300字范文 > 国家信息中心丨美国联邦政府信息技术现代化报告

国家信息中心丨美国联邦政府信息技术现代化报告

时间：2020-01-22 15:43:53

我国目前正在大力发展和利用信息技术构建数字政府和智慧城市，在这一进程中，政府部门基础设施的建设理念、管理方式和服务模式也需要不断转变和提升，以适应新的发展需求。希望此文能够对我国政府部门在信息基础设施建设方面有所参考，促进我国政府信息化基础设施的建设升级。

=======

联邦政府正在致力于构建更加现代化、更加安全的联邦信息技术系统架构。政府各机构在对信息系统进行现代化改造的过程中，遇到了各种困难和阻碍，包括，资源优先性排序、采购服务能力、技术难题等。解决上述问题的建议可以分为两个方面：一是网络的现代化改造与整合，二是构建面向共享服务的网络架构。

网络现代化改造与整合。本报告设想了一种现代化的联邦信息技术架构。其中，政府各部门能够最大限度地安全地使用云计算服务，政府托管的应用程序能够进行自动化更新，同时对尚未淘汰的老旧系统进行安全地维护。

网络现代化改造与整合的目的是使各部门能够从对网络边界的保护和对物理设备的保护，转向对政府数据的保护和对云的优化部署。《联邦信息安全现代化法案》和行政管理预算局的备忘录“行政命令报告指南”，均强调了对部门高价值资产的保护，以及加强联邦网络和关键基础设施的安全。本报告通过试验新的实施方法来实现政策的快速更新，以解决当前采用云技术所遇到的一些障碍。本报告侧重于改进和整合网络服务，使网络安全服务达到更高标准。具体行动包括：

1.优先考虑高风险高价值资产的现代化。重点是加强对联邦政府机构及其最脆弱的资产的安全保护和隐私控制。

2.实现可信互联网连接和国家网络安全保护系统的现代化，实现云迁移。使用真实测试环境确定有关代理云采用的解决方案。更新相关的网络安全策略和体系结构，使政府机构能够专注于网络和数据的安全和隐私保护，实现事件检测和防御功能现代化，以应对最新威胁。

3.整合网络和加强采购管理。加强网络整合和集约化建设，促进网络安全服务标准化，实现规模经济，最大限度地减少对现有安全功能的重复投资。

构建支撑共享服务的网络架构。本报告提出，联邦政府通过在政务范围内进行类别管理，从采用集中式的信息化产品转向采用统一的信息技术模式。该报告详细阐述了当前政策、资源分配和机构优先排序等问题的解决方案，以利于云协作工具和其他安全共享服务的使用。共享服务是跨多个机构部门的整合功能服务或信息技术系统服务，共享服务可以充分利用流程创新和商业解决方案持续提供标准化服务，降低重复提供服务的成本，提高代理效率。构建共享服务的具体行动包括：

1.启用商业云，使各部门能够使用符合政府标准的商业云产品。

2.采用云电子邮件和协作工具。为政府云电子邮件和协作套件的迁移提供支持。

3.改进并提供其他安全共享服务。

联邦网络信息技术的现代化。为了实施本报告所概述的联邦信息技术现代化工作，各部门将需要使用以业务为中心、数据驱动的分析和技术评估来适当的重新调整其IT资源。行政管理预算局将指导各机构首席信息官、首席财务官和隐私官员，确定哪些系统将优先进行现代化改造，重新制定资源分配策略。各机构还应重新确定资金使用的优先级，考虑“削减和投资”战略，利用总务署的统一共享服务现代化实践做法与经验，将落后的信息技术系统的资金重新分配给新的现代的技术、云解决方案和共享服务。

综上所述，这些建议将使联邦信息技术的安全和功能现代化，改进联邦政府服务，并将资源集中在政府服务最重要的事项上。

一、网络现代化改造与整合

（一）前期建设

联邦政府已经努力采取了多项措施来实现现有信息技术系统的现代化，改进解决方案的开发流程，并重组生命周期管理的基础框架。2002年颁布的《电子政务法案》强调了构建先进的、安全的和管理完善的联邦信息技术生态系统的重要性，这也是《克林格-柯汉法案》、《文书减少法案》和行政管理预算局等一直强调和要求的。此外，2002年的《联邦信息安全管理法案》和的《联邦信息安全现代化法案》，为政府网络安全建设提供了全面的指导和政策指引。

据此，行政管理预算局建立了信息技术基础设施优化路线图。该路线图针对政府服务水平和成本制定了绩效指标，确定了实践方法，并为各部门制订的信息技术基础设施转型计划提供了指导。在此之后的几年，美国联邦政府的企业架构和集中基础架构完成了构建。，《联邦数据中心整合计划》要求各部门对其数据中心进行盘点，制定整合计划，并评估虚拟或云替代方案的可行性。

在《联邦数据中心整合计划》启动后，《联邦风险与授权管理计划》于启动，该计划为云产品的安全评估、授权和持续监控提供了标准化的方法和服务。，《数据中心优化计划》成为联邦数据中心整合计划的最新方案。《联邦信息技术采购改革法案》也对政府信息技术的升级提出了具体要求，在这些努力的推动下，联邦政府的信息技术现代化快速推进。

目前，政府在购买服务时面临的一些问题，限制了网络架构整合和共享服务的获取，也限制了联邦政府实现信息系统建设现代化的目标。例如，当前的法律和监管要求阻止了政府部门采用业界公认的最好的商业解决方案。下一步，可以考虑对现有要求进行变更或修改，以实现效率和公平的平衡。

（二）当前进展

近年来，联邦政府的信息化政策倾向于向更高效、更安全和以客户为中心的信息技术环境过渡。迄今为止，保护联邦信息系统的努力主要集中在网络层面。这使得政府各部门都围绕有限数量的网络连接和标准化物理接入点对人力和技术资源进行整合，以期能有更强大的安全管理能力。

现行的政策也进一步确定了基于网络外围的安全保护策略。这非常明显地体现在了可信互联网连接和国家网络安全保护系统中。本报告建议重视应用层和数据层保护，强调政府范围内的分层防御战略。这一重点转移，加上从技术进步中汲取的经验教训，将推动美国国家网络安全保护系统计划的战略性变革。同时，将提供更强大的纵深防御能力，有助于防止恶意行为者跨网络横向移动，盗取有价值的信息。

