您的客户所要求的 网络安全基线。

NIST CSF 2.0，即 NIST 网络安全框架（CSF）2.0 版，是美国国家标准与技术研究院发布的一项自愿性框架，为组织提供了管理网络安全风险的结构化方法。2.0 版于 2024 年 2 月发布，新增了名为“治理”（Govern）的第六项核心职能，该职能位于框架的中心，将网络安全治理和风险管理战略提升为头等要务。其他变化包括：适用范围从关键基础设施扩展到所有组织，无论其规模或所属行业；改进了供应链风险管理方面的指导；加强了与其他风险管理框架的整合；并为每个子类别新增了实施示例。该框架不仅在美国，而且在全球范围内被广泛采用，作为网络安全最佳实践的参考。

NIST CSF 2.0 将网络安全活动划分为六项核心职能。治理（GV）负责制定并监控组织的网络安全风险管理战略、期望和策略。识别（ID）通过梳理资产、数据流和风险，帮助了解组织当前的网络安全风险态势。保护（PR）实施保障措施来管理网络安全风险，包括访问控制、意识培训、数据安全和平台安全。检测（DE）定义通过持续监控和异常检测来发现网络安全事件的活动。响应（RS）列明遏制和管理已检测到的网络安全事件的行动。恢复（RC）涵盖恢复因网络安全事件而受损的能力的活动。这些职能共同提供了网络安全风险管理的完整生命周期视图。

对大多数组织而言，NIST CSF 是自愿采用的，但对美国联邦机构及其承包商而言，它实际上是强制性的。在政府之外，各种规模的组织都广泛采用 NIST CSF 作为网络安全最佳实践框架。金融机构将其与行业特定法规结合使用，医疗健康机构用它来补充美国《健康保险流通与责任法案》（HIPAA），科技公司则将其作为安全计划的基础。许多网络保险服务提供商在评估投保人风险时会参考 NIST CSF。美国的一些行业法规和州法律将 NIST CSF 作为衡量合理网络安全实践的基准。在国际上，组织将 NIST CSF 用作 ISO 27001 的补充，或在没有适用的行业特定法规时将其作为起点。

NIST CSF 实施层级（Implementation Tiers）描述组织的网络安全风险管理实践在多大程度上体现了框架所定义的特征。共有四个层级：第 1 层（部分级），网络安全风险管理是临时性的、被动应对的；第 2 层（风险知情级），风险管理实践已获管理层批准，但可能尚未在整个组织范围内推行；第 3 层（可重复级），组织已正式批准并定期更新风险管理实践；第 4 层（自适应级），组织根据经验教训和预测性指标调整其实践。层级并非成熟度等级，也没有必须达到第 4 层的要求。相反，组织应结合自身的威胁环境和业务要求，选择能够恰当管理其网络安全风险的目标层级。

NIST CSF 概况（Profile）是将框架的职能、类别和子类别与您组织的具体业务要求、风险承受度和资源进行定制化对齐的结果。您需要创建两个概况：描述现有网络安全态势的现状概况（Current Profile），以及描述期望未来状态的目标概况（Target Profile）。两个概况之间的差距即成为您按优先级排列的行动计划。创建概况时，请对照当前实施状态评估每个子类别，确定哪些子类别与您的组织相关以及相关程度，并为任何被认定为不适用的子类别记录理由。Venvera 可自动完成这一流程：引导您逐一完成每个子类别的评估，并生成现状概况和目标概况，同时自动计算差距分析。

NIST CSF 2.0 与 ISO 27001 和 SOC 2 均存在广泛的映射关系，控制目标的重合度约为 70% 至 80%。治理职能映射到 ISO 27001 第 4 至 7 条款（组织环境、领导作用、策划、支持）以及 SOC 2 CC1（控制环境）。识别映射到 ISO 27001 A.5（组织控制措施）和 SOC 2 CC3（风险评估）。保护映射到 ISO 27001 A.6-A.8（人员、物理、技术控制措施）和 SOC 2 CC5-CC6（控制活动、逻辑访问）。检测映射到 ISO 27001 A.8.15-A.8.16（日志记录、监控）和 SOC 2 CC7（系统运营）。响应和恢复映射到 ISO 27001 A.5.24-A.5.30（事件管理、业务连续性）以及 SOC 2 CC7-CC9。Venvera 维护这些跨框架映射，因此一项控制措施只需实施一次，即可满足所有适用框架的要求。

NIST 建议组织定期审查并更新其网络安全概况和风险评估，频率取决于您的威胁环境和业务运营的变化速度。大多数组织每年进行一次完整的框架评估，每季度审查高优先级领域，并对关键控制措施进行持续监控。触发重新评估的关键因素包括：IT 基础设施发生重大变化、出现新的监管要求、发生重大安全事件、合并或收购，以及威胁形势的变化。NIST CSF 2.0 中的治理职能强调，网络安全风险管理应当是融入企业风险管理的持续过程，而不是某个时间点上的一次性工作。Venvera 为此维护一份动态评估，您可以逐步增量更新，而无需在每个周期从头开始。

有。Venvera 是一款围绕六项核心职能和实施层级构建的 NIST CSF 合规软件。它为您提供限定范围的控制措施集、按职能为您的成熟度评分的差距评估，以及每个子类别背后的证据工作区。由于 Venvera 会跨框架映射控制措施，您已为 ISO 27001 或 SOC 2 准备的证据可以预先填充您 NIST CSF 合规态势的大部分内容。在正式投入之前，可先从一次免费合规检查开始。