向董事会汇报：基于NIST CSF 2.0画像

大多数董事会网络安全报告会以两种方式失败：一是堆满董事会成员看不懂的技术指标，二是用一个令人安心的红绿灯掩盖真实风险。NIST CSF 2.0提供了介于两者之间的一种结构。它的六项职能（治理、识别、保护、检测、响应、恢复）对董事会来说足够通俗易懂，而它的画像能把“我们的安全性如何？”转化为“我们目前在哪里、将去往哪里、阻碍因素是什么？”

当前画像与目标画像

当前画像记录您今天实现了哪些CSF成果，以及实现的程度。目标画像则记录您希望达成的成果，依据您的风险偏好、合规义务和威胁来选定。两者之间的差距就是您的路线图，而董事会的职责是批准目标并为弥补差距提供资金。

应展示的内容

1. 一张图表：按职能对比当前与目标。 六组柱状图，每组两个数值。例如，董事会成员可以在几秒钟内看出“恢复”远远落后于“保护”。
2. 主要风险，以业务语言表述。 “勒索软件攻击可能导致订单处理中断一周”比“PR.DS-11部分实现”更能引起共鸣。
3. 自上次汇报以来的进展。 哪些有所改善，哪些没有。
4. 需要决策的事项。 预算、风险接受，或调整目标。
5. 合规义务。 适用哪些框架和法规，以及每一项的状态（已认证、进行中、存在差距）。

将“治理”纳入议程本身

CSF 2.0的“治理”职能涵盖组织环境、风险策略、角色、政策、监督以及供应链风险管理。其中多项成果本身就是董事会的职责：设定风险偏好、监督战略、明确问责。根据NIS2第20条，管理机构必须批准并监督网络安全措施，并亲自接受培训，这使“治理”不仅是良好实践，也成为合规事项。我们对哪些框架涵盖治理的分析，展示了其他框架在哪些方面存在缺口。

将CSF与您接受审计的框架相关联

如果您依据ISO 27001获得认证，或依据SOC 2出具报告，您并不需要单独的CSF项目。只需将您的控制措施一次性映射到CSF成果，然后以两种方式呈报同一份证据：向董事会呈报CSF职能，向审计师呈报框架要求。NIST发布了从CSF 2.0到ISO 27001和SP 800-53的官方映射：

方向	已映射	弱相关	无映射
已有 NIST CSF 2.0 → 需要 ISO 27001	79 / 123 (64%)	34	10	报告 →
已有 ISO 27001 → 需要 NIST CSF 2.0	89 / 106 (84%)	15	2	报告 →

在不追求虚假精确的前提下为成果评分

董事会不需要小数。为每个CSF类别采用简单、一致的评分标准即可，例如：

分数	含义
0	未落实
1	部分落实，非正式或不一致
2	已落实并形成文件，有一定证据支撑
3	已落实，有证据支撑，并定期测试
4	已度量并持续改进

评分应依据证据而非主观判断，并将各类别的分数汇总到六项职能，用于董事会图表。将评分规则书面记录下来，确保下一季度的数字与本季度的数字含义相同。CSF 2.0自身的层级用于描述治理和风险管理的整体严谨程度；将其用于叙述性内容，而类别分数用于图表。

核心要点

• 在同一张图表上按CSF职能展示当前与目标。
• 以业务语言呈现主要风险及所需决策。
• 依据证据评分，并保持一致。

保持诚实

• 依据证据而非观点为成果评分：只有当其控制措施有效运行并产生证据时，成果才算实现。
• 展示令人不安的差距。董事会在明知存在差距的情况下批准目标，就等于接受了风险；从未看到差距的董事会则没有。
• 业务变化时调整目标，并予以说明。

本站为每个CSF 2.0子类别都提供了页面，并将其映射到十个框架；您可以从CSF 2.0框架页面或NIST CSF与ISO 27001对比开始查阅。

常见问题

什么是CSF当前画像？

对组织当前在CSF 2.0核心框架下的网络安全成果的描述。目标画像描述其希望达成的成果；两者之间的差距驱动行动计划。

董事会汇报应使用ISO 27001还是NIST CSF？

许多组织依据ISO 27001获得认证，但向董事会汇报时会使用CSF的六项职能，因为CSF的成果表述对非专业人士来说更容易理解。两者的映射关系非常紧密。