新闻快讯
< >

NIST发布《网络安全框架1.1》

E安全4月19日讯 美国商务部国家标准与技术研究院(简称NIST)于美国时间2018年4月16日发布《提升关键基础设施网络安全的框架》(也被称为《网络安全框架1.1》)。

《网络安全框架1.1》

该框架侧重于对美国国家与经济安全至关重要的行业(能源、银行、通信和国防工业等)。NIST网络安全框架被证明具有足够的灵活性,美国各行业的大小规模的企业、组织机构、联邦、州和地方政府机构均可自愿采用该框架。

美国商务部长威尔伯·罗斯表示,网络安全对国家安全与经济安全至关重要。企业应当将 NIST 网络安全框架作为第一道防线。NIST 院长沃尔特·科潘表示,《网络安全框架1.1》的发布是一项重大进步,真正反映出公私合作模式在应对网络安全挑战方面的成功。

美国NIST发布《网络安全框架1.1》-E安全

版本1.1更新的内容包括:

  • Ÿ身份验证和身份;

  • Ÿ自我评估网络安全风险;

  • Ÿ供应链中的网络安全管理;

  • Ÿ漏洞披露。

《网络安全框架1.1》根据公众意见征询收集到的反馈、团队成员收到的问题,并在2016年和2017年举办的研讨会做了修改。1.1版本的两份草案均征询了公众意见,以全面解决利益相关者提出的问题。网络安全框架项目经理马特·巴雷特表示,新版本是对1.0版本的提炼、阐明和改进。 1.1版本仍具有灵活性,可满足组织机构的业务或任务需求,并适用于各种技术环境,例如信息技术、工业控制系统和物联网。

新框架基本要素

新框架由框架核心、框架实施层和框架概况三大基本要素组成。框架核心提供了一套关键基础设施行业通用的网络安全活动、预期结果和适用参考。

  • 框架核心提出了行业标准、指南和实践,以便组织机构从管理层到执行层的层级沟通网络安全活动和结果。框架核心包含功能、类别、 子类别和信息参考四个要素,以及识别、保护、检测、响应和恢复五个功能。

  • 框架实施层为组织机构提供机制,供其了解网络安全风险管理方法的特征,并提供网络安全风险审视方法和管理风险的流程,可帮助组织机构确定优先级并实现网络安全目标。实施层指的是组织机构安全风险管理实践的程度,衡量标准包括风险与威胁意识、可重复和自适应等要素。实施层通过四个层级范围描述组织机构的实践程度,各层级(从部分的层级1到自适应的层级4)反映了从非正式、被动响应到自适应的表现。该框架指出,在确定实施层级的过程中,组织机构应考虑当前的风险管理实践、威胁环境、法律法规要求、业务/任务目标和限制条件。

  • 框架概况根据组织机构的业务需求、风险承受能力和资源对功能、类别和子类别进行调整,帮助各组织机构建立降低网络安全风险的路线图,确保既能兼顾整体与部门目标,考虑法律法规要求和行业最佳实践,又能反映风险管理的轻重缓急。“概况”可被定义为在特定实施场景下对核心框架的类别和子类别进行调整。借助概况,组织机构可对比“当前概况”和“目标概况”,以此识别提升网络安全态势的机会。要制定出框架“概况”,组织机构可查看所有的类别和子类别,并基于业务/任务需求以及风险评估,以此确定最重要的事项。组织机构可按需添加类别和子类别解决风险。“当前概况”可用来审视“目标概况”需考虑的优先级和进度衡量,同时考虑包括成本效益和创新在内的其它业务需求。组织机构可利用概况进行自我评估,并有助于在组织机构内部和组织机构之间进行风险沟通。

NIST 将于2018年4月27日进行网络直播,详细解释版本1.1,并且还计划于2018年11月6日~8日在巴尔的摩举办网络安全风险管理大会,重点讨论该框架。

E安全注:本文系E安全独家编译报道,转载请联系授权,并保留出处与链接,不得删减内容。联系方式:① 微信号zhu-geliang ②邮箱eapp@easyaq.com
@E安全,最专业的前沿网络安全媒体和产业服务平台,每日提供优质全球网络安全资讯与深度思考,欢迎关注微信公众号「E安全」(EAQapp),或登E安全门户网站www.easyaq.com , 查看更多精彩内容。