Cybersecurity: State Needs to Expeditiously Implement Risk Management and Other Key Practices
GAO 的发现国务院已记录了符合联邦要求的网络安全风险管理计划。具体来说，该部门确定了风险管理的角色和职责，并制定了风险管理策略。然而，国家尚未完全实施其识别和监控资产风险及其系统上维护的信息的计划，如下图所示。国家在实施网络安全风险管理计划方面取得的进展示例直到该部门实施所需的风险管理活动，它无法保证其安全控制措施按预期运行。此外，州政府可能没有充分意识到影响任务运行的信息安全漏洞和威胁。州政府用于检测、响应网络安全事件并从中恢复的事件响应流程通常与联邦指导一致，要求该部门为其所属部门建立事件处理能力。信息系统。例如，州政府的网络事件响应小组及其监控和事件响应部门内的其他单位提供了每周 7
