「請說明貴公司的資安做法如何對應 NIST CSF。」這類問題可能出現在海外客戶的供應商問卷、母公司的年度自評表，或稽核訪談中。NIST 網路安全框架（Cybersecurity Framework，CSF）是美國國家標準暨技術研究院（NIST）發布的資安風險管理框架，列出組織應該達成的資安「成果」，但不規定用什麼方法達成[1]。NIST 不是主管機關，多數組織是自願採用；不過美國聯邦機構依行政命令必須使用，也有企業要求客戶或供應鏈採用 CSF[2]，台灣企業因此也會在客戶或母公司的要求裡遇到它。

這篇寫給一再聽到「NIST CSF」、想弄懂它是什麼，又不想為此發動大型顧問專案的主管與 IT 負責人：先說明 2.0 版的定位與架構，再談組織剖繪與層級怎麼用、和 ISO 27001 怎麼搭配，最後以一家 50 到 300 人的公司為例，說明如何在 12 個月內跑完第一輪。

CSF 2.0 是什麼，和 1.1 版差在哪

NIST 在 2024 年 2 月 26 日發布 CSF 2.0，文件編號 NIST CSWP 29[1]，這是框架 2014 年問世以來第一次大改版[3]。CSF 2.0 設計給任何規模、產業與成熟度的組織使用，可以自願採用，也可能透過政府政策或規定被要求採用[1]。和 1.1 版相比，最重要的兩個變化是：

  • 對象從關鍵基礎設施擴大到所有組織：2.0 版以前，框架的名稱是「改善關鍵基礎設施網路安全框架」（Framework for Improving Critical Infrastructure Cybersecurity），2.0 版不再使用這個名稱[1]。NIST 說明，CSF 2.0 明確以協助所有組織為目標，不再只鎖定原本的關鍵基礎設施[3]。
  • 新增「治理」（Govern）功能：在原有的識別、保護、偵測、回應、復原五個功能之外新增治理，成為六大功能[3]。NIST 解釋，過去治理活動放在識別功能裡，看不出治理如何支撐整個資安計畫；把設定風險容忍度、定義角色與責任、建立政策等活動獨立出來，能讓資安工作和企業風險管理及法律義務更一致[2]。

其他結構調整包括：識別功能中的營運環境、風險管理策略與供應鏈風險管理移到治理（成為 GV.OC、GV.RM、GV.SC），識別新增「改善」（ID.IM）類別，保護新增「平台安全」（PR.PS）與「技術基礎設施韌性」（PR.IR）類別，回應則改以涵蓋範圍較廣的「事件管理」（RS.MA）為主[2]。1.1 版的內容沒有被刪除，只是移到 2.0 版的新位置[2]。

CSF 2.0 有一份中文官方譯本《NIST 網路安全框架(CSF) 2.0》，封面註明由經濟部標準檢驗局翻譯、經 NIST 授權，屬美國政府官方譯本[4]。譯本把六大功能譯為治理、識別、保護、偵測、回應、復原，Profile 譯為「剖繪」，Tier 譯為「層級」[4]，本文沿用這些用語，方便讀者對照。

2026 年 11 月的現況：本體仍是 2.0，配套資源持續增加

NIST 的 CSF 更新紀錄中，2025 到 2026 年的項目都是配套資源，沒有新版的框架本體[5]。今年正式發布的包括《資訊性參考快速入門指南》（SP 1347，2026 年 8 月）[6]，以及勒索軟體風險管理的 CSF 2.0 社群剖繪（NIST IR 8374 Rev. 1）[5]。下列文件仍是草案，內容可能改變，不要當成定稿引用：

