NIST发布网络安全框架2.0版本

---

前言

美国国家标准与技术研究院(NIST)近日发布了网络安全框架(CSF)的2.0正式版本，这是2014年该框架发布后十年来首次重大更新。新框架版本极大扩展了适用范围，重点关注治理和供应链问题，并提供了丰富的资源以加速框架实施。

---

一、新版本的变化

NIST正式发布的网络安全框架(CSF)2.0版本，比去年9月发布的2.0草案版本更加完善，新版本的重大变化和升级如下：
1、适用范围从关键基础设施扩大到所有组织：新的2.0版本面向几乎所有受众、行业部门和组织类型而设计，从最小的学校和非营利组织到最大规模的机构、公司和国家关键基础设施，无论其网络安全系统的复杂程度如何。
2、新增的“治理“成为核心功能：新框架版本将重点放在治理上，包括组织如何制定和执行有关网络安全策略的决策，并强调网络安全是企业风险的主要来源，高级领导者应将网络安全与财务和声誉等其他风险一起考虑。
3、提供实施框架所需的大量工具和指导资源：NIST扩展了CSF的核心指导并开发了相关资源，以帮助用户充分利用该框架。这些资源旨在为不同的受众提供进入CSF的定制途径，并使该框架更容易付诸实施。

二、从关键基础设施扩大到所有组织

网络安全框架2.0版本被美国总统拜登的《国家网络安全战略》和几项新兴政府网络安全政策声明引用，其关注范围从保护关键基础设施(例如医院和发电厂)扩展到所有行业的组织。
为此，新框架版本放弃了之前版本使用的“改进关键基础设施网络安全框架”的名称，改为“NIST网络安全框架(CSF)2.0”。
与2015年发布的原始版本和2018年发布的1.1版本相比，2.0版本不再仅仅是一个静态资源，