前言
美国国家标准与技术研究院(NIST)近日发布了网络安全框架(CSF)的2.0正式版本,这是2014年该框架发布后十年来首次重大更新。新框架版本极大扩展了适用范围,重点关注治理和供应链问题,并提供了丰富的资源以加速框架实施。
一、新版本的变化
NIST正式发布的网络安全框架(CSF)2.0版本,比去年9月发布的2.0草案版本更加完善,新版本的重大变化和升级如下:
1、适用范围从关键基础设施扩大到所有组织:新的2.0版本面向几乎所有受众、行业部门和组织类型而设计,从最小的学校和非营利组织到最大规模的机构、公司和国家关键基础设施,无论其网络安全系统的复杂程度如何。
2、新增的“治理“成为核心功能:新框架版本将重点放在治理上,包括组织如何制定和执行有关网络安全策略的决策,并强调网络安全是企业风险的主要来源,高级领导者应将网络安全与财务和声誉等其他风险一起考虑。
3、提供实施框架所需的大量工具和指导资源:NIST扩展了CSF的核心指导并开发了相关资源,以帮助用户充分利用该框架。这些资源旨在为不同的受众提供进入CSF的定制途径,并使该框架更容易付诸实施。
二、从关键基础设施扩大到所有组织
网络安全框架2.0版本被美国总统拜登的《国家网络安全战略》和几项新兴政府网络安全政策声明引用,其关注范围从保护关键基础设施(例如医院和发电厂)扩展到所有行业的组织。
为此,新框架版本放弃了之前版本使用的“改进关键基础设施网络安全框架”的名称,改为“NIST网络安全框架(CSF)2.0”。
与2015年发布的原始版本和2018年发布的1.1版本相比,2.0版本不再仅仅是一个静态资源,