網路安全標準（Cybersecurity standards）是已用檔案方式釋出，為了保護使用者或組織之電腦網路環境而訂定的技術。此處的「環境」包括使用者本身、網路，或是會直接或間接連線網路的裝置、所有軟體、程式、儲存或是傳輸的資訊、應用程式、服務以及系統。 網路安全標準的主要目的是降低風險，包括預防及緩解網路攻擊。這些釋出的資料中包括了許多工具、策略、安全概念、安全保障、指引、風險管理工具、行動、訓練、最佳實務、確保以及技術。 歷史 網路安全標準在數十年前即已存在，是由使用者以及網路供應商在許多國內或跨國論壇合作，列出必要的能力、策略以及實務，許多是 1990 年代史丹佛大學資訊安全與政策研究聯盟的工作中出現的。 2016 年美國安全框架匯入研究指出，受訪的組織中，有 70 認為 NIST 網路安全框架是資訊科技電腦安全中最受歡迎的最佳實務，但也有許多受訪者表示這需要相當大金額的投資。執法者面對跨國界網路滲透活動的執法，對抗暗網的國際犯罪行為的舉動，產生了複雜的執法權問題，有些甚至到現在都還無解。各國執法部門為了對抗跨國界網路滲透活動，以及國際執法機關之間的緊張關係，也會讓網路安全標準可以繼續的改善。 國際標準 以下章節列出一些常用的國際標準。 ISOIEC 27001 及 27002 ISOIEC 27001 是 ISOIEC 27000 系列的一部份，是資訊安全管理系統（ISMS）標準，最新版是在 2022 年由國際標準化組織（ISO）及國際電工委員會（IEC）釋出。其全名是《資訊科技 安全技術 資訊安全管理系統 要求》（Information technology Security techniques Information security management systems Requirements）。 ISOIEC 27001 正式的說明一個以明確的管理控制方式加入資訊安全的管理系統。 ISOIEC 27002 主要整合了良好安全管理實務標準的第一部份。BS 7799 的最新版本是 BS 77993。有時會用 ISOIEC 27002 來指稱 ISO 17799 或 BS 7799 第 1 部份，有時則指第 1 部份以及第 7 部份。BS 7799 第 1 部份提供了網路安全管理的良好實務指引，而 BS 7799 第 2 部份以及 ISOIEC 27001 是規範性的，提供認證的框架。ISOIEC 27002 是網路安全的高階指引。針對要取得 ISOIEC 27001 認證的單位而言，最適合做為說明用的指引。認證取得後，可以維持三年。依稽核單位的不同，三年內可能不用再稽核，也可能需要有期中的稽核。 ISOIEC 27001（ISMS）取代了 BS 7799 第 2 部份，但若組織在 BS 7799 第 2 部份的基礎上工作，法規有向後相容，讓正在取得 BS 7799 第 2 部份的組織可以比較容易轉換到 ISOIEC 27001 的認證流程。也有轉換用的稽核，讓取得 BS 7799 第 2 部份認證的組織可以轉換為 ISOIEC 27001 的認證。ISOIEC 27002 提供資訊安全系統的最佳實務，包括資訊安全管理系統（ISMS）的初始、實現以及維護。其中提到了資訊安全系統需實現 ISOIEC 27002 的控制目標（controls objectives）。若沒有 ISOIEC 27001，ISOIEC 27002 的控制目標無法達到效果。ISOIEC 27002 的控制目標，整合在在 ISO 27001 的附錄 A 中。 ISOIEC 21827（SSECMM ISOIEC 21827）是依系統資安工程能力成熟度模型（SSECMM）為基礎的國際標準，也可以量測 ISO 控制目標的成熟度， ISO 15408 此一標準的全名是《資訊技術安全評估共同準則》（Common Criteria for Information Technology Security Evaluation），簡稱為 Common Criteria，是電腦安全認證的標準。可以讓不同的軟體及硬體產品進行整合，以安全的方式進行測試。 IEC 62443 IEC 62443 網路安全標準是依 IEC 標準產生流程所訂定的，而 ANSIISA62443 提案是提交給美國的委員會並且進行審核，也在委員會中提出意見。IEC 62443 中的許多委員會會審核修訂意見，也會在委員會中討論，若大家同意即進行更改。IEC 委員會中的許多成員也是 ISA S99 委員會的成員。迄今為止，已經使用了 ANSIISA 62443 原始檔案的基礎概念。 這些標準會由許多不同產業的從業人員使用，以此來設計和評估自動化系統，以提高網路安全性。許多標準已用在個人、工程流程、產生以及系統網路安全驗證計劃（cybersecurity certification programs，也稱為合格評定計劃，conformity assessment program）中。 ISA62443 的標準及技術報告會分為四類，分別是通則（General）、政策及流程（Policies and Procedures）、系統（System）及元件（Component）More information about the activities and plans of the ISA99 committee is available on the committee Wiki site 。 