标准简介
NIST 网络安全框架（CSF）2.0 版是由美国国家标准与技术研究院（NIST）于 2024 年 2 月发布的网络安全风险管理框架。该框架最初于 2014 年发布，主要面向关键基础设施，2.0 版将适用范围扩展至所有规模和类型的组织。CSF 2.0 围绕六大核心功能构建：治理（新增）、识别、保护、检测、响应和恢复，为组织提供了理解、评估、优先排序和沟通网络安全工作的通用语言和系统方法。
CSF 2.0 的最大变化是新增的「治理」功能，将网络安全提升为组织战略层面的关注点，强调高层领导的参与和问责。该框架引入了组织概况（Organizational Profiles）和层级（Tiers）概念，帮助组织评估当前网络安全状态并设定目标状态。NIST 同时提供了丰富的在线参考资源和快速入门指南，降低了中小企业的实施门槛。CSF 虽然是自愿性框架而非强制性法规，但已被广泛采纳为行业最佳实践，许多监管机构和政府合同也将其作为合规参考基准。
新增治理职能
新增第六个核心职能——治理——强调领导层面的网络安全风险管理战略、组织背景、政策与监督。
普适性
已扩展至美国关键基础设施之外,服务于所有组织,无论规模、行业或地域——包括小型企业和国际采用者。
供应链聚焦
以专门的子类别显著强化供应链风险管理,要求组织识别、评估和管理其供应链中的网络安全风险。
list_alt 核心职能(6 项)
- 治理——战略、风险管理、政策、监督
- 识别——资产管理、风险评估、改进
- 保护——访问控制、意识、数据安全
- 检测——持续监控、不良事件分析
- 响应——事件管理、分析、缓解
- 恢复——恢复规划、沟通、改进
- 社区档案与组织档案
- 映射至 50 多项标准的参考资料
谁需要合规？
任何寻求管理网络安全风险的组织——从小型企业到大型企业,涵盖所有行业。虽为自愿性,但 NIST CSF 在美国联邦法规中被广泛引用,并越来越多地被国际采用。
关键要求
组织档案
创建描述组织网络安全态势的当前档案和目标档案。利用差距分析根据业务目标和风险容忍度确定改进优先级。
风险评估
识别和评估对组织运营、资产和个人的网络安全风险。根据可能性、影响和风险偏好对风险进行优先级排序。
供应链风险管理
建立流程以识别、评估和管理整个供应链的网络安全风险。在供应商协议中纳入网络安全要求并监控合规情况。
持续改进
定期监控和审查网络安全实践。利用从事件、审计和新兴威胁中获得的经验教训持续更新网络安全项目。
实施路线图
准备并定义治理
指定高层负责人，明确网络安全风险偏好，并约定 Govern 职能由安全、IT、法务、采购和业务负责人共同承担的方式。确认业务背景、关键服务、监管驱动因素和第三方依赖，作为 CSF Profile 的范围基础。
建立当前和目标 Profile
按照 Govern、Identify、Protect、Detect、Respond、Recover 六个 CSF 2.0 职能映射现有实践。建立 Current Profile，定义与风险容忍度一致的 Target Profile，并按业务影响、控制成熟度和供应商依赖对差距排序。
实施优先改进项
将 Profile 差距转化为有预算的工作包：资产清单、身份控制、漏洞管理、监控、事件响应、恢复计划和供应链风险管理。将每项改进映射到 ISO 27001、SOC 2、NIST SP 800-53 或 FedRAMP 等现有标准，以便复用证据。
衡量、审计并维护 Profile
与管理层审查 Profile 进展，在事故或重大业务变化后更新风险决策，并按固定节奏刷新供应商和控制证据。使用指标和经验教训保持 Target Profile 现实可行，并展示持续改进。
合规检查清单
checklist 治理与 Profile 设置
checklist 核心网络安全结果
checklist 供应链与改进
NIST CSF 与 NIST SP 800-53、ISO 27001 对比
