NIST 网络安全框架 2.0 2.0

通过评估识别改进点 标准： 示例1：对关键服务进行自我评估，考虑当前的威胁和战术、技术及程序（TTPs） 示例2：投资于第三方评估或独立审计，以评估组织网络安全计划的有效性，从而识别需要改进的领域 示例3：通过自动化不断评估对选定网络安全要求的合规性交配的意思

改进是通过执行运营流程、程序和活动识别的 标准：示例1：与供应商开展协作的经验教训总结会议 | 示例2：每年审核网络安全政策、流程和程序，以吸取经验教训 | 示例3：使用指标评估运营网络安全绩效随时间的变化

针对事件响应的计划和其他影响运营的网络安全计划已被制定、传达、维护并改进 标准：示例1：制定应急计划（例如, 事件响应、业务连续性、灾难恢复) 用于应对和恢复可能干扰运营、暴露机密信息或以其他方式危及组织使命和生存能力的不利事件 | 示例2：在所有应急计划中包含联系和沟通信息、处理常见情况的流程，以及优先级、升级和提升的标准 | 示例3：制定漏洞管理计划，以识别和评估所有类型的漏洞，并对风险应对进行优先排序、测试和实施 | 示例4：向负责执行的人员和受影响的各方传达网络安全计划（包括更新） | 示例5：每年审查和更新所有网络安全计划，或在发现需要重大改进时进行更新

从安全测试和演练中（包括与供应商及相关第三方协调进行的测试和演练）识别改进措施 标准：例如：根据事件响应评估的结果识别未来事件响应活动的改进措施（例如、桌面演练和模拟、测试、内部审查、独立审计）| 示例2：根据与关键服务提供商和产品供应商协调进行的演练，识别未来业务连续性、灾难恢复和事件响应活动的改进措施 | 示例3：涉及内部利益相关者（例如高级管理人员、法务部门、人力资源部门) 在安全测试和演练中适当参与 | 示例4：执行渗透测试，以识别机会，改善经领导批准的高风险系统的安全状态 | 示例5：演练应急计划，以应对和恢复发现产品或服务不是由签约供应商或合作伙伴提供，或在收到前已被更改的情况 | 示例6：使用安全工具和服务收集和分析性能指标，以为网络安全计划的改进提供依据