4. 安全治理标准与最佳实践框架

关键信息基础设施（CII）的安全治理不能靠“拍脑袋”定策略，也不能把某一套标准原样照搬。ISO/IEC 27001、NIST CSF、我国网络安全等级保护2.0（等保2.0）是三类最常被引用的框架，它们分别回答不同层面的问题：ISO/IEC 27001解决“管理体系如何建立并持续运行”，NIST CSF解决“能力覆盖是否完整、成熟度如何演进”，等保2.0解决“在我国法律与监管语境下，系统应达到什么保护等级、如何测评与整改”。治理框架的裁剪与落地，本质是把这三者映射到同一套资产、风险与责任体系上，形成可执行、可审计、可度量的治理闭环。

一、三类框架的定位与适用性

ISO/IEC 27001以信息安全管理体系（ISMS）为核心，强调组织环境分析、领导作用、风险评估与处置、适用性声明（SoA）、内部审核与管理评审，属于“管理驱动”型框架。它的优势是通用、可认证、可跨行业复用，适合作为CII运营者建立治理主线的骨架；不足是条款偏原则，对具体技术控制点到为止，需要借助ISO/IEC 27002等控制措施集落地。

NIST CSF以“识别—保护—检测—响应—恢复”五功能为主线，2.0版本进一步强化了“治理（Govern）”功能，形成六功能结构。它不规定具体控制清单，而是提供能力视角与成熟度画像，适合用来评估现有治理体系在哪些功能域存在短板，并规划演进路线。对CII而言，CSF的价值在于把“合规”升级为“韧性”，尤其适合跨部门、跨层级的协同治理与持续改进。

等保2.0是我国强制性基线要求，以GB/T 22239为核心，按安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心“一个中心、三重防护”构建技术体系，并配套安全管理制度、机构、人员、建设、运维五个管理维度。它明确了第一级至第五级的定级、备案、建设整改、测评与监督检查流程，是CII运营者必须满足的法定底线。其优势是技术与管理要求具体、可测评；局限是偏基线合规，对动态威胁与业务连续性的覆盖需要其他框架补充。

二、框架裁剪的核心逻辑

裁剪不是“删减要求”，而是“按风险与业务重要性重新分配控制强度”。第一步是定级定范围：依据等保2.0确定系统等级（CII通常不低于第三级），同时依据《关键信息基础设施安全保护条例》识别CII边界与关键业务链。第二步做差距与风险分析：用NIST CSF六功能对现状打分，识别“治理、识别、保护、检测、响应、恢复”中的薄弱环节，并与等保2.0控制项逐条比对，形成差距清单。第三步是控制映射：把ISO/IEC 27001的SoA作为控制选择与理由说明的载体，将等保2.0的强制项、CSF建议项、行业监管要求合并为一份统一控制矩阵，标注“必须做、应该做、可选做”及责任部门。第四步进入运行与度量：通过内部审核、等保测评、攻防演练和KPI看板，验证控制是否有效，并驱动下一轮改进。

三、落地方法：从控制矩阵到运行证据

落地阶段最容易出现的问题是“三套文档、三套台账、三套证据”。建议以ISO/IEC 27001的ISMS文件体系为主干，把等保2.0的测评证据要求和CSF的成熟度证据嵌入同一套记录中。例如，资产清单既用于等保“安全计算环境”测评，也用于CSF“识别”功能，还作为ISO/IEC 27001风险评估的输入；变更管理记录既满足等保运维管理要求，也支撑CSF“保护”功能的配置管理证据。

在度量层面，可设置一组跨框架通用的治理指标：关键资产覆盖率、高风险项整改闭环率、安全事件平均检测时间（MTTD）、平均响应时间（MTTR）、等保测评符合率、CSF目标成熟度达成率。这些指标同时服务于管理层评审、监管报送和年度改进计划，避免重复采集。

四、一个可参考的裁剪示例

假设某CII运营者的核心生产系统定为等保三级，同时被认定为CII。其裁剪结果可形成如下控制矩阵片段（示例参数，非实测结果）：

该矩阵的价值在于：同一控制项只维护一份实施记录，但可同时向等保测评机构、认证审核员和管理层提供证据。裁剪后的治理体系应保持“一套资产、一套风险、一套控制、一套证据”，而不是三套并行。最终判断治理是否落地，不看文档厚度，而看三个信号：高风险项是否按期闭环、安全事件是否可检测可响应、测评与内审是否发现同类问题反复出现。若三者持续改善，说明框架裁剪真正服务于治理目标，而非停留在合规表面。