NIST CSF 2.0 的治理功能：哪些框架已覆盖它？

美国国家标准与技术研究院（NIST）于 2024 年 2 月发布 CSF 2.0 时，最大的变化是新增第六项功能。治理与识别、保护、检测、响应和恢复并列，NIST 将其置于其他功能的中心：组织环境、风险管理策略、角色与职责、政策、监督，以及网络安全供应链风险管理。它把治理从识别功能下的一个类别，提升为统领其他一切的核心。

如果你已经在遵循其他框架，你对治理的覆盖程度如何？

按框架划分的治理覆盖情况

ControlMapping 有六个以治理功能为锚点的主题。以下是各框架映射到其中的数量：

框架	已映射 治理 个主题	未找到映射：
ISO 27001	6 / 6	—
SOC 2	6 / 6	—
PCI DSS	6 / 6	—
800-53	6 / 6	—
GDPR	6 / 6	—
NIS2	6 / 6	—
HIPAA	5 / 6	供应链风险
CIS v8.1	2 / 6	治理政策, 风险管理, 角色与职责, 合规
CMMC	2 / 6	治理政策, 供应链风险, 角色与职责, 供应商风险管理
Essential Eight	0 / 6	治理政策, 风险管理, 供应链风险, 角色与职责, 合规, 供应商风险管理

主题： 治理政策, 风险管理, 供应链风险, 角色与职责, 合规, 供应商风险管理.

覆盖治理的框架

管理体系类和控制目录类框架对治理覆盖较好。 ISO 27001 第 4 至 6 条款和第 9 条款属于治理内容：组织环境、领导作用、角色、风险评估与处置、绩效评价、管理评审。SP 800-53 有完整的项目管理（PM）族。SOC 2 的控制环境标准（CC1 至 CC5）源自 COSO 内部控制框架，本身就是按治理设计的。PCI DSS 的要求 12 和 NIS2 对管理机构的义务也覆盖同一领域。

未覆盖治理的框架

运营基线对治理覆盖很少。 Essential Eight 由八项技术缓解策略构成，完全没有治理内容，这是设计选择，而非疏漏。CIS Controls v8.1 主要通过服务提供商管理和数据管理流程触及治理。CMMC Level 2 继承了 SP 800-171 对保护系统中 CUI 的关注，因而遗漏了大部分风险策略和供应链项目成果。

供应链：治理中最难的部分

治理包含十个关于网络安全供应链风险管理的子类别，从建立正式程序，到通过关系全生命周期管理供应商。许多框架都涉及供应商安全（ISO 27001 的 A.5.19 至 A.5.23、SOC 2 的 CC9.2、PCI DSS 12.8），但很少将其作为带有风险标准、分级和监控的完整程序来对待。如果你所用框架的治理覆盖率很高，请核实其在供应链方面的覆盖是否同样高。

核心要点

• 治理是 CSF 2.0 新增的功能，涵盖组织环境、风险策略、角色、政策、监督和供应链风险。
• 管理体系类和目录类框架（ISO 27001、SP 800-53、SOC 2、PCI DSS、NIS2）对其覆盖较好。
• 运营基线（Essential Eight、CIS、CMMC）按设计其覆盖很少。
• 供应链风险是治理中各框架深度差异最大的部分。

行动建议

1. 如果你运行的是运营基线（CIS、Essential Eight、CMMC），请在其之上补充治理：CSF 的治理功能或 ISO 27001 的管理体系都能提供结构。
2. 如果你运行的是 ISO 27001 或 SOC 2，可用治理功能来强化董事会汇报：CSF 的成果以高管能理解的语言撰写。
3. 查看供应链和供应商风险主题，这是各框架深度差异最大的地方。

CSF 2.0 框架页面列出了每个治理子类别及其映射，而差距分析可显示你所持有的任何框架对 CSF 的覆盖情况。

常见问题

NIST CSF 2.0 中的治理功能是什么？

治理（GV）于 2024 年随 CSF 2.0 新增，涵盖组织环境、风险管理策略、角色与职责、政策、监督以及网络安全供应链风险管理。NIST 将其置于其他五项功能的中心。

ISO 27001 是否覆盖 CSF 2.0 的治理功能？

基本覆盖：ISO 27001 第 4 至 6 条款和第 9 条款（组织环境、领导作用、风险、绩效评价）及其供应商控制措施，映射到大多数治理成果。

CSF 2.0 的治理功能只适用于大型组织吗？

不。小型组织同样需要这些基础内容，只是形式更简化：谁负责、哪些风险可接受、有哪些政策，以及如何管理供应商。