网络安全与公共部门技术风险

这为何对公共价值重要

当一家医院的系统被攻击者加密时,临床医生无法看到用药史,救护车被转移,手术被取消。当一家自来水公司的控制系统被攻破时,真正处于危险之中的公共价值,不是一次服务器中断,而是饮用水的安全。当一个福利机构的数据库被侵入时,最容易受到伤害的人,往往正是最没有能力承受其后果的人:一笔延迟的付款、一次被盗的身份、一个无法向欠着它支持的国家证明自己身份的家庭。计算机安全,通常被称为网络安全,是保护计算机系统、网络与数据免受未经授权的访问、破坏或损害的实践。在公共机构中,这项实践直接位于国家与它所服务的公民之间的路径之上。

这正是本主题把网络风险构建为一个公共价值问题、而不仅仅是一个技术问题的原因。合法性与支持,取决于公民相信持有他们数据、运行他们基本服务的机构,能够被信任让二者都保持安全(见主题1.2——战略三角:合法性、价值与能力)。一次被广泛报道的数据泄露,能够对这种信任造成持久的损害,与一次处理不当的紧急情况造成的损害如出一辙,因为公民评判各机构,依据的既是它们日常的表现、也是它们在攻击之下的表现(见主题3.12——危机、紧急情况与韧性管理,那里把网络事件当作韧性这门更广泛学问中的一个类别来处理)。网络安全也与数据治理密不可分:一个机构无法保护它不知道自己持有的东西,而从数据中创造公共价值的互操作性与开放性,同样也扩大了攻击者能够利用的攻击面(见主题5.4——公共部门数据、互操作性与开放数据)。

资源配置问题对公共与社会部门而言是尖锐的、特有的。大型国家机构越来越多地拥有专门的安全团队与企业级预算;而服务于一个小镇的水务局、一个区域医院信托机构,以及一个运营家庭暴力庇护所的地方非营利组织,通常没有,尽管它们持有的数据敏感程度堪比、甚至超过任何一家银行。攻击者知道这一点。资源不足的公共机构,在本主题中不是一个边缘情形;它们接近本主题的核心,因为今天面对这种风险的中位数公共机构,不是一个国家部委,而是一个小型地方政府、一家区域公用事业公司,或一家只有几名信息技术员工、根本没有安全专家的慈善机构。

最后,这是一个真实而不断恶化的问题,而非假设性的问题。勒索软件行动越来越多地针对地方政府、医院、学校与社会部门组织,恰恰因为它们结合了敏感数据、基本服务、对停机的低容忍度,以及相对薄弱的防御——这种组合让它们更有可能付款,也更不可能在一开始就阻止这次攻击。对于这一类组织而言,把网络安全当作一项专家附加事项、而非一项治理层面的公共价值承诺来对待,近乎一种邀请。

核心概念

关键基础设施是一套系统与资产——能源、水、交通、医疗保健、金融、通信——重要到它们的丧失能力或毁坏,会对安全、经济,或公众信心造成使人衰弱的影响。关键基础设施保护,是同样针对物理与数字威胁保护这些系统的学问;它在这里之所以重要,是因为许多后果最严重的公共部门网络事件,不是对抽象数据的攻击,而是对维持物理基础设施运转的运营技术的攻击,这与维持记录、处理交易的信息技术是不同的。

威胁行为者是任何可能试图侵入一套系统的个人、团体或国家;在公共部门,这些行为者的范围,从出于经济动机的犯罪团伙,到追求间谍活动或破坏的国家资助行为者,而同一个机构可能同时面对着二者、却带着截然不同的目标。勒索软件是恶意软件,加密一个组织的数据或系统,并索要赎金以换取解锁;它已经成为对公共机构的主要威胁,恰恰是因为基本服务无法容忍长期停机,这提高了付款的压力。网络钓鱼是一种社会工程形式,攻击者欺骗员工泄露凭证或安装恶意软件,通常通过欺骗性电子邮件进行,它仍然是攻击者最先获得立足点最常见的方式,因为它针对的是人、而非技术。

数据泄露是未经授权访问、披露或丢失信息,无论是通过一次外部攻击、一位内部人员,还是像一个被错误配置、向互联网开放的数据库这样简单的人为失误。供应链攻击通过针对目标组织所信任的一个安全性较弱的供应商、软件供应商,或托管服务提供方,间接地侵入这个组织;这些攻击对公共部门格外危险,因为如此多的公共机构共享着同样为数不多的几家软件供应商,这意味着一次供应商的沦陷,可能同时级联到数百个机构之中。

