主动防御：利用《国家网络安全战略》实现高级威胁预防

本文最初作为 福布斯技术委员会 内容的一部分发布。现已更新并在此联合发布。

‍

你认为 2022 年有多少数据记录遭到泄露？如果你的猜测在 5 亿左右，那就离事实不远了。根据公开的泄露数据，仅去年一年就有约 480,014,323 条记录被窃取，而实际数字可能远不止于此。无论如何，对于普通公民来说，这是一个令人警醒的统计数据，对于任何企业安全专业人士而言，这都深感忧虑。

我们已经到了这样一个地步：发达国家的大多数人可能都曾因成功的网络攻击而导致部分个人数据落入犯罪分子之手，因此各国政府寻求解决方案以遏制这种破坏性的网络犯罪活动流向是顺理成章的。拜登政府推出的最新举措是 《国家网络安全战略》，我正密切关注。该战略中包含了一些关于我近期最关注的话题之一的指令：安全问责制。

该战略在 CISA 网络安全与基础设施安全局局长 Jen Easterly 发表 开创性演讲 后发布，在安全界引起了一些分歧，这在情理之中。然而，我相信这是我们全面提升软件标准，并最终开启安全技能型开发人员新时代的最佳契机。

供应商 一直 都应为不安全的软件承担责任。

几十年来，在软件安全方面，问责制一直是一个没人愿意接手的烫手山芋。高管和团队往往在谁最终负责软件安全的问题上存在激烈分歧。 Venafi 的一份报告显示，97% 的高级 IT 高管认为软件构建流程不够安全，但在谁最终负责落实安全最佳实践方面存在分歧。61% 的高管认为 IT 安全团队应承担软件安全责任，而 31% 的人认为这应该是开发团队的职责。这还只是问题的一部分：软件构建中开源和第三方商业组件的使用，不断扩大了攻击面。即使在应用安全（AppSec）和安全团队之间，也很少有明确的“负责人”，尽管在更新、监控和测试方面需要持续保持警惕。

同一项调查还显示，尽管内部对于谁应为软件安全和完整性负责存在冲突，但 94% 的高管认为，对于未能保护其构建流水线免受威胁行为者侵害并使客户和最终用户面临风险的软件供应商，应该进行处罚。

随着 近期 Uber 前首席信息安全官因处理 2016 年毁灭性网络攻击不当而被起诉，以及 GDPR 等监管举措的实施，我们正逐渐看到那些因忽视安全而玩火的供应商所面临的风险在增加。然而，这还远远不够。我们正在输掉与网络犯罪分子的较量，虽然难以接受，但正是软件供应商的松懈做法为他们提供了蓬勃发展的无限机会。

《国家网络安全战略》试图划定界限，通过将不安全软件的全部责任归咎于供应商，来终结这种循环推诿的局面。

让我们来看看：

战略目标 3.3 — 转移不安全软件产品和服务的责任：

“太多的供应商‘忽视安全开发最佳实践，发布具有不安全默认配置或已知漏洞的产品，并集成来源未经审查或未知的第三方软件。

我们必须开始将责任转移给那些未能采取合理预防措施来保护其软件的实体，同时认识到即使是最先进的软件安全计划也无法预防所有漏洞。”

这引起了一些不满，是可以理解的。但正如大多数行业在制定标准和法规时的其他决定性时刻一样，这是为了确保长期更好的结果而必须经历的阵痛。作为一名软件供应商，我认为在安全问题上，责任必须由我们承担。这是我们的构建流水线、我们的流程和我们的质量控制，如果我们出了差错，那么补救就是我们的责任。

此外，我们应该致力于创造最高质量的软件，安全编码必须成为定义成功结果的指标之一。在一个不惜一切代价追求速度的世界里，实现这一点要求很高，但引导我们未来的安全领导者有责任确保软件开发过程中的每个人，尤其是开发人员，都接受过充分的培训，以在其角色中落实安全最佳实践。

我们仍然缺乏关于长期最佳实践的指导。

战略目标 3.3 确实提到了广受认可的 NIST 安全软件开发框架 作为其通用最佳实践的基础，这些指南全面且包罗万象。它们确实明确了需要“确保组织的员工、流程和技术能够在组织层面执行安全软件开发”，但对于例如安全意识经理在选择赋能解决方案时应注意的因素，并没有特别具体的规定。

为了使该方法真正具有变革性，开发人员应被视为安全计划不可或缺的一部分，并获得一切机会来提升技能，共同承担漏洞检测和根除的责任。如果缺乏高度相关、情境化的学习和工具，或者如果这被视为年度合规练习而非持续的技能发展路径，他们就无法以可衡量的方式实现这一目标。

在破解安全难题时，开发人员是拼图中强有力的一块，而一支具备安全技能的开发团队本质上是大多数组织所缺失的要素。他们使高速安全成为可能，但这需要投入时间和资源来激发团队潜力。在此之前，世界上所有的通用最佳实践指南都无法带来实质性的改变。

通往软件安全理想境界的漫漫长路。

拜登政府 已承诺向 CISA 提供 30 亿美元资金，旨在实现关键基础设施的快速韧性。虽然来自政府最高层的资金和支持至关重要，但要让我们有机会阻止威胁行为者，就需要全球共同努力，重写安全文化的故事。

前路漫漫，但这一切始于每一位软件供应商在组织层面迈出迈向安全问责制的第一步。