然而，这些举措将会对信息系统的性能产生负面影响，并对商业技术的应用造成障碍。例如，企业网络安全工具政策的实施推动了联邦信息系统之间的所有网络流量的物理整合。这阻碍了政府机构对商业云的利用，商业云依赖于分布式网络模型，并强调虚拟化而非物理的数据控制。在这种情况下，通过有限数量的本地访问点路由流量策略和支持功能不仅会影响服务性能和可用性，还会破坏分布式云架构的价值和灵活的移动服务访问。为此，各部门经常绕过基于网络的安全保护来使用商业云。过度依赖基于网络的安全保护的另一个负面后果是，数据和应用程序层面出现了运营能力差距。这导致了信息技术生态系统中被忽视的区域的产生，这些区域更容易受到攻击或利用。

此外，当一些部门与部门进行合作时，对边界保护的重视得到进一步强化，小型部门通常缺乏人力和技术资源来安全地管理他们的网络，迁移到新的计算模型并获得新的安全流程。实现网络现代化和整合需要一种战略，需要通过修改相关法律、政策、资源和劳动力分配来解决这些挑战。

（三）远期愿景

未来，联邦政府信息技术的发展方向将会是各部门进一步采用风险管理的方法来保护他们的系统，这些系统强调数据层面的保护并充分利用和依托现代的虚拟化技术。重新关注数据级别的风险管理保护，必须由各部门领导、业务部门人员、信息技术开发者和监督机构共同推动。以下目标将预言未来信息技术的发展趋势：

一是加强应用程序和数据保护，应对联邦政府的攻击。各部门不应将政府网络视为在外围进行保护的可信实体，而应将重点放在更贴近数据的保护上，特别是通过改进设备和用户访问的管理和认证，以及通过在在线加密数据的方式。这种方法可以减少攻击者通过访问网络获取有价值数据的可能性，并且可以更好地阻止和隔离恶意活动。各部门要优先考虑其信息化系统的现代化改造工作，支持实施这一模式，保护其高价值资产。

二是提高网络层以外的安全感知监测能力，应对更复杂的攻击。通过增强对数据的保护来访问部门网络，将可监测感知性扩展到网络层以外，例如，通过在应用程序级别收集安全日志或建立漏洞披露策略，并将系统或应用程序置于漏洞查找奖励计划之下，为安全团队提供其他信息源，帮助他们更好地理解、处理和分类信息安全事件。这些信息可以让我们深入了解各部门所隐藏的安全漏洞，从而得知他们应该采取哪些类型的投资来抵御威胁。工作人员可以使用最新的工具和模型，最大限度地提高这种方法的有效性。此外，在联邦信息存在于非公开环境中时，风险控制和态势感知也非常重要，特别是在商业云环境中。政府部门要持续地制定有关计划，对相关工具和服务进行不断地升级，还要收集和分析日志，以及保持与安全研究部门进行及时有效地互动。

三是在不牺牲可靠性或性能的情况下利用新技术优化安全性策略、资源分配、获取和操作方法。信息技术政策、资源分配、采购流程和业务指导必须要实现安全目标，同时还要允许部门利用更新的技术方法，例如，商业云服务和移动设备。各部门应优先考虑所需的信息技术资源和技术人员，以实施必要的数据保护，并在日常运营中实现态势感知。在政府加速网络整合和优化中仍然存在许多实际的障碍，解决这些障碍将使各部门能够在不牺牲安全性或性能的情况下，加速迈向现代化的新时代。

（四）实施方案

本节概述与联邦网络现代化相关的短期步骤和长期考虑。理解以下三个核心概念能够加快工作的推进：1、优先考虑高价值资产；2、采用安全框架，更好地保护数据层面的系统；3、尽可能地规范网络采购和管理。

1. 优先开展高风险高价值资产的现代化建设

高风险高价值资产计划始于，是帮助政府认识、归类并优先考虑安全和现代化改进的开创性步骤，该计划的理念是发挥最有价值的信息系统的优势。该计划将通过具体的政策、资源分配等措施，为部门提供短期的帮助，增强部门保护易受网络安全风险影响的资产的能力。该计划利用国家技术委员会的支持改进经营管理流程，符合第13800号行政命令要求，该计划要求所有部门进行风险评估，并确定需要特别关注的领域。这也是由《联邦信息安全管理法案》中的部门职责决定的。

简单地将补丁应用于信息系统，并使用补充性工具进行系统保护已经无法满足安全保护需求了。必须推动实施高风险高价值资产保护朝基于数据级保护的现代架构发展。信息系统是最重要和最脆弱的资产，其安全防护是联邦政府最应首先解决的问题。

具体实施路径如下：

当前：建议指导实施下面一系列的计划，通过现代化架构和最佳安全实践来提高高风险高价值资产的安全性。

在本最终报告发布之日起30天内：根据第13800行政命令，制定企业风险管理计划，商务部、国家标准与技术研究院将为行政管理预算局提供宣传风险管理的计划，将机构工作的重点放在其最有价值的系统运行性能与合规性上，同时，也将允许以少负担、低成本的方式部署其他系统。该计划将包括修订《联邦信息处理标准199》中的“联邦信息和信息系统安全分类标准”，以及《联邦信息处理标准200》中的“联邦信息和信息系统最低安全要求”。该计划还应包括对国家标准与技术研究院相关特刊的更新，以促成部门风险管理流程的改进，获得与信息系统、部门任务及个人风险相对应的选择、实施和持续监控和控制能力。这些更新应包括使用国家标准与技术研究院的框架来改进关键基础设施网络安全（网络安全框架），并在适当的情况下，吸取其他领域合规控制框架的经验，例如，合规性审计或支付卡行业。

在本最终报告发布之日起60天内：根据第13800号行政命令，国土安全部将会商行政管理预算局，提供一份确定政府高风险高价值资产常见弱点的报告。该报告将包含以下几个部分：在整个政府范围内应对这些风险的建议；部门风险评估；过去和现在的风险漏洞评估；以及国土安全部在各类部门高风险高价值资产上执行的安全架构评估。

国家标准与技术研究院将为行政管理预算局提供一项旨在提高联邦企业加密灵活性的计划。该计划将包括修订“加密模块的安全要求”和未来加密转换计划的流程和时间表。该计划将描述联邦政府如何为其使用的加密硬件和软件模块持续提供强有力的标准支持，同时确保相关流程能够使联邦政府快速使用新的秘钥和技术。

在本最终报告发布之日起90天内：根据各机构及其执行情况，行政管理预算局将更新年度联邦信息安全现代化法案指标和网络安全跨机构优先级目标，以弥补代理机构中最缺乏的关键能力。行政管理预算局将重点关注监督工作，包括总统管理委员会网络安全评估等，并推动这些能力的增强。

国土安全部将会商行政管理预算局，并与各部门合作，在适当时发布指令并对行动予以支持，解决总统风险管理报告中确定的常见风险领域中的问题。

在本最终报告发布之日起120天内：根据第13800号行政命令，行政管理预算局和国土安全部将制定一个战略，明确描述必要的权限和操作程序。该战略将调整各部门之间的资源至最佳状态，以降低全联邦政府的高风险高价值资产的风险，能够对网络安全事件做出响应。根据第13800号行政命令，上述努力应与计划中确定的建议保持一致，以便根据机构风险管理报告来充分保护行政部门的安全。