  • 人工智慧資安剖繪（Cyber AI Profile）：初步草案（preliminary draft），NIST 在 2026 年持續舉辦工作坊與線上工作會議收集意見[5]。
  • 《使用 AI 進行 CSF 分析與報告的快速入門指南》（SP 1353）：初始公開草案，意見徵詢已於 2026 年 10 月 15 日截止[5]。
  • 半導體製造社群剖繪（NIST IR 8546）：2025 年 2 月 27 日發布初始公開草案，意見徵詢已於 2025 年 7 月 30 日截止，目前仍是草案[7]。半導體廠與設備供應鏈常被要求的其他標準，見 IEC 62443 與 SEMI E187。

架構：六大功能、22 個類別與 106 個子類別

CSF 核心（Core）是依「功能 → 類別 → 子類別」排列的資安成果[1]。這些成果不是待辦清單，達成方式因組織而異；功能、類別與子類別的排列順序與多寡，也不代表執行順序或重要性[1]。六大功能如下[1]：

  • 治理（GV）：建立、傳達並監督組織的資安風險管理策略、期望與政策，涵蓋組織環境、風險管理策略、角色與權責、政策、監督，以及供應鏈風險管理。治理位在功能輪的中心，因為它決定組織如何執行其他五個功能。
  • 識別（ID）：了解組織目前的資安風險，包括資產（資料、硬體、軟體、系統、設施、服務、人員）、供應商與相關風險，也包括找出政策、流程與做法的改善機會。
  • 保護（PR）：用防護措施管理資安風險，包括身分管理、驗證與存取控制、意識與訓練、資料安全、平台安全，以及技術基礎設施韌性。
  • 偵測（DE）：找出並分析可能的攻擊與入侵，及時發現異常、入侵指標與其他可能的不利事件。
  • 回應（RS）：對偵測到的資安事件採取行動，涵蓋事件管理、分析、緩解、通報與溝通。
  • 復原（RC）：還原受事件影響的資產與營運，並在復原期間適當溝通。

六個功能應該同時進行：治理、識別、保護與偵測要持續運作，回應與復原則要隨時準備好，在事件發生時啟動[1]。核心適用於組織使用的所有資通訊技術，包括資訊技術（IT）、物聯網（IoT）與營運技術（OT），也適用於雲端、行動與 AI 系統[1]。

依 CSF 2.0 附錄 A 計算，核心共有 22 個類別、106 個子類別：治理 6 類 31 項、識別 3 類 21 項、保護 5 類 22 項、偵測 2 類 11 項、回應 4 類 13 項、復原 2 類 8 項[1]。子類別編號刻意不連號，跳號處代表 1.1 版的子類別被移到別處[1]。子類別的寫法像這樣：GV.OC-03「了解並管理與資安相關的法律、法規與契約要求，包括隱私與公民自由義務」[1]。

實施範例、資訊性參考與查詢工具

CSF 本文只寫「要達成什麼」，「怎麼做」放在可以更常更新的線上資源[1]。實施範例（Implementation Examples）為各子類別提供簡短、以動作為主的示意做法，它們不是完整清單，也不是必做的基準；資訊性參考（Informative References）標示 CSF 成果與其他標準、指引、法規之間的對應，可能由 NIST 或其他組織製作；快速入門指南（Quick-Start Guides）則是針對特定主題或對象的簡短文件，各自有更新時程[1]。

查詢方式有三種[6]：直接下載含全部資訊性參考的 Excel 檔；在 CSF 2.0 Reference Tool 網頁上篩選想看的參考，再匯出成 Excel 或 JSON；或在 NIST 的線上資訊性參考計畫（OLIR）目錄中，跨多份文件比對。NIST 的網路安全與隱私參考工具（CPRT）也收錄 CSF 2.0 等 NIST 文件，可以瀏覽與下載[3]。

組織剖繪與層級：先畫現況，再定目標

組織剖繪（Organizational Profile）用 CSF 核心的成果，描述組織目前和（或）想要達到的資安狀態[1]。官方譯本把 Current Profile 與 Target Profile 譯為「現行剖繪」與「標的剖繪」[4]，本文寫成較口語的現況剖繪與目標剖繪：

