为可操作的最佳实践树立了全球标杆，凸显了新发布的《CISA 2023-2025 战略计划》在全球网络安全领域的重要性。

CISA 的影响力和成就也已远远超出了大多数政府机构所能达到的水平，考虑到它成立仅几年时间，这一点尤为难得。这在很大程度上归功于威胁形势的指数级增长，以及攻击者在入侵和利用尝试方面变得越来越熟练的事实。CISA 在打击网络犯罪分子和其他所谓威胁行为者的斗争中发挥了领导作用，有条不紊地跟踪趋势并就网络安全最佳实践提供建议。

然而，尽管该机构提供了诸多有益的建议和指导，但它此前从未发布过旨在为未来几年网络安全工作设定总体方向的全面战略计划。这不仅仅是又一个计划，而是一个许多组织都希望研究并最终实施的里程碑。该计划要求改变网络安全的处理方式，这可能会使遵循这些指导变得具有挑战性，但如果能获得正确的支持、工具和技能提升途径，开发社区将处于独特的有利地位，能够提供帮助。

全球网络安全最佳实践正迎来变革

乍一看，人们很容易从 CISA 战略计划中感受到某种挫败感，但 CISA 只是在承认一个事实：如果我们继续沿用现有的做法，我们将继续得到相同的结果。为了改善网络安全，需要进行全面的重大变革，包括来自当今软件和应用程序开发公司的变革。

将矛头指向软件（至少部分指向）是一个此前已被提出的概念。事实上，美国的《国家安全战略》明确指出：“糟糕的软件安全性极大地增加了整个数字生态系统的系统性风险。”CISA 战略计划为处理和解决这一困境制定了新的策略。

CISA 所倡导的网络安全领域最大的变化是要求软件制造商交付安全的产品。如果建立并落实了安全编码的最佳实践，那么软件中潜伏的漏洞（尤其是重大漏洞）就会大大减少，从而减少攻击者可利用的机会。诚然，零星的疏漏仍可能存在，需要通过勤勉的工作来发现和修复，但这与当前的现状相比是一个可控的命题：每天检测到的数百个漏洞让网络安全防御者不堪重负。CISA 在其计划中非常明确地指出，软件和其他技术的制造商需要对其自身产品的安全性负责。

CISA 战略计划指出：“作为一个社会，我们不能再接受这样一种模式：即每一种技术产品在发布时都是脆弱的，而沉重的安全负担却由各个组织和用户承担。技术在推向市场之前，应经过设计、开发和测试，以最大限度地减少可利用的缺陷。”

该计划进一步建议，这种新方法最终可能不仅仅是建议性的，并表示 CISA 将利用“一切可用手段来影响组织领导者的风险决策”。它还暗示，像 2022 年《关键基础设施网络事件报告法》（CIRCIA）这样目前管理网络事件报告的法律，可以作为一种模式，最终将对这些新法规的自愿合规转变为强制合规。无论如何，对于当今大多数制造软件和其他技术的公司来说，支持这一新指南都将大有裨益。

CISA 的指导代表了一个关键机遇

组织不应因可能出现更多法规而感到忧虑，而应抓住机遇，利用 CISA 战略计划来追求更好、更高质量的软件。这不仅是对合规性的呼吁，更是开发人员磨练技能并为构建更安全的数字环境做出贡献的机会。归根结底，生产安全的软件对每个人都有利，包括制造它的公司、依赖它的用户，以及数据被该软件或应用程序访问或存储的人们。如果构成大多数软件和应用程序的代码在进入生产环境之前尽可能地做到安全，那么最终只有攻击者会一无所获。

鉴于这一新方向，组织中的开发人员（他们编写或采购了所有代码）是实施更安全编码和努力遵守 CISA 计划的最佳切入点，这合情合理。但如果没有组织其他部门（尤其是高层管理人员）的支持，开发人员无法独自完成这项工作。让开发人员了解漏洞、如何编写安全代码以及如何在问题进入生产环境之前识别问题，将是组织最终承担起交付代码责任的关键，正如 CISA 所言，“确保在对手利用漏洞造成损害之前发现并修复它们”。

需要注意的一个关键点是，开发人员所需的培训相当高级。对于个人而言，要精通持续编写安全代码是一项艰巨的任务，而“打勾式”的合规措施根本无法胜任。开发人员需要高水平、敏捷的学习方法，提供实践性、易消化且持续的学习成果，作为整体安全意识计划的一部分，以确保他们具备维持新 CISA 计划所需安全水平的技能。

理想情况下，为准备 CISA 计划而进行的技能提升还应结合开发人员每天使用的许多先进方法和程序，例如敏捷开发原则。例如，在敏捷开发中，工作被分解为可管理的块，在持续的循环中一层层叠加冲刺。一个结合了敏捷实践的良好教育计划，可以帮助开发人员快速掌握支持 CISA 计划所需的技能，使他们几乎可以立即开始看到成效并更安全地进行编码。

好消息是，大多数开发人员都支持安全编码实践，并渴望帮助其组织遵守新的 CISA 指令。在对全球 1,200 多名活跃的专业开发人员进行的调查中，绝大多数人表示支持创建安全代码和在组织内建立更好的安全文化这一理念。

开发人员需要精准的教育路径和充分的支持。如果企业能够提供这些，不仅能提升代码的安全性，还能在合规或超越 CISA 新版网络安全战略规划所设定的指导方针方面占据领先优势。

这种安全文化的转型充满挑战，但也是重塑网络安全格局的绝佳契机。我们完全有能力创造一个更美好的世界，让改善我们生活的技术不再受攻击者困扰，不再被他们为了一己私利而不断利用。我们有能力阻止他们，而 CISA 的规划为实现这一宏伟且切实可行的目标指明了方向。