网络卫生是一套常规实践——及时打补丁、强制执行强身份验证、限制谁能访问什么、备份数据并测试这些备份的恢复——它们能够在不需要任何奇特工具的情况下,防止绝大多数成功的攻击。大多数数据泄露利用的是已知的、未打补丁的漏洞,或薄弱的凭证,而非新颖的技巧,因此一个组织实际的网络卫生与它宣称的政策之间的差距,通常比它风险登记册上所指名的威胁的复杂程度,更能预测它的风险。

零信任架构是一项安全设计原则,主张任何用户或设备都不应该被默认信任,即便是在一个组织自己的网络内部,而每一次访问请求都必须被验证,无论它源自何处。它在公共部门指导中已经变得具有影响力,因为它比一个信任已经处于边界之内的一切事物的老旧模型,更符合现代政府工作的实际发生方式——员工、承包商与公民从许多设备与地点访问服务。

计算机安全事件管理,通常被称为事件响应,是侦测、遏制、消除并从一次安全事件中恢复的有组织流程,随后是对是什么让它发生的一次审查。披露义务是一项法律或监管义务,要求在个人数据或关键服务受到侵害时,在明确规定的时间内、按明确规定的标准通知受影响的个人、监管者或公众,其逻辑是,公民与监督机构有权知道自己的数据或自己的基本服务何时被置于风险之中,而及时的披露能让人们保护自己。

最佳实践

1. 把网络安全当作治理机构的责任来对待,而非一项被下放的技术职能。 董事会、议会与执行团队应该定期收到关于网络风险的平实语言简报,并直接批准它的预算,而不是任由它在一条更宽泛的信息技术支出科目内部被协商,在那里,它是最容易被削减的东西。
2. 在决定如何保护它之前,先盘点你持有什么、什么依赖于它。 一个组织无法保护自己没有绘制出来的数据或系统;一份对照别处所涵盖的互操作性与数据治理工作交叉参照的当前资产与数据清单(见主题5.4——公共部门数据、互操作性与开放数据),是这份清单上每一项其他实践的前提条件。
3. 在为任何高级事物花钱之前,先在各处应用基础措施。 补丁管理、多因素身份验证、经过测试的备份,以及最小权限访问控制,能阻止绝大多数现实世界的攻击;一个尚未具备这些的公共机构,不应该优先考虑威胁情报订阅或定制的监测工具。
4. 采用一套公认的框架,而非自行发明一套。 诸如美国国家标准与技术研究院的网络安全框架这类框架,提供了一套共享的词汇与一套结构——识别、保护、检测、响应、恢复——一个小型组织可以以简化的形式采用它,一个大型组织可以完整地采用它,而无需重新发明基本的分类法。
5. 在小型组织之间汇集资源,而非各自独立购买。 一项共享的安全运营服务、一个区域网络事件响应联盟,或一套行业范围的采购框架,能给一群小型地方政府或非营利组织带来它们中任何一个都无法单独负担的保护——这是对本主题所关注的资源不足问题最直接的单一答案。
6. 在事件发生之前写好事件响应计划,并加以演练。 一份在一次正在发生的攻击期间第一次起草的计划,是一份由从未测试过它是否真的有效的人在恐慌之中仓促起草的计划;一份至少每年演练一次的计划,能把混乱的第一个小时,变成一系列已知步骤的排练序列(关于这门更广泛学问的完整论述,见主题3.12——危机、紧急情况与韧性管理)。
7. 提前决定披露与付款政策,而不是在事件发生期间才决定。 这个组织是否会考虑支付赎金、谁有权做出这个决定,以及受影响的人将如何、何时被告知,都应该是经董事会批准的政策,而不是在一次正在进行的勒索要求压力之下临时做出的决定。
8. 对网络加以分段,使一次沦陷不会变成全面沦陷。 让控制物理基础设施的运营技术与一般办公信息技术分开,并把高敏感度系统与低敏感度系统分开,能限制一个通过某个薄弱点侵入的入侵者能够走多远。
9. 像管理内部风险一样严格地管理第三方与供应链风险。 在与软件供应商与托管服务提供方的合同中,要求安全保证、审计权条款,以及事件通知义务,因为越来越多的重大公共部门事件,起源于一个受信任的供应商、而非一次直接攻击。
10. 投资于人、而不仅仅是工具。 定期的、现实的培训——包括模拟网络钓鱼演练——能够可衡量地减少成功的社会工程攻击,而在一个小型组织中留住哪怕一两名熟练的安全人员,通常比同等金额花在额外的软件许可证上更有价值。
11. 诚实地汇报事件,并把险些酿成的事故当作免费的教训来利用。 一种因为员工汇报了一次疑似泄露而惩罚他们的文化,保证了下一次泄露会被延迟汇报、或根本不被汇报;进步最快的组织,是那些把每一次险情都当作值得学习的证据、而非需要归咎责任的理由来对待的组织。
12. 把网络韧性构建进采购与拨款条件之中,而不仅仅是内部政策。 资助方与委托机构,可以要求它们所资助或签约的组织具备一定的基线安全实践水平,把良好实践的触及范围延伸到那些原本没有任何外部压力去投资于它的较小交付伙伴(见主题3.7——公共采购与委托)。

