谢宗晓（南开大学商学院）

董坤祥（山东财经大学管理科学与工程学院）

张菡（中国铁路总公司运输局）

本刊特约

NIST关键基础设施网络安全改进框架介绍

谢宗晓（南开大学商学院）

董坤祥（山东财经大学管理科学与工程学院）

张菡（中国铁路总公司运输局）

谢宗晓 博士

“十二五”国家重点图书出版规划项目《信息安全管理体系丛书》执行主编。自2003年起，从事信息安全风险评估与信息安全管理体系的咨询与培训工作。目前，已发表论文55篇，出版专著12本。

信息安全管理系列之二十八

基于美国总统令EO 13636，NIST于2014年发布了《关键基础设施网络安全改进框架》，这个报告不但给出了网络空间安全管理的框架，而且与ISO/IEC 27001：2013等标准中具体的安全控制建立了映射关系。由于目前国内尚没有相应的指导文件，因此下文中对其进行了简要的介绍。

谢宗晓（特约编辑）

《关键基础设施网络安全改进框架》以风险管理为基础，建立了一个基于识别、保护、检测、响应和恢复为主要步骤的网络空间安全管理的框架。论文对该报告从应用的角度进行了解读。

网络安全 网络空间安全 信息安全 关键基础设施

1 概述

《关键基础设施网络安全改进框架》（Framework for Improving Critical Infrastructure Cybersecurity）1）全文下载地址：http://www.nist.gov/cyberframework/。由NIST2）美国国家标准与技术研究院（National Institute of Standards and Technology，NIST），https://www.nist.gov/。发布于2014年2月12日，主要是为了响应2013年2月12日奥巴马总统签署的总统令（Executive Order，EO）13636，标题为：Improving Critical Infrastructure Cybersecurity。

《关键基础设施网络安全改进框架》提出了一个基于风险的网络空间安全管理的框架，其中包括识别（Identity）、保护（Protect）、检测（Detect）、响应（Respond）和恢复（Recover）。……