網路安全與公共部門技術風險

這為何對公共價值重要

當一家醫院的系統被攻擊者加密時,臨床醫生無法看到用藥史,救護車被轉移,手術被取消。當一家自來水公司的控制系統被攻破時,真正處於危險之中的公共價值,不是一次伺服器中斷,而是飲用水的安全。當一個福利機構的資料庫被侵入時,最容易受到傷害的人,往往正是最沒有能力承受其後果的人:一筆延遲的付款、一次被盜的身份、一個無法向欠著它支援的國家證明自己身份的家庭。電腦保安,通常被稱為網路安全,是保護計算機系統、網路與資料免受未經授權的訪問、破壞或損害的實踐。在公共機構中,這項實踐直接位於國家與它所服務的公民之間的路徑之上。

這正是本主題把網路風險構建為一個公共價值問題、而不僅僅是一個技術問題的原因。合法性與支援,取決於公民相信持有他們資料、執行他們基本服務的機構,能夠被信任讓二者都保持安全(見主題1.2——戰略三角:合法性、價值與能力)。一次被廣泛報道的資料洩露,能夠對這種信任造成持久的損害,與一次處理不當的緊急情況造成的損害如出一轍,因為公民評判各機構,依據的既是它們日常的表現、也是它們在攻擊之下的表現(見主題3.12——危機、緊急情況與韌性管理,那裡把網路事件當作韌性這門更廣泛學問中的一個類別來處理)。網路安全也與資料治理密不可分:一個機構無法保護它不知道自己持有的東西,而從資料中創造公共價值的互操作性與開放性,同樣也擴大了攻擊者能夠利用的攻擊面(見主題5.4——公共部門資料、互操作性與開放資料)。

資源配置問題對公共與社會部門而言是尖銳的、特有的。大型國家機構越來越多地擁有專門的安全團隊與企業級預算;而服務於一個小鎮的水務局、一個區域醫院信託機構,以及一個運營家庭暴力庇護所的地方非營利組織,通常沒有,儘管它們持有的資料敏感程度堪比、甚至超過任何一家銀行。攻擊者知道這一點。資源不足的公共機構,在本主題中不是一個邊緣情形;它們接近本主題的核心,因為今天面對這種風險的中位數公共機構,不是一個國家部委,而是一個小型地方政府、一家區域公用事業公司,或一家只有幾名資訊科技員工、根本沒有安全專家的慈善機構。

最後,這是一個真實而不斷惡化的問題,而非假設性的問題。勒索軟體行動越來越多地針對地方政府、醫院、學校與社會部門組織,恰恰因為它們結合了敏感資料、基本服務、對停機的低容忍度,以及相對薄弱的防禦——這種組合讓它們更有可能付款,也更不可能在一開始就阻止這次攻擊。對於這一類組織而言,把網路安全當作一項專家附加事項、而非一項治理層面的公共價值承諾來對待,近乎一種邀請。

核心概念

關鍵基礎設施是一套系統與資產——能源、水、交通、醫療保健、金融、通訊——重要到它們的喪失能力或毀壞,會對安全、經濟,或公眾信心造成使人衰弱的影響。關鍵基礎設施保護,是同樣針對物理與數字威脅保護這些系統的學問;它在這裡之所以重要,是因為許多後果最嚴重的公共部門網路事件,不是對抽象資料的攻擊,而是對維持物理基礎設施運轉的運營技術的攻擊,這與維持記錄、處理交易的資訊科技是不同的。

威脅行為者是任何可能試圖侵入一套系統的個人、團體或國家;在公共部門,這些行為者的範圍,從出於經濟動機的犯罪團伙,到追求間諜活動或破壞的國家資助行為者,而同一個機構可能同時面對著二者、卻帶著截然不同的目標。勒索軟體是惡意軟體,加密一個組織的資料或系統,並索要贖金以換取解鎖;它已經成為對公共機構的主要威脅,恰恰是因為基本服務無法容忍長期停機,這提高了付款的壓力。網路釣魚是一種社會工程形式,攻擊者欺騙員工洩露憑證或安裝惡意軟體,通常透過欺騙性電子郵件進行,它仍然是攻擊者最先獲得立足點最常見的方式,因為它針對的是人、而非技術。