与团队讨论的问题

我们是否知道自己实际持有什么数据与系统,哪些一旦被攻破会伤害到某个人? 许多组织只有在一次泄露调查期间才发现自己数据持有的真实范围,而这是了解这一点最糟糕的时机。梳理你的主要服务,针对每一项追问,它涉及什么个人或运营敏感数据,以及如果这项数据被窃取、被篡改,或变得不可用,一个真实的人会发生什么。如果诚实的答案是"我们不确定",这种不确定性本身就是一项发现,而弥合它应该是你议程上的第一项。这个问题对那些通过收购、合并,或积累遗留系统而增长的组织格外重要,在那里,关于存在什么的制度记忆已经变得稀薄。

如果我们明天遭到勒索软件攻击,我们能不付款就从备份中恢复吗? 一份备份的价值不在于它存在,而在于它已经被测试过、能够足够快地、从一个足够新近的版本真正恢复。追问一下,备份上一次通过一次真正的恢复演练接受检验是什么时候,而不仅仅是一份完成日志,以及一次完整的恢复需要多长时间,与你的组织能够容忍多长时间的中断相比较。如果这些数字不匹配,你现在就有一项资源配置决策要做,而不是等到一次事件发生期间才做。这也是讨论备份本身是否与一个攻击者到达你的主系统时也能到达的网络相隔离的时机。

谁有权决定我们是否支付一笔赎金,我们是否曾经在被要求做出决定之前就讨论过这个问题? 这是一个执行团队可能面对的利害关系最高的决策之一,常常需要在几个小时之内、在对攻击者实际掌握了什么信息不完整的情况下做出。事先决定流程、有权做出决定的人,以及各项原则——即便最终的决定仍然取决于这次事件的具体情况——能够防止在勒索压力之下做出一个临时决定。讨论一下,你所在辖区的法律与你的资助方的条件,对赎金支付怎么说,以及你需要通知谁。

我们最小的伙伴与供应商,对我们造成的风险,是否比我们自己造成的风险更大? 一个安全保护良好的中央组织,仍然可能通过一个对其系统或数据拥有合法访问权限、安全保护却很差的供应商、承包商,或交付伙伴而被侵入。绘制出能够触及你系统或持有你数据的第三方,诚实地评估一下,你对它们的安全实践实际上拥有多少保证、与你假设自己拥有多少保证相比较。决定你今后将要求它们达到什么最低标准,以及你将如何核实它、而不仅仅是要求一份书面保证。

我们会知道自己已经被入侵了吗,会多快知道? 一些破坏性最大的事件,不是那些迅速发生的事件,而是那些数月不被发现的事件,在此期间,一位攻击者悄悄地探索、提升权限,并窃取了数据。讨论一下,你今天实际上会如何检测异常活动、谁在监视它,以及这种监测是否在办公时间之外运行,因为许多攻击都是故意在夜间或一个假日周末发起的,那时的响应最为迟缓。如果检测完全依赖于一位公民或一个伙伴组织告诉你出了问题,这就是一个关键的缺口。

我们的董事会或治理机构,是否对这种风险有足够的理解、能够治理它,还是我们已经悄悄把这项判断外包给了信息技术团队? 网络风险决策,涉及成本、服务连续性与公民保护之间真正的权衡,这理应是治理机构的事务,而不是一项被下放的、点头通过的技术事务。讨论一下,网络风险目前如何向你的董事会或议会汇报、它是否使用一位非专家能够真正据以行动的语言,以及它的预算是否以与任何其他重大风险同等的严谨程度来决定。如果你的治理机构目前无法用自己的话解释你的组织排名前三的网络风险,那就是首先需要弥合的缺口。

