服务

NIST 网络安全框架（CSF）

NIST 网络安全框架是目前采用最广泛的安全体系组织方式，用平实、以成果为导向的语言来表述，而不规定具体怎么做。它围绕六项职能构建：治理、识别、保护、检测、响应和恢复。它真正的长处在于，它不是一份要采购的产品清单，而是一种思考框架，帮助您想清楚一个成熟的安全体系究竟需要做什么，并且做到您的组织能够真正持续的成熟度水平。

CSF 2.0 把“治理”单独列为一项职能，这早就该做了：它正式确立了一个理念，即网络安全风险管理是领导层和治理层的责任，而不单纯是技术问题。这一转变很重要，因为从 CSF 中获益最多的组织，都是把它当作让安全投入与实际业务风险保持一致、并让领导层真正参与其中的方法，而不是技术团队内部的一张记分卡，总监级别以上的人从来不看。

适合哪些组织

任何规模的组织，只要希望用一种可信、易被认可的方式来描述自己的安全态势，无论对象是董事会、保险公司、做尽职调查的客户，还是自己，而又不想把一刀切的合规制度强加给并不需要它的业务，都适合 CSF。CSF 小到小公司、大到大型企业都适用，因为它在实施方式上刻意保持灵活：框架告诉您哪些成果重要，而不规定必须由哪种具体工具来实现。

我会怎么做

我会先对照这六项职能做一次现状评估，如实面对您所处的位置，而不是某家供应商的成熟度模型说您应该想要达到的位置。然后我会帮您设定与实际风险和资源相匹配的目标画像，因为追求一个组织无法在运营上持续的成熟度级别，不如选一个现实的级别并把它做好。接下来是一份有优先级的路线图，先弥补最关键的差距，再配上一套领导层无需“翻译”就能看懂的进展跟踪方式。CSF 最适合作为持续的对话，而不是一次性的评估，因为风险在变化，这个框架本来就是要反复回顾的。

如果您想要一个领导层真正会用来做安全决策的框架，请联系我，谈谈从哪里开始。