美国当地时间1月26日，白宫发布了最终零信任战略，要求在2024年财年前“实现具体的零信任安全目标”，这将是业内首个国家级零信任架构。
这项战略由白宫管理与预算办公室(OMB)发布，备忘录编号为M-22-09。此次公告是2021年9月发布首次草案后的正式政府文件，其制定授意来自拜登的第14028号总统行政令。该战略是落实该行政命令的关键一步，其重点是在整个政府范围内启动零信任框架迁移，大幅降低针对联邦政府数字基础设施的网络攻击风险。
该战略共计30页，计划列出了联邦机构在未来两年内需要采取的数十项措施，包括更严格地网络分割、多因素认证和广泛地加密，以确保系统安全，并限制安全事故的风险。
该战略对设联邦政府提出了以下几点展望：
- 联邦政府人员拥有企业管理的账户，供其访问工作所需的资料，同时还能保护其免于针对性、复杂性的网络钓鱼攻击。
- 联邦政府人员使用的工作设备被被持续跟踪和监控，而且在授予内部资源访问权限时，也应考虑到设备的具体安全状况。
- 各代理系统之间相互隔离，往来于不同系统及同一系统内部的网络流量应经过可靠加密。
- 企业应用程序需经过内部和外部进行测试，确保可通过互联网安全地交付给雇员。
- 联邦安全团队和数据团队共同合作规划数据类别和安全规则，以实现自动检测并最终阻止对未经授权访问敏感信息。
战略中提到，政府机构必须在2024财年结束前满足特定的网络安全标准和目标。各部门有60天或120天的时间来任命领导，领导将执行这些措施，并根据敏感性对某些信息进行分类。
据了解，此次修订部分受启发于 SolarWinds攻击事件，该活动潜入美国司法部、国土安全部和其他部门的非机密网络，且几个月都未被发现。OMB表示，新版本纳入网络安全专业人士、非营利组织和私营企业要求的更改。最终确定的战略包括强调体系访问控制，包括多因素身份验证以及加密所有DNS和HTTP 流量。
白宫表示，复杂的网络攻击威胁日益增长，强调联邦政府不能再依靠传统的外围防御来保护关键系统和数据。
网络安全与基础设施安全局(CISA)局长珍·伊斯特利表示，零信任是政府现代化和加强防御的一个关键因素。
伊斯特利表示，“随着我们对手的攻击和破坏方式不断创新，我们必须继续从根本上改变我们对待联邦网络安全的方式。”