实践中的公共价值案例

一个中等规模的区域交通管理局——虚构的,用于说明一种模式,而非对任何真实组织的报道——运行着已经过时的排班与支付系统,十年来一直是零零散散地打补丁、而非现代化。它的信息技术团队只有三个人,负责从服务台工单到网络安全的一切,而网络安全从来没有自己的一条预算科目;它一直生活在一个多年来实际价值都未曾增长的笼统的"系统维护"拨款之内。

一位攻击者通过一封发给一位财务官员的网络钓鱼邮件获得了访问权限,该邮件使用了一份来自该管理局真正在使用的一家供应商的伪造发票。一旦进入内部,这位攻击者花了六周时间悄悄地在网络中移动,然后才部署了勒索软件,加密了排班系统、票价支付平台,以及该管理局的备份——这些备份从未与主网络隔离过。在第一天,公交车依靠司机对路线的记忆继续运行,但票价无法电子收取,实时信息屏幕陷入黑暗,而该管理局的财务系统对薪资处理来说变得无法使用。

执行团队在没有任何预先商定政策的情况下面对着赎金决策:没有人事先决定过谁有权批准一笔付款、法律立场是什么,或者他们会对乘客说什么。从备份恢复不是一个选项,因为这些备份与其他一切一起被加密了。在经历了九天的中断、部分服务恢复,以及一笔该管理局董事会后来将其描述为当时可获得的最不糟糕选项的付款之后,该管理局委托进行了一次独立审查。

这次审查的发现毫不光鲜,完全符合本主题所描述的模式:财务系统上没有多因素身份验证、办公系统与支付基础设施之间没有网络分段、超过两年没有经过测试的备份恢复,以及在这次事件之前,董事会层面对网络风险完全没有可见性。该管理局的应对同样毫不光鲜——一份分阶段计划来修复这些基础措施、与两个邻近交通管理局达成的一项共享安全监测安排,分摊了它们中任何一个都无法单独负担的专业覆盖成本,以及一个网络风险的常设董事会议程项目。按照一项重大信息技术项目的标准来看,这一切都不昂贵;这一切多年来一直被跳过,只是因为从来没有任何人被明确指派负责坚持要求它。

四种部门视角

地方政府

地方政府处于一个令人不安的交汇点:它们持有高度敏感的数据——社会照护记录、住房与福利信息、选民登记册——并运行着公民难以轻易舍弃的服务,但它们通常拥有所有政府层级中最小的安全预算与最少的专业人员。一个大型国家部委能够建立一个内部安全运营中心;一个小型区级议会通常做不到,这使得共享服务、区域汇集,与国家支持项目,成为通向充分保护的实际路径,而非一项可有可无的额外事项。地方民选官员,也常常是所有政府层级中最没有能力质询一份技术风险简报的人,这使得向民选成员进行平实语言的汇报,成为这一层级一项独特的治理挑战。

国家政府

国家政府通常拥有建立专门的网络安全机构与国家框架的资源——诸如英国的国家网络安全中心或美国的网络安全与基础设施安全局这样的机构,存在的意义就是设定标准、协调应对,并支持自己辖区内资源较少的公共机构。国家层面特有的挑战,与其说是关于基础卫生,不如说是关于国家资助的、能力极强的威胁行为者、跨部门与私营运营商的关键国家基础设施之间的相互依存性,以及归因与应对的外交与法律维度,而这些很少出现在地方或组织层面。

社会部门与非营利组织

非营利组织与NGO常常持有本书所涉及各部门中最敏感的一些数据——健康记录、暴力或迫害幸存者的记录、难民与庇护个案——同时却在这本书所涉及的所有组织类型中,运营着最薄弱的安全预算,因为资助方很少为安全划拨专项资金,拨款条件也很少要求它。许多社会部门组织也依赖志愿者与高员工流动率,这使得一贯的安全培训与访问控制,比在一个稳定的、专业配备人员的组织中更难维持;一次安全事件对一个小型慈善机构来说,可能是生死攸关的,而这种情况在一个政府部门中很少发生,因为声誉损害与捐助方信任的丧失,可能会彻底终结这个组织(见主题3.8——社会部门与非营利组织管理)。

多边与国际

多边与国际机构跨越拥有不同披露法律、不同关键基础设施定义,以及不同国家网络能力水平的多个辖区运作,这使得协调本身成为一个独特的问题:一个国际机构自己的系统可能得到良好保护,而其国家成员机构的水平却参差不齐,而诸如经济合作与发展组织或欧盟网络安全局这样的机构,发挥的作用与其说是运营性的,不如说是标准制定与能力建设。多边视角也是跨境事件响应与信息共享安排最为重要的地方,因为一次始于一个国家基础设施的攻击,可能在数小时之内级联到另一个国家,比大多数国际协调机制被设计来行动的速度还要快。

