這是一份美國全國州首席信息官協會關于如何提高公共部門信息安全水平的建議書，它面向地方、州和聯邦政府首席信息官這樣一批特殊讀者，以建議的形式發出一種行動呼吁。借鑒美國政府在此方面長期工作所形成的豐富經驗和教訓，對信息保障問題進行深入思考，對形成具體、可實施性強的中國信息安全保障國家戰略或許會有所裨益。 
 
電子政府會給社會公眾和公司企業帶來許多直接好處。與此同時，安全風險和脆弱性也在與日俱增。電子政務需要具有前瞻性的IT管理和穩固的基礎設施。如我們所知，網絡攻擊、系統故障和自然災害都會使整個體系運轉不暢。如果我們的數字基礎設施在關鍵部位出了問題，政府的運作就會陷于癱瘓，從而釀成災難性后果。

建議一：建立一個相關人員都參與的IT管理結構

設計一個涉及所有風險承擔者的IT管理結構，該結構應該包括企業級安全管理，應能在政策上做出應急反應，并適于通過檢查實施領導的工作方式。

在美國，公共部門的IT管理安排分別采用了以下3種特點各不相同的模式中的一種。


大學模式:許多州對首席信息官的安排可以稱作是“大學式”的。在這種安排中，首席信息官直接對州長負責，對首席信息官的任命來自州長和州內閣的決定。大學式管理看上去像一張網，其中以首席信息官(以及州長)為中心，影響力和指令由此向外輻射到各部門、委員會和利益集團。首席信息官通過長期計劃、資金獎勵、政策和人際關系進行管理。首席信息官的人員班子通常規模很小，但其中都是政治聯盟的重要人物。

基于法規的安排:幾乎有相同數量的州對IT管理采用基于法規的安排方式，這些州都有成熟的組織體系和法律。基于法規的結構通常設有一個執行理事會，通過審批總結、制定政策、標準和計劃行使監督職能。這種安排下的首席信息官人員班子比大學式班子要龐大些。基于法規的首席信息官人員設計了匯報程序、計分卡和例外報告。這是一種等級分明的結構，它自上而下行使職責，通過各委員會提出重要方案。

基于角色的安排:如今，已有越來越多的州開始采用基于角色的安排方式。基于角色的模式通常都設有一個由各方代表組成的中央執行理事會，理事會的代表來自所有分支、教育機構、地方單位和私營部門，州首席信息技術設計師是支持理事會的后盾。理事會負責政策、長期計劃、項目管理標準和企業IT管理體系方面的工作，企業安全也在理事會的監督之下。這種管理模式在設計上是模塊化的。

IT管理絕不僅限于上述3種模式，地方、州和聯邦政府往往會綜合采用各種模式。就州一級政府而言，這種IT管理模式應該把政府的所有分支均涵蓋在內，應該明確安全工作領導權并任命一個機構負責監督政策和指令的執行情況。政府的所有分支都應服從于企業整體體系及其共享基礎設施、項目管理標準、安全表現度量標準以及用于外部和內部審查控制的審計標準。

IT安全還必須與州和地方政府級的應急反應相結合。由于州政府居于地方政府與聯邦政府之間，因此會在這種結合中發揮主導作用。此外，州政府的這種地位還會因其IT基礎設施與城市、鎮區、縣以及涉及公眾生活和工作的其他管轄范圍聯系密切而得到強化。出于這一原因，州政府應該將其IT基礎設施與地方和聯邦政府的IT基礎設施完全融合到一起。

建議二：實現企業安全計劃目標

實現企業安全計劃目標，其中包括對成功以及最佳處理方法做出評估，同時確保所有部門共享資源。

安全依賴于人及其專業水平和合作態度。在龐大的政府機構中，有許多IT技術人員和業務專家，他們掌握各種高新技術，對IT系統的建設起著重要作用。怎樣協調涉及專業領域如此廣泛的龐大員工隊伍，對于首席信息官來說是一種嚴峻挑戰，共享的IT基礎設施和巨大的應用工作量使這種挑戰進一步復雜化了。要想應對這樣的局面，首席信息官必須尋求制定一整套前后連貫的設計原則和標準處理方法，并根據信息管理原則做出技術選擇。

