网络安全能力成熟度模型详解

一、概述

经过多年网络安全工作，一直缺乏网络安全的整体视角，网络安全的全貌到底是什么，一直挺迷惑的。目前网络安全的分类和厂家非常多，而且每年还会冒出来不少新的产品。但这些产品感觉还是像盲人摸象，只看到网络安全的一个点，而不是一个整体。最近无意看到了网络安全能力成熟度模型(C2M2)，有种相见恨晚的感觉。它是一套自成体系的模型，内容比较全面，更贴近企业落地。它的目的是帮助所有一定规模的组织评估和改进其网络安全，并加强其运营弹性。

二、模型介绍

网络安全能力成熟度模型(C2M2)由美国能源部(DOE)、电力部门协调委员会(ESCC)和石油和天然气部门协调委员会(ONG SCC)资助共同开发出版发行。它解决与信息技术(IT)和运营技术(OT)资产及其运营环境相关的网络安全实践的实施和管理问题。可以作为全面的企业网络安全建设的参考和补充。

C2M2 包括领域、目标、实践和 MIL（成熟度指标级别）。以下各节将讨论每个组件。

域：域是网络安全的一类主题。该模型有10个域，每个域都包含一组网络安全实践。每组实践都表示组织可以执行的活动，以域为单位建立成熟度模型。

目标：每个域内的实践被组织设定成目标，这些目标代表了可以通过在该领域实施实践来实现的网络安全成果。例如，风险管理领域包括五个目标：

• 建立和维护网络风险管理战略和计划

• 识别网络风险

• 分析网络风险

• 应对网络风险

• 经营活动

实践：实践是 C2M2 最基本的组成部分。每个实践都是一个简短的声明，描述了组织可能执行的网络安全活动。这些活动的目的是实现和维持与关键基础设施和组织目标的风险相符合的适当网络安全水平。每个域中的实践都按照成熟度等级进行排序和组织的。