csf-mapping

用途

CSF Mapping 用于把组织的安全现状翻译成 CISO、董事会、审计方和保险方都能理解的语言。它与审计类技能不同：审计技能负责发现具体问题，而本技能负责对照公认框架评估整体安全计划，并产出治理级输出。

NIST CSF 2.0 是 2024 年取代 CSF 1.1 的框架，新增了第六项功能——治理（Govern），因为其他功能缺少治理支撑就无法运转。

六大功能

• 治理（GV）：网络安全战略、角色、政策、监督、供应链风险
• 识别（ID）：资产清单、业务环境、风险评估、供应链
• 保护（PR）：访问控制、意识培训、数据安全、基线配置、维护、防护技术
• 检测（DE）：持续监控、异常检测、不良事件分析
• 响应（RS）：事件管理、分析、缓解、报告、沟通
• 恢复（RC）：恢复规划、改进、沟通

每项功能包含类别（如 PR.AA——身份管理、认证与访问控制），每个类别包含子类别（如 PR.AA-01——管理授权用户、服务和硬件的身份与凭据）。本技能将现实情况映射到这些子类别。

方法论

第 1 步——确定范围

CSF 评估受范围约束。需确定评估对象：整个组织、某个产品/服务（用于供应商尽职调查问卷 SIG、CAIQ）、某个环境（仅生产云或仅 PCI 范围内）、或监管范围（HIPAA 覆盖系统、FedRAMP 边界等）。写下哪些在内、哪些在外。多数 CSF 评估失败于范围漂移。

第 2 步——选择 CSF 配置文件

CSF 2.0 引入了组织配置文件，不再对所有子类别等权打分，而是根据重要性定制：

• 当前配置文件：实际所处位置
• 目标配置文件：希望达到的位置（由业务目标、监管要求、风险偏好决定）
• 社区配置文件：针对所在行业的预建配置文件（制造业、医疗、金融服务等，由 NIST 等发布）

首次评估时，若所在行业存在社区配置文件，可先采用再定制。

第 3 步——评估每个子类别

对范围内每个子类别记录：ID、子类别文本、当前状态（实际做法而非愿望）、证据（证明当前状态的文档/系统/流程）、层级（部分/风险知情/可重复/自适应，1-4）、目标层级、差距、计划、负责人、时间线。

CSF 实施层级：

• 层级 1 部分：临时、被动、无文档；意识非正式
• 层级 2 风险知情：风险管理已获批准但未全组织推行；部分团队流程可重复
• 层级 3 可重复：全组织有文档化政策；流程一致；风险知情预算
• 层级 4 自适应：持续改进；定量风险；从自身及同行事件中学习；网络安全文化

层级 4 罕见且昂贵。多数成熟 SaaS 组织在大多数子类别上以层级 3 为目标。目标应基于业务实际需要，而非看起来好看。

第 4 步——识别差距并排定优先级

对每个差距，评估：被利用/未处理的影响（监管、声誉、财务）、在当前威胁格局和具体暴露下的可能性、关闭成本（工程工时、工具、人力）、对其他差距的依赖。按风险 × 关闭成本排优先级，而非仅按风险。

第 5 步——构建路线图

CSF 路线图通常按季度推进并设年度目标：

• 未来 30 天：即时差距（快速见效、低成本高风险项）
• 未来 90 天：中等投入、指定负责人、明确成功标准
• 未来 12 个月：需要预算审批、工具决策、人力的战略差距
• 年度审查：全面重新评估、刷新配置文件、层级变动

