【快速认识NIST网络安全框架】从五大构面评估企业资安防御现况与目标

对许多企业而言，担心资安防护不知从何着手，或是推动多年难以评估成效，近年来，NIST网络安全框架（Cybersecurity Framework，CSF）的应用，正成为企业关注的焦点，最大原因是，它能够快速帮助企业找到方向，并具有灵活弹性、易于实施的特性，为企业在规划与执行网络安全时，能有一个容易遵循的方式。

为了能够建立通用的网络安全架构，其实，美国国家标准与技术研究所（NIST）做了不少的努力，像是在这个核心框架中，是以风险为基础来设计，与ISO 27001精神相同，并是基于现有标准、指引与最佳实务作法而成，是一个通用且易于单位实施的架构，进而帮助组织与企业，都能依据自身环境弹性使用，更好地管理与降低网络安全风险。

基本上，CSF是由三个需要持续的要素组成，分别是：

● 框架核心（Framework Core）

● 框架层级（Framework Tiers）

● 框架轮廓（Framework Profiles）

或许，框架的概念对于许多人来说，可能还是有点抽象，因此这次我们先从第一个要素“框架核心”中，内容条列结构较清晰的资安工作检核表谈起，帮助大家能够更好去理解，再来一步步说明如何使用。

CSF框架核心就是资安工作检核表

关于NIST网络安全框架，主要包含5大功能面向，提供一个网络安全生命周期的管理策略。在此资安工作检核表中，5大功能下具有23个类别与108个子类别，方便企业或组织能够依循这些项目，评估各子类别可采行的安全措施与行动，并提供了许多参考资讯，可以对应到国际共通的标准与指引。同时，NIST也提供了Excel档案格式的内容，方便组织或企业可以直接下载使用。图片来源／NIST

框架核心具有5大功能，检核表细分为108个控制措施

首先，CSF基于其核心所展现的资安工作检核表，就是实用的工具。为了便于使用，NIST已经提供了一份Excel档案格式的表格。简单来说，在表格的最上方一列，是核心框架的组成要素与结构，包括功能、类别、子类别与参考资讯；而在表格最左侧一栏，则是列出了框架核心的5大功能，分别是：识别（Identify）、保护（Protect）、侦测（Detect）、回应（Respond）与复原（Recover）。

基本上，这里呈现的5大核心功能就是重点，定义了企业建构网络安全防护时，所需要重视的5大构面，让企业在管理安全风险时，能够对应到事前、事中与事后的环节，提供网络安全生命周期的管理策略。

在这CSF的5大功能之下，目前的1.1版总共定义出23个类别，以及108个子类别。基本上，主要类别是较为明确的管理方向，而更细分出的子类别项目，是企业可采行的安全措施与活动。

例如，在第一个“识别”的功能之下，包含了6个类别，分别是资产管理、企业环境、治理、风险评估、风险管理策略与供应链风险管理。

而类别之下的子类别内容，就是可供企业逐一检视自身防御的控制措施，如此简易的表列工具，可让企业执行网络安全防护的工作时，更容易聚焦。例如，第一个项目是，组织内的实体设备和系统列入清单，第二个是，组织内的软件平台和应用程序列入清单，接下去还包括资料流量的管理、资讯系统编目列管、资源调度的优先级，以及与供应商之间的资安任务等，这些项目也等于是较为明确的内容。

换言之，在此检核表之下，企业就能作为落实网络安全的参考与依据，而且不论企业规模大小都能适用。

建立网络安全计划，企业需考量业务、风险与资源来决定优先级别

关于组织、企业在框架轮廓的描绘上，NIST提供了简单的说明，可以依据本身的业务营运要求，从优先级别、风险评鉴之差异分析，以及所需要的资源，来决定安全现况改善的实施顺序，让企业每次强化都能够最大化地提升网络安全防护水准。图片来源／NIST

可对应到国际共通的标准与指引，并且是IT与OT环境都能适用

特别的是，在检核别的最右侧一栏，CSF还列出了各子类别的参考资讯。对于企业而言，这不仅是让使用框架的人，能够方便将CSF的子类别，对应到不同重要标准之下的控制措施，或是参考资料，另一方面，这其实也显示出，CSF与其他资安架构的互通性。

关于这些参考资讯的内容，主要包括5大标准与引指，例如，ISO/IEC 27001：2013、CIS CSC、NIST SP 800-53 Rev. 4，以及ISA 62443-2-1：2009、ISA 62443-3-3：2013，还有COBIT 5。

其中的ISO/IEC 27001，是常见资讯安全管理标准；CIS CSC是非营利组织网络安全中心（CIS），发展出的资安防护架构CIS Critical Security Controls（CSC），或称为CIS Controls；SP 800-53则是由NIST提出，针对联邦资讯系统的安全性和隐私权规范。

同时，还有近年OT安全领域常提到的ISA 62443，它是国际自动化协会（International Society of Automation，ISA）提出，针对工业自动化和控制系统网络安全的标准。

基本上，这些都是与整体网络安全有关的资安架构，不仅如此，当中也包含了COBIT 5，这是国际电脑稽核协会（ISACA）所提出的企业IT资讯治理框架。特别的是，从这些参考资讯的内容来看，也可看出这个网络安全框架在IT、OT环境都适用的特性。

