2024年美国全面推进设计安全部署
内容提要
美国国家网络总监办公室发布了2023年开源软件安全倡议的年终报告，该倡议得到了美国《国家网络安全战略》的支持。倡议将与私营部门和开源软件社区合作，投资开发安全软件，并在2024年确定降低系统性风险和促进开源软件社区可持续发展的措施。CISA发布了开源软件安全路线图。
延伸解读
设计安全理念的行业反思
文章指出，设计安全理念源于对网络安全责任失衡的反思。数字产品提供商常忽视产品安全，甚至制造漏洞以获利，如英特尔Downfall漏洞案例。欧盟报告也指出数字行业缺乏有效竞争和激励错位。这促使美国转向制造侧发力，在系统工程早期考虑网络安全，以最小化风险。
政府角色与开源安全路线图
CISA发布的《开源软件安全路线图》明确了政府在支持开源软件可持续发展和安全方面的职责。依托OS3I，CISA将推动政府在关键领域先试先行，并与NSF、DARPA、OMB共同确定关键领域，发布相关报告。这体现了政府通过投资和合作降低系统性风险、促进开源社区长期发展的思路。
国际协作与战略实施
美国联合澳大利亚、英国、加拿大等多国机构发布《改变网络安全风险平衡》指南，并更新加入更多国家，显示设计安全已成为国际共识。该指南强调结合安全设计实践才能打破不断创建和应用修复程序的恶性循环。同时，美国《国家网络安全战略实施计划》指定专门部门负责，设定时间节点并动态更新，确保战略落地。
对华指向与战略竞争
文章提到，CISA在2024年展望中特意指出“中国威胁着我们关键基础设施的完整性”，而未提其他国家。这反映出美国在推进设计安全部署时，将中国视为主要战略竞争对手，可能影响未来网络空间国际合作的走向。读者需关注这一表述背后的政策意图。
Q&A
美国开源软件安全倡议（OS3I）的核心理念是什么？
OS3I的核心理念是“设计安全”（Secure by design），强调在系统工程的早期阶段就考虑网络安全问题，通过制造侧发力来最小化风险。
2024年OS3I计划推进哪些工作？
2024年，OS3I将确定联邦政府如何降低最重要的系统性风险，促进开源软件社区的长期可持续性发展；加强对开源软件生态系统的长期安全投资；与ONCD、CISA、NSF、DARPA、OMB一同收集开源社区意见，推进“投资美国”议程；并推进CISA发布的开源软件安全路线图。
为什么需要从制造侧发力来保障网络安全？
因为网络安全责任失衡，仅靠用户侧或第三方机构事后修补难以应对日益严峻的威胁环境。数字产品和服务提供商经常忽视产品安全，甚至制造问题以获利，如英特尔Downfall漏洞事件。因此需要在系统工程早期阶段考虑网络安全，通过制造侧发力来最小化风险。
CISA发布的开源软件安全路线图明确了什么？
该路线图从维护联邦政府网络安全和关键基础设施安全的角度出发，明确了政府部门在支持开源软件可持续发展和安全方面的职责定位，部署了关键任务。
2023年美国《国家网络安全战略》提出了什么根本性改变？
该战略提出，现有驱动美国数字生态系统的底层架构存在严重缺陷，美国必须从根本上改变数字生态系统的底层驱动，向防御优势方转变。
CISA在2024年展望中提到了哪个国家？
CISA在2024年展望中特意提到“中国威胁着我们关键基础设施的完整性”，而没有提起任何其他国家。