路线图每项需注明：关闭的子类别、负责人、预算、成功指标、审查日期。

子类别与审计技能的交叉引用

以下审计技能可为对应 CSF 子类别提供证据：

• GV.SC（供应链风险）：dependency-audit——CVE 清单、供应商列表、供应链风险登记册
• ID.AM（资产管理）：cloud-audit、container-audit、recon——资产清单输出
• ID.RA（风险评估）：threat-modeling、breach-patterns——威胁模型、违规模式覆盖文档
• ID.IM（从过往事件改进）：incident-triage 事后复盘、breach-patterns——事件后评审、经验教训应用
• PR.AA（身份与访问控制）：iam-audit——IAM 审计报告、角色清单
• PR.DS（数据安全）：crypto-audit、secrets-audit——加密态势、密钥管理态势
• PR.PS（平台安全）：container-audit、cloud-audit——K8s 加固、云态势
• PR.IR（基础设施韧性）：container-audit、cloud-audit——网络策略、分段、备份态势
• DE.CM（持续监控）：siem-detection、soc-operations——SIEM 覆盖、ATT&CK Navigator 导出
• DE.AE（异常与事件分析）：siem-detection、threat-hunting——检测规则清单、狩猎发现
• RS.MA（事件管理）：incident-triage、soc-operations——IR 计划、运行手册、近期事件报告
• RS.AN（分析）：disk-forensics、incident-triage——取证分析输出
• RS.MI（缓解）：finding-triage、incident-triage——分诊决策、缓解跟踪
• RC.RP（恢复计划）：未直接覆盖——需单独的 BCP/DR 工作

对于无直接技能覆盖的子类别，差距通常是“有技术深度但缺少项目级工件”。例如 RC.RP-01（事件期间或之后执行恢复计划）需要实际有文档且经过测试的 BCP/DR 计划——运行 incident-triage 不会自动产生。

多数组织常见的高影响差距

• GV.OC-04（关键目标、能力和服务被识别并沟通）：多数组织无法在安全、IT 和工程之间一致地列出核心系统
• GV.SC（供应链风险管理类别）：要么完全没有供应商风险计划，要么只存在于纸面而不实际把关采购
• ID.AM-08（系统、硬件、软件、服务和数据在全生命周期内被管理）：资产清单是“SaaS 供应商的列表”加“我们记得的”
• ID.IM-04（事件响应计划经过演练）：计划存在，但上次测试是三年前
• PR.AA-05（访问权限和授权被管理，纳入最小权限原则）：季度访问审查存在于政策中而非实践中
• PR.DS-01（静态数据的机密性、完整性和可用性受保护）：静态加密“有”，但密钥管理是“问 AWS”
• DE.AE-08（当不良事件满足定义标准时宣布事件）：标准未实际定义，“看到就知道”
• RS.CO-02（内部和外部利益相关者获知事件）：通知矩阵在某人脑子里
• RC.RP-01（恢复计划被执行）：有文档，从未测试

输出格式

输出为 NIST CSF 2.0 态势评估文档，包含：组织、范围、日期、评估人；执行摘要（2-3 段平实语言——整体态势、前三大风险、前三大成果、建议的 90 天优先事项）；配置文件（各功能层级汇总表、逐子类别明细表）；优先级路线图（未来 30 天、90 天、12 个月，每项含负责人和成功指标）；交叉引用（证据链接——审计报告、IR 计划、IAM 报告等）。

翻译成董事会语言

董事会不要子类别 ID，他们要三个问题的答案：我们在哪里暴露（前 3-5 项重大风险）？我们在做什么（具体投资、指定负责人、日期）？我们如何知道变好了（定量指标、目标日期）？CSF 评估作为支撑细节，董事会视图是一页热力图加三页优先事项幻灯片，评估放在附录。

边界

• 本技能产出治理工件和路线图，不涉及漏洞利用
• CSF 评估不是监管意义上的审计（SOC 2 审计、FedRAMP 评估、ISO 27001 认证审计均为独立流程）；CSF 映射为这些提供信息但不替代
• 对于受审计环境（PCI、HIPAA、FedRAMP），审计方的特定框架具有权威性；CSF 映射是有用补充
• 拒绝在没有证据的情况下抬高层级评级——层级 3 意味着“有文档化全组织流程的证据”，而非“我们希望某天做到”
• 当评估发现需要立即行动的问题（活跃事件、暴露系统）时，移交 incident-triage 或相关审计技能

参考资料

• NIST Cybersecurity Framework 2.0（nist.gov/cyberframework）
• NIST CSF 2.0 Quick Start Guides
• NIST CSF Community Profiles（行业特定起点）
• NIST SP 800-53（控制目录——提供映射到 CSF 子类别的具体控制）
• ISO 27001:2022（替代 ISMS 框架——常与 CSF 对照映射）
• CIS Critical Security Controls v8（替代优先级框架——与 CSF 高度重叠）
• Cybersecurity Maturity Model Certification (CMMC)——面向 DoD 承包商；使用 CSF + NIST 800-171
• “Cybersecurity Risk Management: Mastering the Fundamentals Using the NIST Cybersecurity Framework”——Cynthia Brumfield