近期，美國國土安全部網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局（CISA）[1]發(fā)布了《新冠病毒（COVID-19）的風(fēng)險管理洞察》。

CISA作為美國國家網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施主管部門，為政府、企業(yè)等組織提供網(wǎng)絡(luò)感知分析、預(yù)測和防御能力，同時致力于識別和解決國家關(guān)鍵基礎(chǔ)設(shè)施面臨的重大安全風(fēng)險。

CISA這份報告，從大IT風(fēng)險的角度為組織提供了詳細(xì)的指導(dǎo)。希望也能為我國疫情下奮戰(zhàn)中的企事業(yè)單位提供IT風(fēng)險管理的借鑒。

01

關(guān)鍵基礎(chǔ)設(shè)施風(fēng)險管理

對于關(guān)鍵基礎(chǔ)設(shè)施管理部門或組織，應(yīng)高度重視COVID-19對關(guān)鍵基礎(chǔ)設(shè)施的影響，CISA建議組織采取以下預(yù)防措施來準(zhǔn)備應(yīng)對COVID-19可能造成的影響：

1.指定應(yīng)急響應(yīng)協(xié)調(diào)人員，并為團(tuán)隊(duì)成員分配特定職責(zé)。

2.制定關(guān)于工人和工作場所的保護(hù)辦法。

3.開展相關(guān)保護(hù)辦法的培訓(xùn)。

4.建立靈活的工作模式，如遠(yuǎn)程辦公和彈性工作時間。

5.確定組織最簡運(yùn)營模式，明確維持自身運(yùn)轉(zhuǎn)必需的基本功能，商品和服務(wù)。

6.確定組織最簡運(yùn)營模式的可持續(xù)時間。

7.確定組織的關(guān)鍵產(chǎn)品和服務(wù)的供應(yīng)商，并確定其優(yōu)先級。

8.不斷評估正在進(jìn)行的各項(xiàng)準(zhǔn)備工作，如果業(yè)務(wù)或社會環(huán)境變化，應(yīng)及時調(diào)整目標(biāo)，結(jié)果和工作。

9.密切關(guān)注聯(lián)邦，州，地方，部落和地區(qū)的COVID-19信息站點(diǎn)，以獲取最新信息。

2

供應(yīng)鏈風(fēng)險安全

1.評估組織的供應(yīng)鏈，了解由于COVID-19造成的運(yùn)輸物流中斷和國際制造業(yè)放緩而造成的潛在影響。 

2.與這些供應(yīng)商討論由于當(dāng)前狀況而面臨或可能面臨的挑戰(zhàn)。

3.確定潛在的替代供應(yīng)來源，替代產(chǎn)品或保護(hù)措施，以減少干擾。

4.與主要客戶進(jìn)行溝通，使客戶了解已發(fā)現(xiàn)的問題及應(yīng)對措施。

3

組織的網(wǎng)絡(luò)安全風(fēng)險管理

當(dāng)組織針對COVID-19探索各種替代的工作模式時，CISA建議采取以下步驟來檢查信息技術(shù)系統(tǒng)的安全性：

1.關(guān)注遠(yuǎn)程訪問的系統(tǒng)安全。包括：

（1）確保虛擬專用網(wǎng)（VPN）和其他遠(yuǎn)程訪問系統(tǒng)已完全打補(bǔ)丁；

（2）增強(qiáng)系統(tǒng)監(jiān)視功能，及早發(fā)現(xiàn)異常行為并告警；

（3）實(shí)施多因素身份驗(yàn)證；

（4）確保計算機(jī)防火墻、反惡意軟件和入侵防御正常運(yùn)行。

2.測試遠(yuǎn)程訪問解決方案的容量或增加容量。

3.確保運(yùn)營計劃或業(yè)務(wù)連續(xù)性計劃已經(jīng)更新。

4.增強(qiáng)對遠(yuǎn)程辦公的IT支持機(jī)制的認(rèn)識。

5.更新事件響應(yīng)計劃，以考慮分布式環(huán)境中的勞動力變化。

針對員工和消費(fèi)者的網(wǎng)絡(luò)安全措施

惡意攻擊者可以利用公眾對COVID-19的關(guān)注度，通過網(wǎng)絡(luò)釣魚攻擊和虛假信息宣傳活動來誘騙受害者。網(wǎng)絡(luò)釣魚攻擊的常用手段為：通過“電子郵件+虛假網(wǎng)站”的方式，誘騙受害者泄露敏感信息；虛假宣傳活動可能會散布謠言，并通過操縱公眾對話影響政策制定或擾亂市場。

CISA鼓勵個人采取以下預(yù)防措施，防范與COVID-19相關(guān)的網(wǎng)絡(luò)釣魚攻擊和虛假信息宣傳活動：

1.避免點(diǎn)擊陌生的電子郵件的鏈接，并警惕電子郵件附件。

2.不要在電子郵件中透露個人或財務(wù)信息，也不要響應(yīng)電子郵件相應(yīng)的請求。

3.請查看CISA的《避免社交工程和網(wǎng)絡(luò)釣魚詐騙的技巧》，以獲取有關(guān)識別和防止網(wǎng)絡(luò)釣魚的更多信息。

4.查看聯(lián)邦貿(mào)易委員會關(guān)于冠狀病毒詐騙的博客文章，以獲取有關(guān)避免COVID-19相關(guān)詐騙的信息。

5.通過安全渠道（例如合法的政府網(wǎng)站）獲取有關(guān)COVID-19的最新信息。

注釋：【1】網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局（CISA）為2018年新成立的機(jī)構(gòu)，屬于美國國土安全部，CISA主要負(fù)責(zé)保護(hù)國家的關(guān)鍵基礎(chǔ)設(shè)施免受物理和網(wǎng)絡(luò)威脅，該局內(nèi)部有兩個中心，第一個是國家網(wǎng)絡(luò)安全和通信集成中心主要為政府、企業(yè)等組織提供網(wǎng)絡(luò)感知分析、預(yù)測和防御能力；另一個是國家風(fēng)險中心，致力于識別和解決國家關(guān)鍵基礎(chǔ)設(shè)施面臨的重大安全風(fēng)險。