top of page
  • 作家相片WIZON Team

NIST CSF框架詳解:為什麼全球74%的企業都在使用?

強化資安防護是個複雜而廣泛的課題,企業組織若想要以系統化的方式推動長期改良,可採用資安框架幫忙規畫,後續能按部就班執行。


主動關心資安議題的企業主增加了,即使是過往不受約束的產業也能感受迫切性,原因在於更多的重大事件發生、更嚴峻的法規、更精實的稽查標準所致。2023年10月公布「數位經濟相關產業個人資料檔案安全維護管理辦法」即引發數位黏著度高的產業族群關注,究竟資安該怎麼做才好?


孫子兵法提到:「善戰者,先為不可勝,以待敵之可勝」,意思是說真正善於作戰的人,會先懂得規畫自己,讓自己成為不可被戰勝(立於不敗)的狀態。不過,資安是個涵蓋層面廣且專業複雜的綜合科學,加上迭代更新的速度快,造成資安門檻極高,而「資安框架」就是依據如此概念所發展而成的解法,是由一群有經驗的專家們有共識設計出的成功指南。這就像你如果想挑戰喜馬拉雅山攻頂,沒有比參照成功攻頂的一群專家所提出的方法更可靠。


『謀定而後動』

許多成熟好用的資安框架,其實都是屬於通用型態的好方法,而且不限於特定產業、單位規模、環境類型,像是NIST CSF、ISO 27001、CIS、CDM、TaSM、MITRE ATT&CK等,企業更可以評量自身狀態,設計不同階段的資安成長規畫,並且透過資安框架幫助,使企業將複雜的資安防護與管理機制變成清楚有條理的「設計藍圖」,從而完成可成功推展執行的資安戰略。因此,企業資安的建構可利用各個不同特性的資安框架,並且搭配PDCA循環式管理,持續精進企業資安,如此一來,將有助於企業資安的成熟度不斷提升。以下我們將從企業該如何規畫資安策略、選擇需要的資安技術方案、以及建立攻擊向量等觀點,說明「謀定」而「後動」的具體做法。


Lesson One:打造企業資安基礎的最佳藍圖

NIST CSF是目前世界各國使用率最高的資安框架,由美國國家標準暨技術研究院(NIST)設計提出的資安框架Cybersecurity Framework(CSF),於2014年發布。NIST這個單位在資安領域有許多的貢獻,包括CSF資安框架,以及知名的SP 800系列各種規範指南,世界各國政府制定資安政策時,也依據NIST CSF及SP 800系列來規畫。根據SANS Institute發布的一項研究發現,採用安全框架的組織中有近74%使用NIST CSF,幾乎是其他框架的兩倍。

NIST CSF資安框架的設計,是參考多種主要的資安標準與方法、集大成的最佳結果,因此CSF所提出的方法不只脈絡清楚、內容也更容易理解,加上能與其他的國際網路安全標準及資安框架彼此相容,例如:ISO 27001、CIS、COBIT,以及工控系統安全標準ISA 62443等,這點也是NIST CSF資安框架是最被推薦的資安藍圖的原因。


目前NIST CSF 1.1是最普遍的版本,將資安任務分成五大主要功能:識別、保護、偵測、響應、復原,再往下展開各個功能的任務項目。而透過這五大功能,可以設計能幫助企業資安策略的規畫,促使其更有邏輯脈絡,並且可以進一步參照ISO 27001、ISO 27002、或是CIS的規範來設定資安政策辦法,套用PDCA持續性的管理及精進,從而能夠不斷提升企業資安成熟度。


在2024年3月正式公布NIST CSF 2.0新版本,從之前CSF 1.1的五大功能重新定義發展成CSF 2.0的六大功能,新增的功能為治理(Govern)將原本存在於五大功能中的治理項目更清楚的集結,凸顯企業在資安治理與策略的重要性,強調企業組織的管理層參與資安治理、

資安策略的必要性。此外,ISO國際標準組織也正式將此NIST CSF五大功能的防禦概念,放入ISO/IEC 27002:2022資訊安全、網路安全及隱私保護的控制措施中,使企業組織能夠有更具體的規範描述可依循。

認識更多:NIST CSF 2.0


善選資安防護技術方案,建立有效的佈防設計

在建構資安的做法上,許多企業經常先想到採買資安設備或取得資安證照,但往往造成資安幻覺(就像目前生成式AI給出的內容經常被質疑的AI幻覺),而透過有方法的構思部署,能夠將幻覺變成更實際的幫助,根據我的觀察與研究,OWASP CDM及TaSM這二個資安防護矩陣,就是最佳的方法。


企業在藉由NIST CSF規畫出資安藍圖後,當然需要資安裝備跟執行控制來施作實踐,不過在面對資安攻擊威脅的多樣化及複雜性,加上市場上琳琅滿目的各種資安防護技術方案,即使是內行的資安人員也會產生選擇障礙。有鑒於此,OWASP CDM及TaSM的設計產生,便是為了幫助評估思索的資安框架,這二個資安框架都隸屬OWASP組織,也是基於NIST CSF為基底所衍生的5x5矩陣框架,目的接為幫助使用者快速建立有系統脈絡、能化繁為簡的思索方法,幫助使用者從不同的需求層面,思索有哪些資安技術方案能滿足需要,並且可發揮適當防護效果,也能作為檢視需補強缺口的部分。


我們將會在下一篇的內容中,繼續針對OWASP CDM及TaSM這2個資安防護矩陣來做更詳細的介紹;並且對於企業在做好資安防護的準備後,該如何面對攻擊來襲時能夠清晰的掌握攻擊向量視角,也將提出建議方法。


 

Comments


bottom of page