自本最终报告发布之日起150天内：首席信息官、首席信息安全官和部门高级隐私官员们将审查他们最近向国土安全部和行政管理预算局提交的高风险高价值资产，并进行必要的更改，以反映出系统优先级的最新信息，同时将其风险评估报告作为第13800号行政命令的一部分。

在本最终报告发布之日起180天内：国土安全部、行政管理预算局和国家安全委员会将审查联邦部门提交给国土安全部的高风险高价值资产清单，并将制定一份按优先级排序的政府干预系统清单。总统管理委员会将选择六个高风险高价值资产来接受人员和技术的集中管理，并审查清单上的其他高风险高价值资产。此外，各部门将与行政管理预算局合作，以适当地重新分配其信息技术资源，以便为高风险高价值资产的现代化提供支持。

与由国土安全部管理并由行政管理预算局监督的当前高风险高价值资产计划一致，任何部门的高风险高价值资产如果被确定为在风险评估、风险漏洞评估、安全架构评估或部门进行的审查中具有重要的风险隐患弱点，将制订一份补救计划。如果针对高风险高价值资产的重要弱点是因为过时或不支持的技术方案架构所导致的严重缺陷，则补救计划应包括在一年内实现现代化，并解决在政策、资源分配、劳动力或运营等方面的障碍。该计划应最大程度地利用共享信息技术服务、应用程序实施和数据级保护，并强调适当使用《联邦风险与授权管理计划》授权的云体系结构。各机构应优先考虑现有的财务和人力资源，并应确定可能遭受的未归类为高风险高价值资产的其他系统性问题。

在可能的情况下，总务署将支持国土安全部向各部门提供实际的技术援助，加强对该流程确定的系统的保护。

此外，国土安全部将努力扩大高风险高价值资产的风险漏洞评估和安全架构评估的可用性。行政管理预算局还将与国土安全部合作，重新调整这些评估的重点，集中精力进行实际的技术工程干预，不再强调对系统文件和政策的审查。此外，行政管理预算局和国土安全部将与总务署合作，在信息技术现代化日程表上扩展高度自适应网络安全服务项目的可见性和可用性。

自本最终报告发布之日起一年内：根据部门及其执行情况，行政管理预算局将与国土安全部，总务署和其他利益相关方合作，以获取保护高风险高价值资产的标准操作程序，并将开发一个各部门可以利用的手册，优先考虑将此方法扩展到其他系统，以符合联邦信息安全现代化法案基于风险的方法。

2. 实现可信互联网连接和国家网络安全保护系统现代化

如今联邦机构采用的基于边界的安全保护模型，通过整合外部接入点来实现网络边界安全性的标准化，这是在行政管理预算局备忘录《可信互联网连接的实施》中正式明确的。在此模型下，各部门需要将外部连接数量减少到50个，并将流量转向有限数量的安全网关。这些网关应用常见的安全保护、入侵检测、信息共享和国家网络安全保护系统下的预防功能。国家网络安全保护系统由三个统称为EINSTEIN的传感器，以及网络分析师用于查找、识别和分类网络威胁活动的一组分析工具组成。

国家网络安全保护系统传感器套件经历了三次迭代：

EINSTEIN 1：用于捕获和分析网络流量信息；

EINSTEIN 2：结合入侵检测技术，可扫描网络通信内容，识别并提醒用户注意恶意活动；

EINSTEIN 3-Accelerated（E3A）：通过域名系统下沉和电子邮件过滤来检测和阻止恶意活动。

可信互联网连接政策和随后的《联邦网络安全增强法案》要求各部门利用目前通过国家网络安全保护系统提供的这些功能来保护在部门信息系统和外部信息系统之间传输的所有信息。这种基于边界的模型试图提供一种方法来汇总所有联邦行政部门的流量，以便政府可以应用统一的方法，例如，分类指标，来防范信息安全威胁并保持一致的态势感知。

这种基于边界的网络安全方法为希望利用商业云服务的部门带来了一些挑战。国土安全部认识到了这些挑战，并将提供有关如何更新国家网络安全保护系统和连续诊断和缓解计划的建议，以实现分层安全架构，促进向商业云中的现代计算过渡。

实施步骤如下：

当前：建议指导实施以下计划，即通过国家网络安全保护系统计划和可信互联网连接功能、政策、架构和相关云安全授权基准的现代化来加速商业云的安全使用。这项工作将支持从低价值资产到高价值资产的安全资源优先级排序，使机构能够构建数据级保护，以促进分层安全架构，并加速商业云的应用。这项工作将由“部门案例”的方式驱动，同时，将优先考虑专注于云项目和遵守可信互联网连接政策和云应用的目标部门，以提供更直接的帮助。目标是在明年内加速三个云系统的迁移。行政管理预算局将在可信互联网连接政策更新中将此计划包括在内，为各部门指明下一步工作方向。下面描述的整个过程将由国家技术委员会直接监督，包括每周状态更新：

在本最终报告发布之日起30天内：根据部门机构及其执行情况，行政管理预算局将向正在进行和将要进行云迁移项目的部门进行数据调用。由于当前可信互联网连接政策和国家网络安全保护系统计划实施的限制，各部门应将重点放在已经出现延误的项目上，并应提出一项迁移计划，强调必要的政策和能力调整，以促进更快的迁移。

在本最终报告发布之日起60天内：由总务署支持的国家技术委员会将包括联邦风险与授权管理计划项目管理办公室、技术改革服务部、国土安全部、行政管理预算局和其他的相关方，将对提交的内容进行审查并将其分为三类：

（1）风险足够低可以立即迁移到云的系统。这些系统将被迁移到云中，吸取经验教训，并用于引导对现有政策的进一步更改。这些系统也将成为《联邦风险与授权管理计划》以外更新的重点，以探索控制低风险系统的进一步方法。

（2）具有高优先级的云迁移候选系统。这些系统存在一定风险，因此需要外部的协助以确保安全迁移。这些系统可以作为少数“实施验证案例研究”，并获得技术支持以实现迁移。从这些案例研究中吸取的经验教训将用于为可信互联网连接和国家网络安全保护系统的政策制定和为运营管理提供新方法。

（3）具有高风险的系统。在给出进一步的工作方向或改进技术之前，不应该迁移它们。对这些系统应当进行评估，以确定是否存在云服务提供商可以对其提供高效安全的服务。该分析将作为《联邦风险与授权管理计划》联合授权委员会优先考虑的高基线云服务提供商产品的对象，这些产品可供希望将高影响力数据迁移到云的部门使用。

