九游老哥云
NIST评估信息清静一连监控项目指南：评估要领——连载1
2020-09-23
为了有用地治理网络清静危害 ，组织需要一连相识自己的信息清静状态、误差和威胁。要获取这种信息以及更有用地治理危害 ，组织可以以信息清静一连监控（ISCM）项目为指导 ，实现信息清静一连监控能力。ISCM项目对ISCM举行界说 ，组建相关团队 ，周全实验并运营ISCM ，为组织提供须要信息 ，促使组织各危害治理级别（组织级、使命/营业流程级和系统级）就清静状态做出基于危害的决议。
《NIST评估信息清静一连监控（ISCM）项目：评估要领》一文可用于：
l 为组织各危害治理级别（界说见NIST SP 800-39《治理信息清静危害：组织、使命与信息系统视角》）开展ISCM项目评估提供指导；
l 叙述了ISCM项目评估与主要清静看法和历程的相关性 ，如NIST危害治理框架（RMF）、全组织危害治理级别、组织治理、ISCM指标和一连授权；
l 先容了有用的ISCM项目评估所具备的特点；
l 提出了ISCM项目评估标准（同时提供了参考泉源） ，组织可接纳这些标准举行ISCM项目评估 ，或基于这些标准制订适合本组织的评估标准；
l 先容了通过评估程序举行ISCM项目评估的要领 ，该评估程序在相关配套文件（包括ISCM项目评估要素一览表）中举行了界说 ，用以开发可复用的评估流程。
本文档的目的读者为一连监控信息清静态势和组织危害治理的小我私家 ，包括：
l 认真评审组织ISCM项目的小我私家 ，包括举行手艺评审的治理职员和评估职员（如系统评估人、内部和第三方评估员/评估团队、自力验证/认证评估师、审计职员和系统认真人）；
l 肩负使命/营业认真人或受托人责任的小我私家（如联邦机构认真人、首席执行官和首席财务官）；
l 需要思量ISCM功效的系统开发/集成认真人（如项目司理、系统认真人、信息手艺产品开发职员、系统开发职员、系统集成商、企业架构师、信息清静架构师和通用控件提供方）；
l 肩负系统和/或清静治理/监视职责的小我私家（如高层向导人、危害治理职员、授权人、首席信息官、首席信息清静官） ，这类职员需在一定水平上依赖于一连监控历程中输出的清静相关信息做出基于危害的决议；
l 认真系统和清静控制评估与监控的小我私家（如系统评估人、评估员/评估团队、自力验证/认证评估师、审计职员、系统认真人或系统清静主管）。
本次连载内容先容了对组织危害治理中的ISCM举行评估的基来源则。
ISCM项目评估的基来源则
ISCM项目评估是一个治理历程 ，用以检视以下各项的充分性和有用性：
· ISCM战略妄想；
· ISCM项目的建设；
· ISCM战略、政策、程序和指标的实验；
· ISCM项目的运营；
· 对所网络数据举行的剖析及效果报告；
· 对ISCM效果的响应；
· ISCM流程刷新
ISCM项目评估并不是为了验证组织及其营业/使命流程和系统关于SP800-137所提出的种种ISCM看法的实现情形 ，而是为了确定这些看法以及FISMA和OMB春联邦组织提出的ISCM要求是否可充分判断ISCM项目的稳健性（Robustness）。应注重的是 ，各组织或评估职员凭证本指南制订ISCM项目评估计划时 ，可能会凭证自己对主要性的认知而制订出差别的评估标准。
1、ISCM治理
ISCM首先是整个组织的责任 ，然后是系统级责任【SP800-37】 ，还包括使命/营业流程。组织规模内的一连监控事情的第一步是组织向导制订周全的组织级ISCM战略 ，该战略不但要为危害治理部分（RE（f））决议提供直接支持 ，还要包括与组织各危害治理级别相关的统一治理指标。仅当ISCM战略在组织层面上制订实验 ，并与RE（f）建设内在联系时 ，才华包管ISCM项目具有合理的广度和深度 ，为组织各层级明确划分职责。组织级战略由系统级ISCM战略和使命/营业流程ISCM战略（可�。┨峁┲С�。
ISCM包括执行一连监控功效的所有职员、战略、流程、手艺和标准 ，它是一个赋能历程 ，在组织面临网络清静威胁和危害时为组织提供支持 ，维持正常运营。
合理的ISCM项目会划定组织各层级的运动 ，包管ISCM功效在全组织规模内实验。要有用支持整体ISCM事情 ，须统一开发、安排和维护ISCM运动 ，这些运动要能反应整个组织的ISCM战略目的和危害治理战略。
1.1 ISCM配景
