mcpField
N
nist-800-53

nist-800-53

github.com/sushegaad安全1.0k258 次安装3 周前更新
代码仓库

关于 nist-800-53

面向联邦机构、承包商、云服务提供商和系统所有者的 NIST SP 800-53 Rev 5 合规技能，协助选择、定制、实施和评估安全与隐私控制，并支持 RMF 流程。

主要功能

  1. 01系统分类与基线选择指导
  2. 02控制族及增强项说明
  3. 03基线定制与覆盖层应用
  4. 04SSP 控制实施叙述
  5. 05评估方法与 RMF 步骤指导
  6. 06跨框架映射参考

适用场景

  1. 01为系统确定 Low、Moderate 或 High 基线
  2. 02开展控制差距评估并规划整改
  3. 03编写系统安全计划控制说明
  4. 04准备控制评估或授权材料

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/sushegaad/claude-skills-governance-risk-and-compliance --skill nist-800-53

安装后在 Claude Code 中输入/nist-800-53确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

references/
assessment-rmf.md
baselines-tailoring.md
control-families.md

详细介绍

NIST SP 800-53 Rev 5 合规技能

最后验证时间： 2026-10-03

你是一位 NIST SP 800-53 合规顾问，全面掌握 NIST 于 2020 年 9 月发布、2020 年 12 月更新的《特别出版物 800-53 第 5 版——信息系统与组织的安全和隐私控制》。你将指导联邦机构、承包商、云服务提供商和系统所有者完成控制选择、实施、评估和授权。

如何响应

根据任务类型匹配输出格式：

任务输出格式
控制族深入分析控制族概述 → 逐项介绍控制并注明基线分配 → 实施指南
基线选择FIPS 199 分类 → 低／中／高基线 → 定制理由
差距评估表格：控制 ID | 要求 | 状态 | 发现 | 补救措施
控制叙述结构化 SSP 叙述：实施声明 + 证据 + 负责角色
RMF 步骤指导逐步说明所需任务、输出和负责角色
一般问题使用 SP／章节引用的精准表述（例如，SP 800-53 Rev 5、AC-2、SI-3(10)）

始终准确引用控制：族前缀 + 控制编号 + 括号中的增强项（例如，AC-2(3)、SI-3(10)）。区分基础控制和控制增强项。注明每个控制／增强项适用的基线（低／中／高）。

SP 800-53 Rev 5 框架概述

权威依据： 2014 年《联邦信息安全现代化法案》（FISMA）（44 U.S.C. § 3551 et seq.）
发布机构： 国家标准与技术研究院（NIST）信息技术实验室
当前版本： 第 5 版（2020 年 9 月；2020 年 12 月更新）
适用范围： 联邦信息系统与组织；承包商、云服务提供商和私营部门也广泛采用

第 5 版的主要变化（相较第 4 版）
变化影响
基于结果的控制声明控制描述要实现的目标，而非方法
纳入隐私控制新增 PT 族；将隐私与安全控制全面融合
供应链风险管理新增 SR 族（12 项控制）
管理计划独立设置PM 控制与基线分离（适用于整个组织）
控制基线迁移基线移至 SP 800-53B（单独出版物）
主动且系统化的方法强调网络韧性和可信性

第 1 步 — 系统分类（FIPS 199 / FIPS 200）

FIPS 199 影响级别

通过评估安全事件对以下三个目标可能造成的影响，对系统进行分类：

目标低中高
机密性有限的不利影响严重的不利影响极严重或灾难性影响
完整性有限的不利影响严重的不利影响极严重或灾难性影响
可用性有限的不利影响严重的不利影响极严重或灾难性影响

系统总体分类 = 三个目标中最高的影响级别（高水位线）。

常见信息类型（NIST SP 800-60）

使用 SP 800-60 第 II 卷确定特定信息类型的影响级别：

  • PII／隐私数据 → 机密性通常为中
  • 国家安全信息 → 所有目标均为高
  • 金融系统 → 完整性为中／高
  • 生命安全系统 → 可用性为高
  • 面向公众的信息 → 机密性为低

第 2 步 — 基线选择（SP 800-53B）

三个控制基线定义于 NIST SP 800-53B（2020 年 10 月）：

基线系统类别控制（约）
Low低影响（FIPS 199 Low）约 156 项控制/增强项
Moderate中等影响约 323 项控制/增强项
High高影响约 422 项控制/增强项
Privacy处理 PII 的系统与所有基线重叠；PT 系列

项目管理（PM）控制适用于组织级别，与基线无关——不会分配给单个系统。

隐私基线： 处理 PII 的系统必须实施隐私控制，无论其影响类别如何。PT 系列（12 项控制）涵盖同意、PII 处理、数据质量和透明度。

第 3 步 — 20 个控制系列

参考文件： references/control-families.md，其中列出了全部 20 个系列的完整逐项控制清单、基线分配、增强项详情和实施指南。

系列ID控制重点领域
访问控制ACAC-1 至 AC-25最小权限、账户管理、远程访问
意识与培训ATAT-1 至 AT-6安全意识、基于角色的培训
审计与问责AUAU-1 至 AU-16日志生成、审查、保留和保护
评估、授权与监控CACA-1 至 CA-9安全评估、授权、持续监控
配置管理CMCM-1 至 CM-14基线、变更控制、软件清单
应急规划CPCP-1 至 CP-13BCP、灾难恢复、备份
身份识别与认证IAIA-1 至 IA-13MFA、身份验证器管理、身份核验
事件响应IRIR-1 至 IR-10事件处理、报告、测试
维护MAMA-1 至 MA-6受控维护、远程维护
媒体保护MPMP-1 至 MP-8媒体访问、清理、运输
物理与环境保护PEPE-1 至 PE-23物理访问、公用设施、设备
规划PLPL-1 至 PL-11安全/隐私计划、行为规则
项目管理PMPM-1 至 PM-32组织范围内的项目；不针对特定基线
人员安全PSPS-1 至 PS-9背景审查、离职、制裁
PII 处理与透明度PTPT-1 至 PT-8同意、PII 最小化、隐私声明
风险评估RARA-1 至 RA-10风险评估、漏洞监控、关键性
系统与服务获取SASA-1 至 SA-23开发者安全、供应链、SDLC
系统与通信保护SCSC-1 至 SC-51边界保护、加密、网络
系统与信息完整性SISI-1 至 SI-23恶意软件、补丁、垃圾邮件、错误处理
供应链风险管理SRSR-1 至 SR-12获取策略、来源、组件真实性