为了编纂这种方法，行政管理预算局将提供可信互联网连接政策的更新，并设置一个90天的完成期限。在此期间，行政管理预算局批准的项目将试验可信互联网连接需求的变化。此更新还将使上述方法正式化。

在本最终报告发布之日起90天内：对于上述第1类的项目，部门将获准按照其提出的迁移计划开始云迁移。总务署、国土安全部、行政管理预算局和国家安全委员会将收集必要的指标，这些指标将用于确保政策的变更不会引入不可接受的网络安全风险。部门项目团队将从迁移中获得的指标和经验，并将初步结果提交给总务署、国土安全部和行政管理预算局。这些新信息将更新可信互联网连接政策、参考架构和国家网络安全保护系统的运营模式，以及进一步定制《联邦风险与授权管理计划》。上述活动将在部门负责人拥有系统授权和控制决策风险下进行。

对于上述第2类项目，总务署、国土安全部、行政管理预算局、国家安全委员会、美国数字服务和其他相关方将进行为期90天的研究，证实特定案例研究的结论。这些组织的人员配置将决定案例的确切数量，但是至少不会少于三个。这些测试案例本质上是可操作的，他们将验证实施计划的子集，以改进商业云中的可信互联网连接策略、参考架构和国家网络安全保护系统操作模型与结果。

对于上述第3类项目，总务署、国土安全部和行政管理预算局将与其他机构合作，评估云服务提供商是否可以高效安全地提供相同的特性与能力。此评估结果将作为《联邦风险与授权管理计划》联合授权委员会优先考虑的云服务提供商产品，这些产品可供那些希望将重要数据迁移到云的部门使用。

在本最终报告发布之日起180天内：国土安全部、总务署和行政管理预算局将使用收集到的信息更新可信互联网连接策略、相关参考体系结构和国家网络安全保护系统操作模型，以便于商业云取得成果。更新后这些案例的研究成果将进行汇总，以解决部门安全迁移到商业云方案时遇到的问题和种种障碍。计划作为案例研究的一部分包括以下内容：

需要考虑的问题：所有由商业云提供商托管的部门信息系统，其输入输出信息都要通过国土安全部的国家网络安全保护系统扫描；找出哪些国家网络安全保护系统功能最适用于不同资产价值的商业云环境；在商业云环境中实现效率最大化需要哪些新的国家网络安全保护系统功能。

如何调整当前的国家网络安全保护系统模型以适应大量接入点和将其服务迁移到云环境后的任意数量的虚拟接入点。

要求能够确保解除每个部门两个可信互联网连接接入点的约束，以保证一致的配置管理、信息共享和更新的快速部署。

各部门如何以最佳方式将入侵检测和预防能力结合到云服务的使用中，从而确保各部门有足够的可见性，并帮助国土安全部保护联邦信息。对适用的行政管理预算局备忘录和国土安全部的可信互联网连接参考架构进行更新，以重新审视边界保护的关键能力。规定的体系结构实现不是重点，重点是功能，尤其是作为商业云环境补偿控制的功能。

哪些可信互联网连接功能（如果有）适用于保护《联邦信息安全现代化法案》中确定的低等级系统。

满足参考架构中有关云操作安全要求的系统，被允许与商业云系统相关联，且不必受可信互联网连接物理保护的影响。

部门应在网络之外也实施保护，并将这些实践与网络安全计划相结合。

现有的与可信互联网连接相关的联邦信息安全现代化法案度量，和手工可信互联网连接遵从性验证过程应予以废除，尽可能用自动化度量来代替，且主要关注安全性和可用性度量。这应该尽可能地利用连续诊断能力，并基于国土安全部先前进行的研究，实现可信互联网连接遵从性自动化。

如有必要，重新分配当前与可信互联网连接相关的国土安全部人员和资源，以帮助部门解决云迁移中的运营问题。

3. 统筹网络采购和管理

当前信息系统采购的模式是，单个部门中的各个子部门独立地购买信息商品和服务，这导致了信息技术环境的分裂，造成了不稳定的安全态势，并影响了联邦政府购买力的提高。为了缓解这个问题，联邦政府正在实施分类管理原则，以巩固和规范网络安全服务的获取，充分利用规模经济效应，减轻负担，并改进技术的开发和操作。部门基础设施服务采购合同是政府用来实现这些目标的战略工具。

目前，总务署正在将部门从传统的签订合同（根据目前的合同，各机构在财政年度共购买了17.9亿美元的网络和电信服务）过渡到统一采购部门基础设施服务。部门基础设施服务的目的是利用联邦政府的大宗购买力，解决部门遇到的电信和网络基础设施的采购问题。部门基础设施服务还可以帮助解决小型部门面临的一些问题，因为小机构在网络安全保护方面的能力通常落后于大型机构，它们常常缺乏全面的管理信息安全项目的专门知识，这阻碍了联邦政府充分了解联邦政府网络所面临的全部风险。通过关注以下目标，可以利用部门基础设施服务来整合小型部门网络采购活动和其他安全服务。

减少安全能力上的重复性浪费性支出。根据目前的合同，没有可信互联网连接能力的部门必须购买全套托管可信互联网协议服务。托管可信互联网协议服务目前是全套销售，禁止部门只购买需要的工具，这个成本十分高昂。部门基础设施服务将允许部门自由选择它们需要的托管可信互联网协议服务安全服务工具，同时仍然享受国土安全部提供的入侵检测和预防保护服务。由于管理多个供应商的采购服务比较复杂，一些小型部门可能仍然难以以这种方式获得可信互联网连接能力，但是，当与现有可信互联网连接政策和参考架构的拟议修订相结合时，各部门将能够根据其现有工具和总体风险承受能力做出具有成本效益的决策。

通过提高态势感知能力来降低外部网络连接到互联网的托管风险。当前合同支持的102家小型部门中约有40家目前正在接受托管可信互联网协议服务。托管可信互联网协议服务的差距，导致目前缺乏关于穿越联邦网络边界的流量共享态势感知，故而难以对网络流量进行全面监控，并最终使事件响应变得更加困难。提高这种感知的可见性对于政府防御至关重要。

实施步骤如下：

当前：建议立即执行下面的计划。该计划将利用联邦政府的综合购买力来获得更具成本效益和更安全的网络服务。

在本最终报告发布之日起60天内：国土安全部为总务署和代理机构提供部门基础设施服务的托管安全服务指南，以最大限度地提高政府采购的投资回报，并确保符合当前的可信互联网连接政策。

