美国国家标准与技术研究院 (NIST) 网络安全框架 (CSF)

  • 项目

NIST CSF 概述

美国国家标准与技术研究院 (NIST) 促进和维护测量标准和指导，以帮助组织评估风险。 为响应关于加强联邦网络和关键基础设施网络安全的第 13636 号行政命令，NIST 于 2014 年 2 月发布了《改善关键基础设施网络安全 (FICIC) 框架》。

FICIC main优先事项是建立一套标准和做法，以帮助组织管理网络安全风险，同时提高业务效率。 NIST 框架解决了网络安全风险，而不会对政府和私营部门组织施加额外的监管要求。

FICIC 引用了全球公认的标准，包括 NIST SP 800-53，该标准位于 NIST 改进关键基础结构网络安全框架的附录 A 中。 FICIC 框架中的每个控件映射到 FedRAMP 中等基线中的相应 NIST 800-53 控件。

Microsoft 和 NIST CSF

NIST 网络安全框架 (CSF) 是一个自愿框架，由管理网络安全相关风险的标准、准则和最佳做法组成。 Microsoft 云服务已接受独立的第三方 FedRAMP 中等基线和高基线审核，并根据 FedRAMP 标准进行了认证。 此外，通过 HITRUST（一家领先的安全和隐私标准开发和认证组织）执行的验证评估，Office 365通过了 NIST CSF 中指定的目标认证。

了解如何使用合规性管理器和 Azure 安全性和合规性蓝图加速 NIST 网络安全框架部署：

Microsoft 范围内的云平台和云服务

  • Azure 政府
  • 政府Dynamics 365
  • Office 365

Azure、Dynamics 365 和 NIST CSF

有关 Azure、Dynamics 365和其他联机服务合规性的详细信息，请参阅 Azure NIST CSF 产品/服务。

Office 365 和 NIST CSF

Office 365环境

Microsoft Office 365 是一个多租户超大规模云平台，同时面向全球多个区域的客户提供应用和服务的集成体验。 大多数 Office 365 服务使客户能够指定其客户数据所在的区域。 Microsoft 可能会将客户数据复制到同一地理区域（例如，美国）中的其他区域，以实现数据复原，但 Microsoft 不会在所选地理区域之外复制客户数据。

本部分介绍以下Office 365环境：

  • 客户端软件（客户端）：客户设备上运行的商业客户端软件。
  • Office 365（商业）：全球范围内提供的商业公共 Office 365 云服务。
  • Office 365 政府社区云 (GCC)：Office 365 GCC 云服务适用于美国联邦、州、地方、部落政府，以及代表美国政府持有或处理数据的承包商。
  • Office 365 政府社区云 - 高 (GCC High)：Office 365 GCC High 云服务根据美国国防部 (DoD) 安全要求准则级别 4 控件进行设计，并支持严格监管的联邦和防御信息。 联邦机构、国防工业基地 (DIB) 和政府承包商使用此环境。
  • Office 365 DoD (DoD)：Office 365 DoD 云服务根据 DoD 安全要求准则级别 5 控件进行设计，并支持严格的联邦和防御法规。 此环境供美国国防部专用。

使用本部分可帮助你跨受监管行业和全球市场履行合规性义务。 若要了解哪些服务在哪些区域可用，请参阅国际可用性信息和 Microsoft 365 客户数据的存储位置文章。 有关 Office 365 政府版云环境的详细信息，请参阅 Office 365 政府云文章。

你的组织完全负责确保遵守所有适用的法律和法规。 本节中提供的信息不构成法律建议，你应咨询法律顾问，以了解有关组织法规合规性的任何问题。

Office 365 适用性和范围内的服务

使用下表确定 Office 365 服务和订阅的适用性：

适用性 范围内服务
商业 活动源服务、必应服务、Delve、Exchange Online、智能服务、Microsoft Teams、Office 365客户门户、Office Online、Office 服务基础结构、Office 使用情况报告、OneDrive for Business、人员卡、SharePoint OnlineSkype for Business、Windows Ink

Office 365审核周期和认证

Office 365的 NIST CSF 认证有效期为两年。

常见问题解答

独立评估者是否已验证Office 365是否支持 NIST CSF 要求？

是的，Office 365于 2019 年 7 月从 HITRUST 获得了 NIST CSF 认证书。

Microsoft 云服务如何证明框架符合性？

使用由第三方为 FedRAMP 认证准备的正式审核报告，Microsoft 可以显示这些报告中记录的相关控制如何证明符合 NIST 框架以改进关键基础结构网络安全。 由 Microsoft 实施的审核控制措施旨在确保 Azure、Office 365以及已确定为 Microsoft 责任的Dynamics 365存储、处理和传输的数据的机密性、完整性和可用性。

Microsoft 在保持遵守此计划方面有哪些责任？

参加FICIC是自愿的。 但是，Microsoft 确保Office 365符合在线服务条款和适用的服务级别协议中定义的条款。

是否可以将 Microsoft 合规性用于我的组织？

能。 针对 FedRAMP 标准的独立第三方合规性报告证明 Microsoft 为维护 Microsoft 云服务安全和隐私而实施的控制措施的有效性。 Microsoft 客户可以使用这些相关报表中所述的审核控制措施，作为其自己的 FedRAMP 和 NIST FICIC 风险分析和限定工作的一部分。

美国政府认为哪些组织是关键基础设施？

据 国土安全部称，这些部门包括以下部门的组织：化学、商业设施、通信、关键制造、大坝、国防工业基地、应急服务、能源、金融服务、粮食和农业、政府设施、医疗保健和公共卫生、信息技术、核 (反应堆材料和废物) 、运输系统以及水 (和废水) 。

为什么某些Office 365服务不在此认证范围内？

与其他云服务提供商相比，Microsoft 提供最全面的产品/服务。 为了跟上我们跨区域和行业的广泛合规性产品/服务，我们根据市场需求、客户反馈和产品生命周期将服务纳入保障工作范围。 如果服务未包含在特定合规性产品/服务的当前范围内，则组织有责任根据合规性义务评估风险，并确定在该服务中处理数据的方式。 我们不断收集客户的反馈，并与监管机构和审核员合作，扩大我们的合规性范围，以满足你的安全性和合规性需求。

使用 Microsoft Purview 合规性管理器评估风险

Microsoft Purview 合规性管理器是Microsoft Purview 合规门户中的一项功能，可帮助你了解组织的合规性状况，并采取措施来帮助降低风险。 合规性管理器提供了一个高级模板，用于对此法规建立评估。 在合规性管理器的“评估模板”页面中找到模板。 了解如何在合规性管理器中建立评估。

资源