資料洩露是未經授權訪問、披露或丟失資訊,無論是透過一次外部攻擊、一位內部人員,還是像一個被錯誤配置、向網際網路開放的資料庫這樣簡單的人為失誤。供應鏈攻擊透過針對目標組織所信任的一個安全性較弱的供應商、軟體供應商,或託管服務提供方,間接地侵入這個組織;這些攻擊對公共部門格外危險,因為如此多的公共機構共享著同樣為數不多的幾家軟體供應商,這意味著一次供應商的淪陷,可能同時級聯到數百個機構之中。

網路衛生是一套常規實踐——及時打補丁、強制執行強身份驗證、限制誰能訪問什麼、備份資料並測試這些備份的恢復——它們能夠在不需要任何奇特工具的情況下,防止絕大多數成功的攻擊。大多數資料洩露利用的是已知的、未打補丁的漏洞,或薄弱的憑證,而非新穎的技巧,因此一個組織實際的網路衛生與它宣稱的政策之間的差距,通常比它風險登記冊上所指名的威脅的複雜程度,更能預測它的風險。

零信任架構是一項安全設計原則,主張任何使用者或裝置都不應該被預設信任,即便是在一個組織自己的網路內部,而每一次訪問請求都必須被驗證,無論它源自何處。它在公共部門指導中已經變得具有影響力,因為它比一個信任已經處於邊界之內的一切事物的老舊模型,更符合現代政府工作的實際發生方式——員工、承包商與公民從許多裝置與地點訪問服務。

電腦保安事件管理,通常被稱為事件響應,是偵測、遏制、消除並從一次安全事件中恢復的有組織流程,隨後是對是什麼讓它發生的一次審查。披露義務是一項法律或監管義務,要求在個人資料或關鍵服務受到侵害時,在明確規定的時間內、按明確規定的標準通知受影響的個人、監管者或公眾,其邏輯是,公民與監督機構有權知道自己的資料或自己的基本服務何時被置於風險之中,而及時的披露能讓人們保護自己。