常见失败模式

没有运营实质的安全表演。 一个组织采纳了一份看起来令人印象深刻的政策文件、一份合规证书,或一件昂贵的工具,把这个方框当作已经打钩,而基础卫生——打补丁、多因素身份验证、经过测试的备份——却依然不一致。这为安全的外观、而非安全本身花费了真金白银,而它通常只有在一次事件暴露出政策与实践之间的差距之后,才被发现原来只是一场表演。

没有归属的风险。 网络安全被假设为别人的工作——信息技术团队的、一位供应商的、一位监管者的——而在治理机构层面不存在任何一位单一负责任的负责人。这产出了一种到处都在讨论、却在任何地方都没有被决定的风险,而这恰恰是让各组织在被问及自己的风险暴露程度这种基本问题时无法回答的模式。

以此前从未发生过事件为由证成的投资不足。 因为一个运行良好的安全项目在成功时不会产出任何可见的事件,它很容易在一个预算紧张的周期中被撤资、以支持某件有可见产出的东西,而迄今为止没有发生泄露,被误认为是充分保护的证据、而非尚未接受过检验的证据。这与更广泛地破坏韧性投资的同样那种预算逻辑如出一辙(见主题3.12——危机、紧急情况与韧性管理)。

遗留系统被运行超出了它可支持的寿命。 公共机构常常在一家供应商早已停止为一套软件或硬件发布安全补丁很久之后,仍然继续运行它,因为替换代价高昂、具有破坏性,或在政治上不受欢迎,而这套系统"仍然能用"。一套未打补丁、不受支持的系统,不是一种遗留不便;它是一扇对攻击者来说不需要花费任何代价就能走进去的敞开的门。

先归咎的事件文化。 当汇报一次疑似泄露或一个失误的员工受到处分、而非获得支持时,未来的事件会被延迟汇报、被淡化,或根本不被汇报,而这个组织失去了及时汇报所提供的那种早期预警信号。这种失败模式会加剧这份清单上的每一种其他失败,因为如果这个组织无法诚实地看清自己的问题,以上任何一项修正都不会奏效。

成熟度模型

检查清单

• 治理机构层面存在一位具名的个人或委员会,负责网络风险,并用平实语言定期汇报。
• 存在一份当前的、关于这个组织持有什么数据与系统的清单,以及哪些最敏感或对一项服务最关键。
• 在所有持有敏感数据或控制关键服务的系统上,都强制执行多因素身份验证。
• 定期进行备份,存储在与主网络隔离的地方,恢复操作已在过去十二个月内接受过测试。
• 软件与系统按明确设定的日程打补丁,任何无法再打补丁的系统都有一份记录在案的替换或隔离计划。
• 存在一份书面的事件响应计划,指名了谁有权做出关键决策,并在过去一年内通过一次现实的演练接受过检验。
• 存在一项经董事会批准的关于赎金支付、以及如何与何时通知受影响人员、监管者与公众的政策。
• 与软件供应商及托管服务提供方的合同,包含安全保证与事件通知义务。
• 员工接受定期的、现实的安全培训,包括模拟网络钓鱼演练。
• 汇报一次疑似事件或险情,被当作有价值的信息、而非归咎的理由来对待。
• 已与规模与预算相似的同行组织探讨过共享或汇集的安全安排。
• 网络风险明确地体现在这个组织更广泛的危机与韧性规划之中,而不是作为一份独立、脱节的计划。

关键资料来源

本主题借鉴了美国国家标准与技术研究院的网络安全框架,作为组织网络安全实践的主要结构化框架;欧盟网络安全局已公布的使命与指导,关于在整个欧盟范围内实现共同水平的网络安全;经济合作与发展组织在数字安全政策方面的工作,把数字安全构建为一个经济与社会风险管理问题、而非一个纯粹的技术问题;以及诸如英国国家网络安全中心与美国网络安全与基础设施安全局这样的国家网络安全机构所发布的运营指导,二者都发布了专门针对资源不足公共机构的免费指导。

参考文献

1. Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
2. Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
3. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
4. Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
5. Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
6. Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
7. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
8. Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
11. Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
12. Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
13. Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
14. What we do at the NCSC — National Cyber Security Centre (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
15. About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about