[NIST] 002 NIST CSF 2.0 完整指南：用夜市攤販的角度理解企業資安框架

前言：為什麼你需要認識 NIST CSF？

想像一下，你在饒河夜市經營一個滷味攤。你會擔心什麼？

• 有人偷走你的獨家滷汁配方（機密性）
• 有人偷偷在你的滷汁裡加料（完整性）
• 攤位突然停電無法營業（可用性）

企業的資訊安全，其實就跟你守護滷味攤一樣！而 NIST CSF（Cybersecurity Framework，網路安全框架） 就是美國國家標準暨技術研究院（NIST）提供的一套「攤位防護指南」，告訴你應該從哪些面向來保護你的數位資產。

💡 小知識：NIST CSF 2.0 於 2024 年 2 月發布，是自 2014 年首版以來最重大的更新，新增了「治理（GOVERN）」功能，強調資安不只是 IT 部門的事，而是整個組織的責任。

什麼是 NIST CSF？

NIST CSF 是一套高階的網路安全成果分類架構，幫助任何組織——不論規模大小、產業類型或資安成熟度——都能夠：

1. 理解 自身的資安風險
2. 評估 目前的資安狀態
3. 排序 應該優先處理的事項
4. 溝通 內外部的資安需求

CSF 的三大核心元件

CSF 核心：六大功能詳解

NIST CSF 2.0 將資安工作分成六大功能（Functions），就像經營攤位的六個面向：

🎯 功能一覽圖

        ┌─────────┐
        │ 治理 GV │ ← 新增！在中心統籌一切
        └────┬────┘
             │
    ┌────────┼────────┐
    │        │        │
┌───▼───┐ ┌──▼──┐ ┌──▼───┐
│識別 ID│ │保護 │ │偵測  │
│       │ │ PR  │ │ DE   │
└───────┘ └─────┘ └──────┘
    │        │        │
    └────────┼────────┘
             │
    ┌────────┼────────┐
    │                 │
┌───▼───┐         ┌──▼───┐
│回應 RS│         │復原  │
│       │         │ RC   │
└───────┘         └──────┘

1️⃣ 治理 GOVERN（GV）- 老闆的經營哲學

定義：建立、溝通並監控組織的資安風險管理策略、期望與政策。

這是 CSF 2.0 新增的功能，強調資安必須從高層開始重視。

夜市比喻：

• 老闆決定「食安第一」的經營理念
• 規定所有員工都要戴手套、圍裙
• 定期檢查是否有人違規

包含類別：

2️⃣ 識別 IDENTIFY（ID）- 盤點你的家當

定義：了解組織目前的資安風險。

夜市比喻：

• 列出攤位有什麼值錢的東西（食材、設備、秘方）
• 了解誰是供應商、誰是常客
• 評估可能遇到的風險（小偷、食安問題、天災）

包含類別：

3️⃣ 保護 PROTECT（PR）- 裝好門鎖和監視器

定義：使用防護措施來管理組織的資安風險。

夜市比喻：

• 裝鐵門、監視器
• 員工訓練：怎麼辨識假鈔、怎麼處理可疑人物
• 把秘方鎖在保險箱

包含類別：

4️⃣ 偵測 DETECT（DE）- 發現小偷來了

定義：發現並分析可能的資安攻擊與入侵。

夜市比喻：

• 監視器發現有人在攤位外徘徊
• 收銀機發現異常交易
• 員工回報可疑情況

包含類別：

5️⃣ 回應 RESPOND（RS）- 抓到小偷怎麼辦

定義：對已偵測到的資安事件採取行動。

夜市比喻：

• 抓住小偷、報警
• 通知其他攤販注意
• 清點損失

包含類別：

6️⃣ 復原 RECOVER（RC）- 重新開張營業

定義：恢復受資安事件影響的資產與營運。

夜市比喻：

• 修復被破壞的設備
• 補充被偷的食材
• 告訴客人「我們已經恢復營業」

包含類別：

CSF 組織概況（Profile）：你的資安健檢報告

組織概況（Profile） 是用 CSF Core 的成果來描述組織資安狀態的工具。

兩種概況類型

建立組織概況的五步驟

步驟 1：界定範圍
    ↓
步驟 2：蒐集資訊
    ↓
步驟 3：建立概況
    ↓
步驟 4：分析差距並建立行動計畫
    ↓
步驟 5：執行計畫並更新概況
    ↓
  (重複循環)

💡 實務建議：可以參考 NIST 提供的「社群概況（Community Profile）」，這是針對特定產業或情境預先建立的概況範本，例如製造業、醫療業等。

CSF 成熟度層級（Tiers）：你的攤位等級

成熟度層級 用來描述組織資安風險治理與管理的嚴謹程度。

四個層級說明

⚠️ 注意：層級不是「分數」，不是每個組織都需要達到 Tier 4。應該根據組織的風險狀況與成本效益來選擇適當的層級。

NIST CSF 與 SSDF 的關係：從「經營攤位」到「製作滷汁」

前面我們用「經營夜市攤位」來比喻 NIST CSF，它關注的是整體營運的資安。

但如果你是自己開發滷汁配方的攤販呢？這時候就需要另一套指南——NIST SSDF（Secure Software Development Framework，安全軟體開發框架）。