ISCM目的包括检测组织的运营、系统情形中的异常与转变、洞悉资产情形、发明误差和威胁、相识清静控制的有用性以及清静态势。要实现ISCM目的 ，要在ISCM架构中安排工具和手艺 ，团结使用手动和自动要领 ，凭证合理频率提供知足详细需要、详略适当的信息。ISCM项目的要害效果是网络、集成、剖析和泛起整个组织的所有系统及其运行情形的清静相关信息 ，增进基于危害的决议。
有用的ISCM项目会区分组织级ISCM战略中的手动和自动监控历程 ，将这些历程和输出举行关联 ，最终泛起态势感知效果。使用手动历程前要举行验证 ，包管历程可复用 ，实验效果一致。
自动化历程（包括使用自动化支持工具）可以使一连监控更为统一 ，效率更高 ，效果更准确 ，本钱效益更高。
有用的ISCM项目可推动辖档同续授权和再授权决议【SP800-37】 ，如2.1.7节所述。在一连监控时代网络的清静相关信息可用于更新各适用系统的授权包和支持工件。更新后工件作为证据 ，可证实基线控制步伐凭证最初妄想为系统提供了一连�；�。
1.2 ISCM流程各阶段
NIST SP 800-137将ISCM流程分为六个阶段 ，如图1所示。详细信息见如下段落。有一点要注重 ，关于笼罩全组织的信息清静一连监控事情或流程 ，第一步都是开发周全的ISCM战略 ，涵盖手艺、流程、程序、运行情形和人力等各方面因素。
图1：ISCM流程
ISCM分为六个阶段 ，在本文中称为“流程阶段” ，详细如下：
1. 界说ISCM战略（界说） – 凭证危害遭受能力 ，界说全组织和系统级ISCM战略 ，坚持对资产、误差、最新威胁信息和使命/营业影响的清晰熟悉。凭证全组织ISCM战略 ，为组织内部的各个系统界说系统级ISCM战略。使命/营业流程领域若需界说ISCM战略 ，也须与组织级战略一致 ，用于支持使命/营业流程领域的系统。
2. 建设ISCM项目（立项） – 建设ISCM项目 ，确定指标、状态监控频率、控制评估频率和ISCM手艺架构。
3. 实验ISCM项目（实验） – 实验ISCM项目 ，网络指标、评估和报告所需的清静相关信息。尽可能接纳自动化要领网络、剖析及上报数据。
4. 剖析ISCM数据并出具报告（剖析/报告） – 剖析网络的数据 ，报告监控中发明的问题 ，确定合理的响应步伐。有时可能需要网络特另外信息 ，以澄清或增补现有的监控数据。
5. 响应ISCM中发明的问题（响应） – 通过手艺、治理和运营危害缓解运动响应所发明的问题 ，或接受、转移/分享或阻止/拒绝危害。
6. 回首、更新ISCM项目和战略（回首/更新） – 回首、更新监控项目 ，调解响应级别的ISCM战略 ，完善丈量能力 ，提高资产可见性和对误差的感知能力 ，进而基于数据来管控组织的信息基础设施清静 ，提高组织的恢复能力。
ISCM的“界说”阶段界说了组织级、系统级和使命/营业流程级（可�。㊣SCM战略。RMF在针对1级和2级的“准备”阶段叙述了组织级和使命/营业流程级（可�。㊣SCM战略 ，在针对3级的“选择”阶段叙述了系统级ISCM战略（见SP800-37）。
1.3 组织的危害治理级别
ISCM适用于SP800-39中界说的所有三个组织危害治理级别：
· 1级（组织级）：治理整个组织的危害 ，将危害配景信息和危害决议转达给2、3级危害治理者。
· 2级（使命/营业流程级）：基于从1级危害治理获取的危害配景信息、危害决媾和危害运动 ，从使命/营业流程角度治理危害。
· 3级（系统级）：是组织内部面向系统的危害治理级别。这一级着重于系统运动 ，以1、2级危害治理中所输出的危害配景、决媾和运动为指导。
在3级危害治理历程中获取的清静相关信息和接纳的响应步伐转达至1级和2级 ，用于组织级和使命/营业流程级危害决议。ISCM项目评估验证了差别级别之间的信息流。
1.4 NIST危害治理框架与ISCM
凭证SP800-37界说 ，RMF是一个结构化的有序历程 ，它将信息清静和危害治理运动融入到组织和系统的系统开爆发命周期中。ISCM项目的实验依赖于RMF中实验的工件和历程 ，同时也为RMF各阶段提供输入 ，增进对危害的相识和治理。评估要领和评估要素要虑及所有可能泛起的重叠和/或关系。
RMF的“监控”阶段涉及一连监控 ，这是危害治理流程的要害环节。ISCM的实验可以知足组织一连监控的要求 ，这一历程中爆发的输出可用于识别、应对危害。另外 ，组织也应该监控其整体清静架构以及响应的清静妄想 ，确保纵然爆发了转变 ，整个组织的营业仍处于可接受的危害水平之内。实时、相关、准确的清静相关信息至关主要 ，在资源缺乏时尤其云云 ，组织必需重点关注此类信息。