最佳實踐

1. 把網路安全當作治理機構的責任來對待,而非一項被下放的技術職能。 董事會、議會與執行團隊應該定期收到關於網路風險的平實語言簡報,並直接批准它的預算,而不是任由它在一條更寬泛的資訊科技支出科目內部被協商,在那裡,它是最容易被削減的東西。
2. 在決定如何保護它之前,先盤點你持有什麼、什麼依賴於它。 一個組織無法保護自己沒有繪製出來的資料或系統;一份對照別處所涵蓋的互操作性與資料治理工作交叉參照的當前資產與資料清單(見主題5.4——公共部門資料、互操作性與開放資料),是這份清單上每一項其他實踐的前提條件。
3. 在為任何高階事物花錢之前,先在各處應用基礎措施。 補丁管理、多因素身份驗證、經過測試的備份,以及最小許可權訪問控制,能阻止絕大多數現實世界的攻擊;一個尚未具備這些的公共機構,不應該優先考慮威脅情報訂閱或定製的監測工具。
4. 採用一套公認的框架,而非自行發明一套。 諸如美國國家標準與技術研究院的網路安全框架這類框架,提供了一套共享的詞彙與一套結構——識別、保護、檢測、響應、恢復——一個小型組織可以以簡化的形式採用它,一個大型組織可以完整地採用它,而無需重新發明基本的分類法。
5. 在小型組織之間彙集資源,而非各自獨立購買。 一項共享的安全運營服務、一個區域網路事件響應聯盟,或一套行業範圍的採購框架,能給一群小型地方政府或非營利組織帶來它們中任何一個都無法單獨負擔的保護——這是對本主題所關注的資源不足問題最直接的單一答案。
6. 在事件發生之前寫好事件響應計劃,並加以演練。 一份在一次正在發生的攻擊期間第一次起草的計劃,是一份由從未測試過它是否真的有效的人在恐慌之中倉促起草的計劃;一份至少每年演練一次的計劃,能把混亂的第一個小時,變成一系列已知步驟的排練序列(關於這門更廣泛學問的完整論述,見主題3.12——危機、緊急情況與韌性管理)。
7. 提前決定披露與付款政策,而不是在事件發生期間才決定。 這個組織是否會考慮支付贖金、誰有權做出這個決定,以及受影響的人將如何、何時被告知,都應該是經董事會批准的政策,而不是在一次正在進行的勒索要求壓力之下臨時做出的決定。
8. 對網路加以分段,使一次淪陷不會變成全面淪陷。 讓控制物理基礎設施的運營技術與一般辦公資訊科技分開,並把高敏感度系統與低敏感度系統分開,能限制一個透過某個薄弱點侵入的入侵者能夠走多遠。
9. 像管理內部風險一樣嚴格地管理第三方與供應鏈風險。 在與軟體供應商與託管服務提供方的合同中,要求安全保證、審計權條款,以及事件通知義務,因為越來越多的重大公共部門事件,起源於一個受信任的供應商、而非一次直接攻擊。
10. 投資於人、而不僅僅是工具。 定期的、現實的培訓——包括模擬網路釣魚演練——能夠可衡量地減少成功的社會工程攻擊,而在一個小型組織中留住哪怕一兩名熟練的安全人員,通常比同等金額花在額外的軟體許可證上更有價值。
11. 誠實地彙報事件,並把險些釀成的事故當作免費的教訓來利用。 一種因為員工彙報了一次疑似洩露而懲罰他們的文化,保證了下一次洩露會被延遲彙報、或根本不被彙報;進步最快的組織,是那些把每一次險情都當作值得學習的證據、而非需要歸咎責任的理由來對待的組織。
12. 把網路韌性構建進採購與撥款條件之中,而不僅僅是內部政策。 資助方與委託機構,可以要求它們所資助或簽約的組織具備一定的基線安全實踐水平,把良好實踐的觸及範圍延伸到那些原本沒有任何外部壓力去投資於它的較小交付夥伴(見主題3.7——公共採購與委託)。

與團隊討論的問題

我們是否知道自己實際持有什麼資料與系統,哪些一旦被攻破會傷害到某個人? 許多組織只有在一次洩露調查期間才發現自己資料持有的真實範圍,而這是瞭解這一點最糟糕的時機。梳理你的主要服務,針對每一項追問,它涉及什麼個人或運營敏感資料,以及如果這項資料被竊取、被篡改,或變得不可用,一個真實的人會發生什麼。如果誠實的答案是"我們不確定",這種不確定性本身就是一項發現,而彌合它應該是你議程上的第一項。這個問題對那些透過收購、合併,或積累遺留系統而增長的組織格外重要,在那裡,關於存在什麼的制度記憶已經變得稀薄。

如果我們明天遭到勒索軟體攻擊,我們能不付款就從備份中恢復嗎? 一份備份的價值不在於它存在,而在於它已經被測試過、能夠足夠快地、從一個足夠新近的版本真正恢復。追問一下,備份上一次透過一次真正的恢復演練接受檢驗是什麼時候,而不僅僅是一份完成日誌,以及一次完整的恢復需要多長時間,與你的組織能夠容忍多長時間的中斷相比較。如果這些數字不匹配,你現在就有一項資源配置決策要做,而不是等到一次事件發生期間才做。這也是討論備份本身是否與一個攻擊者到達你的主系統時也能到達的網路相隔離的時機。

