九游老哥云
NIST评估信息清静一连监控项目指南：评估要领——连载2
2020-09-28
《NIST评估信息清静一连监控（ISCM）项目：评估要领》一文可用于：
l 为组织各危害治理级别（界说见NIST SP 800-39《治理信息清静危害：组织、使命与信息系统视角》）开展ISCM项目评估提供指导；
l 叙述了ISCM项目评估与主要清静看法和历程的相关性，如NIST危害治理框架（RMF）、全组织危害治理级别、组织治理、ISCM指标和一连授权；
l 先容了有用的ISCM项目评估所具备的特点；
l 提出了ISCM项目评估标准（同时提供了参考泉源），组织可接纳这些标准举行ISCM项目评估，或基于这些标准制订适合本组织的评估标准；
l 先容了通过评估程序举行ISCM项目评估的要领，该评估程序在相关配套文件（包括ISCM项目评估要素一览表）中举行了界说，用以开发可复用的评估流程。
目的读者为一连监控信息清静态势和组织危害治理的小我私家，包括：
l 认真评审组织ISCM项目的小我私家，包括举行手艺评审的治理职员和评估职员（如系统评估人、内部和第三方评估员/评估团队、自力验证/认证评估师、审计职员和系统认真人）；
l 肩负使命/营业认真人或受托人责任的小我私家（如联邦机构认真人、首席执行官和首席财务官）；
l 需要思量ISCM功效的系统开发/集成认真人（如项目司理、系统认真人、信息手艺产品开发职员、系统开发职员、系统集成商、企业架构师、信息清静架构师和通用控件提供方）；
l 肩负系统和/或清静治理/监视职责的小我私家（如高层向导人、危害治理职员、授权人、首席信息官、首席信息清静官），这类职员需在一定水平上依赖于一连监控历程中输出的清静相关信息做出基于危害的决议；
l 认真系统和清静控制评估与监控的小我私家（如系统评估人、评估员/评估团队、自力验证/认证评估师、审计职员、系统认真人或系统清静主管）。
连载2内容先容了对组织危害治理中的ISCM举行评估的基础和类型。
ISCM项目评估的基础
ISCM项目评估历程包括信息网络和证据剖析。组织可使用所网络的信息和已确认的证据举行如下运动：
· 识别刷新组织ISCM项目（包括ISCM战略）的详细时机；
· 判断组织向导或员工对ISCM项目以及该项目在危害治理流程中所处位置的相识水平；
· 判断组织对ISCM项目在各级别的适用性以及ISCM功效在全组织集成度的相识水平；
· 识别组织清静和危害治理项目的潜在刷新时机，包括ISCM能力与组织危害治理功效之间的联系；
· 重点思量与组织ISCM项目相关的危害应对决媾和相关危害缓解运动；
· 确认组织已解决系统和运行情形中识别出来的清静问题和缺陷；
· 支持监控运动和信息清静态势感知；
· 评估一连授权的准备情形；
· 为未来或妄想中ISCM项目的设计提供指导或评估现有ISCM项目中所做的妄想性变换。
ISCM项目评估会检查通用控制步伐、混淆控制步伐和特定系统控制步伐的控制评估流程，判断组织是否对控制步伐举行了评估。本文并未要求在评估ISCM项目时评估单个控制步伐或检查控制步伐的评估效果。须要时，组织可修改ISCM项目评估计划、增添评估要向来评估单个控制步伐，也可引入控制评估流程。本章其余部分将逐一诠释ISCM项目评估的各个环节。
1.1 ISCM项目评估标准
ISCM项目评估计划为评估ISCM项目界说了各个方面的评估标准（如清静状态监控政策和程序、通用控制步伐评估政策、设置治理程序、清静状态报告）。本文档界说的评估标准以评估要素为焦点。以下是评估要素示例：
· 有基于组织级ISCM战略建设的ISCM项目。（评估要素1-002）
· 有组织级清静状态监控政策。（评估要素1-008）
· 凭证划定频率和程序举行清静状态监控。（评估要素3-007）
· 有组织级政策要求将ISCM效果输入到危害评估流程。（评估要素1-011）
· 凭证程序，对ISCM项目发明的危害举行响应步伐确定和优先级设置。（评估要素3-023）
· 有ISCM指标及响应评审程序。（评估要素2-024）
· 回首ISCM战略，确定怎样提高已知和新型威胁响应能力。（评估要素6-005）
