编者注：本次对CISA参谋长Kiersten Todt的采访于上个月首次出现在Recorded Future的Inside Security Intelligence播客上。为了长度和清晰度，对对话进行了轻微编辑。
Dave Bittner：网络安全和基础设施安全局，更广为人知的名称是 CISA，于 2018年成立，隶属于国土安全部。2021年7月，Jen Easterly被美国参议院确认为CISA 主任，在她的领导下，该组织继续努力建立网络安全领域的公私合作伙伴关系。CISA最近成立了联合网络防御合作组织，该机构致力于领导制定主动网络防御行动计划。Kiersten Todt是网络安全和基础设施安全局的参谋长，她与我们一起深入了解CISA的工作……
Kiersten Todt：[我的职业生涯开始于]我实际上冷静地打电话给康涅狄格州州长办公室的参谋长，最后在我上大学的时候为他实习了两个夏天。这真的让我陷入了公务员制度的错误。我毕业于公共政策硕士学位，然后通过一项名为总统管理奖学金的奖学金来到华盛顿，并在白宫毒品政策办公室工作。我又一次冷静地打电话给康涅狄格州的参议员利伯曼参议员，并被告知如果我在三个月内回电，可能会有一个职位给我。后来我成为参议员利伯曼的经济政策顾问。
那是2001年夏天，来自佛蒙特州的共和党参议员杰佛兹 (Jeffords) 转变为独立人士，这颠覆了整个参议院。所以他从共和党占多数变为民主党占多数，参议员利伯曼于2001年夏天成为政府事务委员会主席。我称之为无聊的委员会。你知道，这是负责任命，一些任命和提名，但他让我加入他的委员会工作人员。作为主席，他获得了更多的位置和职位。我给他的第一个任务是定于2001年9月12日举行的关于关键基础设施保护的听证会。所以9/11发生在那个星期二，我们是唯一一个在星期三进行的听证会。这显然与我们最初计划的听证会截然不同。
Kiersten Todt(基尔斯滕·托德)
早在上电视节目之前，我们最终完成了这项立法，但当时还有其他事情在进行，例如按需调查，但没有人真的认为这会发生在任何地方。直到2002年6月，我们一群人都在致力于立法——我醒来，在伍德罗威尔逊中心发表演讲并阅读了报纸，上面说布什总统已经出来反对创建DHS的立法。然后我与白宫和其他人合作，就2002年通过的立法进行谈判。那是我真正参与网络安全的时候，最终共同起草了国土安全局的研发、基础设施保护、生物恐怖和网络安全。然后花时间在加利福尼亚州为州长办公室工作，为非营利组织工作。
然后我带着这个非营利组织回到华盛顿，参与公私合作，然后在一家风险管理和网络安全的咨询公司工作，并创办了我自己的公司。随后，美国国家标准与技术研究所要求帮助他们建立自愿网络安全框架，这是奥巴马总统2013年的行政命令。在完成这项工作之后，奥巴马总统和商务部长普利兹克在是时候运行奥巴马总统的网络安全委员会了。
我这样做了九个月，然后在这个过程中，一些委员和我一起提出了一个概念，即成立一个名为Cyber Readiness Institute(网络准备研究所)的非营利组织，为专注于人类行为的小型企业提供免费工具和资源。我在这个非营利组织运营了四年，直到两个月前加入CISA。当我想到这个跨度时，对我来说特别有趣的是，我一直致力于立法以创建DHS，特别是网络安全，到现在在这个级别执行它的地方工作——这是一种真正的荣誉和特权。
DB：我不得不说，Kiersten，很遗憾你不能在任何地方找到一份工作，不是吗？您如何向不熟悉CISA的人描述它？对于外人，您如何描述组织的使命？
