专家解读 | NIST网络安全框架（3）：层级配置

NIST CSF在核心部分提供了六个类别的关键功能和子功能，并围绕CSF的使用提供了层级（Tier）和配置（Profile）两种工具，使不同组织和用户更方便有效地使用CSF，本文将深入探讨CSF层级和配置的主要内容，及其使用方法。 关键字：网络安全框架；CSF层级；CSF配置

一

CSF层级

在组织的系统性风险治理过程中，CSF框架可以用于识别、评估和管理网络安全风险。结合现有的管理流程，组织可以利用CSF分析确定当前网络安全风险管理方法中存在的差距，并制定改进路线图。 CSF通过“（实施）层级”为利益相关者提供了组织网络安全计划的相关背景信息。NIST 明确指出，CSF层级并非成熟度模型，而是一种指导性的方法，用于阐明网络安全风险管理和企业运营风险管理之间的关系，简而言之，层级提供了一条清晰的路径，将网络安全风险纳入企业的整体组织风险中，同时作为评估当前网络安全风险管理实践的基准，帮助组织制定改善其网络安全状况的计划。 1．层级定义 由于不同组织具有不同的风险、不同的风险承受能力以及不同的威胁和漏洞，因此他们对CSF的实施方式也会存在区别。例如，大型企业可能已经实施了CSF核心中的大部分安全措施，而小型组织可能因为只拥有较少的数据泄露途径，其数据安全流程可能仅处于起步阶段。 为了满足不同组织的不同安全要求，实施层以等级式的描述方式，将企业网络安全风险管理实践映射至CSF框架，用来描述企业实践与NIST CSF的一致程度。