A Design Science Approach to Zero Trust Cyber Risk Governance in Digital Government Platforms: Development and Evaluation of the CRGMM Framework

想象一下科威特的数字政府——Sahel，就像一座巨大且超高速的火车站。它并没有建立 433 个各自配备保安和候车室的独立售票窗口，而是建立了一个所有人通过单一闸口进入的高科技大型航站楼。这对于速度和便利性来说是极其出色的：你可以在一个地方购买火车票、更新护照或缴纳水电费。但问题在于：如果有人闯入了这一个航站楼，他们夺取的不仅仅是一个人的车票，他们可能直接拿走了整个城市交通系统的钥匙。

这篇由 Abdullah F. Alenezi 撰写的论文指出，虽然科威特已经建造了一个非常华丽的火车站，并配备了一些酷炫的新锁具（如指纹扫描仪），但保安的蓝图却缺失了。该车站正运行在“零信任”原则（一种高级说法，意为“永不信任，始终验证身份”）之上，但关于谁有权检查身份以及如果锁被撬开后该怎么办的规则，尚未在法律中明确规定。

核心问题：“集中悖论” (The Concentration Paradox)

论文将此称为集中悖论。这就像是因为携带方便而将所有的鸡蛋放在一个篮子里，结果却发现一旦篮子掉落，你会同时失去所有的鸡蛋。

• 好消息： 车站正在运营中。已完成了超过 1.22 亿次行程，指纹扫描仪（称为 Hawyti）运行正常。
• 坏消息： 该车站是一个系统重要性政府平台 (SIGP)。这意味着它如此重要，以至于如果它崩溃，整个国家都会受到影响。然而，论文发现，该车站的“应急出口计划”和“数据保护法”仍处于起草阶段。

“CRGMM”工具：安全成绩单

为了解决这个问题，作者发明了一个名为网络风险治理成熟度模型 (CRGMM) 的新工具。你可以把它看作是一份专门为大型数字火车站设计的、而非针对普通办公室的专业成绩单。

大多数现有的成绩单（如 CMMI 或 NIST CSF）就像是在检查单辆汽车是否有工作的刹车。但 Sahel 是由 433 节车厢连接在一起的整个车队。旧的成绩单不知道如何评估这些车厢之间的连接。

这个新的 CRGMM 成绩单拥有六个维度（就像学校里的六门不同学科）和五个等级（从“不及格”到“A+”）。作者通过一个由 15 位专家（包括大学教授、政府技术人员和安全专家组成的混合团队）组成的专家小组测试了这个成绩单。专家们对评分的达成一致性为 0.76（在统计学领域，这是一个稳健的“B+”级一致性）。

成绩单发现了什么

当作者使用这个新成绩单对科威特的 Sahel 平台进行评估时，结果呈现出“硬件极佳”与“规则缺失”并存的局面：

1. “关键”风险： 论文确定了两个关键威胁（得分高达 20 分，满分 25 分）。

   • 平台身份欺诈： 坏人冒充车站（伪造 App、钓鱼短信）。车站有一个“举报欺诈”按钮（称为 Aman），但这就像是只有一个投诉信箱，却没有实际抓捕罪犯的警察力量。
   • 跨机构数据泄露： 由于有 38 个政府机构相互连接，如果其中一个机构的锁很脆弱，坏人就可以直接穿过它进入其他机构。论文指出，目前还没有强制要求这些机构使用“零信任”系统（即在每一扇门前都要检查身份，而不仅仅是在大门口）的规则。

2. “缺失”的法律： 论文指出一个巨大的鸿沟：科威特尚未拥有个人数据保护法 (PDPL) 或独立的数据保护局 (DPA)。

   • 类比： 这就像建造了一个拥有顶尖钢制大门的银行金库，但银行却没有规定金库必须上锁的法律，也没有分配警察来监视它。论文认为，如果没有这些法律，那扇华丽的大门仅仅是装饰品。

3. “生物识别”陷阱： 车站使用了指纹和面部扫描。论文警告说，与密码不同，如果你的指纹被盗，你无法更改它。如果黑客窃取了指纹数据，这些数据就永远丢失了。论文指出，目前还没有专门的法律来保护这种“不可逆”的数据。

论文排除了哪些情况

作者非常明确地说明了哪些做法是行不通的：

• 仅仅“打卡合规”： 你不能仅仅说“我们获得了 ISO 27001 认证”（一种安全标准）就万事大吉。论文认为，没有真实法律支撑的认证只是“表面合规”——看起来很好看，但实际上挡不住小偷。
• 等待时间解决问题： 论文拒绝了“随着平台的发展，安全问题会自动修复”的观点。事实上，随着增加更多服务，风险会变得更糟，因为“治理差距”（缺失的规则）也会随之扩大。
• 复制企业模型： 你不能直接使用为普通公司（如银行或科技公司）设计的安全规则，因为政府平台处理的是公民，而不仅仅是员工。规则需要有所区别。

提议的路线图：三阶段计划

论文提出了一个修复车站的逐步计划，但强调必须按顺序进行。你不能在还没浇筑好地基之前就盖屋顶。

• 第一阶段（基础 —— 0 到 18 个月）： 在增加更多技术之前，必须先编写法律。
  • 通过个人数据保护法。
  • 创建一个独立的数据保护局（数据的警察部队）。
  • 制定一份公开的应急预案，包括在发生数据泄露后的 72 小时内通知公民。
• 第二阶段（结构 —— 18 到 36 个月）： 现在构建技术规则。
  • 强制所有机构获得认证并使用零信任（在每扇门前检查身份）。
  • 为指纹数据创建特殊的防护盾。
• 第三阶段（文化 —— 36 到 60 个月）： 教导乘客。
  • 开展项目，用多种语言教导公民如何识别诈骗。

我们有多确定？

论文对其已知内容和推测内容进行了谨慎区分。

• 已证实： 作者利用公开文件和专家小组测量了现状。专家之间 0.76 的一致性是一个基于事实的硬指标。
• 模拟/计算： “风险评分”（如欺诈风险的 20 分）是基于公式（可能性 × 影响）计算得出的。它们不是猜测，而是基于公开可用的信息，而非秘密的内部测试。
• 建议： “三阶段计划”是一种建议。论文建议这是最好的前进方式，但它尚未在现实世界中得到测试。作者承认，由于相关数据不公开，他们无法进行“红队测试”（即尝试攻破系统的黑客小组）。

底线结论

论文总结道，科威特的数字车站是工程学上的奇迹，但它正运行在法律真空之中。CRGMM 工具表明，技术已经准备就绪，但治理（规则与法律）却滞后了。作者认为，为了保持车站的安全，政府必须停止开发新的服务，转而开始编写保护现有服务的法律。这是一个呼吁：在“汽车”跑得更快之前，先建立好“交通规则”。