解读即将发布的NIST CSF 2.0草案新增要素

F5生态系统 | 2023年8月10日

在互联程度日益加深的数字环境中，强有力的网络安全措施至关重要。为此，美国国家标准与技术研究院（NIST）于2014年推出了《网络安全框架》（CSF），使其成为降低各行业网络安全风险的重要工具。许多组织向NIST表示，CSF 1.1是应对网络安全风险的有力工具。不过，各方一致认为，该框架必须持续演进，才能应对即将出现的网络安全挑战，并帮助组织顺利采用。NIST正与社区密切合作，积极制定CSF 2.0，力求在保留该框架最初宗旨和目标核心要义的同时，确保其未来仍然有效。

NIST网络安全框架2.0究竟是什么，又不是什么

从根本上说，NIST Cybersecurity Framework 2.0是组织了解自身网络安全状况，并有效评估、确定网络安全工作的优先级及清晰阐述相关工作的实用工具。该框架并非僵化的指令手册，不会规定实现这些目标的具体方法，而是发挥战略枢纽作用，帮助组织获取各类资源，为建议采用的实践和控制措施提供补充指导。

本文将深入解析《网络安全框架2.0》草案的组成部分，介绍其相较于1.1版提出的部分变更，并阐明该框架如何从多个方面增强数字防御能力。

具体有哪些变化

以下是NIST CSF从1.1版升级到2.0版时较为显著的五项变化：

网络安全框架名称和范围的演变网络安全框架经过了重大改进，体现出其广泛的适用性。其名称从“改善关键基础设施网络安全框架”改为“网络安全框架”，更便于识别。其适用范围也从最初聚焦关键基础设施扩展至所有组织。这一演变体现了该框架在全球范围内的适用性，其重点也从美国关键基础设施转向覆盖全球各类组织。这些变化凸显了该框架的适应性，以及满足不同网络安全需求的能力，进一步巩固了其作为灵活工具的地位，可供不同规模和背景的组织使用。
CSF与新资源的互联，CSF的发展已超越其自身范畴，与其他重要框架和资源建立了联系。NIST经过全面审查后修订了NIST CSF，并新增了对NIST Privacy Framework、NICE Workforce Framework for Cybersecurity、Secure Software Development Framework等现代工具的引用。
加强CSF实施支持，CSF在演进过程中进一步加强了对有效实施的支持，例如引入实施示例，提供以行动为导向的示范性流程，帮助实现CSF子类别。这些战略性增强使CSF不再局限于理论框架，而是提供实用工具，进一步提升其实际应用成效。随着实施指南不断完善，CSF进一步巩固了其作为重要工具的作用，帮助应对复杂的网络安全环境。
加强网络安全治理：进一步聚焦框架，CSF的演进凸显了网络安全治理的关键作用。通过引入新的“治理”功能，CSF采用了整体方法，涵盖组织环境、风险管理策略、网络安全供应链风险、角色与职责、政策、流程和监督等多个方面。

为指导组织全面整合网络安全，该框架现提供了与NIST隐私框架保持一致并融入企业风险管理的相关见解，详见NIST IR 8286。值得注意的是，在整个框架的实施过程中，对人员、流程和技术的重视程度进一步提升。

对治理的进一步重视增强了CSF在网络安全领域的重要性，进一步确立了其作为灵活且全面的工具所发挥的作用，可帮助致力于加强数字防御的组织。
增强网络安全供应链韧性 ，CSF的演进凸显了网络安全供应链风险管理的重要意义。通过在“治理”功能下引入专门类别，该框架进一步明确了对这一领域的重视。

此次更新旨在与NIST最新指南和当前最佳实践保持一致。值得注意的是，CSF涵盖网络安全供应链风险管理和安全软件开发，体现了主动保护数字生态系统的理念。

这一前瞻性重点进一步增强了该框架适应不断变化的威胁形势的能力，使其成为重要工具，帮助组织在复杂的供应链环境中加强网络安全态势和韧性。