在本最终报告发布之日起90天内：总务署与国土安全部协调，制定全面的采购战略，提供可行性评估和路线图，以完成下列任务：为所有小型机构提供一条更便捷和更经济地利用部门基础设施服务的途径；该战略应确保联邦政府最大化部门基础设施服务合同的购买力；查看当前由可信互联网连接参考架构定义的托管可信互联网协议服务提供的安全功能，以确保能够在危险环境中提供足够的安全性，并确定是否需要在现有托管可信互联网协议服务中添加或删除任何安全功能；确定部门基础设施服务之外的其他领域以整合网络安全服务；评估在总务署内建立集中式采购支持功能的可行性，该功能可以帮助小型部门管理网络安全合同。

其他重要行动：

通过小型部门合同合并来增加规模经济。目前，102个联邦小型部门由传统的合同提供支持，每个合同都是单独的任务订单。总务署通过整合小型部门的要求来支持他们向部门基础设施服务过渡，并考虑利用少数订单购买这些部门所需的大部分服务。通过整合小型部门的相似要求，总务署可以利用部门基础设施服务的少量任务订单购买小型部门所需的大部分服务，并可针对特定部门的特定要求提供特定服务，从而实现规模经济。

加大对小型机构的采购支持，以最大限度地利用可信互联网托管服务(TIC)和其他网络安全服务。对于小型部门而言，最大化可信互联网协议托管服务的效益通常存在障碍。除了高成本之外，许多小型机构缺乏足够的专业知识来起草有效的任务订单，管理其可信互联网协议托管服务的合同，并监督供应商对完成服务水平协议中规定的工作负责。因此，总务署将为小型部门提供指导，使其更好地利用跨机构采购，在整个采购过程中优化其信息技术投资和管理。总务署还将提供一系列产品和服务，以满足小型部门的信息技术需求，利用总务署的购买力和在市场中的独特地位，为小型机构节约成本。

二、构建支撑共享服务的网络架构

（一）前期建设

类别管理和共享服务都是行业领先的成功实践做法，能够帮助联邦政府以更有效的方式提供服务。类别管理允许政府通过购买同类商品和服务，以最小的变化来发挥政府的最大购买力，使政府更像一个企业。政府会预先确定“同类最佳”解决方案，这将允许采购专家利用预先审查的政府合同解决方案。而共享服务是在多个部门之间提供通用的整合功能，共享信息技术使部门免于管理重复任务，支持技术升级，降低开销。

共享服务与类别管理之间互相交叉，因为所有机构（包括提供共享服务的组织）都应利用在类别管理下开发的通用解决方案。供应商承担管理合同和订单的责任，确保服务的可扩展性和效率，对满足性能的指标负责，并持续改进业务流程。

共享服务在联邦政府中有着悠久的历史，并通过2002年《电子政务法案》而得以肯定。在这一基础上，行政预算管理局于10月宣布在总务署内部组建统一共享服务管理处，以提供高质量和高价值的共享服务，从而提高整个联邦政府的绩效。

虽然长期以来，政府一直对共享信息技术需求的服务感兴趣，但存在威胁的环境需要我们保证网络安全，尤其是电子邮件和云领域。在信息安全中广泛部署共享服务不仅可以节省成本，还可以在整个联邦政府中提供更一致的安全级别。

（二）当前进展

当前联邦政府采用的是分布式信息技术模型，以单一的方式解决复杂的资源密集型问题。每个部门都必须独立识别可能的供应商，评估供应商提供的安全性，将解决方案集成到他们自己的独立定制的信息技术基础架构中，并分配资源以持续监控和运营该基础架构。然而，这些组合无法实现高质量的安全成果。

美国联邦政府是世界上最大的信息产品和服务买家，迫切需要改变购买通用信息技术产品和服务的方式，这是过渡到整合的网络架构和共享服务的必然需要。目前的商业采购做法限制了联邦政府实现其信息技术现代化的目标。

重复合同意味着代理商授予同一种商品和服务成百上千份合同。此外，完全相同的项目存在巨大的价格差异，有时差价甚至高达300%-400%。各部门几乎不进行协作，很少分享信息，这种分散现状会导致采购行动成本高昂，以及效率低下。

在日益复杂的数字世界中，现有的联合和分布式信息技术方法已不可持续。构建安全计划需要专业的网络安全人才和知识，需要能够访问各种数据源以管理最新的威胁，需要复杂和昂贵的仿真和静态分析技术。对于大型部门而言，这是一项艰巨的任务，对于资源有限经常为基本安全功能（例如，漏洞修补）而苦苦挣扎的小型机构来说情况更是如此。像连续诊断和缓解这样的计划正准备在所有部门中部署通用工具，并将大小部门都纳入共享的网络安全中。然而，许多计划都因拖延而陷入困境，尚未实现承诺。

（三）远期愿景

为了降低成本，提高运营效率和网络安全防护水平，联邦政府必须转向统一的信息技术模式。这包括为非特定功能采用共享服务、“同类最佳”合同、商品信息技术和其他安全工具。这种方法将有助于联邦政府迅速部署新的方案，增强部门执行任务和保护网络安全的能力。联邦政府必须更广泛的使用云服务，同时致力于开发符合联邦网络安全标准的云产品。通过关注安全性适中的云产品，增加多租户云服务中信息技术服务的使用和整合，可以提供部署数据级保护和自动化网络安全所需的可见性和控制。各部门必须利用共享服务，只有在共享服务和商业技术无法满足任务需求时才能构建新的功能。

国家标准与技术研究院把云计算定义为基于云的软件服务，同时，还建立了基本特征和服务模型的定义。与传统的购买内部许可证的方法相反，过渡到基于消费的服务将使政府能够停止构建和维护昂贵的现代化系统，政府只会支付使用费用，更好地利用购买力，并从标准化中获得规模经济效益。

随着联邦政府增加对商业云服务的投资，促进供应商间的协作互通，避免“供应商锁定”将成为重要的优先事项。鼓励使用可在多个云服务提供商之间移植的工具和平台。任何规模较大的部门都可以授权使用多个独立的云环境，同时，鼓励各部门利用云服务提供商提供的最前沿的服务。这可以包括各个提供商的服务，并对其优势进行优化。

一般而言，各部门应该避免对特定供应商的依赖，同时应利用好商业市场提供的最佳技术。为了取得更好的效果，政府必须解决政策、资源分配、业务标准以及法规和指南适用于不同部门时的各种障碍，解决好阻碍部门采用共享和云服务的其他因素。政府可以对现有采购要求进行变更和修改，以实现效率和公平的平衡。政府不应依赖过时的和特定的系统，而应该向供应商发出一致的声音，以获得能够提供符合政府业务标准的安全的系统服务，实现规模经济成本效益。

