利用《美国救援计划》资金，加快政府机构应用现代化

F5生态系统 | 2021年3月22日

1.9万亿美元的《美国救援计划》可能会对政府机构的应用现代化计划产生显著的积极影响。该计划包括向《技术现代化法案》设立的融资机制投入10亿美元。

《政府技术现代化法案》（MGT Act）于2017年签署成为法律，旨在为各机构提供资金，用于包括网络安全在内的IT现代化工作。各机构可向技术现代化基金申请资金，该基金旨在帮助其淘汰旧有系统，并投资于敏捷且具有变革性的技术。

各机构迎来了加快应用现代化计划的重要机遇。例如，在立法者实施这项具有历史意义的计划后不到一天，美国劳工部就已从技术现代化基金获得960万美元，用于更新其企业数据平台。

当前，遗留应用和单体应用正阻碍许多机构完成任务。这些机构面临诸多亟待解决的挑战，包括陈旧而复杂的联邦网络架构和应用开发流程、民众和政府工作人员的数字体验不佳，以及不断演变的安全漏洞。以下是我对应用现代化工作重点的建议，旨在尽可能提升其对任务成功的助力。

从何处着手

资金通常是难点，而确定工作重点往往是接下来需要克服的障碍。NIST网络安全框架采用涵盖整个生命周期的整体风险管理方法，指导机构建立更完善的风险管理实践。机构可依据NIST制定的指南，通过识别、保护、检测、响应和恢复这五项核心职能，持续评估和缓解风险。该框架为组织提供标准化结构，帮助其构建高度自适应的安全计划。同时，该框架具有灵活性，组织可根据自身独特需求进行定制，并以通用蓝图为基础管理风险和应对漏洞。

如果说过去一年在网络安全方面给了我们什么启示，那就是在确定工作重点时，应优先考虑网络安全。最近一轮网络安全事件表明，新系统和旧系统都未得到充分保障。值得注意的是，仅为保护“.gov”网络，CISA就将获得6.5亿美元用于降低网络安全风险。然而，这并不意味着政府管辖的每个网络和每个应用都能得到保护。

数字化转型带来了基于API的事务等“新型”且不易察觉的技术。虽然这些API对用户和应用大多不可见，但仍可能遭到攻击和滥用。许多机构缺乏在其各类环境中以安全且可扩展的方式管理API的方法。应优先投资相关解决方案，确保API得到安全部署和管理。

应用漏洞仍是攻击者常用的攻击途径。众所周知，软件由人开发，难免会有疏漏。尽管供应商力求编写无缺陷的代码，但错误仍可能发生。如今，快速响应、防御威胁和保护应用比以往任何时候都更加关键。在转型过程中，要兼顾传统应用和新一代应用并确保其受到保护并非易事。这可能导致工具激增，并产生多个需要核对和协调的环节。因此，采用既能自动执行应用交付，又能保护应用（无论应用部署在何处）的工具至关重要。需要检查的位置越多，遗漏问题的可能性就越大。应重点采用能够在任何环境、任何云和任何生态系统中实现安全自动化和运营的工具。

最后，我们再次意识到，或者说重新认识到，供应链至关重要。SUNBURST事件表明，即使是以检测、安全防护和防御能力著称的组织，自身也并非无懈可击；整个行业仍有机会进一步加强基础设施安全。