Loading AI tools
来自维基百科,自由的百科全书
网路安全标准(Cybersecurity standards)[1]是已用文件方式发布,为了保护使用者或组织之电脑网路环境而订定的技术[2]。此处的“环境”包括使用者本身、网路,或是会直接或间接连接网路的设备、所有软体、程序、储存或是传输的资讯、应用程式、服务以及系统。
网路安全标准的主要目的是降低风险,包括预防及缓解网络攻击。这些发布的资料中包括了许多工具、策略、安全概念、安全保障、指引、风险管理工具、行动、训练、最佳实务、确保以及技术。
网路安全标准在数十年前即已存在,是由使用者以及网路供应商在许多国内或跨国论坛合作,列出必要的能力、策略以及实务,许多是1990年代史丹佛大学信息安全与政策研究联盟的工作中出现的[3]。
2016年美国安全框架导入研究指出,受访的组织中,有70%认为NIST网络安全框架是资讯科技电脑安全中最受欢迎的最佳实务,但也有许多受访者表示这需要相当大金额的投资[4]。执法者面对跨国界网路渗透活动的执法,对抗暗网的国际犯罪行为的举动,产生了复杂的执法权问题,有些甚至到现在都还无解[5][6]。各国执法部门为了对抗跨国界网路渗透活动,以及国际执法机关之间的紧张关系,也会让网路安全标准可以继续的改善[5][7]。
以下章节列出一些常用的国际标准。
ISO/IEC 27001是ISO/IEC 27000系列的一部份,是资讯安全管理系统(ISMS)标准,最新版是在2022年由国际标准化组织(ISO)及国际电工委员会(IEC)发布。其全名是《资讯科技—安全技术—资讯安全管理系统—要求》(Information technology — Security techniques — Information security management systems — Requirements)。
ISO/IEC 27001正式的说明一个以明确的管理控制方式加入资讯安全的管理系统。
ISO/IEC 27002主要整合了BS 7799良好安全管理实务标准的第一部份。BS 7799的最新版本是BS 7799-3。有时会用ISO/IEC 27002来指称ISO 17799或BS 7799 第1部份,有时则指第1部份以及第7部份。BS 7799第1部份提供了网路安全管理的良好实务指引,而BS 7799第2部份以及ISO/IEC 27001是规范性的,提供认证的框架。ISO/IEC 27002是网路安全的高阶指引。针对要取得ISO/IEC 27001认证的单位而言,最适合做为说明用的指引。认证取得后,可以维持三年。依稽核单位的不同,三年内可能不用再稽核,也可能需要有期中的稽核。
ISO/IEC 27001(ISMS)取代了BS 7799第2部份,但若组织在BS 7799第2部份的基础上工作,法规有向后相容,让正在取得BS 7799第2部份的组织可以比较容易转换到ISO/IEC 27001的认证流程。也有转换用的稽核,让取得BS 7799第2部份认证的组织可以转换为ISO/IEC 27001的认证。ISO/IEC 27002提供资讯安全系统的最佳实务,包括资讯安全管理系统(ISMS)的初始、实现以及维护。其中提到了资讯安全系统需实现ISO/IEC 27002的控制目标(controls objectives)。若没有ISO/IEC 27001,ISO/IEC 27002的控制目标无法达到效果。ISO/IEC 27002的控制目标,整合在在ISO 27001的附录A中。
ISO/IEC 21827(SSE-CMM – ISO/IEC 21827)是依系统资安工程能力成熟度模型(SSE-CMM)为基础的国际标准,也可以量测ISO控制目标的成熟度,
此一标准的全名是《资讯技术安全评估共同准则》(Common Criteria for Information Technology Security Evaluation),简称为Common Criteria,是电脑安全认证的标准。可以让不同的软体及硬体产品进行整合,以安全的方式进行测试。
IEC 62443网路安全标准是依IEC标准产生流程所订定的,而ANSI/ISA-62443提案是提交给美国的委员会并且进行审核,也在委员会中提出意见。IEC 62443中的许多委员会会审核修订意见,也会在委员会中讨论,若大家同意即进行更改。IEC委员会中的许多成员也是ISA S99委员会的成员。迄今为止,已经使用了ANSI/ISA 62443原始文件的基础概念[8]。
这些标准会由许多不同产业的从业人员使用,以此来设计和评估自动化系统,以提高网络安全性。许多标准已用在个人、工程流程、产生以及系统网路安全验证计划(cybersecurity certification programs,也称为合格评定计划,conformity assessment program)中。
ISA-62443的标准及技术报告会分为四类,分别是通则(General)、政策及流程(Policies and Procedures)、系统(System)及元件(Component)[9]。
ANSI/ISA 62443是一系列有关实现安全工业自动化控制系统(IACS)的标准、技术报告及相关资料。
这些文件由是国际自动化学会(ISA)所写,以美国国家标准协会(ANSI)文件公开发布,因此最早称为ANSI/ISA-99或ISA99标准。在2010年时,重新编号为ANSI/ISA-62443标准。
ISA99仍然是ISA工业自动化及控制系统安全委员会(Industrial Automation and Control System Security Committee)的名称。2002年起,此委员会在针对IACS安全性主题,订定一系列的标准以及技术报告。这些文件会由国际自动化学会核可,最后以ANSI文件发行。这些文件也会提交给IEC,依循IEC的标准开发程序,这些会是IEC62443国际标准的输入。
ISO/SAE 21434《道路车辆-网路安全工程》(Road vehicles - Cybersecurity engineering)是国际标准化组织(ISO)和国际汽车工程师学会(SAE)工作组联合开发的新型网路安全标准,是依道路车辆的开发周期进行网路安全的措施。其国际标准草案(Draft international standard、DIS)阶段已在2019年12月期满,最终标准计划在2020年11月发布[10]。
此一标准和目前正在发展的欧洲联盟网路安全法规有关。为了和欧盟协调,联合国欧洲经济委员会(UNECE)的世界车辆法规协调论坛(WP.29)已在2020年6月发布网路安全管理系统(UNECE R 155,CSMS)的规范,相关认证是型式认可的强制条件之一。ISO/SAE 21434是汽车开发的技术标准,可以证明符合R155的规范。
NERC(北美电力可靠性公司)在2003年建立了电力产业的资讯安全标准,是最早期的相关标准,称为NERC CSS(北美电力可靠性公司网路安全标准)[11]。在网路安全标准指引之后,NERC在这些要求上持续的改进及强化。目前最广为使用的现代NERC安全标准是NERC 1300,是由NERC 1200修改及更新后的内容。NERC 1300的最新版本称为CIP-002-3至CIP-009-3(CIP为关键基础设备保护的简称)。这些标准的目的是要保护大宗电力系统,NERC也有在其他领域订定标准。大宗电力系统标准提供网路安全的管理,也有工业程序上的最佳实务 。
隶属于美国商务部的国家标准技术研究院 (NIST) 负责制定与资讯安全相关的标准与规范。
Seamless Wikipedia browsing. On steroids.
Every time you click a link to Wikipedia, Wiktionary or Wikiquote in your browser's search results, it will show the modern Wikiwand interface.
Wikiwand extension is a five stars, simple, with minimum permission required to keep your browsing private, safe and transparent.