若ISCM相关陈述的泉源跨越多个ISCM阶段，则要分成多个评估要素，每个（唯一）要素对应一个流程阶段。评估要素也会从其他ISCM功效和原则中提取，如开发职员、操作职员、评估职员凭证履历和联邦指导所建议的功效和原则。
要素的选择取决于评估规模（见2.3.2节），评估规模受2.1.2节中界说的危害治理级别或ISCM流程阶段的限制。例如，评估规模受限情形下，按如下原则选取评估要素：
· 关于1级危害治理，仅选择适用于1级的要素。注重：适用于1、2级的要素和适用于1、2、3级的要素都在这个荟萃中。
· 关于“界说”和“立项”阶段，从一览表或组织界说的评估要素集中仅选择适用于ISCM流程阶段1和2的要素。注重：每个要素只适用于一个流程阶段，多个阶段一连举行，无论何种情形，“界说”阶段均不可省略。
有些评估要素会评估RMF历程所输出信息（如目今危害水平、危害遭受水平、威胁和误差信息）的使用，因而在一定水平上凌驾了ISCM项目的规模；有些要素则评估ISCM项目是否能够输出清静相关信息（如清静状态报告、清静指标），为组织实验RMF提供参考；尚有些评估要素可能与SP800-53中某些控制步伐重叠，但ISCM项目评估并不思量或评估个体控制步伐的有用性。
组织或评估职员可以基于本文档提供的评估要素和评估程序，制订自己的评估计划，输出评估ISCM项目所需的证据，判断评估标准所划定的ISCM要求是否已实现。
评估要素也可以视为对目今所开发ISCM项目的要求。组织可凭证这些要素，设计ISCM项目所需的功效、政策和程序。评估要素还可用于评估ISCM妄想或设计，如ISCM手艺架构、操作办法和ISCM战略。
1.2 ISCM项目评估要素泉源
ISCM项目评估要素的泉源包括：
· 2014年《联邦信息清静现代化法案》（FISMA）【FISMA2014】；
· 行政指令，包括白宫妄想和行政下令；
· 涉及ISCM要求的OMB备忘录【OMB M-11-33】；
· OMB通知A-130（2016）【OMB A-130】；
· NIST危害治理指南和ISCM指南【SP800-37】【SP800-39】【SP800- 137】；
· 从ISCM、清静工程、网络清静、系统工程和信息手艺等整体从业履历所获取的专业履历。
1.3 ISCM项目评估要素属性
每一ISCM项目评估要素均有多个属性，利便评估ISCM项目的实验情形。在ISCM项目评估要素一览表中，这些属性按列展示，详细如下：
· ISCM项目评估要素ID
· ISCM项目评估要素形貌
· 危害治理级别
· 泉源
· ISCM项目评估程序
· 备注 – 为ISCM项目评估程序属性提供的增补信息
· 级别说明
· 父要素 – 前一阶段的ISCM项目评估要素
· 链标签
· 链分类
1.4 ISCM项目评估要素追溯关系（链）
可将ISCM项目评估要素串成链，这样，基于ISCM项目的特定方面（如清静状态监控或ISCM指标），可利便地从一个要素追溯到与“父要素”属性相关的一个或多个其他要素。评估要素串联在一起，组成“链”，提供追溯关系。这种关系链可显示跨越两个或多个ISCM流程阶段的要素的上下级关系。
评估职员针对各危害治理级别检视或视察评估工具时，会发明通过追溯链来追踪评估要素的路径很利便。例如，针对某一评估要素链的工件或面谈问题只关注某一特定领域（如ISCM战略），有助于评估职员做出更有用的判断。
图2显示了四个类似评估要素的追溯链，这些要素都来自“界说”阶段（要素1-032）。各要素左上角的字符串是该要素的唯一标识（第一个数字字符体现ISCM流程阶段）。
图2：追溯链示例
在图中的追溯链示例中，第一条链由评估要素1-032、2-016和3-019组成，涉及ISCM相关数据的完整性。第二条链由评估要素1-032、2-017和3-020组成，涉及ISCM相关数据的实时性。第三条链由1-032和3-041组成，涉及数据的自动化处置惩罚。第四条链由1-032和6-013组成，涉及使用这些数据回首、更新ISCM项目。