首席信息官的任務絕非僅僅牽涉技術和管理，而首席技術官的工作重心也超出了IT情況研究的范疇。中央IT基礎設施開發官負責技術方面的工作，側重于資源共享，而設計師的工作重點則是技術標準。一般而言，技術設計師最好不兼任首席信息官。這種職務的分離有利于監督和平衡。設計師通常負責規劃和制定標準，而首席信息官則負責實施和管理技術體系和標準。這兩個職務在規劃功能上是重疊的。

建議三：開發安全度量標準

開發安全度量標準，以準確測定有害入侵、破壞安全和易受攻擊環節。相關報告應以摘要形式分發給州政府的行政、立法和司法分支以及其他政府機構。報告應在政府單位中嚴格保密。

為了使安全這條主線貫穿機構的計劃和文化，首席信息官需要開發一套報告標準，用以清晰顯示安全要求是否得到滿足。這套標準所依據的是以下幾個重要信息來源。

審計結果:內部和外部審計員對總體控制和應用控制做出評價，決定需要采取什么級別的審計來確定財務報告的準確性和可靠性。審計工作可以找出管理方法以及安全方面的缺陷。對于首席信息官、IT基礎設施開發官、首席安全官、首席技術官和首席技術設計師來說，負責評價與IT系統和安全相關的具體控制的審計員是一種內容豐富的信息來源。

入侵企圖和滲透:IT安全官會對審計報告中出現的入侵次數以及滲透次數、滲透級別和滲透性質感興趣，他們對來自內部和外部的攻擊次數高度敏感。這方面的信息應該在企業的部門一級上收集，然后通過首席信息官上報給企業管理層并進入IT管理結構體系。

病毒報警和恢復:必須有一個常備中心、入侵反應小組或類似的部門清楚病毒何時滲入了本機構，它們是如何沖破安全網闖進應用中的資源的，以將受病毒侵害的系統恢復過來。分布式拒絕服務攻擊、病毒、蠕蟲、黑客、物理破壞和軟件故障僅僅是這類問題中的幾種。要點在于，首席信息官要知道這些事件的增加何時超過了底線。此外，首席信息官還必須了解是什么因素造成了出現峰值。

全國警報:對于首席信息官和首席安全官來說，全國警報是一大重要信息來源。有許多全國性組織發出全國警報并向用戶提供預訂服務。如計算機應急反應小組、全國基礎設施保護中心、關鍵信息安全聯盟、系統管理、網絡技術和安全學會、全國州地理信息理事會、州際安全信息共享和分析中心等。

許多州建立了州際安全信息共享和分析中心，以幫助本部門安全官分析危險的入侵。這些州際安全信息共享和分析中心通常與一個常備中心相連，由這個中心協調州政府的應急反應和恢復工作。

有些州際安全信息共享和分析中心由機構內部成員組成，便于州首席安全官向本系統負責IT的官員發出警報。這些中心還便于成員共同就入侵事件進行分析和提出反應建議。隨著州際安全信息共享和分析中心的發展逐漸成熟，它們還將配備硬件、軟件、網絡和物理安全方面的專家。它們還將擁有接受過緊急事件管理訓練、精通IT災難預防和恢復的應急反應專家。

建議四：配置安全技術

以下建議涵蓋了組織機構用來選擇適宜安全技術的各種方法。在下面的例子中，IT安全體系被劃分為3個級別。至于應該選擇哪個安全級來保護某一特定資產，則取決于該資產的重要性、脆弱性和價值。必須有一份最新并且準確的IT資產清單方能開始安全級選擇程序。

第一級：基本級

這個最低級別是指最低限度安全體系。基本安全包括對物理進入數據中心和企業網絡的控制，需要有持卡進入和日志報告之類驗證程序才能物理進入數據中心和其他安全區。此外，需要有密碼才能電子進入IT系統，密碼至少應該有9個字符，由大小寫字母、數字和符號組成。軟件應能拒絕重復使用的或與個人使用的歷史密碼十分接近的密碼改動，密碼必須每隔兩周或四周改動一次。最后，對于基本安全處理方法來說，網絡掃描和病毒保護至關重要。

第二級：中級

中級安全要求體系強調進入IT系統者必須接受全面驗證。驗證范圍包括公共關鍵基礎設施、生物測定、密碼卡技術或者可用來證實某使用者確實是提出申請者本人的變量。此外，復查技術也常常用來證實某些裝置已得到授權進入網絡。

