NIST网络安全框架

NIST网络安全框架（NIST Cybersecurity Framework）是一套用来缓释组织网路安全风险的指南，是美国国家标准技术研究所（NIST）以现有的标准、指南以及实务所基础所订定的指南。此框架「针对网路安全的产出有高层次的分类，并且有方法可以评估并管理这些产出。」，而且在网路安全的内容中，加入了个人资讯以及公民自由的保护。此框架已翻译为多国语言，是许多政府、企业及组织使用的标准。 
2016年美国安全框架导入研究指出，受访的组织中，有70%认为NIST网络安全框架是资讯科技电脑安全中最受欢迎的最佳实务，但也有许多受访者表示这需要相当大金额的投资。

**简介**
NIST网络安全框架是为企业及组织所设计，便于评估其所面对的风险。
美国国家标准技术研究所在2014年发布了1.0版，原本是针对重要基础设施的运营者。2017年时公开了1.1版的草稿，请求各方提供意。1.1版在2018年4月16日公布，其内容仍和1.0版相容。 
1.1版和1.0版的差异包括加入有关组织自我评估的指引、有关Supply chain risk management的细节、和供应链利害关系人互动的指引，以及鼓励漏洞披露的流程。
网络安全框架可以分为三个部份：框架核心（Framework Core）、框架轮廓（Framework Profile）及框架实施层级（Framework Implementation Tiers）。框架核心（Framework Core）包括许多和网路安全面向及作法的活动、成果以及参考资料。框架实施层级（Framework Implementation Tiers）是让组织和其伙伴澄清他们如何看待网路安全风险，以及其管理做法的落实程度。框架轮廓（Framework Profile）中有许多网路安全的产出，组织可以依其需要以及风险评估的结果，在分类及子分类中选择需要的产出。
组织一开始会用网络安全框架来发展目前概况（Current Profile），会说明目前的安全活动以及想要达到的产出，接着会发展目标概况（Target Profile），或是依其产业区块（例如基础设施产业）或是组织种类所剪裁的基线概况，后续则要定义从目前概况转换到目标概况所需的步骤。
近期的研究指出，NIST有能力针对基础设施产业以及私营部门来调整网路安全标准，特别是那些还没有网路安全标准的产业。研究也指出NIST在网路安全上的潜力不只可以影响美国，是可以带来国际性的影响，因此可以产出较好的标准，帮助跨国经营的企业，也让网路世界更加的和平。

**安全活动的功能以及分类**
NIST1.1版
NIST网络安全框架将其核心内容组织成5个功能，可以再细分为23个分类。每一个分类中，定义了许多包括安全活动产出以及安全控制的子分类，子分类共有108个。
每一个子分类中，也有提供信息资源，参考了其他资讯安全法规的特定章节，例如ISO/IEC 27001、COBIT、NIST SP 800-53、ANSI/ISA-62443及网路安全关键安全控制委员会（CCS CSC，目前由Center for Internet Security管理）。这些资讯安全法规中，只有NIST SP是免费的，其他都需要付费加入会员，或是购买特定法规，才能看到对应的指引。这个框架的成本以及复杂性让参众议院提出法案，要求NIST创建中小型企业可以使用的网络安全框架。
以下是框架文件中提到的功能和分类，以及唯一辨识码和定义。

**识别**
「发展组织有关系统、资产、资料、能力的网路安全风险管理的认知。」- 资产管理（ID.AM）：识别出可让组织达成其商业目的资料、人员、设备、系统及设施，依照这些在商业目标上的相对重要性，以及组织的风险策略，对上述资产进行管理。- 商业环境（ID.BE）：了解组织的使命、目标、利益相关者以及活动，并且排先后顺序。此一资讯可以用来告知在网路安全的角色、责任以及风险管理的决策。- 治理（ID.GV）：了解组织用来管控监理单位、法令、风险、环境及运作等需求的政策、程序以及流程，并且告知网路安全风险的管理。- 风险评估（ID.RA）：组织了解有关组织营运（包括使命、功能、形象及声誉）、组织资产以及人员的网路安全风险- 风险管理策略（ID.RM）：组织建立有关营运风险决策的优先顺序、限制、允许风险以及假设。- 供应链风险管理（ID.SC）：组织建立有关供应链风险管理决策的优先顺序、限制、允许风险以及假设。组织也已有识别、评估及管理供应链风险的流程。

