2014年2月12日，美國國家標準技術(shù)研究院（NIST）正式發(fā)布了《提升關(guān)鍵基礎(chǔ)設施網(wǎng)絡安全的框架》第1.0版本。《提升關(guān)鍵基礎(chǔ)設施網(wǎng)絡安全的框架》的基本思想，是一套著眼于安全風險，應用于關(guān)鍵基礎(chǔ)設施廣闊領(lǐng)域的安全風險管控的流程。

該文件是奧巴馬總統(tǒng)頒布的第13636號行政命令的產(chǎn)物，其開發(fā)目的是形成一套適用于各類工業(yè)技術(shù)領(lǐng)域的安全風險管控的“通用語言”，同時為確保可擴展性與開展技術(shù)創(chuàng)新，此框架力求做到“技術(shù)中性化”，即：第一依賴于現(xiàn)有的各種標準、指南和實踐，使關(guān)鍵基礎(chǔ)設施供應商獲得彈性能力。第二依賴于全球標準、指南和實踐（行業(yè)開發(fā)、管理、更新實踐），實現(xiàn)框架效果的工具和方法將適用于跨國界，承認網(wǎng)絡安全風險的全球性，并隨著技術(shù)發(fā)展和業(yè)務需求而進一步發(fā)展框架。

因此，從某種角度上來觀察，該文件就是一份“用于關(guān)鍵基礎(chǔ)設施安全風險管控的標準化實施指南”，以幫助那些負責提供國家金融、能源、醫(yī)療保健和其他關(guān)鍵系統(tǒng)的組織更好地保護其信息和資產(chǎn)安全，抵御網(wǎng)絡攻擊。

如今，在初始版本發(fā)布4年后，美國國家標準與技術(shù)研究院（NIST）再次發(fā)布了《提升關(guān)鍵基礎(chǔ)設施網(wǎng)絡安全的框架》1.1版本。

與初始版本一樣，框架1.1版本也是基于公眾意見征詢收集到的反饋、團隊成員收到的問題，以及多次研討會做出的修改所產(chǎn)生的公私合作成果。可以說，新版本是對1.0版本的提煉、闡明和改進。1.1版本仍具有靈活性，可滿足組織機構(gòu)的業(yè)務或任務需求，并適用于各種技術(shù)環(huán)境，例如信息技術(shù)、工業(yè)控制系統(tǒng)和物聯(lián)網(wǎng)。

據(jù)悉，框架1.1版本中更新的內(nèi)容包括：

身份驗證和身份；

自我評估網(wǎng)絡安全風險；

供應鏈中的網(wǎng)絡安全風險管理；

漏洞披露；

新版本的變化之處

首先，1.1版本已經(jīng)將“訪問控制”類別更新為“身份管理和訪問控制”，以便更好地考慮身份驗證以及授權(quán)等內(nèi)容。

此外，新版本中還增加了一個名為“第4.0節(jié)：使用框架自我評估網(wǎng)絡安全風險”的新內(nèi)容，解釋了組織如何使用該框架來理解和評估其網(wǎng)絡安全風險，包括測量標準的使用等。

該文件指出，網(wǎng)絡安全性能標準的發(fā)展正在發(fā)生巨變，組織應該周到、富有創(chuàng)造性，并且謹慎地使用測量方法來優(yōu)化使用，力求在改善網(wǎng)絡安全風險管理方面取得進展。判斷網(wǎng)絡風險需要準則指導，且這些準則必須定期評估和更新，以適應不斷變化的時代需求。

在供應鏈方面，擴展的第3.3節(jié)可以幫助用戶更好地理解這一領(lǐng)域的風險管理，而新增的部分（3.4節(jié)）則側(cè)重于購買決策，以及使用框架來理解與“商用貨架產(chǎn)品”（Commercial-off-the-shelf，簡稱COTS，指可以采購到的具有開放式標準定義的接口的軟件或硬件產(chǎn)品）相關(guān)的風險。

該框架強調(diào)了“網(wǎng)絡供應鏈風險管理在解決關(guān)鍵基礎(chǔ)設施和更廣泛的數(shù)字經(jīng)濟中的網(wǎng)絡安全風險所起到的關(guān)鍵作用”。該框架的“實施層”為組織機構(gòu)提供了機制，供其了解網(wǎng)絡安全風險管理方法的特征，并提供網(wǎng)絡安全風險審視方法和管理風險的流程，以幫助組織機構(gòu)確定優(yōu)先級并實現(xiàn)網(wǎng)絡安全目標。