誰有權決定我們是否支付一筆贖金,我們是否曾經在被要求做出決定之前就討論過這個問題? 這是一個執行團隊可能面對的利害關係最高的決策之一,常常需要在幾個小時之內、在對攻擊者實際掌握了什麼資訊不完整的情況下做出。事先決定流程、有權做出決定的人,以及各項原則——即便最終的決定仍然取決於這次事件的具體情況——能夠防止在勒索壓力之下做出一個臨時決定。討論一下,你所在轄區的法律與你的資助方的條件,對贖金支付怎麼說,以及你需要通知誰。

我們最小的夥伴與供應商,對我們造成的風險,是否比我們自己造成的風險更大? 一個安全保護良好的中央組織,仍然可能透過一個對其系統或資料擁有合法訪問許可權、安全保護卻很差的供應商、承包商,或交付夥伴而被侵入。繪製出能夠觸及你係統或持有你資料的第三方,誠實地評估一下,你對它們的安全實踐實際上擁有多少保證、與你假設自己擁有多少保證相比較。決定你今後將要求它們達到什麼最低標準,以及你將如何核實它、而不僅僅是要求一份書面保證。

我們會知道自己已經被入侵了嗎,會多快知道? 一些破壞性最大的事件,不是那些迅速發生的事件,而是那些數月不被發現的事件,在此期間,一位攻擊者悄悄地探索、提升許可權,並竊取了資料。討論一下,你今天實際上會如何檢測異常活動、誰在監視它,以及這種監測是否在辦公時間之外執行,因為許多攻擊都是故意在夜間或一個假日週末發起的,那時的響應最為遲緩。如果檢測完全依賴於一位公民或一個夥伴組織告訴你出了問題,這就是一個關鍵的缺口。

我們的董事會或治理機構,是否對這種風險有足夠的理解、能夠治理它,還是我們已經悄悄把這項判斷外包給了資訊科技團隊? 網路風險決策,涉及成本、服務連續性與公民保護之間真正的權衡,這理應是治理機構的事務,而不是一項被下放的、點頭透過的技術事務。討論一下,網路風險目前如何向你的董事會或議會彙報、它是否使用一位非專家能夠真正據以行動的語言,以及它的預算是否以與任何其他重大風險同等的嚴謹程度來決定。如果你的治理機構目前無法用自己的話解釋你的組織排名前三的網路風險,那就是首先需要彌合的缺口。

實踐中的公共價值案例

一箇中等規模的區域交通管理局——虛構的,用於說明一種模式,而非對任何真實組織的報道——執行著已經過時的排班與支付系統,十年來一直是零零散散地打補丁、而非現代化。它的資訊科技團隊只有三個人,負責從服務檯工單到網路安全的一切,而網路安全從來沒有自己的一條預算科目;它一直生活在一個多年來實際價值都未曾增長的籠統的"系統維護"撥款之內。

一位攻擊者透過一封發給一位財務官員的網路釣魚郵件獲得了訪問許可權,該郵件使用了一份來自該管理局真正在使用的一家供應商的偽造發票。一旦進入內部,這位攻擊者花了六週時間悄悄地在網路中移動,然後才部署了勒索軟體,加密了排班系統、票價支付平臺,以及該管理局的備份——這些備份從未與主網路隔離過。在第一天,公交車依靠司機對路線的記憶繼續執行,但票價無法電子收取,實時資訊螢幕陷入黑暗,而該管理局的財務系統對薪資處理來說變得無法使用。

執行團隊在沒有任何預先商定政策的情況下面對著贖金決策:沒有人事先決定過誰有權批准一筆付款、法律立場是什麼,或者他們會對乘客說什麼。從備份恢復不是一個選項,因為這些備份與其他一切一起被加密了。在經歷了九天的中斷、部分服務恢復,以及一筆該管理局董事會後來將其描述為當時可獲得的最不糟糕選項的付款之後,該管理局委託進行了一次獨立審查。

