12、应用NIST风险管理框架：信息安全保障之道

应用NIST风险管理框架：信息安全保障之道

1. 联邦机构信息安全计划

联邦机构需要建立全机构范围的信息安全计划，该计划必须满足以下要求：
- 安全意识培训
- 风险评估
- 政策和程序
- 将安全融入系统开发生命周期
- 合规计划，包括安全规划、测试和补救
- 事件响应能力
- 运营连续性规划

每年，联邦机构依法要对其信息安全计划进行独立评估，以确保其有效性。独立评估包括测试组织政策、程序和实践的有效性，以及评估是否符合《联邦信息安全管理法案》（FISMA），包括任何支持性的联邦政策、程序、标准和指南。评估结果通过机构负责人提交给管理和预算办公室（OMB）主任。OMB主任会整合联邦政府所有独立评估的信息，形成一份全面的总结报告提交给国会。

为支持联邦机构评估其计划，美国国家标准与技术研究院（NIST）开发了信息安全管理协助计划审查（PRISMA）。PRISMA方法采用“标准化方法来审查和衡量信息安全计划的信息安全态势”，其过程包括11个步骤，涵盖准备和执行阶段。
|阶段|步骤|
| ---- | ---- |
|准备阶段| - 审查启动
- 审查范围定义
- 规划
- 启动会议|
|执行阶段| - 审查执行
- 审查文档记录
- 访谈
- 环境影响和约束
- 团队协商
- 分析、报告生成和审查|

2. 风险管理框架概述

NIST风险管理框架（RMF）是一种灵活的、基于风险的方法，由组织的信息安全计划驱动，通过促进信息共享来支持风险管理。其目标包括：