（四）实施方案

本节所述的措施将促进联邦政府的创新，在降低成本的同时，显著改善政务服务。这些措施将允许政府部门，特别是小部门，更加容易地使用商业云，利用联邦政府的购买力产生规模经济。此外，这些措施将增强现有的技术以提高安全性。这个实施计划着眼于向共享服务过渡的三个关键领域：支持商业云服务和基础设施的使用；加速采用云电子邮件和协作工具；改进现有并提供更多的共享服务。

1. 启用商业云服务和基础设施

市场上主要的商业云基础设施提供商之所以能够提供卓越的功能性、成本效益和安全性，是因为它们能够收集和掌握大量的客户需求。我们可以通过多种方式推动政府客户采用云，然而，当存在安全需求时，考虑以下这些选项通常是有益的：

“将政府带到云”。这种方法是政府的推荐默认方法，其特点是与其他非政府客户共享多租户商业云拥有的基础设施（例如，服务器、网络、应用程序），但政府数据通过安全技术和加密技术得到保护。

“将云带到政府”。这种方法的特点是由政府拥有和经营多用户基础设施（如建筑物、服务器、网络、应用）或商业化的基础设施被隔离并专门为政府使用。

为了确保政府顺利地采用云技术，了解可选的各种云服务模型是很重要的。以下描述了政府采用云服务的主要方法，以及调整这些模型的方法：

将政府带到云：云供应商拥有服务器与应用程序，软件即服务模式（SAAS）。这是大多数私营云供应商普遍使用的公共云模型，现在一些联邦政府也正在使用该模式。除其他用途外，该模型可适用于云托管的电子邮件、生产协作工具和任务支持服务。许多部门已经完全接受了供应商运营的、基于云协作的有效工具，不同的部门使用的服务和工具也不同。

云供应商拥有服务器、应用程序和利用安全连接的网络，基础设施即服务模式(IAAS)。安全连接可以包括HTTPS、TLS等等，这提供了基础设施，代理机构可以在基础设施上部署他们创建的或获取的应用程序。该模型可用于VPN网络或其他隔离网络上的政府专用的重要业务应用系统。该模式能够让客户控制许多底层细节，所以它可以完全取代传统的部门内部的数据中心。代理机构可以将现有服务从原来的数据中心转移到云基础设施。这些应用可以是面向公众的公共服务或是内部雇员使用的内部服务。无论哪种情况，部门都可以把云基础设施看作是一种服务，是现有部门网络的延伸，或者看作是一个独立的网络。不管怎样，用户可以通过HTTPS、TLS、VPN或专用线路等安全连接方式访问服务。该模式为创建和部署数字服务提供了平台，数字服务为政府部门业务开展提供数字化支撑。这些模型已经被政府部门广泛用于各种案例中，包括退伍军人福利处理、移民管理、医疗健康和国防事务管理的数据处理和软件开发测试等。

将云带入政府：政府依然拥有自己的数据中心大楼，而服务由云供应商提供。对于某些不使用互联网的应用系统，供应商可以在政府数字设施中开发，这对于那些无法连接到互联网的信息系统很有吸引力。情报部门是最早采用这一种模式的部门。这种方法的另一个例子是智能社区。然而，必须注意的是，这种模式比完全商业化的云服务要昂贵得多，并且不能跟上公共云方案的创新，同时，政府保持对基础设施的绝对物理控制。另外，还要注意的是这种模式可能产生一些不符合国家标准与技术研究院提出的云计算基本特征的解决方案。通常，私有云基础设施的产品缺少快速弹性、按需自助服务或资源池等关键的组件和功能。

供应商拥有并经营数据中心，其服务器专用于某个政府部门使用。供应商构建供政府使用的隔离空间，代理客户与其他政府部门客户仅共享逻辑空间（包括服务器、建筑物、网络、人员等）。这样，提供商更容易满足政府对保护敏感数据的要求。该模式在公共云基础设施和昂贵的内部基础设施之间提供了一个中间地带。如今，许多部门采用该模式来利用由于法律、合规性或安全原因而不能使用共享服务器的应用程序。该模式也很适合托管政府网站和基础设施服务，这些基础设施往往具有敏感性。

建议：云不是“一刀切”式的解决方案，它根据部门的需要和喜好提供多种服务模式选择。虽然确保整个联邦政府运行和服务的灵活性很重要，但是政府部门往往需要几个云模型才能满足其使用需求。因此，政府应该投资两到三个云模型来支持其不同的安全和风险承受程度需求，更好地利用共享服务。此外，政府应该在部门内部和部门之间建立信任，最大限度地利用授权包、遵从性和促进重用。

政府应该扩大使用“把政府带到云”模型，因为该模型最好地平衡了云计算的好处，改进了性能和节约了成本，以及外包的安全和控制。尽管即将修订的可信互联网连接政策和指南将影响对商业云的使用，但部门仍然需要知道如何更好地使用上述模型。

实施步骤如下：

在本报告最后发布之日起30天内：行政管理预算局将根据其法定权限在执行时进行数据调用。请求部门识别出准备好进行云迁移的系统，并且做到安全地迁移。在这次数据调用结束时，行政管理预算局和总务署将从部门系统移动到云的过程进行全方位审查，并将根据需要优先考虑注入技术人才、资本和新的安全策略，以便能够优先启用云迁移。

在本报告最后发布之日起90天内：总务署将与志愿机构合作，试验新的举措，以提高基于云的软件服务和共享服务的速度、可靠性、可重复性和风险接受透明度。初步试点将测试授权工具，例如，用于选择信息系统的风险管理自动化框架、针对低影响软件服务产品实现新的联邦风险与授权管理计划定制基线，以及利用授权基于商业云产品理念的共享服务。

基于这些工作的总结经验教训和将这些试点活动扩展到联邦政府基层范围的做法，总务署将与行政管理预算局合作，制定必要的计划或政策，促进联邦风险与授权管理计划、共享服务、针对特定部门的其它创新工作。

在本报告最后发布之日起120天内：行政管理预算局与国土安全部、总务署协调更新联邦政府云计算战略。该战略将为各部门提供关于云应用最有影响的范例和如何在云环境中最好地、最安全地进行适当操作的额外指导。

此外，行政管理预算局将对与信息技术现代化、云迁移、基础设施整合和共享服务等有关的所有相关政策进行全面审查，并启动修订、撤销或其他可提高部门能力的政策，以便于安全高效地实现现代化升级。如有必要，行政管理预算局将发布进一步的指导，以加强现有的联邦技术和信息安全政策。

在本报告最后发布之日起180天内：行政管理预算局将与联邦采购管理委员会和国土安全部合作，制定条款，确定云合同中使用的“安全、隐私和访问数据”的一致性要求。总的来说，这些条款将确保合同语言的统一性和政府标准条款的明确方向，这对缺乏相关技术、法律和专门知识的部门在云采购中特别有价值。