KT：嗯，CISA是一个年轻的组织。它始于2018年，实际上几天前我们过了三岁生日。它不是典型的政府机构。CISA的作用是作为保护联邦政府网络的运营领导者。在政府工作了很长时间，我不知道这个问题的答案，即有多少个联邦机构？其实有102个联邦机构，CISA拥有保护政府网络的运营领导权。它还负责了解和减少对我们的网络和物理基础设施的威胁。这意味着CISA与行业密切合作以帮助私营部门保护其网络，同时也协同工作以帮助政府保护其网络。
DB：您可以使用哪些工具来实现这一使命？
KT：这是一个很好的问题，因为这些工具正在不断发展。几周前，CISA向联邦机构发布了所谓的“约束性操作指令”。它是同类中的第一个，因为它列出了290个已识别的漏洞和这些漏洞的补丁，并将它们提供给联邦机构，作为一种说法：以下是您可能拥有的漏洞，您需要注意，CISA将帮助您解决这些漏洞，帮助您确定补丁在哪里。但重要的是，在那之后的短短几天内，就有2000多个公司访问了这些漏洞信息，这意味着私营部门，以及联邦机构，访问这些信息以加强他们的系统，这当然也是我们所希望的。
与行业合作的另一个关键部分是Easterly局长于8月发布的一项公告，即联合网络防御协作的启动。在这个领域工作了很长时间，我对这项工作感到特别兴奋，因为我们经常谈论公私合作伙伴关系。而且我认为这确实是一个随着时间的流逝而失去意义的术语。JCDC到底是什么，它是否真正专注于行业和政府之间的运营协作，无论是在事件发生之前还是在响应和恢复中。它将私营部门查看其网络内容的能力与行业能力相结合，了解威胁和漏洞在哪里，以确保我们强化政府和行业系统，以提高抵御网络攻击的能力。
DB：让我印象深刻的是，自从上任以来，Easterly主任一直致力于成为这些公私合作伙伴关系的前沿和中心，成为公众的代言人。这确实是该组织的重点。私营部门似乎真的对此做出了回应。
KT：的确是。我问自己很多，在这个领域工作了一段时间，这是一个可以在几年前执行的概念吗？事实并非如此。我认为我们正处于一个独特的时代。我总是很小心地谈论历史上的拐点和所有这些不同的元素，因为我们想确保我们能够利用它们。但我确实相信我们正处于一个独特的时刻，整个政府、整个国家都采取了网络安全措施。我们需要认识到，没有一个部门、没有一家公司可以独自应对这一威胁，我们必须擅长协作。Easterly主管将网络视为一项团队运动。Inglis(美国国家网络主管克里斯英格利斯(Chris Inglis))谈到了这样一个事实：要想打败我们中的一个人，你必须打败我们所有人,这些是我认为已经被行业内化的真正概念，
“我确实相信我们正处于一个独特的时刻，整个政府、整个国家都采取了网络安全措施。我们需要认识到，没有一个部门、没有一家公司可以独自应对这一威胁，我们只擅长合作。”
DB：就公共部门和私营部门之间的实际合作伙伴关系而言，您如何看待这些合作伙伴关系？你在鼓励什么样的事情？
KT：因此，SolarWinds向我们展示的一件事是，政府无法了解私营部门网络上的内容。我认为这个数字并不完全准确，但有统计表明85%的关键基础设施由私营部门拥有和运营。因此，当您考虑到这一点时，政府当然不需要也不想加入这些私有网络。但政府确实需要的是了解行业所见。因此，自JCDC启动以来，我们已经看到非常有效的一件事就是按行业共享信息。同样，CISA说这就是我们所看到的。
我认为这里的关键词是运营协作。我们如何真正实现行业和政府之间的合作？再一次，专注于事前，可以做的工作来预防，但同样重要的是，正如我之前提到的，响应恢复以确保我们的系统能够抵御即将到来的攻击。
DB：作为一个相对较新的机构，CISA是否享有相对灵活的能力？
KT：这是一个很好的问题，因为Easterly主管真正谈论的事情之一就是我们是一个敏捷机构。所以，很合适的词：敏捷。我认为这都是其中的一部分，这是一个混合实体，我们不会陷入无法与行业合作的困境。我认为为了成为行业的有效合作伙伴，我们当然必须成为。但问题和威胁也要求我们这样做，因为四年前，勒索软件并不是每个人的词汇。如果我们考虑威胁的演变方式，如果我们考虑事情是如何发生的，它就会以如此快的速度发展。所以我们必须坚持下去。我们必须以一种真正需要这种敏捷性的方式来做到这一点。