透过框架轮廓与实施层级，可评估资安防护现况与成熟度

在这个框架核心的检核表之外，还有两个重要的概念，也是执行上的关键，那就是一开始提到的CSF组成要素──框架轮廓与实施层级。

简单来说，框架轮廓就是一种组织侧写，一种现况的描述。主要将依据组织与企业本身的业务营运，以及风险容忍度，还有资源成本，来建立适合企业本身环境的网络安全活动计划。

而要盘点的项目，就是根据前面提到的108项子类别，各别依照这个组织轮廓，来了解自己的网络安全现况，并与设定的下一个目标理想状况相比较，来找出防御强化上的优先级。

而实施层级方面，则是可以帮助组织评估执行的程度。基本上，NIST也为了此框架，定义了4个实施层级（Tier），来代表各项子类别的落实程度，第一层是部分实施，第二层为察觉风险，第三层为重复评估，第四层为完全适应。

简单来说，透过实施层级，企业就可以大概知道现有的资安现况与样貌。因此，企业可以针对108项子类别去检视与落实，了解自己是部分完成，还是已经实施，更进一步，或是已经能重复进行，甚至可以做到最佳化。

虽然，实施层级越高，一般也就表示CSF标准的实现越完整。不过，最好要能设定与自身业务营运相符合的目标，而这也显示出此框架所提供的弹性。

不过，其实NIST也有提醒，这个实施层级不一定代表成熟度等级。因此，关键原则在于，要从企业自身的角度来评估，根据任务、监管要求与风险偏好，来确定现在实践的网络安全风险管理，是否与业务活动可以充分整合。

有助于评估总体资安实施成效，易于找出企业优先补强之处

对于NIST网络安全框架这样的议题，国内也有一些资安相关专家，已经在关注这个网络安全框架，并呼吁大家重视。例如，在今年9月开始举行的Cybersec 101系列研讨会上，勤业众信风险咨询公司总经理万幼筠表示，其架构包含了组织、策略管理，以及类似ISO 27001的框架，而他更是强调，此框架所谈的就是成熟度的布建，他并以内功来比喻CSF的架构。

基本上，这是一个以风险为导向、持续运作的管理架构。论及NIST网络安全框架的内涵时，针对核心功能所包含的产业标准、指引与最佳实作部分，万幼筠指出产业知识、分显分析的重要性。例如，以一台Unix操作系统而言，在不同环境下的风险分析，应该要有差别，像是用在电力分配分布的电脑，还是放在路边让人查询的Kiosk。

他并强调，这个框架其实与产业别、资讯供应链，并且关系到规划到采购，以及预算成本考量。

而从实施层级方面来看，万幼筠也更明确指出，这里讲的完全就是风险管理流程，要管理风险，建立风险，以及考量风险。

关于CSF框架对于企业的帮助，BSI英国标准协会台湾分公司客户经理花俊杰，也进一步解释该框架的应用优势。例如，若是企业不知道如何进行网络安全防护，就可以从这五个主要的功能来做，参照其中的子类别要求来评估，帮助企业建立基础。而且，这里隐含了成熟度的概念在其中。

在落实资安防御上，一般企业往往可能不知从何做起？或是不知道做得好还是不好？花俊杰表示，透过使用CSF，将可以看出组织现有的资安现况，之后，就能依照组织特性，考量风险与企业现有的资源，再订出目标，决定日后要采取补强的策略。

对于评估现有和目标的框架轮廓，花俊杰指出其重要性，并举例说明，像是现有网络的设备管控不足，或是系统身份验证机制比较薄弱，企业将可透过评估现有的轮廓与目标的轮廓，进行差异分析，来决定要做哪些实质的资安管控作法，以降低风险。

已有规划工具可为企业参考，持续执行将是一大关键

在这个NIST网络安全框架的使用上，NIST还有提供了7个建议步骤，让组织能持续落实。简单来说，这7个步骤就是从优先级别与范围、业务流程目标确认，到建立现况轮廓、风险评估、建立目标轮廓，再从优先级别与差异来分析与决定，并实施行动计划。

换言之，根据这些步骤，企业或组织就能依据业务特性，一步一步来建立新的网络安全计划，不论是盘点安全现况轮廓，以及自订想要达成的目标轮廓，以及做到持续强化与改善。

值得一提的是，对于这个检核表的规划方式，其实NIST也提供了简单的说明，以便将组织资安防御落实的现况，以及目标进行比较，并了解两者之间的差距。例如，可以建立优先级别（Priority）、风险差异（Gap）、估计成本（Budget），以及每年活动（Activities）的字段。

当然，对于企业而言，如果能有实际的参考范例，会更理想。因此，我们看到一些资安专家与资安业者，都分享了一张图表，是由美国奥勒冈州波特兰市的资安长Christopher Paidhrin所制作，而这个规划工具，其实也是他实际在市府实施框架时所使用。

简单而言，在这个图表中，前面三栏的项目，与NIST提供的Excel表格一致，就是功能、类别与子类别，接下来的一些重点，就是建立了风险等级评估、预算、成熟度，以及年度行动计划的字段。

其中，在风险等级评估方面，这里搭配了CIS CSC的指引，来确认风险优先级别；在预算方面则分成了3栏，可便于规划未来3个年度的估计成本；而成熟度的字段可依定义的层级数量而定；至于年度计划与初步行动的字段，可以制定3年以上的进度，并以每栏就是一季的方式来展现。因此，以这样的检核表内容而言，其实也就能看出评估时，所要考量的重点。

整体而言，这套NIST 网络安全框架的执行，不仅能够帮助建立新的网络安全计划，或是为现有计划带来改进与帮助，同时，企业也要注意，要能有自我评估的方法，做到持续性的检视，并不是做完一次就能一劳永逸的工作。

最后要提醒的是，行动计划的实施并不是结束。对于安全计划的有效性，花俊杰提醒，持续的概念相当重要，才能让企业维持健康的状态，而且，一旦目标达成之后会变成现况，因此又会有下阶段的目标。如此一来，透过持续与改进，将能拉高企业资安防御水准。

 相关报导  NIST网络安全框架当红