  • 現況剖繪：列出組織目前正在達成（或試圖達成）的成果，以及達成的方式或程度[1]。
  • 目標剖繪：列出組織為達成資安風險管理目標而選定、並排定優先順序的成果，並預先考量新的要求、新技術導入與威脅情資趨勢[1]。

CSF 2.0 描述的流程有五步：界定剖繪範圍；蒐集需要的資訊，例如組織政策、風險管理優先順序與資源、營運衝擊分析紀錄、組織遵循的資安要求與標準；建立剖繪；分析現況與目標之間的差距，訂出排定優先順序的行動計畫，例如風險登錄表或行動與里程碑計畫（POA&M）；執行計畫並更新剖繪[1]。一個組織可以有多份剖繪，各自有不同範圍，例如整個組織、財務系統，或只針對財務系統面對的勒索軟體威脅[1]。

NIST 提供 Excel 格式的組織剖繪範本，方便並排比較現況與目標[8]。範本的現況欄位包括做法（Practices，可附上證明已達成的文件）、狀態（Status）與評等（Rating），評等可以用高中低、1 到 5、百分比或紅黃綠燈；目標欄位包括優先順序（Priority）與目標（Goals）[8]。欄位可以自行增減，現況與目標的欄位也不必相同[8]。差距分析後的行動計畫，至少要寫清楚行動、優先順序、負責人、期限與所需資源[8]。

剖繪也能對外使用：現況剖繪可以向商業夥伴或潛在客戶說明組織的資安能力與已知的改善項目，目標剖繪則可以向供應商與合作夥伴表達你對他們的資安要求[1]。客戶問「你們怎麼對應 CSF」時，一份誠實的現況剖繪加上改善計畫，通常比一句「我們有參考 CSF」更有說服力。目標剖繪不必從零開始：社群剖繪（Community Profile）是針對特定產業、技術、威脅類型或使用情境，為多個組織共同訂出的成果基準，可以拿來當底稿[1]，前面提到的勒索軟體社群剖繪就是一例[5]。

四個層級不是成熟度分數

層級（Tier）描述組織資安風險治理與管理做法的嚴謹程度，分為四級[1]：

  • 層級 1 部分（Partial）：風險策略以臨時、個案方式執行，優先順序沒有正式依據組織目標或威脅環境；組織層面對資安風險的認知有限[1]。
  • 層級 2 風險告知（Risk Informed）：風險管理做法經管理階層核准，但可能還沒成為全組織的政策；組織已意識到資安風險，但尚未建立全組織一致的管理方法[1]。
  • 層級 3 可重複（Repeatable）：風險管理做法經正式核准並以政策表達，並依業務需求、威脅與技術的變化定期更新；有全組織一致的管理方法[1]。
  • 層級 4 適應性（Adaptive）：依過去與目前的資安活動（包括經驗教訓與預測指標）調整做法；高階主管把資安風險和財務等其他組織風險放在同一個脈絡下監督[1]。

NIST 在 CSF 2.0 中說明，層級應該補充、而不是取代組織的風險管理方法；NIST 鼓勵在風險或強制要求較高，或成本效益分析顯示能划算地降低風險時，再往更高層級前進[1]。NIST 的 CSF 常見問答也明說，層級並不是設計來當作成熟度等級（這則問答最初是為舊版框架撰寫）[9]。層級的快速入門指南建議：層級通常由組織領導階層選定；以整體、功能或類別為單位選定，比在子類別層級選定更能反映實際做法；可以沿用附錄 B 的描述，也可以自行修改，或改用組織既有的描述[10]。

實務上這代表三件事：不要把 106 個子類別的分數平均成「層級 2.6」；不必每個功能都追求層級 4；向董事會報告時，說明每個功能為什麼選這個目標層級，比單一分數更有意義。