就關鍵任務應用而言，管理員要對用于緊急調整的密碼負責。這些密碼保存在密封的信封里鎖起來，每個只能使用一次，所有密碼均由至少256位加密算法編寫而成。最后，使用者在兩次適當輸入正確密碼和/或用戶名失敗后將被禁止進入系統。所有例外都被記錄在日志中，由系統管理員及系統擁有者獨立進行檢查。

密碼卡技術可允許使用者每次執行任務均使用惟一的密碼，這項技術通常用于執法用途，密碼使用一定時間后就會注銷。此外，密碼是完全加密的，安全管理員會嚴密監督密碼卡的使用。更為尖端的網絡掃描、事務覆蓋(如隧道技術)和請求回叫技術也可用在中級安全的安全系統上。最后，以這一安全級通過網絡的關鍵數據應該完全加密。

 第三級：高級

 
最高安全級由防御轉入了進攻。網絡能夠了解什么人正在尋求進入某一特定系統，一旦出現非授權進入或非授權進入企圖，就會發出警報。通過全面認證、基于應用安全的確認和全面授權可以掌握使用者的情況。

確保安全是一項代價高昂的艱巨工作。要想實施總體和應用控制，就必須滿足以下3個標準。第一，首先必須建立控制體系。第二，控制體系必須有效運轉。第三，對控制體系的運轉必須通過獨立的管理驗證加以監督。這3個要求的任何一個沒有被滿足，嚴格意義上的控制就不可能存在。

建議五：開發州安全入口

前文討論過的核心小組還應含有一個安全設計小組，以向管理常備中心和安全信息共享和分析中心(ISAC)人員提供幫助。除管理應急反應外，還負責管理供依賴州政府服務的機構、社會公眾和公司企業使用的一個安全入口。該入口有一個安全且面向公眾的登錄網站，可協助應急管理人員發出通報，及時幫助處于危機中的公民。它還有助于協調企業對災難和重大破壞事件的反應。

建議六：建立州際安全信息共享和分析中心

許多州缺乏人員和資金建立自己的州際安全信息共享和分析中心。各州政府意識到，這方面的服務需要很大開支，而尋找才智足以擊退黑客攻擊的人才也十分困難。應對黑客對基礎設施的深層攻擊這項工作需要很高的專業技能，以聯邦部門ISAC模式建立的州際安全信息共享和分析中心可以在專業技能方面提供相關服務，同時將各州有關黑客攻擊事件的數據收集到一起，用以支持網絡安全國家戰略規劃的實施。

此外，州際安全信息共享和分析中心還可以幫助各州政府協調對網絡攻擊做出的反應，同時在執法部門和國防部門之間提供聯絡服務。協調工作的內容還包括傳播有關審計的例外情況以及實施監督部門、內部審計員和聯邦機構提出的安全標準的最佳處理方法。對于州內安全信息共享和分析中心，州際安全信息共享和分析中心必須承擔有關通用審計和安全標準的人員培訓工作。

建議七：提出樣板式信息共享州立法法案

要想協調反應行動、了解關鍵基礎設施的情況、制定全國戰略和交流網絡安全的最佳處理方法，各州政府就必須相互共享敏感的安全信息。然而，這方面的信息一旦落到居心不良者手里，就會變成貽害無窮的武器。州際信息共享一直很受限制，原因就在于各州政府擔心，一旦本州信息出了本州州界或者交流給地方或聯邦政府部門，本州的安全活動就會在其他州的公開記錄中披露。此外，州首席信息官很難協調某部門、理事會或委員會高度敏感的安全信息的交流活動。然而，協調信息共享對于保護關鍵基礎設施來說至為關鍵。這就需要在州和聯邦級別上分別立法，以確保安全報告在各級政府之間的交流在保密條件下進行，安全、隱私權和公開記錄三者必須達到平衡。最后，立法應該禁止私營公司泄漏通過正常渠道從政府部門獲得的敏感安全信息。

安全是一項艱巨的工作。只讓安全官員、技術人員和IT執行人員來承受這副重擔是完全錯誤的，確保安全是企業全體成員的共同職責。安全體系要建立在開放、資源共享和重點突出的文化基礎上，絕不能只是在出現意外事件時才想起安全體系。要想使安全工作行之有效，各級政府就應該向全體雇員傳授控制標準，同時把標準處理方法納入計劃和計量程序中。政府部門應該通過審計報告和度量結果提供反饋信息，以確定安全工作是否運轉正常。