14、NIST RMF安全控制选择与管理策略详解

NIST RMF安全控制选择与管理策略详解

1. NIST RMF安全控制选择概述

在信息安全管理中，NIST RMF（风险管理框架）的安全控制选择是关键的一步（Step 2），此步骤包含三大主要任务，具体如下表所示：
| 任务编号 | 任务名称 | 活动内容 | 参考资料 |
| ---- | ---- | ---- | ---- |
| 2 - 1 | 通用控制识别 | - 识别组织为组织信息系统提供的通用安全控制
- 将这些控制记录在安全计划（或等效文档）中 | FIPS 199、FIPS 200、NIST SP 800 - 18、NIST SP 800 - 30、NIST SP 800 - 53、CNSS Instruction 1253 |
| 2 - 2 | 安全控制选择 | - 为信息系统选择安全控制
- 将这些控制记录在安全计划中 | FIPS 199、FIPS 200、NIST SP 800 - 18、NIST SP 800 - 30、NIST SP 800 - 53、CNSS Instruction 1253 |
| 2 - 3 | 监控策略 | - 制定持续监控安全控制有效性以及信息系统及其运行环境任何提议/实际变更的策略 | NIST SP 800 - 30、NIST SP 800 - 39、NIST SP 800 - 53、NIST SP 800 - 53A、NIST SP 800 - 117、NIST SP 800 - 126、NIST SP 800 - 128、NIST SP 800 - 137、CNSS Instruction 1253 |
| 2 - 4 | 安全计划批准 | - 审查并批准安全计划 | N