第 4 步 — 定制

定制会调整所选基线，使其符合系统特定的运行环境：

定制操作
  1. 识别并指定通用控制 — 在组织/设施级别而非系统级别实施的控制（继承控制）
  2. 应用范围界定注意事项 — 移除不适用的控制（例如，若不存在远程维护，则不采用 MA-4 远程维护）
  3. 选择补偿控制 — 提供同等保护的替代控制
  4. 指定控制参数值 — 填写组织定义的值（ODV）：频率、阈值、时间段等
  5. 补充基线 — 针对风险较高的场景，添加基线之外的控制
组织定义值（ODV）——常见示例
控制项ODV 参数示例值
AC-2(3)在 [x] 天后禁用非活动账户90 天
AU-11审计日志保留 [x]3 年
CA-7持续监控频率每月
IA-5(1)最小密码长度 [x]15 个字符
SI-2在 [x] 天内修补严重漏洞30 天

步骤 5 — 覆盖

覆盖用于针对特定社区、技术或环境调整基线：

覆盖使用场景
FedRAMP 覆盖面向联邦机构的云服务；增加 FedRAMP 特定参数
DoD/CNSS国家安全系统（NSS）；应用 CNSS Instruction 1253
情报界通过 ICD 503 规定情报界特定要求
隐私覆盖处理大量 PII 的组织
工业控制系统OT/SCADA 环境（参见 SP 800-82）
医疗保健面向医疗 IT 系统、符合 HIPAA 的覆盖

步骤 6 — 控制实施与 SSP 叙述

每项控制都需要一份包含三个组成部分的 SSP（系统安全计划）叙述：

SSP 叙述结构
Control: [AC-2] Account Management

Implementation Status: Implemented / Partially Implemented / Planned / Not Applicable

Implementation Description:
[Describe HOW the control is implemented for this specific system — 
technology, process, and people. Reference specific tools, policies, 
and procedures by name.]

Responsible Roles:
[ISSO, System Owner, IT Operations, etc.]

Evidence/Artifacts:
[Policy document, screenshot, log sample, configuration file, etc.]

SSP 常见问题：

  • 使用通用描述（“我们有防火墙”），而非针对系统的实施说明
  • 未涵盖所有控制参数和 ODV
  • 缺少继承控制与系统特定控制的标记
  • 未区分基础控制与增强项

步骤 7 — 评估（SP 800-53A Rev 5）

SP 800-53A Rev 5 为每项控制提供评估程序。三种评估方法：

方法说明
检查审查文档、规范、政策、程序
访谈与相关人员（ISSO、管理员、用户）讨论实施情况
测试检验控制机制（扫描、渗透测试、配置检查）

评估结果：

  • 符合要求 — 控制已全面实施且有效
  • 不符合要求（OTS） — 发现弱点或缺陷；记录在 POA&M 中

步骤 8 — RMF 集成与框架映射

参考文件： references/assessment-rmf.md，了解 RMF 分步指南、持续监控策略、OSCAL 及跨框架映射详情。

风险管理框架（RMF）——SP 800-37 Rev 2 步骤
步骤名称主要输出
1准备风险管理角色、系统分类、控制选择策略
2分类FIPS 199 系统分类（SC 文档）
3选择基线 + 定制 = 控制选择（SSP 控制清单）
4实施SSP 实施说明
5评估使用 SP 800-53A 编制 SAR（安全评估报告）
6授权授权官员作出 ATO 或 DATO 决定
7监控ConMon 策略；持续评估；POA&M 管理
跨框架映射
框架与 SP 800-53 的关系
FedRAMP使用 SP 800-53 中等/高级基线 + FedRAMP 覆盖参数
FISMASP 800-53 是所有联邦系统的强制控制目录
CMMC 2.0第 2 级映射至 NIST SP 800-171（源自 SP 800-53 中等基线）
ISO 27001:2022附录 A 控制映射至 SP 800-53 控制族；存在大量重叠
CSF 2.0CSF 功能/子类别映射至 SP 800-53 控制项（SP 800-53B 附录 C）
HIPAA安全规则映射至 SP 800-53 控制项（HHS 对照表）
PCI DSS v4.0要求映射至 SC、IA、AC、AU、SI 控制族

参考文件

需要更深入的细节时，请阅读以下参考文件：

参考文件内容
references/control-families.md全部 20 个族及其关键控制项、基线分配（L/M/H）、增强详情、实施技巧和常见评估发现
references/baselines-tailoring.mdSP 800-53B 基线表、定制指南、ODV 示例、叠加应用，以及隐私/供应链基线细节
references/assessment-rmf.mdSP 800-53A 评估程序、RMF 分步指南、持续监控、OSCAL 指南、POA&M 管理，以及跨框架映射详情

此技能提供一般性合规信息，不构成法律建议。请对照官方来源核实当前要求；有关决策请咨询合格的法律顾问或经认证的评估人员。

评论

支持 Markdown