除了行政管理预算局与联邦采购管理委员会正在进行的工作之外，行政管理预算局还根据第13771号行政命令减轻联邦政府信息技术承包商的监管负担，以及与首席采购官理事会成员一起确定调整联邦采购的变更，使联邦采购与商业采购战略保持一致，并与采购创新倡导者合作应用现代化流程，提高采购能力。

2. 采用云电子邮件和协作工具

采用云电子邮件和协作应用程序等工具是实现跨政府协作的基本要素和能力。使用恶意附件和链接的电子邮件钓鱼攻击是危害个人和组织的主要攻击载体。鉴于当前的网络安全风险，加快云电子邮件和协作工具的推出是迫切的，能够有效遏制这些最突出的网络攻击。

在基于云的电子邮件的市场采购中，仍然存在价格差异。各部门通常作为单个组织进行谈判，从而限制了潜在规模效益。通过联邦政府主导的统一的价格谈判，将大大节省成本。

为了使部门放弃原来的电子邮件服务器，必须提供一套安全、易于维护且成本效益高的解决方案。目前联邦政府只部署了两个托管方案，今后可能会出现更多的竞争者。无论如何，更好地利用基于云的电子邮件和协作服务，能使政府获得更多的创新解决方案，增强在更好定价方面的话语权。

虽然这些努力能节省成本和提高安全性，但是云迁移工具可能成本高昂，对较小的部门负担沉重。因此，必须提供一套安全、可维护且成本合适的解决方案。

政府必须采取新的策略来获得云电子邮件和协作工具服务。可以针对小型部门进行试点，减轻行政采购负担。试点提升基于消费的云服务购买能力和基于分层定价的协调购买。

政府在购买产品和服务方面的一个基本优势是，可以利用自身的庞大规模在竞争性的市场中进行批量定价，获得规模化的价格优势。政府可以通过分层定价、商业策略和服务协议等方式来激励供应商，提高洞察力和透明度，节约成本，获得更优质的产品和服务。

这将标志着对现有市场的重大背离。现有的模式对于政府和行业来说都是费力的，目前的流程并不总是提供足够的透明度，还存在允许一些部门支付更少的行为，导致一些小部门负担更高的价格，形成逆向补贴。

实施步骤如下：

在本报告最后发布之日起30天内：行政管理预算局将就其当前的电子邮件合同、价格和邮箱数量向各部门进行数据请求。政府必须对尚未迁移的规模进行准确测量。虽然首席财务官法案机构之间有明确的数据表明当前的需求，但是目前还没有关于小型和独立部门采用基于云的电子邮件解决方案的确切数据。了解政府部门使用的全部规模将使政府能够在与云协作供应商的谈判中更有话语权。

行政管理预算局将召集一个由相关部门组成的特别工作组，最终确定云电子邮件的标准要求，包括电子邮件和云协作的低安全性和中安全性状态。这些要求将以先前完成的工作为基础，将分发给所有部门征求意见，并作为购买的基础。

在本报告最后发布之日起60天内：行政管理预算局将为尚未采用云电子邮件的部门制定全面战略，推动部门电子邮件和协作工具加速迁移到云。这个策略应该既强调成本节省又提高安全性。

在本报告最后发布之日起75天内：行政管理预算局将发布更新的政策指南，减轻部门负担，并指出适合共享服务的应用领域。总务署将向联邦首席信息官提供合并现有服务的业务方案，以其提高可用性、安全性和操作性。这一行动将把安全访问和协作改进成为一种服务。

在本报告最后发布之日起90天内：行政管理预算局将组建一个“采购先行组”，负责起草一套采购方案，以帮助部门快速获得许可证和迁移服务。该方案还将包括市场调查、收购计划、申请报价模板、已确定的供应来源和政府成本估算计算模板。

“采购先行组”将通过适当的代理机构，发出信息请求，进行市场研究活动，以利用预留计划最大程度地简化迁移和采购过程。

在本报告最后发布之日起180天内：政府应考虑提早采用激励措施，包括针对特定部门需要提供个性化的援助。为了开展这项工作，行政管理预算局将建立由信息技术和采购专家组成的采购迁移小组，这些专家将被派往采用激励措施的部门，以帮助应对与许可证和迁移获取有关的挑战。最初，这些专家将来源于已经完成迁移的部门，例如，司法部和数字信息技术采购专业培训网络。

在本报告最后发布之日起240天内：在总务署的支持下，行政管理预算局将试验新的云电子邮件和协作许可证的获取策略，包括但不限于上述讨论的策略。

其他重要行动：总务署将继续与现有的云电子邮件和提供商合作，并将优先批准高等级《联邦信息安全现代化法案》中包括的产品。同时，将进一步继续进行过程改进，以便使部门能够加速采用云服务。

在联邦政府内部，拥有一支合格的采购员队伍对于确保联邦政府获得最佳解决方案和采购成功至关重要，同时，要为采购人员提供专业培训和职业发展机会，确保纳税人资金得到有效管理，达到《联邦信息技术现代化报告》中所阐述的职业要求，为网络安全、使用云电子邮件和采用云提供基础。数字服务的专业化是联邦政府采购合同的核心，是数字信息技术采购专业培训计划的重要组成部分。数字信息技术采购专业培训计划的重点是为签约的专业人员提供培训和经验学习机会，以获得必要的专业知识，更好地了解市场状况，有效管理风险，最终成功实施计划并获得数字服务。此外，该培训计划可以帮助刚出校门的毕业生快速成为政府采购团队成员。

3. 提升安全共享服务水平

随着网络攻击变得更加复杂、频繁，更加容易被对手操作，确保网络安全渐渐成为所有政府部门的首要责任。全面应对网络安全威胁既需要进一步巩固联邦政府的信息技术，也需要扩大集中式共享服务，以更好地利用联邦政府购买力，促进安全能力标准化，降低检测时间，提高应对突发事件能力，通过数据汇总实现规模经济效益。

（1）连续诊断和缓解计划

国土安全部在建立了《连续诊断和缓解计划》，为政府部门提供自动化的连续监测工具，以实时检测漏洞和潜在的恶意网络活动。目前正在部署的《连续诊断和缓解计划》的第1阶段旨在向部门提供识别和补救漏洞的能力，并检查其网络安全硬件和软件配置，来确定“网络上运行的是什么”。《连续诊断和缓解计划》的第2阶段将专注于“谁正在网络上运行”，并提供检测和管理特权用户访问的能力，以确保只有授权的、有证书的用户能够访问网络上的信息。《连续诊断和缓解计划》的第3阶段将报告“正在网络上发生的事情”，并提供识别和评估网络安全异常的能力，执行正在进行的评估和授权。《连续诊断和缓解计划》的第4阶段将着重于加强政府信息的数据保护。所有《连续诊断和缓解计划》功能都将向联邦政府提供信息，从而使得联邦政府能够看到联邦信息的安全状态。

