15、应用NIST风险管理框架指南

应用NIST风险管理框架指南

1. 信息分配与边界定义

在分配安全控制以及为支持多个信息系统的通用功能（即通用控制或混合控制情况下的部分控制）分配所有权时，需要对潜在的信息流进行高层次的说明。此外，明确授权边界和资源控制级别，可以清晰界定所继承的特定安全控制，例如组织可能使用但授权官员无法直接控制的系统组件。

为确保安全控制分配成功，多数情况下需要基于证据共享建立信任关系，这些证据包括特定安全控制已正确实施且有效运行的证明，如评估结果（或摘要）以及持续监控计划中收集的信息。信息共享能确保了解可能影响继承通用控制（或混合部分）的信息系统的变化，并通过应用补偿控制来接受或缓解风险管理过程中识别出的风险。

2. 系统分解

分解可将复杂的信息系统和安全控制分配到更易于管理的子系统中，从而使子系统能够独立看待，并根据信息系统架构中的安全目标、通用功能或职能来分配安全控制。这种方法能更有效地聚焦安全控制，以实现更具成本效益的风险管理流程，如进行评估和持续监控。

子系统可能是动态的，可根据需要快速配置或取消配置，也可能不在信息系统内，仅存在于信息系统生命周期的特定阶段。在某些情况下，子系统可能由授权边界之外或组织无法控制的服务提供商管理。此时，建立子系统可根据联邦机构的保证要求，对信息系统中更不稳定或不在联邦机构或服务提供商控制范围内的部分进行不同的监控，以确保所需的安全控制在一段时间内持续以可接受的风险水平运行。

3. 安全控制实施

在NIST风险管理框架（RMF）的这一步（步骤3）中，由于实施安全控制和记录其实施情况密切相关，可能会同时进行，因此将表5.7中的两项任务放在一起介绍。为实现安全控制的高效和