日本在线www-日本在线播放一区-日本在线不卡免费视频一区-日本在线不卡视频-成人影院久久久久久影院-成人影院一区二区三区

2014年2月12日，美國國家標準技術研究院（NIST）正式發(fā)布了《提升關鍵基礎設施網(wǎng)絡安全的框架》第1.0版本。《提升關鍵基礎設施網(wǎng)絡安全的框架》的基本思想，是一套著眼于安全風險，應用于關鍵基礎設施廣闊領域的安全風險管控的流程。

該文件是奧巴馬總統(tǒng)頒布的第13636號行政命令的產物，其開發(fā)目的是形成一套適用于各類工業(yè)技術領域的安全風險管控的“通用語言”，同時為確?？蓴U展性與開展技術創(chuàng)新，此框架力求做到“技術中性化”，即：第一依賴于現(xiàn)有的各種標準、指南和實踐，使關鍵基礎設施供應商獲得彈性能力。第二依賴于全球標準、指南和實踐（行業(yè)開發(fā)、管理、更新實踐），實現(xiàn)框架效果的工具和方法將適用于跨國界，承認網(wǎng)絡安全風險的全球性，并隨著技術發(fā)展和業(yè)務需求而進一步發(fā)展框架。

因此，從某種角度上來觀察，該文件就是一份“用于關鍵基礎設施安全風險管控的標準化實施指南”，以幫助那些負責提供國家金融、能源、醫(yī)療保健和其他關鍵系統(tǒng)的組織更好地保護其信息和資產安全，抵御網(wǎng)絡攻擊。

如今，在初始版本發(fā)布4年后，美國國家標準與技術研究院（NIST）再次發(fā)布了《提升關鍵基礎設施網(wǎng)絡安全的框架》1.1版本。

與初始版本一樣，框架1.1版本也是基于公眾意見征詢收集到的反饋、團隊成員收到的問題，以及多次研討會做出的修改所產生的公私合作成果?？梢哉f，新版本是對1.0版本的提煉、闡明和改進。1.1版本仍具有靈活性，可滿足組織機構的業(yè)務或任務需求，并適用于各種技術環(huán)境，例如信息技術、工業(yè)控制系統(tǒng)和物聯(lián)網(wǎng)。

據(jù)悉，框架1.1版本中更新的內容包括：

身份驗證和身份；

自我評估網(wǎng)絡安全風險；

供應鏈中的網(wǎng)絡安全風險管理；

漏洞披露；

新版本的變化之處

首先，1.1版本已經(jīng)將“訪問控制”類別更新為“身份管理和訪問控制”，以便更好地考慮身份驗證以及授權等內容。

此外，新版本中還增加了一個名為“第4.0節(jié)：使用框架自我評估網(wǎng)絡安全風險”的新內容，解釋了組織如何使用該框架來理解和評估其網(wǎng)絡安全風險，包括測量標準的使用等。

該文件指出，網(wǎng)絡安全性能標準的發(fā)展正在發(fā)生巨變，組織應該周到、富有創(chuàng)造性，并且謹慎地使用測量方法來優(yōu)化使用，力求在改善網(wǎng)絡安全風險管理方面取得進展。判斷網(wǎng)絡風險需要準則指導，且這些準則必須定期評估和更新，以適應不斷變化的時代需求。

在供應鏈方面，擴展的第3.3節(jié)可以幫助用戶更好地理解這一領域的風險管理，而新增的部分（3.4節(jié)）則側重于購買決策，以及使用框架來理解與“商用貨架產品”（Commercial-off-the-shelf，簡稱COTS，指可以采購到的具有開放式標準定義的接口的軟件或硬件產品）相關的風險。

該框架強調了“網(wǎng)絡供應鏈風險管理在解決關鍵基礎設施和更廣泛的數(shù)字經(jīng)濟中的網(wǎng)絡安全風險所起到的關鍵作用”。該框架的“實施層”為組織機構提供了機制，供其了解網(wǎng)絡安全風險管理方法的特征，并提供網(wǎng)絡安全風險審視方法和管理風險的流程，以幫助組織機構確定優(yōu)先級并實現(xiàn)網(wǎng)絡安全目標。