兩者的比較

SSDF 的四大實務群組

在 CSF 中如何整合 SSDF？

CSF 2.0 的 PR.PS-06 子類別明確提到：

「安全軟體開發實務已整合，且其效能在整個軟體開發生命週期中受到監控。」

這表示如果你的組織有開發軟體，應該：

1. 在 GOVERN 階段：將安全開發納入組織政策
2. 在 IDENTIFY 階段：識別開發環境中的風險
3. 在 PROTECT 階段：實施 SSDF 的安全開發實務
4. 在 DETECT 階段：監控軟體弱點
5. 在 RESPOND/RECOVER 階段：處理已發現的弱點

實務整合範例

假設你是一家金融科技公司，同時需要：

┌─────────────────────────────────────────────────┐
│                 企業層級（CSF）                  │
│  ┌─────────────────────────────────────────┐   │
│  │            組織資安治理 (GV)              │   │
│  │  - 董事會資安責任                         │   │
│  │  - 資安政策制定                           │   │
│  │  - 供應鏈風險管理                         │   │
│  └─────────────────────────────────────────┘   │
│                       │                         │
│  ┌────────────────────▼────────────────────┐   │
│  │         開發團隊層級（SSDF）             │   │
│  │  ┌─────────┐ ┌─────────┐ ┌─────────┐   │   │
│  │  │ 準備組織 │ │ 保護軟體 │ │產出安全 │   │   │
│  │  │   (PO)  │ │   (PS)  │ │軟體(PW) │   │   │
│  │  └─────────┘ └─────────┘ └─────────┘   │   │
│  │              ┌─────────┐               │   │
│  │              │回應弱點 │               │   │
│  │              │  (RV)   │               │   │
│  │              └─────────┘               │   │
│  └─────────────────────────────────────────┘   │
└─────────────────────────────────────────────────┘

如何開始使用 NIST CSF？

給新手的起步建議

第一步：了解組織現況

• 你們有哪些重要的數位資產？
• 目前有什麼資安措施？
• 過去發生過什麼資安事件？

第二步：選擇適合的起點

第三步：善用 NIST 資源

NIST 提供許多免費資源：

• 快速入門指南（QSG）：針對特定主題的簡短指引
• 資訊參考（Informative References）：與其他標準的對照表
• 實作範例（Implementation Examples）：具體的實作建議
• 社群概況（Community Profiles）：產業別的概況範本

🔗 資源連結：NIST CSF 官方網站

常見問題 FAQ

Q1：NIST CSF 是強制性的嗎？

A：對美國聯邦機構有強制性，但對一般企業是自願採用。不過，許多產業法規（如金融業、醫療業）會參考或要求遵循 CSF。

Q2：我們公司很小，也需要用 CSF 嗎？

A：CSF 設計上適用於任何規模的組織。小公司可以從核心的成果開始，選擇最相關的項目實施。

Q3：CSF 和 ISO 27001 有什麼不同？

許多組織會同時使用兩者，用 CSF 做策略規劃，用 ISO 27001 做驗證。

Q4：從 CSF 1.1 升級到 2.0 要注意什麼？

A：主要變化包括：

• 新增 GOVERN 功能
• 強化供應鏈風險管理
• 更新子類別編號（部分有變動）
• 新增線上工具與資源

NIST 有提供升級指南，建議詳細閱讀。

結語：資安是一趟旅程，不是終點

NIST CSF 不是一份勾選完就結束的清單，而是一套持續改善的方法論。

就像夜市攤販不會因為今天生意好就停止進步，你的組織資安也需要：

• 📊 定期評估現況
• 🎯 設定合理目標
• 🔄 持續改善流程
• 👥 全員參與投入

從今天開始，用 NIST CSF 的思維來看待你的組織資安吧！

延伸閱讀

• NIST CSF 2.0 官方文件
• NIST SSDF 1.1 官方文件

[NIST] 001 軟體開發也要穿防彈衣？一次搞懂 NIST SSDF 安全開發框架

「寫程式就寫程式，還要管什麼資安？」如果你還這樣想，那可能要小心了！現在的軟體開發，沒有做好安全防護，就像開店沒裝監視器一樣危險。今天就用最生活化的方式，帶你認識 NIST SSDF（安全軟體開發框架）！

什麼是 NIST SSDF？用便當店來解釋！

想像你要開一間便當店，你不會只顧著炒菜，對吧？你還需要：

• 👨‍🍳 訓練員工 怎麼安全使用刀具和瓦斯
• 🔒 保護食材 不被偷或污染
• 🍱 確保便當品質 衛生又好吃
• 📞 處理客訴 萬一有人吃壞肚子要怎麼辦

NIST SSDF 就是把這套邏輯用在軟體開發上！它是由美國國家標準暨技術研究院（NIST）發布的 SP 800-218 文件，告訴你怎麼從頭到尾把軟體寫得「安全」。