“實施層”指的是組織機構(gòu)安全風險管理實踐的程度，衡量標準包括風險與威脅意識、可重復和自適應等要素。實施層通過四個層級范圍描述組織機構(gòu)的實踐程度，各層級（從部分的層級1到自適應的層級4）反映了從非正式、被動響應到自適應的表現(xiàn)。該框架指出，在確定實施層級的過程中，組織機構(gòu)應考慮當前的風險管理實踐、威脅環(huán)境、法律法規(guī)要求、業(yè)務/任務目標和限制條件。

其他更新內(nèi)容還包括對實施層和配置文件之間關(guān)系的更好解釋；考慮到組織機構(gòu)使用框架的具體方式非常多樣，所以圍繞“合規(guī)性”這一術(shù)語增加了更多細化解釋；并增加了與漏洞披露生命周期相關(guān)的子類別。

關(guān)于新框架的討論和后續(xù)考慮

該框架的執(zhí)行摘要寫道：

因此，其目標是保持足夠的靈活性，以便所有行業(yè)部門的大小企業(yè)和組織，以及聯(lián)邦、州和地方政府都能夠自愿采用。此外，值得注意的是，該框架不僅僅只是涉及技術(shù)和流程，而是全面涵蓋了人員、流程和技術(shù)。

到目前為止，該框架的采用率已經(jīng)相當可觀。根據(jù)Gartner提供的數(shù)據(jù)顯示，2015年只有30%的美國組織使用該框架，但到2020年這一數(shù)字預計將增加到50%。

與幾乎所有數(shù)據(jù)安全標準一樣，NIST網(wǎng)絡安全框架是非強制性的。雖然網(wǎng)絡專業(yè)人員經(jīng)常需要采用這些標準和框架文檔作為工具來并幫助構(gòu)建所需的保護性架構(gòu)，但是專業(yè)人員通常會根據(jù)自身情況（如企業(yè)規(guī)模、具體網(wǎng)絡環(huán)境等）選擇適用的工具。

然而，特朗普簽署的名為“增強聯(lián)邦政府網(wǎng)絡和關(guān)鍵基礎(chǔ)設施網(wǎng)絡安全”的行政命令，從聯(lián)邦政府網(wǎng)絡、關(guān)鍵基礎(chǔ)設施和國家整體安全三個層面提出增強網(wǎng)絡安全措施。此舉可以理解為，要求聯(lián)邦機構(gòu)遵守NIST網(wǎng)絡安全框架。因為該行政命令要求機構(gòu)負責人向OMB（行政管理和預算局 ）提交風險管理報告，并描述其實施該框架的具體計劃。

鑒于目前的指令，所有主要政府承包商也可能會面臨類似的要求。

針對同一個問題，公共政策講師兼哈佛大學Belfer科學與國際事務中心聯(lián)合主任Eric Rosenbach在一份書面陳詞中告訴參議員：國會應該要求所有關(guān)鍵基礎(chǔ)設施提供商采用該框架。

Rosenbach引用了最近針對亞特蘭大市和波音公司的勒索軟件攻擊事件，強調(diào)了關(guān)鍵基礎(chǔ)設施領(lǐng)域存在明顯的威脅需要解決。

“網(wǎng)絡風險影響著我們經(jīng)濟和社會的各個方面。這是一個全國性的威脅。只有通過全國的共同努力才能成功解決這個問題。當然，在此過程中，政府必須發(fā)揮主導作用。但是最終，私營企業(yè)和非政府組織的行動才是決定我們成功與否的關(guān)鍵所在。

今年晚些時候，NIST計劃發(fā)布更新的配套文件——《改進關(guān)鍵基礎(chǔ)設施網(wǎng)絡安全路線圖》，該文件描述了開發(fā)、協(xié)調(diào)和協(xié)作的關(guān)鍵領(lǐng)域。

正如網(wǎng)絡安全框架項目經(jīng)理Matt Barrett所說：

“網(wǎng)絡安全框架需要隨著威脅、技術(shù)和行業(yè)的發(fā)展而發(fā)展。通過此次更新，我們已經(jīng)證明，我們有一個良好的流程來將利益相關(guān)者聚集在一起，以確保該框架仍然是管理網(wǎng)絡風險的一個很好的工具。