这些框架相互重叠，但服务于不同层级的网络安全治理和保证。
| 方面 | NIST CSF 2.0 | NIST SP 800-53 | ISO 27001 |
|---|---|---|---|
| 主要目的 | 网络安全结果和风险沟通 | 详细的安全和隐私控制目录 | 可认证的信息安全管理体系 |
| 最适合 | 董事会报告、项目规划和差距优先级排序 | 联邦、受监管和高保证系统的控制基线 | 第三方认证和管理体系纪律 |
| 保证模式 | 无官方认证 | 通过 FedRAMP 或 FISMA 等项目评估 | 由认可审核机构认证 |
| 实施方式 | 基于 Profile，灵活适配 | 控制选择、裁剪、实施和评估 | 风险评估、控制、内部审核和管理评审 |
常见误区
NIST CSF 合规意味着必须完整实施每个子类别。
CSF 是基于风险的。组织根据背景、风险偏好和资源定义目标结果，并通过 Profile 说明优先级。
CSF 可以替代 ISO 27001、SOC 2 或 FedRAMP。
CSF 有助于组织网络安全结果，但不能替代可审计或强制性的保证框架。它通常作为这些框架之上的治理层。
Protect 职能才是主要目标。
有效采用 CSF 需要平衡全部六个职能，包括治理、检测、响应和恢复。
处罚与执行
无直接法律处罚——NIST CSF 是自愿性框架。然而,许多法规要求(HIPAA、FISMA、FedRAMP)对其有所引用,未与其保持一致可能在法律程序中表明网络安全尽职调查不足。
常见问题解答
NIST CSF 2.0 是强制性要求吗？
expand_more
不是。NIST CSF 2.0 是自愿采用的网络安全风险管理框架，不是认证计划或法律。但由于监管机构、客户、董事会和保险方认可其组织网络安全结果和尽职调查的实用性，它被广泛采用。
CSF 2.0 有哪些变化？
expand_more
CSF 2.0 新增 Govern 作为第六个核心职能，并明确适用于各种规模、行业和地区的组织，而不仅限于美国关键基础设施。它还更强调供应链风险、组织 Profile 和实施示例。
Current Profile 和 Target Profile 如何使用？
expand_more
Current Profile 记录组织当前如何实现 CSF 结果。Target Profile 根据使命、风险和风险偏好定义所需结果。两者之间的差距会形成优先级明确的改进计划，而不是通用清单。
可以获得 NIST CSF 官方认证吗？
expand_more
NIST 不运营官方 CSF 认证计划。顾问可能提供评估或成熟度评级，但这些属于私营服务。如果客户需要正式第三方保证，通常会将 CSF 映射与 ISO 27001、SOC 2、FedRAMP 或其他可审计框架结合。
CSF 与 NIST SP 800-53 有什么关系？
expand_more
CSF 用业务友好的语言描述网络安全结果，而 NIST SP 800-53 提供详细的安全和隐私控制目录。许多组织用 CSF 做治理和沟通，再将结果映射到 SP 800-53 或其他控制以形成实施证据。
CSF 只适用于大型企业吗？
expand_more
不是。CSF 2.0 面向广泛采用，包括中小组织。小团队可以从轻量 Profile 开始，聚焦关键服务和最重要风险，并随项目成熟逐步扩展度量。
CSF Profile 应多久更新一次？
expand_more
Profile 至少应每年审查一次，并在新产品、并购、云迁移、重大事件或重要供应商变化等重大变化发生时更新。高风险环境通常按季度在风险治理中审查进展。
哪些证据能证明 CSF 对齐？
expand_more
有用证据包括已批准的 Profile、风险登记册、资产和供应商清单、政策、控制测试结果、事件和恢复演练、整改跟踪以及高层报告。最佳证据应将 CSF 结果连接到实际运行的控制，而不只是政策声明。