第一層（最上層）是一般性或是基礎的資訊，例如概念、模型及術語，也包括描述 IACS 安全矩陣及安全生命週期的工作成果。 第二層的工作成員是針對資產所有者。其中提到有關建立及維持有效 IACS 安全計劃的許多不同層面。 第三層包括了控制系統安全整合的系統設計指引以及要求的相關檔案。其中的核心是 zone 及 conduit design model。 第四層包括了有關特定控制系統產品的產品開發以及技術需求。主要是針對控制產品的供應商，不過也可以供整合者及資產所有者使用，以建構其安全性產品。 ANSIISA 62443（舊名稱為 ISA99） ANSIISA 62443 是一系列有關實現安全工業自動化控制系統（IACS）的標準、技術報告及相關資料。 這些檔案由是（ISA）所寫，以美國國家標準協會（ANSI）檔案公開釋出，因此最早稱為 ANSIISA99 或 ISA99 標準。在 2010 年時，重新編號為 ANSIISA62443 標準。 ISA99 仍然是 ISA 工業自動化及控制系統安全委員會（Industrial Automation and Control System Security Committee）的名稱。2002 年起，此委員會在針對 IACS 安全性主題，訂定一系列的標準以及技術報告。這些檔案會由國際自動化學會核可，最後以 ANSI 檔案發行。這些檔案也會提交給 IEC，依循 IEC 的標準開發程式，這些會是 IEC62443 國際標準的輸入。 ISOSAE 21434 ISOSAE 21434《道路車輛－網路安全工程》（Road vehicles Cybersecurity engineering）是國際標準化組織（ISO）和國際汽車工程師學會（SAE）工作組聯合開發的新型網路安全標準，是依道路車輛的開發週期進行網路安全的措施。其國際標準草案（Draft international standard、DIS）階段已在 2019 年 12 月期滿，最終標準計劃在 2020 年 11 月釋出。 此一標準和目前正在發展的歐洲聯盟網路安全法規有關。為了和歐盟協調，聯合國歐洲經濟委員會（UNECE）的世界車輛法規協調論壇（WP29）已在 2020 年 6 月釋出網路安全管理系統（UNECE R 155，CSMS）的規範，相關認證是的強制條件之一。ISOSAE 21434 是汽車開發的技術標準，可以證明符合 R155 的規範。 各國標準 NERC NERC（北美電力可靠性公司）在 2003 年建立了電力產業的資訊安全標準，是最早期的相關標準，稱為 NERC CSS（北美電力可靠性公司網路安全標準）Symantec Control Compliance Suite NERC and FERC Regulation Subsection History of NERC Standards。在網路安全標準指引之後，NERC 在這些要求上持續的改進及強化。目前最廣為使用的現代 NERC 安全標準是 NERC 1300，是由 NERC 1200 修改及更新後的內容。NERC 1300 的最新版本稱為 CIP0023 至 CIP0093（CIP 為關鍵基礎裝置保護的簡稱）。這些標準的目的是要保護大宗電力系統，NERC 也有在其他領域訂定標準。大宗電力系統標準提供網路安全的管理，也有工業程式上的最佳實務。 NIST 隸屬於美國商務部的國家標準技術研究院 NIST 負責制定與資訊安全相關的標準與規範。 NIST 網路安全框架（NIST CSF）此框架是根據 NIST SP80053，並以事件風險為基礎發展而成。提供美國政府關鍵基礎設施與一套具成本效益、靈活配置，可循序漸進建立網路安全的控制措施，並針對可能面臨的威脅提前制定應變計劃。此框架的組成有 3 元素、4 要素及 5 項持續活動 識別、保護、偵測、回應、復原，提供了網路安全成果的高層級分類，以及評估及管理成果的方法論。其目的是要幫助提供關鍵基礎建設的私營部門，提供相關保護的指引，也有針對隱私權及公民自由的保護。 Special publication 80012 是電腦安全以及控制領域的簡介，其中也強調資訊安全控制的重要性，以及其實施方式。最早此檔案是要給美國聯邦政府使用，但在大部份的實務上，這份檔案也可以幫助私營部門。其中內容是特別針對聯邦政府中負責敏感系統的人員。 Special publication 80014 敘述常用的安全原則。提供了在電腦安全政策中需匯入事項的高層次敘述。其中敘述了要提昇安全性，需進行的事務，也說明要如何建立新的安全實務。這份檔案中有 8 個原則以及 14 個實務。 Special publication 80026 提供有關 IT 安全管理的建議。後來被 NIST SP 80053 第三版取代。此份檔案強調自我評估以及風險評估的重要性。 Special publication 80037 是在 2010 年所更新，敘述一種新的風險評估方式：《應用風險管理框架到聯邦資訊系統的指引》（Guide for Applying the Risk Management Framework to Federal Information Systems）。 