就3级而言 ，RMF的“监控”阶段与ISCM运动高度一致。对所实验清静控制步伐的评估要领相同 ，不管评估仅是为了支持系统授权（RMF的“授权”阶段） ，照旧为了支持更普遍、更周全的一连监控事情。系统级主管和员工举行一连评估 ，监控并剖析效果。组织级、使命/营业流程级和系统级的危害治理都要用到该信息。
只管频率要求不尽相同 ，无论哪个级别 ，只要获取到最新的清静相关信息 ，就能应用于受影响流程。在ISCM项目规模内执行的RMF监控运动为系统危害判断提供一连支持 ，是一连授权（OA）的基础。若ISCM项目足以支持对整个（或部分）组织的危害举行判断 ，则能够支持整个（或部分）组织的OA。ISCM项目评估可验证相关ISCM效果（有时包括相关指标）是否提供应OA流程用以就系统授权做出决议。OA相关信息见2.1.7节。
1.5 治理与ISCM
ISCM治理是整个组织治理的一部分 ，通过确立权限、职责、责任以及治理流程和程序 ，推动ISCM治理流程的落实、实验和一连刷新 ，进而监控组织清静。治理—包括ISCM治理—在整个组织的各危害治理级别建设了责任线。
ISCM治理是一种用于治理危害的看法性组织和妄想结构。它与一个或多个高管或员工相关 ，如RE（f）等受问责制约束的高级官员（如认真危害治理的高级问责官员、高级机构信息清静官（SAISO）、认真隐私的高级机构向导、首席信息官（CIO）等）。信息清静治理结构中涉及ISCM的部分与其他治理结构一致 ，以确保与组织内的现有治理实践相兼容 ，提高总体效率。
ISCM项目评估可确认ISCM治理政策和流程是否到位并实验。在1级危害治理中 ，评估可确认高管是否熟悉到治理信息清静危害的主要性并建设了与ISCM相关的治理结构用以治理此类危害。组织级ISCM战略涵盖ISCM治理结构。
若是组织的治理结构疏散（例如 ，由于使命/营业需求或运营情形疏散） ，使命/营业流程领域（2级）在与组织级ISCM战略坚持一致的同时 ，可以完整或部分地制订本事域的ISCM政策和流程 ，特殊是当它们与危害治理和信息清静决议相关时。关于疏散式治理模子 ，组织各级别共享ISCM信息很主要 ，由于这些信息与危害治理决议相关。
1.6 ISCM指标
ISCM确定的指标可展现组织的整体清静态势和各个系统的清静状态 ，为危害治理流程提供输入。有关ISCM指标的更多信息 ，拜见SP800-137。
ISCM项目评估涵盖组织界说的指标。ISCM项目评估会检查ISCM项目是否举行了指标的界说、开发、维护并确保指标具有一连性。ISCM项目评估还会检查组织是否：（i）确定了指标数据的网络频率；（ii）凭证1、2、3级危害治理获得的数据界说指标；以及（iii）凭证需要将指标应用于基于危害的决议。别的 ，ISCM项目评估还会检查ISCM指标是否已上报给各级指定官员审查。
1.7 一连授权
ISCM可增进OA ，这对组织来说是一大益处。OA简化了系统授权流程 ，支持更高的自动化能力 ，利便相关职员就是否继续系统授权做出近乎实时的决议。凭证界说 ，OA指凭证组织的使命/营业要求和组织的危害遭受能力 ，以商定频率（有成文划定）举行的后续危害判断和危害接受决议。从基础上说 ，OA与对清静危害的一连明确和接受有关 ，并且依赖于稳健的ISCM项目。
组织通过ISCM功效网络清静相关信息 ，再基于此信息对系统做出OA决议。稳健的ISCM项目会界说、建设和实验一个一连的历程 ，通过这个历程 ，使用手动、自动和程序工具来管控操作授权系统的危害。
ISCM项目评估会检查是否有ISCM信息可用于OA决议。ISCM项目评估详细检查如下各项：
· 是否有组织级OA流程。OA流程关注的是系统怎样过渡到OA状态以及系统坚持OA状态所需的条件。
· 所举行的控制步伐评估（凭证NIST SP 800-53A）是否足以按既定频率支持OA。
· ISCM项目提供的指标是否足够稳固、可靠 ，可以支持OA决议。
· ISCM项目是否能够监控系统的清静状态以及这些辖档同续运行的情形 ，监控频率是否合理 ，足以就是否继续在组织内运行系统做出基于危害的一连决议。
· 是否将ISCM效果上报给有关向导举行授权决议。
下期连载将先容ISCM项目评估的基础和评估实验历程。
