上周五，拜登-哈里斯政府宣布这是为州和地方政府提供的首个网络安全资助项目。补助金的资金来自去年基础设施投资和就业法案并将在未来四年拨款10亿美元，用于改进和创建网络安全项目。国土安全部将实施该赠款项目，网络安全和基础设施安全局(CISA)担任主题专家，联邦紧急事务管理局(FEMA)管理资金。州和地方政府必须在2022年11月15日之前应用．

地方政府经常成为攻击的目标，几年来一直是新闻头条。然而，预防更多袭击的资金和计划主要由地方一级负责。亚特兰大市;新墨西哥州法明顿;和科罗拉多交通部都是受害者SamSam ransomware早在2018年。为了应对这些袭击，当地纳税人花费了数百万美元用于应对和恢复工作。现在，联邦纳税人将为获得拨款的政府提供预防措施。

需要适当的监督

政府获得拨款的法定条件包括建立网络安全规划委员会和计划。由于委员会必须有适当的安全专业人员的交叉代表，本已忙碌的技术、安全和风险工作人员将变得更忙，帮助他们当地的公共机构。该委员会必须制定一项计划，包括关键的治理和识别程序以及评估网络安全差距的方法。它还必须解决七个最佳实践:

  1. 多因素身份验证
  2. 增强的日志
  3. 静止数据和传输数据的数据加密
  4. 停止使用可从互联网访问的不受支持/报废的软件和硬件
  5. 禁止使用已知/固定/默认密码和凭证
  6. 重新构建系统(备份)的能力
  7. 迁移到。gov互联网域

寻找了解小政府的安全和技术提供商

签订合同建立和记录网络安全治理并进行项目评估的安全服务提供商将立即寻求从这些赠款中受益。为满足新制定的计划而提供工具的技术供应商是下一个从赠款中获利的人。

确保提供安全日志和分析、加密以及数据备份和恢复的潜在供应商了解小型和地方政府的独特需求。这包括预算和规划程序、典型的市政办公室结构和决策者。

对培训、漏洞风险管理和检测技术等基础设施的采购或改进将列入政府安全计划，供应商将予以注意。拥有现有小型和地方政府客户的安全和技术供应商应将拨款机会与已发布的基线安全配置指南联系起来，如启用多因素身份验证(MFA)、强密码指导和寿命终止支持。寻找能够让政府更容易找到并实现支持安全计划的配置的供应商。

小政府仍需投入工作

考虑到时间表和最初的前期治理活动，地方政府将需要时间组织起来并获得收益，但这将随着项目的加强而实现。政府应该从跟踪和记录现有的安全工具、技术、程序和计划开始。

这些拨款并不意味着政府标准职业分类(soc)将奇迹般地配备酷炫的设备、墙上华丽的屏幕和最好的工具。重要的是，他们要坚持CISA在计划中寻找的指导方针，这可以归结为日志、MFA、强密码和备份等基本原则。这将最终降低当地纳税人需要支付赎金或安全漏洞恢复工作的机会。

网络保险费和勒索软件需求是补助金资金的两个明显不合格的用例。政府仍需遵守网络保险费及其要求，并为此获得资金，这可能会分散委员会提出的网络安全计划的注意力。委员会成员需要了解网络保险要求，以确保各项举措保持一致。计划支付赎金作为其勒索软件应对计划的一部分的政府应在申请赠款之前删除这些细节。

希望尽早开始的政府可以参考一些免费资源:

https://www.cisa.gov/free-cybersecurity-services-and-tools

https://www.cisa.gov/cyber-resource-hub

https://www.cisa.gov/sites/default/files/publications/VM_Assessments_Fact_Sheet_VS_508C.pdf

https://www.sba.gov/business-guide/manage-your-business/strengthen-your-cybersecurity