和 ISO 27001 等其他框架怎麼搭配

CSF 與 ISO/IEC 27001 最根本的差別是：CSF 不能驗證，NIST 不提供認證，也沒有計畫建立符合性評鑑制度[2]；ISO/IEC 27001 則可以由驗證機構稽核並核發證書，台灣的全國認證基金會（TAF）對管理系統驗證機構的認證領域，就包括 ISO/IEC 27001 資訊安全管理系統驗證[11]。導入與驗證流程見 ISO 27001 專文；客戶要的若是報告或證書，先釐清是哪一種，見客戶要「資安認證」怎麼辦。

兩者並不互斥。CSF 透過資訊性參考，把自己的成果對應到其他標準[1]。NIST 的資訊性參考頁面列出多份與 CSF 2.0 的對應，包括 ISO/IEC 27001:2022、CIS Controls 8.1、PCI DSS 4.0.1、Cloud Controls Matrix（CCM）4.0，以及 NIST SP 800-53[12]。使用時要注意：這些對應有些由 NIST 製作，有些由其他單位提出；NIST 只依提交規範（IR 8278A Rev. 1）做有限的符合性測試，不檢驗非 NIST 對應的正確性，列入目錄也不代表 NIST 背書[12]。

SP 1347 示範了一個情境：已經在用 CSF 的組織想再導入 ISO/IEC 27001，可以在 CSF 2.0 Reference Tool 篩選 ISO/IEC 27001:2022 的參考並匯出，逐項檢視哪些要求已經達成、哪些還沒有、哪些互相衝突、補足差距需要哪些資源，再把結果用來建立目標剖繪[6]。反過來，已經有 ISO 27001 的公司，可以用同一份對應把 ISMS 的現有證據填進現況剖繪，再用六大功能的語言向經營階層與客戶報告（這是本站建議）。

在台灣，CSF 也不能取代法定義務。公務機關與特定非公務機關要遵守資通安全管理法及其子法（見資通安全管理法重點整理），上市上櫃公司另有證交所的上市上櫃公司資通安全管控指引。可行的做法是把這些要求列為 GV.OC-03 的輸入，在目標剖繪中追蹤；NIST 也指出 GV.OC-03 是和法規遵循相關的子類別[2]。但 CSF 子類別和台灣法規條文之間的對應要自己逐條判斷，不要因為做了 CSF 剖繪就宣稱已經符合法規。

中小企業怎麼開始：12 個月跑完第一輪

先讀這幾份快速入門指南

NIST 為 CSF 2.0 準備了一系列快速入門指南，把框架的特定部分濃縮成可以先做的「第一步」[1]。和中小企業最相關的幾份是[13]：

  • Small Business Quick-Start Guide（SP 1300）：寫給資安計畫很少或還沒有的中小企業，依六大功能列出「了解、評估、優先處理、溝通」四類行動，每項都標註對應的子類別[14]。
  • Quick-Start Guide for Creating and Using Organizational Profiles（SP 1301）：剖繪的建立步驟與範本用法[8]。
  • Quick-Start Guide for Cybersecurity Supply Chain Risk Management (C-SCRM)（SP 1305）：用治理功能的 GV.SC 類別建立供應鏈資安風險管理，依供應商重要性分級，並把要求寫進合約，或為每個等級各建一份目標剖繪交給供應商[15]。供應鏈攻擊的技術面見供應鏈攻擊。

前面提過的層級指南（SP 1302）與資訊性參考指南（SP 1347）也在同一頁；另有企業風險管理、資安人力等主題的指南，建立社群剖繪的指引目前連結的仍是初始公開草案[13]。

小型企業指南的行動很具體，例如：所有支援多因素驗證的帳號都啟用 MFA，並考慮使用密碼管理器；更改廠商預設密碼；啟用自動更新；定期備份並測試備份；為筆電與平板啟用全磁碟加密；在正式合作前評估供應商的資安風險；準備列有聯絡人的事件應變計畫；用備份還原前先確認備份的完整性[14]。指南也建議，看不懂或沒把握自己處理的項目，可以拿來和委外的資安託管服務商（MSSP）討論[14]。NIST 也說明，導入 CSF 不一定需要顧問，NIST 不推薦特定的顧問或評估單位[2]。