在第一条链中（即1-032、2-016和3-019），第一个区块与第二个相连，第二个又与第三个相连。评估职员可凭证各评估要素的形貌和详细情形，要求提供能反应数据完整性的工件。然后，基于这些工件对这三个评估要素做出判断。第二条链中，子链（2-017和3-020）的父区块（1-032）与第一条链相同，但这些区块评估的是数据网络的实时性。评估职员可要求提供能反应数据网络实时性的工件。与第一条链一样，工件随后可用于对链中的三个评估要素做出判断。第三条链的情形类似。评估职员可要求演示自动化功效或提供有关自动化的文档工件。关于第四条链，评估职员可要求组织提供工件，说明怎样使用数据来评估ISCM项目。
1.5 ISCM项目评估特点
ISCM项目评估涵盖ISCM项目的各个方面，以SP800-137中的原则为基础。ISCM项目评估有如下特点：
1. 一次只针对一个ISCM流程阶段；
2. 每一评估要素仅适用于一个ISCM流程阶段；
3. 使用现成的清静相关信息（如组织级或系统级ISCM战略文件中的信息）；
4. 不评估控制步伐的有用性，由于这凌驾了ISCM项目评估的规模；
5. 验证ISCM项目是否能够将自动和手动要领团结使用；
6. 将每一评估要素追溯至权威泉源或ISCM专业履历；
7. 评估职员或组织可凭证需要添加评估程序，修改评估标准（即“评估要素形貌”属性），或添加、扫除、修改评估要素的属性字段，如3.5节所述；
8. 适用于任何组织，无论规模多大，结构有多重大；
9. 与手艺、实现和奇异的组织或项目要求坚持疏散和自力；
10. 输出效果，提出可行建议；
11. 从战略和项目角度举行评估，而不是纠结于ISCM时代发明的详细的、战术性的问题；
12. 足够清晰，指导性够强，包管评估计划可复用（也就是说，其他评估团队举行后续评估也会产出相同效果）。
1.6 基于评估标准评估ISCM项目
ISCM项目评估计划包括一个框架，用于评估职员对评估要素做出判断。本节概述了判断的类型和方法。
关于ISCM项目的某一方面（如ISCM战略或ISCM输出/报告），凭证相关评估要素举行评估。关于每个评估要素，评估职员选取预界说的判断值，做出判断。判断值示例见下文。
关于ISCM项目评估规模内的评估要素集，所有要素都要举行判断。有关ISCM项目的评估规模，见2.3.2节。
图3显示了使用可用信息对评估要素举行判断的历程。
图3：判断历程
1.7 在特定危害治理级别评估ISCM项目
凭证组织的规模和重大性，可以从多方面（如多个使命/营业流程和/或系统）网络ISCM项目评估信息，对其举行剖析和汇总，最后形成简单组织危害治理级别的单个判断。多个评估职员可以就组织的某一部分（如单个使命/营业流程、单个系统）输出多个评估效果。
关于统一危害治理级别的多个ISCM项目评估（由多个评估职员举行），组织或评估职员决议怎样将统一评估要素的多个判断举行合并。例如，若是评估职员划分接触各使命/营业流程，则可能会对统一评估要素做出多次判断。漫衍式自评也是云云（见2.3.1节）。一个危害治理级别的评估效果可能保存显著差别。关于某一组织危害治理级别，可用如下要领将判断举行合并：
· 最坏情形：接纳最坏情形的判断（下限）作为最终效果。
· 少数听从大都：将大都人的判断作为最终效果。若是两种判断势均力敌，则依据预界说规则来确定最终效果（例如，平手时接纳最坏情形判断）。
· 评估职员确定：评估职员思量所有因素，凭证履历做出判断。
各评估要素按上述原则在对应危害治理级别划分举行判断。
1.8 跨危害治理级别评估ISCM项目
SP800-137先容了三个危害治理级别怎样就ISCM的各个方面协同事情。凭证组织的结构以及组织级和系统级ISCM战略的实现方法，这些看法会适用于一个或两个级别（通常是相邻级别）或所有三个级别。因此，每个评估要素都会在一个或多个级别上举行评估。例如，一个要素可能只在级别1举行评估，而另一个要素则可能在级别1和级别2都要举行评估。关于每个要素，不管涉及几个级别，都要将多个评估效果举行合并，最终形成唯一的判断效果。
当两个或三个级别的判断需要举行合并以获得最终效果时，需要有要领、规则或算法来包管这种操作有统一的标准可循。本文档并未提供合并判断的要领，各组织可凭证需要建设自己的合并机制。
每个相关级别都要举行一次或多次评估。如2.2.8节所述，在每个级别将效果合并为简单判断。然后，凭证组织界说的规则，将各级别的效果举行调解，形成唯一判断。例如，要合并各级别评估效果，可基于后文三个表格中的其中一个决议矩阵接纳如下规则：