Special publication 80053 第五版，《資訊系統及組織的安全及個人資料控管》（Security and Privacy Controls for Information Systems and Organizations），此檔案是在 2020 年 9 月釋出，在 22020 年 12 月 10 日更新，較第四版的變更處可參考 MITRE 所整理的比較表 。NIST 的特別出版品 SP80053 旨在依公法 PL 107347 的美國聯邦資訊安全管理法 FISMA 界定其法定責任。美國聯邦資訊安全管理法屬於聯邦法律，規定美國政府機關須訂立及審查能夠優先落實資訊安全且適用於各機關的實務規範，並據此進行通報；NIST 80053 則明定了聯邦政府和重要基礎架構所需的安全性和隱私權管理具體規範。 Special publication 800633，《數位身份認證指引》（Digital Identity Guidelines），在 2017 年 6 月釋出，在 2017 年 12 月 1 日更新。其中有實行數位身份認證的指引，包括使用者的身份證明（identity proofing）、登記以及認證。 Special Publication 80082 第二版，《工業控制系統資訊安全指引》（Guide to Industrial Control System ICS Security），在 2015 年 5 月改版，其中敘述如何讓不同種類的工業控制系統免於網路攻擊，也同時考慮工業控制系統的效能、可靠度以及安全需求。 相關條目 網路安全 （麻省個人資訊保護標準） Common Criteria 計算機安全 控制系統安全性 （英國政府標準） 資訊安全 資訊保障 ISOIEC 27002 聯邦資訊安全辦公室 （NERC） 國家標準技術研究所（NIST） （PCI DSS） （SSOA） CIS 控制 腳註 參考資料 Department of Homeland Security A Comparison of Cyber Security Standards Developed by the Oil and Gas Segment November 5 2004 Guttman M Swanson M National Institute of Standards and Technology Technology Administration US Department of Commerce Generally Accepted Principles and Practices for Securing Information Technology Systems 80014 September 1996 National Institute of Standards and Technology Technology Administration US Department of Commerce An Introduction to Computer Security The NIST Handbook Special Publication 80012 Swanson M National Institute of Standards and Technology Technology Administration US Department of Commerce Security SelfAssessment Guide for Information Technology Systems 80026 Grassi P Garcia M Fenton JNational Institute of Standards and Technology US Department of Commerce Digital Identity Guidelines 800633 Stouffer K Pillitteri V Lightman S Abrams M Hahn A National Institute of Standards and Technology US Department of Commerce Guide to Industrial Control Systems ICS Security 80082 The North American Electric Reliability Council NERC httpwwwnerccom Retrieved November 12 2005 Federal Financial Institutions Examination Council FFIEC httpswwwffiecgov Retrieved April 18 2018 外部連結 ISA99 Committee home page NERC Standards see CIP 002009 Securing CyberspaceMedia Presentation by Professor William Sanders University of Illinois Global Cybersecurity Policy Conference A 10 Minute Guide to the NIST Cybersecurity Framework Federal Financial Institutions Examination Councils FFIEC Web Site 電腦安全標準 Category 網路戰 Category 電腦安全程式