“實施層”指的是組織機構安全風險管理實踐的程度，衡量標準包括風險與威脅意識、可重復和自適應等要素。實施層通過四個層級范圍描述組織機構的實踐程度，各層級（從部分的層級1到自適應的層級4）反映了從非正式、被動響應到自適應的表現(xiàn)。該框架指出，在確定實施層級的過程中，組織機構應考慮當前的風險管理實踐、威脅環(huán)境、法律法規(guī)要求、業(yè)務/任務目標和限制條件。

其他更新內容還包括對實施層和配置文件之間關系的更好解釋；考慮到組織機構使用框架的具體方式非常多樣，所以圍繞“合規(guī)性”這一術語增加了更多細化解釋；并增加了與漏洞披露生命周期相關的子類別。

關于新框架的討論和后續(xù)考慮

該框架的執(zhí)行摘要寫道：

因此，其目標是保持足夠的靈活性，以便所有行業(yè)部門的大小企業(yè)和組織，以及聯(lián)邦、州和地方政府都能夠自愿采用。此外，值得注意的是，該框架不僅僅只是涉及技術和流程，而是全面涵蓋了人員、流程和技術。

到目前為止，該框架的采用率已經(jīng)相當可觀。根據(jù)Gartner提供的數(shù)據(jù)顯示，2015年只有30%的美國組織使用該框架，但到2020年這一數(shù)字預計將增加到50%。

與幾乎所有數(shù)據(jù)安全標準一樣，NIST網(wǎng)絡安全框架是非強制性的。雖然網(wǎng)絡專業(yè)人員經(jīng)常需要采用這些標準和框架文檔作為工具來并幫助構建所需的保護性架構，但是專業(yè)人員通常會根據(jù)自身情況（如企業(yè)規(guī)模、具體網(wǎng)絡環(huán)境等）選擇適用的工具。

然而，特朗普簽署的名為“增強聯(lián)邦政府網(wǎng)絡和關鍵基礎設施網(wǎng)絡安全”的行政命令，從聯(lián)邦政府網(wǎng)絡、關鍵基礎設施和國家整體安全三個層面提出增強網(wǎng)絡安全措施。此舉可以理解為，要求聯(lián)邦機構遵守NIST網(wǎng)絡安全框架。因為該行政命令要求機構負責人向OMB（行政管理和預算局 ）提交風險管理報告，并描述其實施該框架的具體計劃。

鑒于目前的指令，所有主要政府承包商也可能會面臨類似的要求。

針對同一個問題，公共政策講師兼哈佛大學Belfer科學與國際事務中心聯(lián)合主任Eric Rosenbach在一份書面陳詞中告訴參議員：國會應該要求所有關鍵基礎設施提供商采用該框架。

Rosenbach引用了最近針對亞特蘭大市和波音公司的勒索軟件攻擊事件，強調了關鍵基礎設施領域存在明顯的威脅需要解決。

“網(wǎng)絡風險影響著我們經(jīng)濟和社會的各個方面。這是一個全國性的威脅。只有通過全國的共同努力才能成功解決這個問題。當然，在此過程中，政府必須發(fā)揮主導作用。但是最終，私營企業(yè)和非政府組織的行動才是決定我們成功與否的關鍵所在。

今年晚些時候，NIST計劃發(fā)布更新的配套文件——《改進關鍵基礎設施網(wǎng)絡安全路線圖》，該文件描述了開發(fā)、協(xié)調和協(xié)作的關鍵領域。

正如網(wǎng)絡安全框架項目經(jīng)理Matt Barrett所說：

“網(wǎng)絡安全框架需要隨著威脅、技術和行業(yè)的發(fā)展而發(fā)展。通過此次更新，我們已經(jīng)證明，我們有一個良好的流程來將利益相關者聚集在一起，以確保該框架仍然是管理網(wǎng)絡風險的一個很好的工具。