规则1：若是评估要素只适用于单个级别，则该级别的判断作为该要素的最终判断。
规则2：若是评估要素适用于两个级别，则使用表1、表2或表3中的决议矩阵。
规则3：若是评估要素适用于所有三个级别，则：
a. 对2级和3级应用规则2；然后
b. 对级别1应用规则2和规则3a的应用效果。
表1：合并两个级别的判断（无倾向）
表2提供了涉及两个级别的另一种决议矩阵，该矩阵倾向于高级别，能或许反应组织的营业情形。该例中，规则2和规则3没有转变；可是，不管应用哪种规则，效果都与表1矩阵差别。
表2：合并两个级别的判断（倾向于高级别）
表3提供了涉及两个级别的第三种决议矩阵，该矩阵倾向于初级别，更靠近组织的现真相形。该例中，规则2和规则3没有转变；可是，不管应用哪种规则，效果都与表1和表2矩阵差别。
表3：合并两个级别的判断（倾向于初级别）
1.9 评分
评估分数体现ISCM能力对目的的知足水平，反应组织的危害情形�；谄拦酪刈龀雠卸虾缶傩衅婪�，用数值形貌判断，最后得出评估效果。为每个判断值分派分数，再基于各评估要素分值盘算组织的最终分数�；谎灾�，评估得分是所有要素判断得分的总和。
基于该分数，组织向导可就ISCM项目做出明智决议，确定怎样优化组织资源设置，以便刷新项目，降低危害。评分操作非必选项，可与2.2.7节中讨论的二元和多级判断类型团结使用�？山橹腎SCM项目评估分数汇总，盘算出整个组织的最终分数。
ISCM项目评估实验
ISCM项目评估的主要目的是为组织提供ISCM项目刷新建议，从而治理和降低组织所面临的危害。ISCM项目评估历程有多种形貌要领，包括评估类型和评估职员类型、评估深度和一连时间以及预期评估效果。
ISCM项目评估有两种方法：第三方评估和自评。
第三方评估：第三方评估由自力于被评估组织的第三方评估职员举行，分为以下两种情形：
· 外部职员 – 评估职员来自自力的外部组织。
· 内部职员 – 评估职员属于组织，但就评估使命而言，自力于被评估组织实体。
第三方评估通常要组织多次访谈，按以下方法举行：讨论加入者的回覆，得出并纪录告竣一致的效果，例如由评估职员将效果输入工具或效果库。
自评：自评由被评估组织或子组织的内部职员举行，包括漫衍式评估和指导式评估。自评要求对目的形成客寓目法，这样才华在ISCM项目开发早期展现整个或局部组织的ISCM能力的缺乏之处。
自评可漫衍式举行，要领如下：
· 多名加入者在一名内部员工的向导下同时评估各要素；
· 加入者将一组评估职员的判断直接输入到工具或库中（纷歧定同时），然后无需讨论就可以手动或通过工具（或半自动程序）盘算最终效果。
指导式评估中，一名具有专业领域知识的员工或团队指导小组讨论，然后告竣一致并纪录下来（例如，将回覆输入工具或效果库）。
就流程阶段而言，ISCM项目评估的规模很无邪。评估可以在任何阶段或逻辑阻止点阻止，可以评估局部组织而不是整个组织。ISCM项目评估在评估规模方面具有以下特征：
· ISCM“界说”阶段不可省略，以确保ISCM的基础获得评估。
· ISCM项目评估逐步举行，可在任一阶段后随时阻止。例如，评估可以：
o 终止于“界说”阶段（重点评估ISCM项目战略）；
o 终止于“立项”阶段（重点评估ISCM项目设计）；
o 终止于“实验”阶段（重点评估ISCM项目实验）；
o 跳过“回首/更新”阶段（历程刷新阶段，在较成熟的ISCM项目中举行）；或
o 包括所有阶段（完整ISCM项目评估）。
举行ISCM项目评估的目的是改善组织的清静态势，降低危害。为此，ISCM项目评估要输出具有可操作性的建议，从各方面刷新ISCM项目，包括设计、实验、运营和治理等。ISCM项目评估的主要输出是视察效果报告，该报告要提交给组织，包括以下内容（如适用）：
· 先容信息和配景质料（例如评估历程概述）；
· 详细的记分卡（若使用评分）和/或概述组织ISCM项目有用性的其他形式的内容；
· 凭证评估标准认定的实验效果优异的特定ISCM领域；
· 可以刷新的特定ISCM领域；
· 刷新ISCM的详细建议以及凭证这些建议刷新ISCM记分卡的详细要领。
别的，被评估组织的员工可单独出具一份评估情形报告提交给评估机构，以便刷新ISCM项目评估历程。
下次连载将先容ISCM项目评估的组成部分和总体评估流程。
