美国NIST对其网络安全框架作出重大更新

2023年8月8日，美国国家标准与技术研究院（NIST）修订了《网络安全框架》（CSF），发布了CSF 2.0的草案版本。这是该框架自2014年首次发布后的新版本，该版本正在征求公众意见（截至2023年11月4日），草案反映了网络安全形势的变化，使所有组织更容易落实CSF到位。研发人员计划在2024年初公布CSF 2.0的最终版本。

CSF提供了以下内容的指导，包括管理跨部门网络安全风险以及协助技术人员和非技术人员之间的沟通的通用语言和系统性方法。它还包括可纳入网络安全计划的活动，并可根据组织的特殊需求进行定制。具体包括：

（1）该框架的范围已明确从保护医院和发电厂等关键基础设施扩大到为所有组织提供网络安全，不管其类型或规模如何。这一差异体现在CSF的正式名称上，从限定性更强的“提高关键基础设施网络安全的框架”更名为通俗化名称“网络安全框架”。

（2）到目前为止，CSF通过识别、保护、检测、响应和恢复五大主要功能，阐明了一个成功全面网络安全计划的主要支柱是什么。此外，NIST增加了第六项功能，即治理功能，它涵盖了组织如何制定和执行自己的内部决策，以支持其网络安全战略。草案强调，网络安全是企业风险的主要来源。

（3）该草案改进并扩大了实施CSF的指导，特别是为创建配置文件提供了指导，从而使CSF适用于特定情况。网络安全界要求协助将其用于特定的经济领域和使用案例，在这些情况下，配置文件可以提供帮助。重要的是，草案现在包含了每个功能子类别的实施示例，以帮助较小型公司有效使用该框架。

CSF 2.0的主要目标之一是阐明机构如何充分利用NIST 和其他机构的其他技术框架、标准和指南来实施CSF。该在线资源将允许用户浏览、搜索CSF核心数据，并以人机均可读的格式导出这些CSF数据。未来，该工具还将提供展现CSF与其他资源之间的关系的“参考文献”，使得将该框架与其他指南一起用于管理网络安全风险更为方便。

本新闻由广东省WTO/TBT通报咨询研究中心摘录/编辑/整理并翻译，转载请注明来源。

更多详情请见：

www.nist.gov/news-events/news/2023/08/nist-drafts-major-update-its-widely-used-cybersecurity-framework

关注“广东技术性贸易措施”，获取更多服务。