這次審查的發現毫不光鮮,完全符合本主題所描述的模式:財務系統上沒有多因素身份驗證、辦公系統與支付基礎設施之間沒有網路分段、超過兩年沒有經過測試的備份恢復,以及在這次事件之前,董事會層面對網路風險完全沒有可見性。該管理局的應對同樣毫不光鮮——一份分階段計劃來修復這些基礎措施、與兩個鄰近交通管理局達成的一項共享安全監測安排,分攤了它們中任何一個都無法單獨負擔的專業覆蓋成本,以及一個網路風險的常設董事會議程專案。按照一項重大資訊科技專案的標準來看,這一切都不昂貴;這一切多年來一直被跳過,只是因為從來沒有任何人被明確指派負責堅持要求它。

四種部門視角

地方政府

地方政府處於一個令人不安的交匯點:它們持有高度敏感的資料——社會照護記錄、住房與福利資訊、選民登記冊——並執行著公民難以輕易捨棄的服務,但它們通常擁有所有政府層級中最小的安全預算與最少的專業人員。一個大型國家部委能夠建立一個內部安全運營中心;一個小型區級議會通常做不到,這使得共享服務、區域彙集,與國家支援專案,成為通向充分保護的實際路徑,而非一項可有可無的額外事項。地方民選官員,也常常是所有政府層級中最沒有能力質詢一份技術風險簡報的人,這使得向民選成員進行平實語言的彙報,成為這一層級一項獨特的治理挑戰。

國家政府

國家政府通常擁有建立專門的網路安全機構與國家框架的資源——諸如英國的國家網路安全中心或美國的網路安全與基礎設施安全域性這樣的機構,存在的意義就是設定標準、協調應對,並支援自己轄區內資源較少的公共機構。國家層面特有的挑戰,與其說是關於基礎衛生,不如說是關於國家資助的、能力極強的威脅行為者、跨部門與私營運營商的關鍵國家基礎設施之間的相互依存性,以及歸因與應對的外交與法律維度,而這些很少出現在地方或組織層面。

社會部門與非營利組織

非營利組織與NGO常常持有本書所涉及各部門中最敏感的一些資料——健康記錄、暴力或迫害倖存者的記錄、難民與庇護個案——同時卻在這本書所涉及的所有組織型別中,運營著最薄弱的安全預算,因為資助方很少為安全劃撥專項資金,撥款條件也很少要求它。許多社會部門組織也依賴志願者與高員工流動率,這使得一貫的安全培訓與訪問控制,比在一個穩定的、專業配備人員的組織中更難維持;一次安全事件對一個小型慈善機構來說,可能是生死攸關的,而這種情況在一個政府部門中很少發生,因為聲譽損害與捐助方信任的喪失,可能會徹底終結這個組織(見主題3.8——社會部門與非營利組織管理)。

多邊與國際

多邊與國際機構跨越擁有不同披露法律、不同關鍵基礎設施定義,以及不同國家網路能力水平的多個轄區運作,這使得協調本身成為一個獨特的問題:一個國際機構自己的系統可能得到良好保護,而其國家成員機構的水平卻參差不齊,而諸如經濟合作與發展組織或歐盟網路安全域性這樣的機構,發揮的作用與其說是運營性的,不如說是標準制定與能力建設。多邊視角也是跨境事件響應與資訊共享安排最為重要的地方,因為一次始於一個國家基礎設施的攻擊,可能在數小時之內級聯到另一個國家,比大多數國際協調機制被設計來行動的速度還要快。

常見失敗模式

沒有運營實質的安全表演。 一個組織採納了一份看起來令人印象深刻的政策檔案、一份合規證書,或一件昂貴的工具,把這個方框當作已經打鉤,而基礎衛生——打補丁、多因素身份驗證、經過測試的備份——卻依然不一致。這為安全的外觀、而非安全本身花費了真金白銀,而它通常只有在一次事件暴露出政策與實踐之間的差距之後,才被發現原來只是一場表演。