到目前为止，《连续诊断和缓解计划》还没有解决云托管系统，而是将重点放在帮助部门保护其内部网络安全上。虽然这确实带来了一些限制，但该计划还是提高了整个政府的网络安全基线。在确定的阶段中，程序将通过各种机制交付能力，确保以更集中和标准化的方式提供额外的服务。

在云架构中实现《连续诊断和缓解计划》功能的一个挑战是：安全团队和安全操作中心不一定具有可用于维护和更新体系结构的专业知识。为了支持部门网络安全工作，联邦政府正在努力开发这种专业知识，并通过《连续诊断和缓解计划》实现跨部门提供。目前，所有首席财务官法案部门（除了国防部）都参与了《连续诊断和缓解计划》，联邦政府中的44个非首席财务官法案部门也参与了《连续诊断和缓解计划》。《连续诊断和缓解计划》将继续发展，并向现有部门提供复杂的工具和服务，同时，努力推动其他小型部门加入。

这是加强全联邦安全的当务之急。国土安全部的《连续诊断和缓解计划》项目办公室和部门的进一步有针对性的行动可以帮助加快该计划的现代化并增加其利用率，以识别、检测和应对联邦政府向云环境和移动设备转移时所带来的威胁。

在本报告最后发布之日起60天内：国土安全部将与各部门和总务署合作，完成新的长期任务订单采购战略，为部门提供《连续诊断和缓解计划》支持，并为第三阶段和第四阶段以及未来的工作开展提供解决方案。

在本报告最后发布之日起125天内：国土安全部将在可行的范围内利用所有可用的部门资源，为《连续诊断和缓解计划》的平台建设启动做好准备。如有必要，国土安全部将向行政管理预算局、总务署或其他机构请求额外支持，以确保符合安全状态的有效授权。在完成授权过程后，国土安全部将介入到相关机构，以提供连续监测服务。

在125天之后，国土安全部将向行政管理预算局通报它与非首席财务官部门建立的协议备忘录的数量和状态。国土安全部还将向行政管理预算局提交一份计划，详细说明非首席财务官部门加入《连续诊断和缓解计划》平台的期望时间表。

在本报告最后发布之日起150天内：国土安全部将完成部门和联邦政府之间的数据交换，以提供部门网络的全态势感知。

在本报告最后发布之日起180天内：国土安全部将与联邦首席信息官理事会合作，为联邦政府增加一个操作概念，包括管理整个联邦政府网络风险的程序，以及更广泛的与联邦首席信息官社区相关的其他因素。

安全运营中心：安全运营中心通常提供对政府网络上安全状态的监测，是确保联邦信息技术企业安全的一个重要组成部分。然而许多部门缺乏建立自身部门级安全运营中心的资源或专业知识。考虑到由此产生的漏洞，建立安全运营中心服务对于确保合理的可见性和联邦政府之间的信息共享至关重要。这将允许目前缺乏这种能力的部门从那些有能力提供这种服务的部门购买。那些在保护云应用方面有特长的部门可以扩展他们当前的安全运营中心功能，并提供安全运营中心服务。此外，还可以与商业供应商签订合同，提供安全运营中心服务产品。缺乏必要专业知识的部门可以利用这些服务加速向商业云功能的迁移。

随着时间的推移，提供安全运营中心服务的部门可以为需要代管理业务的部门提供一整套服务。一个更加整合的安全运营中心将具有更广泛的可见性，更容易的通信渠道，以及在分布式模型中使用工具的能力。

具体而言，安全运营中心可以：防止安全功能延迟问题；在与数据敏感度相当的应用程序和数据级别上应用安全保护；根据云提供商的技术和合同规范提供多种类型的日志或数据流能力；允许跨多个部门云系统的可见性被集中地管理。

在本报告最后发布之日起180天内：行政管理预算局、国土安全部和总务署将确定向联邦政府其他部门提供安全运营中心服务的潜在产品。此外，总务署与行政管理预算局和国土安全部协调，将主导合同管理，向联邦政府提供商用安全运营中心服务功能。

在本报告最后发布之日起210天内：任何计划提供安全运营中心服务功能的部门都将向行政管理预算局和国土安全部，提供与上面概述的云迁移策略和时间表一致的定价模型。此外，无论是在政府还是私营部门提供的服务中，行政管理预算局将确定一批安全运营中心能力不足的部门，并要求它们制定过渡计划。

其他重要行动：国土安全部将与安全运营中心合作，作为服务提供者确保国家网络安全保护系统和《连续诊断和缓解计划》的目标能够实现，并确保在云和其他场所安全能力上的可见性。

三、结论

在实现信息技术现代化和快速集约采购服务的问题上，各政府部门遇到了种种困难，最终导致了一个笨拙且过时的联邦政府信息技术基础设施的产生，无法满足价值数十亿美元的联邦信息技术所需的敏捷性和安全性。为了积极实现信息技术系统现代化，联邦政府需要最大限度地利用共享服务和商业能力，快速持续地更新现有的政策和计划，以消除使用云的障碍，从而将适用的功能迁移到商业云服务上。未在商业云中托管的功能将进行现代化升级改造，利用最新安全保护工具，评估当前功能风险，以将可利用的安全保障资源分配到最重要的系统和信息上。联邦政府还将加速采用云电子邮件和协作工具，改进和加强现有共享服务，并为各部门提供额外的服务。

实现这些目标需要积极转变政府领导、执行者、信息技术从业者和监管机构的思维方式。联邦政府必须整合其现有信息技术资源，更加信任外部服务和基础设施。这种变化将有助于更好地利用共享服务，更好地整合基础架构和基于云的协作工具，改进系统功能并提高效率，最终改善政府的运营和提高服务水平。

本文来自：国家信息中心门户网站，是“电子政务发展前沿专栏”系列报告之一

公开日期：5月

责任编译：李叶钦编译：王皓磊、冯雪、刘一泽、陈国渊

译审：舍日古楞

免责声明：本文转自网络公开渠道，旨在为广大用户提供最新最全的信息，不对所包含内容的准确性、可靠性或完整性提供任何明示或暗示的保证。转载的稿件版权归原作者或机构所有，如有侵权，请联系删除。抄袭本文至其它渠道者引发的一切纠纷与本平台无关。

福利限时大放送

《数字政府周刊》、《数字政府白皮书2.0》、《第八届（）中国智慧城市发展水平评估报告》、《第四届中国“互联网+政务”50强优秀实践案例评选研究报告》、《首届（）中国营商环境评估报告》可通过本公众号及微店在线购买，欢迎订购。微信扫一扫即可购买！