数字化时代下的网络安全战略框架系列之四

CSF: 一个全面的网络安全战略框架

德勤网络安全战略框架（CSF）是一种以业务为导向、基于威胁管理网络安全战略的平台。 CSF是德勤在网络安全战略方面进行了四年多的研究和投资的结果，并且采用了成熟的方法来确定企业网络安全的当前能力和目标成熟度，并提出了改进企业内部和整体网络安全弹性的建议。CSF是如何解决内部或外部投资利益相关方的疑虑，并且给企业带来真正好处呢？

CEO：“我在新闻中读到了网络钓鱼。 我们有这种风险吗？”

与他们讨论CSF的总体方法，CSF如何从明确当前成熟度到给出建议，以及需要采取的不同步骤。向他们展示当前网络安全成熟度和目标成熟度的仪表盘，得到目前的安全能力是否有短板，以至于不能抵御网络钓鱼，并提供给他们总体的投资成本以及长期可以达成的收益信息。

董事会成员：“我们对这些网络攻击的抵御能力是什么？”

通过阐释CSF中记录的所有关键信息资产，来获取可能受到攻击的资产以及位置的整体视图。告知他们正在采取措施提高这些关键资产的抵御能力。

CIO/CISO：“我需要投入多少资金来优化我的网络能力？”

网络安全能力成熟度以及路线图，这些有针对性的方法使CSF可以帮助识别组织中哪些投资是最有效的。CSF将使他们清楚地了解组织的安全能力状况。

业务部门：“与我的业务相关的网络威胁是什么？

通过跨多个业务部门进行评估，我们可以突出显示哪些能力与哪个业务单元相关联。有针对性的建议可以提供增加业务部门网络弹性。

综上，CSF是适应每一家公司的解决方案，并且可以根据企业风险偏好，定制化平台评估内容，以适应不断变化的公司网络安全战略和行业安全动态。不仅可以帮助公司保护自己免受网络安全威胁，还可以与其实现转型（即数字化）的关键业务目标保持一致，并为客户提供最好的服务。

如何持续提升网络安全

在了解自身整体网络安全能力，并且识别到企业目前急需保护的数字化资产时，如何利用企业资源执行网络安全建设工作？换言之，在知晓我们的当前能力以及安全领域的薄弱之处，如何制定计划去实现网络安全建设目标，如何将这些计划拆解成可执行的具体工作步骤？以及如何监督并检验整改计划是否真正生效？

CSF作为一个成熟的网络安全战略框架，得益于如下几个方面：

制定路线图

在意识到企业的整体网络安全差距之后，定义项目并制定战略路线图以实现目标成熟度，并制定管理报告，成为网络安全建设的终极目标，CSF平台为客户提供定制化的项目管理的功能：

• 在考虑优先级的前提下，分析并将单独的建议组合为各个不同的项目。
• 为每个已识别的项目定义项目属性，其中包括：关键活动，目标，成本，要求，成功标准，所有者，里程碑等信息。
• 确定和记录项目的优先级并定义实施时间表、里程碑和关联关系。
• 在总体战略路线图中实现项目进度和管理的可视化，使得组织能够在给定的时间范围内实现所期望的目标成熟度。

整改计划执行成果检验

CSF作为网络安全领域中一个成熟的平台，了解到在路线图中的项目具体执行之前，管理层可能会对某些项目的收益产生疑虑，故CSF相应提供了“What If分析”功能。该功能可用于模拟项目配置中定义的项目将对整体网络弹性产生的影响，这也意味着用户可以提前验证投资特定能力的好处。

另外，“提升效果”功能允许用户快速识别对组织整体网络弹性水平贡献最大的能力。然后可以利用此信息来确定特定差距、建议或项目的优先级，并估算特定项目对能力成熟度和整体网络弹性产生的影响。

在整改项目运行过程中，管理者可以通过CSF的Roadmap功能，随时掌握项目进展动态，以便得到整改计划的整体执行情况，若有任何异常情况，则可随时调整项目的执行或者资源的投入。更重要的是，CSF平台还提供了网络成熟度的校验功能，此功能意味着在整改实施完毕之后，通过CSF平台重新评估企业的网络安全成熟度，则可以得到和首次评估的得分差距，以此差距结果作为网络安全建设和整改的可行性、有效性和收益性的依据，来帮助管理层意识到网络安全建设对企业而言，可以起到真正的保驾护航作用。

案例分析

CSF作为一个可以管理整个网络安全建设的平台，在某企业根据目前的网络安全成熟度制定了路线图之后，也为管理层提供了相应的项目管理功能。

其中包括提供路线图和项目进度管理报告的功能，例如里程碑功能可以让管理者随时掌握项目动态，以及资金和项目人员的分配情况，这样可以保证网络安全工作的资源调配和顺利推进。

在各个整改项目实施完毕之后，可以通过重新评估来验证这些项目是否真正在提高企业网络安全能力上发挥了作用。对比整改前后的成熟度全景图，如果我们发现有一些领域还在保持原有水平，这时管理层以及网络安全部门可以通过总结和反思，重新制定整改计划，以实现企业的全面安全防御。

此外，CSF还提供报告引擎功能，平台已经在后台配置了完善的管理层汇报模板。平台操作人员可以从不同能力模式或者内容（网络安全成熟度，路线图，项目管理，风险偏好等），下载已经根据平台实际数据填充完毕的报告，省去大量收集汇报材料的时间和繁琐的整理程序。

结语

为了评估组织的网络安全能力 - 我们首先需要知道我们需要评估的内容。德勤网络安全能力模型基于这样一种理念，即组织不仅要抵御网络威胁，还要保持警惕和弹性，并拥有足够的管理手段来确保业务价值的持续性。

CSF可以为企业提供最好的并且可定制化的服务，以满足其特定需求。它也是一种独特的解决方案，可以满足每个内部或外部利益相关方的需求。