performing-nist-csf-maturity-assessment

执行 NIST CSF 成熟度评估

概述

NIST 网络安全框架（CSF）2.0 于 2024 年 2 月发布，通过六项核心职能为管理网络安全风险提供了全面的分类体系：治理、识别、保护、检测、响应和恢复。本技能介绍如何依据 CSF 开展成熟度评估，并使用四个实施层级（部分、风险知情、可重复、自适应）衡量组织的网络安全态势并制定改进路线图。

适用场景

• 开展涉及 NIST CSF 成熟度评估的安全评估时
• 按照相关安全事件的事件响应流程时
• 执行计划内的安全测试或审计活动时
• 通过实际操作测试验证安全控制措施时

前提条件

• 了解网络安全风险管理原则
• 能够访问 NIST CSF 2.0 文档和参考工具
• 了解组织的 IT/OT 环境和安全控制措施
• 能够联系各业务部门的利益相关者开展评估访谈

核心概念

CSF 2.0 职能（6 项职能，22 个类别）

职能	代码	类别数	目的
治理	GV	6	建立并监督网络安全风险管理策略
识别	ID	3	确定组织当前面临的网络安全风险
保护	PR	5	实施防护措施以预防或降低风险
检测	DE	2	发现并分析可能的网络安全攻击
响应	RS	4	针对已检测到的网络安全事件采取行动
恢复	RC	2	恢复因网络安全事件而受损的能力

治理职能（CSF 2.0 新增）

• GV.OC：组织背景
• GV.RM：风险管理策略
• GV.RR：角色、职责和权限
• GV.PO：政策
• GV.OV：监督
• GV.SC：网络安全供应链风险管理

实施层级

层级	名称	描述
Tier 1	部分	临时、被动；对网络安全风险的认知有限
Tier 2	风险知情	具备风险意识，但未覆盖全组织；已获批准，但可能尚未成为政策
Tier 3	可重复	制定正式政策；持续实施；定期更新
Tier 4	自适应	持续改进；实时响应风险；将经验教训融入实践

工作流

阶段 1：范围界定与准备（第 1-2 周）

1. 确定评估范围（整个企业还是某个业务部门）
2. 确定利益相关者并安排访谈
3. 收集现有文档（政策、流程、架构图）
4. 根据组织背景定制 CSF 配置文件
5. 选择评估方法（自我评估、引导式评估、第三方评估）

阶段 2：现状评估（第 3-6 周）

1. 根据实施层级评估每个 CSF 类别和子类别
2. 对每个子类别评估：
   • 政策/文档的成熟度
   • 实施完整度
   • 自动化水平
   • 测量方法和指标
   • 持续改进的证据
3. 根据层级标准评分（1-4 分）
4. 记录支持各层级评级的证据
5. 确定优势、差距和改进领域

阶段 3：定义目标状态（第 7-8 周）

1. 根据以下因素为每项职能定义目标层级：
   • 风险偏好和承受度
   • 行业要求和基准
   • 监管义务
   • 可用资源和预算
2. 创建目标配置文件，记录期望的成熟度状态
3. 与高管层确认目标状态

阶段 4：差距分析与路线图（第 9–12 周）

1. 将当前配置文件与目标配置文件进行比较
2. 根据降低风险的潜力确定差距的优先级
3. 制定改进路线图，包括：
   • 短期快速见效措施（0–3 个月）
   • 中期改进（3–12 个月）
   • 长期战略举措（12–24 个月）
4. 估算每项举措所需的资源
5. 明确责任归属和时间安排

阶段 5：实施与重新评估（持续进行）

1. 执行改进路线图中的举措
2. 跟踪里程碑的完成进度
3. 定期重新评估（建议每年一次）
4. 向领导层报告成熟度进展
5. 根据不断变化的威胁和业务变化调整路线图

关键成果

• CSF 当前配置文件（按功能／类别／子类别划分）
• CSF 目标配置文件
• 差距分析报告
• 成熟度评估记分卡
• 包含优先级的改进路线图
• 执行摘要和仪表板

常见陷阱

• 只评估技术，而不评估治理和人员
• 在没有资源承诺的情况下设定不切实际的目标层级
• 将评估视为一次性工作，而非持续流程
• 忽视 CSF 2.0 中新增的「治理」功能
• 未将 CSF 评估与现有合规要求（ISO 27001、SOC 2）对齐

参考资料

• NIST CSF 2.0：https://csf.tools/reference/nist-cybersecurity-framework/v2-0/
• NIST SP 800-53 Rev 5（映射到 CSF 的控制目录）
• NIST CSF 2.0 快速入门指南
• CSF 2.0 参考工具：https://csrc.nist.gov/projects/cybersecurity-framework