實作建議（本站建議，不是 NIST 原文）

以下是針對 50 到 300 人企業的建議做法；引用 NIST 文件的地方另外標註，括號中的子類別編號依 CSF 2.0 附錄 A[1]。

  1. 第 1 個月，界定範圍：SP 1301 建議先回答幾個問題：為什麼要建剖繪、涵蓋整個組織還是特定部門與系統、處理所有威脅還是特定威脅、由誰撰寫與審查、由誰設定目標[8]；剖繪也可以依技術類別（IT 或 OT）、資料類型或使用者切分[8]。建議第一份剖繪涵蓋全公司的 IT（郵件、帳號系統、ERP、檔案伺服器、遠端存取與雲端服務），以及客戶問卷問到的那項服務；有工廠的公司，OT 另建一份，第二年再做。請一位高階主管擔任負責人，對應「組織領導階層對資安風險負責」（GV.RR-01）。
  2. 第 1 到 2 個月，建立現況剖繪：下載 NIST 範本，先用小型企業指南的行動當第一輪清單，再補上和範圍相關的其他子類別。找 IT、財務、人資與營運主管開兩三次工作坊，逐項寫下目前的做法、拿得出的證據與評等，寧可寫「部分達成」也不要高估。
  3. 第 2 到 3 個月，訂出目標剖繪與行動計畫：把客戶合約與問卷、母公司要求、適用法規與保險條件列為 GV.OC-03 的輸入，再依最在意的威脅調整，例如拿勒索軟體社群剖繪當底稿[5]。每個成果標上優先順序，並由經營階層為各功能選定目標層級[10]。接著把每個差距寫成一項行動，填上優先順序、負責人、期限與資源[8]。MFA、備份測試這類明顯的缺口不必等剖繪完成，現在就可以開始。
  4. 第 4 到 6 個月：完成硬體與軟體、服務清冊（ID.AM-01、ID.AM-02）；郵件、遠端存取與管理者帳號啟用 MFA（PR.AA-03），做法見 MFA 導入指南，長期的身分與存取架構可以參考零信任。
  5. 第 7 到 9 個月：備份改為定期還原測試，並保留離線或不可變更的副本（PR.DS-11，見 3-2-1 備份原則）；建立修補流程與日誌收集（PR.PS-02、PR.PS-04，見日誌保存）。
  6. 第 10 到 12 個月：列出供應商並依重要性分級（GV.SC-04），把資安要求寫進合約（GV.SC-05）；做一次事件應變桌上演練，把發現的問題列入改善（ID.IM-02）；最後重新評估現況剖繪，向經營階層報告，訂出第二年的目標。

CSF 把剖繪視為持續改善的循環，步驟可以依需要反覆進行[1]。第二年起，範圍可以擴大到 OT 或子公司，目標層級也可以視風險調整。

行動清單

  • 問清楚是誰要求「對應 NIST CSF」、要交什麼（問卷、自評表或剖繪），以及涵蓋哪些服務與據點。
  • 下載 CSF 2.0 本文（或中文官方譯本）、小型企業快速入門指南與組織剖繪範本，指定一位主管負責。
  • 界定第一份剖繪的範圍（全公司 IT 加上客戶關心的服務，OT 另立一份），用小型企業指南的行動做第一輪現況剖繪，每項附上證據與評等，不要高估。
  • 把客戶、母公司、法規與保險要求列為 GV.OC-03 的輸入，訂出目標剖繪與各功能的目標層級。
  • 把差距寫成有負責人、期限與資源的 12 個月計畫；MFA、備份測試這類明顯缺口立即開始。
  • 不要對外宣稱「通過 NIST CSF 認證」；客戶需要可驗證的證明時，評估 ISO/IEC 27001。
  • 每年重做一次現況剖繪並向經營階層報告；第一次盤點需要外部協助時，可以參考資安健檢。