美国国家标准与技术研究院(NIST)近日发布了网络安全框架(CSF)的2.0正式版本，这是2014年该框架发布后十年来首次重大更新。新框架版本极大扩展了适用范围，重点关注治理和供应链问题，并提供了丰富的资源以加速框架实施。

NIST正式发布的网络安全框架(CSF)2.0版本比去年9月发布的2.0草案版本更加完善，新版本的重大变化和升级如下：

1、适用范围从关键基础设施扩大到所有组织：新的2.0版本面向几乎所有受众、行业部门和组织类型而设计，从最小的学校和非营利组织到最大规模的机构、公司和国家关键基础设施，无论其网络安全系统的复杂程度如何。

2、新增的“治理“成为核心功能：新框架版本将重点放在治理上，包括组织如何制定和执行有关网络安全策略的决策，并强调网络安全是企业风险的主要来源，高级领导者应将网络安全与财务和声誉等其他风险一起考虑。

3、提供实施框架所需的大量工具和指导资源：NIST扩展了CSF的核心指导并开发了相关资源，以帮助用户充分利用该框架。这些资源旨在为不同的受众提供进入CSF的定制途径，并使该框架更容易付诸实施。

从关键基础设施扩大到所有组织

网络安全框架2.0版本被美国总统拜登的《国家网络安全战略》和几项新兴政府网络安全政策声明引用，其关注范围从保护关键基础设施(例如医院和发电厂)扩展到所有行业的组织。

为此，新框架版本放弃了之前版本使用的“改进关键基础设施网络安全框架”的名称，改为“NIST网络安全框架(CSF)2.0”。

与2015年发布的原始版本和2018年发布的1.1版本相比，2.0版本不再仅仅是一个静态资源，而演变成了一套指导框架实施的资源包。“网络安全框架一直是许多组织的重要工具，帮助他们预测和应对网络安全威胁，”美国商务部标准与技术局副局长兼NIST局长Laurie E. Locascio表示，“2.0版本以之前版本为基础，不仅仅涵盖一份文档，而是一套可定制的资源，随着组织的网络安全需求变化和能力发展，可以单独或组合使用。”

“治理”成为核心功能

网络安全框架2.0最重要的结构性变化是增加了第六个关键功能——“治理”，此前版本的五个关键功能“识别”、“保护”、“检测”、“响应”和“恢复”都围绕着该功能展开（上图）。“治理”功能旨在帮助组织将网络安全风险管理纳入更广泛的企业风险管理计划中，通过提供“成果”或期望状态来指导组织如何实现和优先考虑其他五个功能的成果。

NIST表示，增加“治理”功能的目的是将所有网络安全风险管理活动提升到组织的高管和董事会层面。“我认为2.0版本的一大亮点是将治理提升为一个功能，”网络安全公司CyberSaint的创始人兼首席创新官Padraic O’Reilly指出：“我认为现在业界已经普遍认识到，如果没有积极的治理参与，网络安全工作就只会原地打转。”

十年来首次重大更新！NIST发布网络安全框架2.0版本

海鲸安全

新闻资讯

账户管理

关注海鲸