**防护**
「发展及实施适当的安全措施，确保关键基础服务以及正常运作。」- 存取控制（PR.AC）：只允许有授权的人员、流程或是设备才可以存取资产及相关设施，并且其活动或交易也要经过授权。- 意识和训练（PR.AT）：组织的人员和上下游厂商都需要有资安意识教育训练，并且使用可以进行和资料安全相关的责任及义务，和相关的政策、流程以及协议一致。- 资料安全（PR.DS）：管理资讯以及纪录的方式，和组织保护资讯机密性、完整性及可用性的风险策略一致。- 资讯保护程序和流程（PR.IP）：组织已有安全政策（其中有提到目的、范围、角色、责任、管理承诺以及组织间的合作）、流程及程序，用来管理资讯系统及资讯资产的保护。- 维护（PR.MA）：以和安全政策和流程一致的方式，维护或修理工业控制或是资讯系统的元件。- 保护技术（PR.PT）：管理技术安全方案，确保系统及资产的安全及强健性，并且和相关的政策、程序及协议一致。

**侦测**
「发展及实施可以识别网路安全事件发生的活动。」- 异常及事件（DE.AE）：可以及时的侦测到异常活动，并且了解事件的潜在影响。- 安全持续监控（DE.CM）：定期监控资讯系统以及资产，以识别网路安全事件，并且验证保护措施的效果，- 侦测流程（DE.DP）：维护侦测流程及程序，并且经过测试，确保可以及时、适当的告知有异常事件。

**回应**
「发展及实施活动，针对已侦测到的网路安全事故进行因应。」- 回应计划（RS.RP）：执行及维护回应流程和程序，确保对侦测到的网路安全事故可以及时回应。- 沟通（RS.CO）：回应计划和内部和外部的利益相关者一起进行，若合适的话，也可以包括执法单位的外部支援。- 分析（RS.AN）：分析的目的是要确保有进行适当的回应，并且分析也可以支持复原活动。- 缓释（RS.MI）：进行此一活动来避免事件的扩大、缓释其影响、并且根除该事故。- 改进（RS.IM）：透过整合历来侦测活动或回应活动中累积的经验教训，提升组织的回应活动。

**复原**
「发展及实施活动，维持组织的韧性计划，复原所有在网路安全事故中受损的能力或是服务。」- 复原计划（RC.RP）：执行及维护复原流程和程序，确保因网路事件影响的系统或资产可以及时的恢复。- 改进（RC.IM）：透过整合经验教训，提升复原流程和程序，以因应未来的活动。- 沟通（RC.CO）：复原计划和内部和外部的单位一起进行，例如网路危机处理暨协调中心、网路服务提供者、发起攻击系统的所有者、受害者、其他电脑资安事件应变小组、以及供应商。

**改版至CSF 2.0**
NIST网路安全框架会持续更新及改善，以加入网路安全的新技术以及新威胁，也整合现有的最佳实务以及经验教训。自从2018年发布CSF 1.1版后，利益相关人就有提出意见，认为框架需要更新。NIST在2022年2月提出了有关CSF改善意见的资讯需求书，并在2023年1月发布了概念书，说明计划在网路安全框架中会进行的变更。NIST后来在在2023年11月4日发行「Discussion Draft: The NIST Cybersecurity Framework 2.0 Core with Implementation Examples」，请大众提出意见

**主要变更**
以下是从1.1版变更到2.0版的主要变更：
# 框架的名称改成「网路安全框架」。也更新框架的范围，以反映大部份使用此网路的组织特性。
# 加入了实施的例子，让使用者要达到CSF的子分类时，可以有实务且行动导向的流程。此外，框架轮廓也已更新扩充，以说明此轮廓多样化的目的。  
# 新增加了一个功能「治理」，提供组织相关的内容，也有要开发网路安全治理模式需要的角色和责任，其中也有一个专门针对网路安全供应链管理的分类。
# 更新的内容也有较多有关网路安全评估的资讯，较强调有关安全的持续改善，在「识别」功能中新增了「改善」的分类。

**相关条目**
 计算机安全- 网路安全标准- Critical infrastructure protection- ISO/IEC 27001：国际标准化组织和国际电工委员会提出，有关资讯安全的标准。- COBIT：信息及相关技术控制目标，来自国际电脑稽核协会（ISACA）的类似框架。- NIS３T Special Publication 800-53：Security and Privacy Controls for Federal Information Systems and Organizations.

**参考资料**
url=https://www.nist.gov/cyberframework/upload/cybersecurity-framework-021214.pdf

**外部连结**
 NISTIR 8374 (Draft) date=20220124183850 : Cybersecurity Framework Profile for Ransomware Risk Management (Preliminary Draft)-  How To Use (And Not Use) The NIST Cybersecurity Framework | FRSecure LLC | Information Security Management date=20170510113833 -  Harnessing the Power of the NIST Cybersecurity Framework date=20231023030538 -  A 10 Minute Guide to the NIST Cybersecurity Framework date=20210414125639 -  Informative References Home date=20230322155444 -  Derived Relationship Mapping date=20200923225800 -  Informative Reference Catalog date=20200923221344