SSDF 的核心精神：左移（Shift Left）

傳統做法是寫完程式再找漏洞，就像便當做好才檢查有沒有蟑螂 🪳（已經太晚了！）

左移的概念是：越早處理安全問題，成本越低。就像買菜時就挑新鮮的，比煮完發現爛掉好太多了！

SSDF 四大實務領域：用便當店來比喻

SSDF 把安全開發分成四大區塊，我們繼續用便當店來解釋：

🏢 PO（Prepare the Organization）：準備好你的組織

便當店版本： 開店前的準備工作

程式開發實例：

✅ 制定安全編碼規範（Coding Standard）
✅ 指派資安負責人（Security Champion）
✅ 導入 SAST/DAST 工具
✅ 設定 CI/CD Pipeline 的安全檢查點
✅ 開發環境與正式環境要隔離

🔐 PS（Protect the Software）：保護你的軟體

便當店版本： 保護你的食材和配方

程式開發實例：

✅ 程式碼存放在私有 Git Repository
✅ 使用 Code Signing 簽署發布檔案
✅ 產生 SBOM（軟體物料清單）
✅ 保存每次 Release 的完整紀錄

什麼是 SBOM？

就像便當的成分標示一樣！SBOM 會列出軟體裡用了哪些套件、版本是什麼，萬一某個套件出事，你可以馬上知道自己有沒有用到。

⚙️ PW（Produce Well-Secured Software）：生產安全的軟體

便當店版本： 做出安全好吃的便當

程式開發實例：

✅ 做威脅建模（Threat Modeling）
✅ 使用經過驗證的加密函式庫
✅ 執行 Code Review
✅ 跑 SAST（靜態掃描）和 DAST（動態掃描）
✅ 輸入驗證、輸出編碼
✅ 預設啟用 HTTPS、停用 Debug 模式

小提醒：常見的安全編碼原則

🚨 RV（Respond to Vulnerabilities）：回應漏洞

便當店版本： 客訴處理與危機應變

程式開發實例：

✅ 建立漏洞通報管道（VDP）
✅ 訂閱 CVE 資料庫更新
✅ 定期執行弱點掃描
✅ 建立 PSIRT（產品安全事件應變小組）
✅ 做 Root Cause Analysis（根因分析）

實際案例：從零開始導入 SSDF

假設你是一間新創公司的工程師，老闆說要導入 SSDF，你可以這樣做：

第一步：盤點現況（PO）

□ 公司有沒有安全編碼規範？
□ 有沒有人負責資安？
□ 開發環境和正式環境有隔離嗎？
□ 有在用什麼安全工具嗎？

第二步：保護程式碼（PS）

□ 程式碼是不是放在私有 Repository？
□ 有沒有做 Code Signing？
□ 知道專案用了哪些第三方套件嗎？

第三步：建立安全開發流程（PW）

□ 有沒有做威脅建模？
□ 有沒有執行 Code Review？
□ CI/CD 有跑安全掃描嗎？
□ 預設設定是安全的嗎？

第四步：準備回應機制（RV）

□ 外部人員發現漏洞怎麼通報？
□ 內部發現漏洞怎麼處理？
□ 有沒有做過資安演練？

SSDF 對照表：讓你一目瞭然

常見問題 FAQ

Q1：SSDF 是強制性的嗎？

對於一般企業，SSDF 是自願採用的最佳實務。但如果你要賣軟體給美國聯邦政府，根據行政命令 EO 14028，就需要符合 SSDF 的要求。

Q2：小公司也需要導入 SSDF 嗎？

SSDF 是可擴展的！你不需要一次做完所有項目。可以根據公司規模和風險程度，挑選最重要的項目先做。

Q3：SSDF 和 ISO 27001 有什麼不同？

兩者可以互補，SSDF 可以作為 ISO 27001 在軟體開發領域的細部實作指南。

Q4：有什麼工具可以幫助導入 SSDF？

總結：讓安全成為習慣

NIST SSDF 不是要讓你的開發流程變得更複雜，而是要讓安全成為開發的一部分。就像便當店把衛生習慣內化到日常作業一樣，當安全變成習慣，就不會覺得麻煩了。

記住這四個關鍵字：

1. 準備（PO）：人員、流程、工具都要到位
2. 保護（PS）：程式碼和發布物要保護好
3. 生產（PW）：每個環節都要考慮安全
4. 回應（RV）：出問題要有應變能力

現在就開始檢視你的開發流程，看看哪些地方可以「左移」改善吧！

延伸閱讀

• NIST SP 800-218 官方文件
• OWASP Secure Coding Practices
• DevSecOps 入門指南