FDA监管的产品遍布美国的每个超市、药店和家庭。网络安全涉及FDA广泛而复杂的职责的方方面面。这是FDA的首要任务之一，FDA对此非常重视，尤其是考虑到当今日益增长的网络安全风险。

在大流行期间，FDA经历了侦察活动、拒绝服务、企图利用和其他针对IT基础设施的网络事件增加了457%，这包括每月近95亿个防火墙和入侵检测块。

FDA必须加强当前的网络安全防御，以应对不断变化的威胁环境，并保护支持我们监管决策的重要数据。

为了实现这些新的能力，FDA正在信息安全办公室(OIS)和数字转型办公室的指导下推进全机构范围的网络安全现代化方法。

OIS提供接近实时的网络安全能力和风险管理方法，以保护敏感数据和信息系统，并以提供一流的、情报驱动的网络安全项目为愿景，实现FDA的公共卫生使命。

2022.11.27，FDA引入网络安全现代化行动计划(CMAP)，这是FDA企业数字化方法的下一个阶段。

为了实现这一目标，FDA正在将IT、数据和业务流程水平的进步与改进的网络安全能力相结合。CMAP概述了FDA将采取的措施，以使其安全和网络防御现代化，并实施“Zero Trust零信任”，零信任是一种策略或方法，可以确保正确的人在正确的时间正确地访问正确的资源。

OIS将在该机构内开展工作，并与TMAP、DMAP和EMAP合作，实施FDA的2022-2025年网络安全战略计划。CMAP还与最近“Presidential Executive Order 14028 Improving the Nation’s Cybersecurity”和“Office of Management and Budget OMB M-22-09 Moving the U.S. Government Toward Zero Trust Cybersecurity Principals”保持一致。

CMAP的主要目标是:

• 建立全面的零信任方法，以促进新的数字服务和现代化工作。

• 促进软件保障最佳实践，在每个开发生命周期阶段都包括安全措施。

• 增强FDA及其公共卫生合作伙伴之间的互操作性和安全性数据交换和协作。

• 利用人工智能和机器学习技术来增强网络检测和响应能力。

• 将反情报和内部风险原则与零信任模型相结合，以实现情报驱动的方法。

• 优先考虑并投资于FDA的网络安全劳动力。

随着网络威胁格局在全球范围内演变，威胁参与者带来了不断变化的挑战。FDA将使其网络防御现代化，并将继续发展员工队伍，以满足当前和未来的网络安全需求。FDA员工活动将侧重于采用新的流程和技术来培养一支技术熟练的员工队伍，这支队伍将利用最先进的技术和先进的流程来应对快速变化的威胁环境的挑战。

​我们来看看网络安全现代化行动计划的具体内容：

从上可以看出，FDA的网络安全计划仍然逐步关注企业范围的网络防御，其目标将通过持续推进FDA’s Cybersecurity Strategic Plan 2022 - 2025 中的六个战略优先事项来实现，并以此为指导：

• 优先级1: 数据和信息保护

• 优先级2: 网络安全、创新和技术

• 优先级3: 网络、威胁和漏洞管理

• 优先级4: 网络安全风险和合规性

• 优先级5: 客户参与和网络安全员工发展

• 优先级6: 反情报和内部威胁

从上可以看出，FDA正在通过实施零信任、安全云计算、多因素认证、加密、威胁检测、漏洞管理和其他网络防御功能来增强我们的网络安全保护。CMAP、改善国家网络安全的第14028号总统行政命令、OMB管理和预算办公室M-22-09推动美国政府走向零信任网络安全原则，以及其他网络安全倡议与FDA的2022-2025年网络安全战略计划保持一致。这些努力也支持FDA的技术现代化行动计划、数据现代化行动计划和企业现代化行动计划。ODT已经制定了FDA零信任网络安全防御实施计划，它将作为有效实现现代化和过渡到零信任模式的路线图。

FDA零信任网络安全网络防御实施计划建立在基本网络安全概念和技术的基础上，以达到最佳的成熟度级别。该计划包括升级、现代化和增强我们的安全和网络防御，以应对FDA的IT基础设施和敏感数据面临的不断变化的威胁、漏洞和风险。该倡议包括三个关键领域:倡议协调和监督、主要支柱和支助支柱。FDA将在这些活动中运用专业知识、协调和监督资源，以成功实现我们的零信任目标。

​

上图描述了零信任的5大主要支柱

支柱1: 身份。实施强大的身份凭据和访问管理工具、原则和多因素身份认证，以防范身份欺骗、网络钓鱼和未经授权的环境访问企图。

支柱2:设备。实施技术能力来保护笔记本电脑、工作站、服务器、智能手机和平板电脑。实施设备清单监控、仪表板以及端点检测和响应，以实现跟踪目的。

支柱3：网络环境。实施网络安全并使其现代化。继续减少潜在的攻击面，实施软件定义的网络、现代云连接、网络分段和安全访问服务边缘服务。

支柱4: 应用程序工作负载。增强系统和应用程序监控能力，以检测网络威胁以及网络和系统故障。使用永不信任和永远验证的模型保护应用程序。继续推进云访问安全代理，调整DevSecOps和威胁情报功能，以严格扫描安全差距，并符合FISMA、FedRAMP、HHS和其他安全要求。

支柱5: 数据。保护FDA信息免受未经授权的披露、访问或滥用。保护和加密传输中的数据和静态数据。增强FDA的数据丢失预防能力，以防止敏感数据外泄，并实现和促进数据共享和协作。

上图描述了零信任的3大支助支柱

支助支柱1:可见性和分析。通过利用FDA的下一代网络安全平台，为近实时监控、搜索、分析和记录功能提供可见性和数据分析。该平台将威胁情报源与身临其境的仪表盘和高级分析引擎相集成，结合实时和历史数据关联服务，使得主动高效地识别和应对网络安全异常成为可能。

支助支柱2: 自动化和流程编排。自动化网络安全和网络基础设施事件，并将其转化为可操作的情报，并通过FDA的网络安全平台支持安全工作负载自动化增强。自动化和协调指的是使分析师能够迅速响应来自恶意行为者的威胁，并允许他们将注意力集中在案例而不是任务上的编程。

支助支柱3: 治理。在HHS CISO委员会和其他联邦政府安全要求的指导下，通过FDA网络和数据安全咨询委员会/小组委员会和技术委员会，为FDA的零信任活动提供治理支持和企业协调。FDA的零信任方法符合我们的网络安全战略计划2022- 2025、NIST特别出版物800-207、零信任架构、网络安全框架、风险管理框架以及网络安全和基础设施安全局(CISA)的零信任成熟度模型。

FDA将使用基于CISA零信任成熟度模型中定义的标准的FDA零信任记分卡来衡量进展和成熟度水平，如下所述:

• Traditional传统。手动配置和分配属性、静态安全策略、对外部系统的粗略依赖的支柱级解决方案、在配置时建立的最少功能、策略实施的专有和不灵活支柱、手动事件响应和缓解部署。

• Advanced高级。一些跨支柱协调、集中可见性、集中身份控制、基于跨支柱输入和输出的策略实施、对预定义缓解措施的一些事件响应、与外部系统的依赖性的更多细节，以及一些基于状态评估的最低权限更改。

• Optimal 最佳。将属性完全自动分配给资产和资源，基于自动化/观察到的触发器的动态策略，具有用于动态最低权限访问的自我枚举依赖性的资产，符合用于跨支柱互操作性的开放标准，以及具有用于时间点回忆的历史功能的集中可见性。

这里主要介绍了​CMAP的主要目标，前文已有相关描述。