风险框架：NIST CSF 与 ISO 27001

安全团队面临数量无限的潜在控制措施和有限的资源。风险框架提供结构化词汇、控制措施目录和评估方法，帮助组织确定安全投资的优先级、向管理层传达风险并证明合规性。

NIST CSF（2.0 版）将网络安全活动组织为六项职能：治理、识别、保护、检测、响应和恢复。每项职能都包含类别和子类别，并对应具体的安全成果。该框架已广泛应用于 US 的关键基础设施及其他领域。

识别职能涵盖资产管理、风险评估、风险管理战略和供应链风险管理。您不知道拥有哪些资产，就无法保护它们。完整的资产清单和风险评估是所有后续安全控制措施的基础。

保护职能涵盖访问控制、培训、数据安全、流程强化和维护。检测职能涵盖异常、安全事件和持续监控。成熟的检测职能可以快速发现入侵，防止攻击者长期潜伏。

响应职能规定事件响应规划、沟通、分析、缓解和改进。恢复职能涵盖恢复规划、改进和沟通。测试 IR 计划和恢复流程，可以确保它们在需要时有效运行。

ISO 27001 是关于信息安全管理系统（ISMS）的国际标准。它规定了建立、实施、维护和持续改进 ISMS 的要求。ISO 27001 认证向客户和监管机构证明组织的安全性已通过第三方验证。

ISO 27001:2022 的附录 A 包含 93 项控制措施，分为四个主题：组织（37 项控制措施）、人员（8 项）、物理（14 项）和技术（34 项）。附录 A 是一份可选清单，您应通过适用性声明，根据自身风险状况选择适当的控制措施。

ISMS 风险处置流程包括：识别资产，识别威胁和漏洞，评估可能性与影响，选择处置方式（接受、规避、转移或缓解），选择附录 A 控制措施，并记录在适用性声明中。每年审查风险评估，可以使 ISMS 保持最新。

NIST CSF 是用于组织和改进网络安全实践的框架，而不是认证标准。ISO 27001 是可认证的标准，具有 ISMS 范围和第三方审核。许多组织会同时使用两者：使用 NIST CSF 提供运营指导，使用 ISO 27001 获得认证并赢得客户信任。

NIST CSF 定义了四个成熟度层级（部分 → 风险知情 → 可重复 → 自适应）。CMMI 安全成熟度级别也采用类似的映射方式。请使用成熟度评估来识别差距，并制定改进路线图，通过可衡量、分阶段的进展逐步提升安全成熟度。

NIST CSF 和 ISO 27001 可映射到主要法规和标准：PCI-DSS、HIPAA、GDPR、SOC 2 以及 NIST 800-53。使用框架可以简化多法规合规：证明已实施 NIST CSF 的保护控制措施，通常就能同时满足多个法规框架中的类似要求。

适用性声明在 ISO 27001 中的作用是什么？

NIST CSF 和 ISO 27001 为安全治理提供了互补的方法。NIST CSF 按治理/识别/保护/检测/响应/恢复组织安全活动，为运营提供指导；ISO 27001 则提供可认证的 ISMS 框架，以及正式的风险处置流程和附录 A 控制措施目录。