沒有歸屬的風險。 網路安全被假設為別人的工作——資訊科技團隊的、一位供應商的、一位監管者的——而在治理機構層面不存在任何一位單一負責任的負責人。這產出了一種到處都在討論、卻在任何地方都沒有被決定的風險,而這恰恰是讓各組織在被問及自己的風險暴露程度這種基本問題時無法回答的模式。

以此前從未發生過事件為由證成的投資不足。 因為一個執行良好的安全專案在成功時不會產出任何可見的事件,它很容易在一個預算緊張的週期中被撤資、以支援某件有可見產出的東西,而迄今為止沒有發生洩露,被誤認為是充分保護的證據、而非尚未接受過檢驗的證據。這與更廣泛地破壞韌性投資的同樣那種預算邏輯如出一轍(見主題3.12——危機、緊急情況與韌性管理)。

遺留系統被執行超出了它可支援的壽命。 公共機構常常在一家供應商早已停止為一套軟體或硬體釋出安全補丁很久之後,仍然繼續執行它,因為替換代價高昂、具有破壞性,或在政治上不受歡迎,而這套系統"仍然能用"。一套未打補丁、不受支援的系統,不是一種遺留不便;它是一扇對攻擊者來說不需要花費任何代價就能走進去的敞開的門。

先歸咎的事件文化。 當彙報一次疑似洩露或一個失誤的員工受到處分、而非獲得支援時,未來的事件會被延遲彙報、被淡化,或根本不被彙報,而這個組織失去了及時彙報所提供的那種早期預警訊號。這種失敗模式會加劇這份清單上的每一種其他失敗,因為如果這個組織無法誠實地看清自己的問題,以上任何一項修正都不會奏效。

成熟度模型

檢查清單

• 治理機構層面存在一位具名的個人或委員會,負責網路風險,並用平實語言定期彙報。
• 存在一份當前的、關於這個組織持有什麼資料與系統的清單,以及哪些最敏感或對一項服務最關鍵。
• 在所有持有敏感資料或控制關鍵服務的系統上,都強制執行多因素身份驗證。
• 定期進行備份,儲存在與主網路隔離的地方,恢復操作已在過去十二個月內接受過測試。
• 軟體與系統按明確設定的日程打補丁,任何無法再打補丁的系統都有一份記錄在案的替換或隔離計劃。
• 存在一份書面的事件響應計劃,指名了誰有權做出關鍵決策,並在過去一年內透過一次現實的演練接受過檢驗。
• 存在一項經董事會批准的關於贖金支付、以及如何與何時通知受影響人員、監管者與公眾的政策。
• 與軟體供應商及託管服務提供方的合同,包含安全保證與事件通知義務。
• 員工接受定期的、現實的安全培訓,包括模擬網路釣魚演練。
• 彙報一次疑似事件或險情,被當作有價值的資訊、而非歸咎的理由來對待。
• 已與規模與預算相似的同行組織探討過共享或彙集的安全安排。
• 網路風險明確地體現在這個組織更廣泛的危機與韌性規劃之中,而不是作為一份獨立、脫節的計劃。

關鍵資料來源

本主題借鑑了美國國家標準與技術研究院的網路安全框架,作為組織網路安全實踐的主要結構化框架;歐盟網路安全域性已公佈的使命與指導,關於在整個歐盟範圍內實現共同水平的網路安全;經濟合作與發展組織在數字安全政策方面的工作,把數字安全構建為一個經濟與社會風險管理問題、而非一個純粹的技術問題;以及諸如英國國家網路安全中心與美國網路安全與基礎設施安全域性這樣的國家網路安全機構所釋出的運營指導,二者都發布了專門針對資源不足公共機構的免費指導。

參考文獻

1. Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
2. Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
3. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
4. Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
5. Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
6. Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
7. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
8. Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
11. Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
12. Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
13. Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
14. What we do at the NCSC — National Cyber Security Centre (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
15. About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about