DB：看看在这里签约的合作伙伴名单，这肯定是一个令人印象深刻的名单。如果其他人想参与其中，他们如何加入，最好的联系方式是什么？
KT：在我们的网站上，不仅有关于如何加入JCDC的信息，还有关于如何成为我们的信息共享合作伙伴之一的信息，我们将与之共享信息并发展交流。所有这些都在 CISA.gov上，我们真的很明显地伸出援手并鼓励以不同形式参与。JCDC并不是与我们合作的唯一工具。当然，我们的实力取决于我们拥有的实体和合作。因此，我们当然鼓励企业伸出援手。
DB：你知道，让我震惊的是，网络安全是目前为数不多的真正享有国会两党真诚合作的领域之一。CISA在通知国会议员方面扮演什么角色？在监管方面，在立法方面，什么样的事情会有所帮助？
KT：好吧，我认为当然有了今年通过的NDAA以及授予CISA的额外权力和责任，我们的伙伴关系，我们与国会的关系将非常重要。就在本周，我们的高级领导人两次作证，我认为能够与国会两党合作，我们当然有领导与我们合作确定什么是这些流程，有哪些方法会有所帮助，不仅是CISA更好地完成工作，而且重要的是，确保国家安全。再次强调，这肯定是整个政府、整个国家的做法。因此，这关乎我们与合作伙伴的协作。我之前提到过导演克里斯·英格利斯，当然还有国家网络总监办公室，
“网络安全是关于解决问题和构建解决方案。为了做到这一点的创新，我们必须引入多元化的思想。”—基尔斯滕·托德
DB：当您展望未来时，您对组织的未来有何看法？你看到它未来走向了吗？
KT：主任和CISA现在的主要优先事项之一是建立我们的人才队伍，并真正使CISA成为吸引和留住网络安全顶级人才的精英机构。最近，我们宣布推出网络人才管理系统，该系统为我们提供了不同类型的招聘权限，以真正引入网络安全领域最优秀、最聪明的人才。但在内部，我们也在研究如何使劳动力有效，重要的是，我们如何创建不只是去往常资源的人才管道。但是，如果我们真正专注于思维的多样性……当我们看待网络安全时，网络安全就是解决问题和构建解决方案。为了做到这一点的创新，我们必须引入思想的多样性。所以当我们谈论建立多样性、公平性时，
因此，不仅要引进数学家和科学家，还要引进历史学家、经济学家、社会学家、心理学家，帮助人们了解各种能力和才能确实有助于我们在CISA开展的工作。因为这将确保我们具有创新性。我参与了Cyber Moonshot(网络登月计划)，这是几年前奥巴马总统的一项努力，其中一个关键部分是研究我们如何创新。我们请来了一位来自美国国际开发署的人，他谈到了他们在构建埃博拉防护服方面所做的工作。他们基本上已经在全国范围内进行了试镜，以引进设计师。他们不会这个女人拒之门外，她实际上是他们团队的重要组成部分，她是一名婚纱设计师。
这就是思维多元化的重要性。并前往不同类型的大学和学院，我们正在与社区学院、职业学校、历史上黑人社区学院和大学建立合作伙伴关系。所有这些元素都变得如此重要。我想分享的另一件事是，我特别自豪的是，CISA将成为第二个与MITRE合作开展神经多样性项目的机构。我们将有3名自闭症患者来到CISA工作。再次，多样性，不仅仅是为了多样性，不是勾选复选框，而是真正重视多样性的含义。
DB：这里的行动呼吁是什么，对于想要加入、在网络安全领域工作的人，我们如何支持您的努力？
KT：嗯，我鼓励大家访问我们的网站，查看网络人才管理系统、CTMS以及我们的职位空缺。我们现在有很多职位空缺，我们正在尽可能在我们的网站上提供这些职位空缺，以便能够访问它们并申请工作。
（来源：红数位）
发表评论