2018保护非联邦信息系统和组织中受控的非分NIST.SP.800-171r2.docx

《2018保护非联邦信息系统和组织中受控的非分NIST.SP.800-171r2.docx》由会员分享，可在线阅读，更多相关《2018保护非联邦信息系统和组织中受控的非分NIST.SP.800-171r2.docx（112页珍藏版）》请在课桌文档上搜索。

1、NST特别出版物800-171修订版2保护受控非机密非联邦系统和组织中的信息NlSTNationalInstituteofStandardsandTechnologyU.S.DepartmentofCommerce计算机系统技术报告美国国家标准与技术研究院(NsT)信息技术实验室(IT1.)通过为国家测：上和标准基础设施提供技术领导来促进美国经济和公共福利UlT1.开发测试、测试方法、参考数据、峻验圆喇林分析以促进信息技术(IT)的开发和生产性使用。IT1.的职责包括制定管理、彳瞰、技术和物理标蝌辅，以确保联邦信息系统中国家安全相关信息区尚J信息的经济有效的安全。糊此版物800系列报告了IT1

2、.在信息系统安全和隐私方面的研究、指辆雅广工作以及与行业、政府和学术组织的合作活动。抽象的保护非联邦系统和组织中驻留的受控非机密信息(CUI)对于联邦机构至关重要.并且可以直接影响联邦政府成姗行其基本任务和职能的能力C本出版物为各机构提供了建议的安全要求，以在信息驻留在三瞅邦系统和组织中时保护CUI的机密性；当m脓邦组织玳表联邦机构收集或维嘴息或代表机构使用或操作系统时；对TCUl注册表中列出的CUl类别，授权法征、法规或政府政策没有规定保护CUl机密性的具体保护要求，这些要求适用于处理、存簿网或传输CUI或为此类组件提共保护的非联邦系统和组织的所有组伟这些安全要求旨在供联邦机构在合同工具或这

3、些机构与非联邦组织之间建立的其他协议中使用C关键词基本安全要求；承包商系统；受揭晰密信息；CUI注册处；衍生的安全要求；行政命令13556；FIPS出版物199；FlPS出版物200；FISMA；NlST特别出版物80053冷畴陶织常瞅邦獭；安全谛古；安全惭;安全要求。商标信息所有名称均为其各自所有者的商标或注册商标。第三页专利公开通知注意：信息技术实验室(IT1.)已要求其使用可能需要遵守本出版物的指导或要求的专利权利要求的持有者向IT1.披涉;此类专利权利要求。然而专利精者没有义务回应IT1.的专利要求,并且IT1.也没有进行专利检索以确定哪些专利(如果有)可适用于本出版物。截至发布之日以

4、及在要求识别其使用可能需要遵守本出版物的指导或要求的专利权利要求后JT1.尚未识别出此类专利权利要求。IT1.并未声明或暗示使用本出版物时无需获得许可即可避免专利侵权。注意事项2014什联邦信息安全现代化法案FISMA要求联邦机构识并提供与未经授权访问、使用、癖以胸、修改琳班由或代表收集或维护的信息所造成的风险相称的信息安全保护一个机构的；或由机构、机构承包商或代表机榔淇他组织使用或操作的信息系统。本出版物重点关注保护3蹶邦系统确织中受控3砌密信息(CUI)的机密性.并建议实现该目标的具体安全要求。它4哙改变FISMAJ中规定的要求.也不会改变联邦机构遵守该法规的全部条款、C)MB制定的政策以

5、及NIST制定的支持安全标准和指南的责任，本出版物中建议使用的要求源自FIPS200和SP800-53中的中等安全控基级并基于CUl法规32CFR200随着时间的推移,已确定了要求和控W雕以便为FISMA涵盖的联邦信息和系统提供必要的保护。适用HFIPS200要求和SP800-53梯IJ措施的定幅t并小意味着认可消除这些要求和梯措施；械，就麻图三WC5凝非联邦系统和组织中未经授权的披露。此外，由于安全要求源自上面列出的NlST出版物，组织不应假设满足这些特定要求将自动满冠FIPS2J和留800-53中的安全要求和控制。除了机密性的安全目标之外.完整性和可用性的目标例爆关注建立稠曲诠面信息安全I

6、i刘的蛆织的高度优先事项。虽然本出版物的主要目的是定义保护_CU1.血密性的要求，但机密和完整性之间存在密切关系,因为系窕5另购许多底层安全机制都支持这两个安全目标。因此本出版物中的基本襁生安全要求提供了对CUl的保护，防止未经授随披露和未经授权的修改。强烈建议对本出版物中的建议感兴趣或需要遵守本出雕中的建议的组织查看附录E中适度基线中的完整控制列表以确保其各自的安全计姗脸暗陪提供必要且充分的保护解决对组织使命和业务运营的网络和动态威胁CUI安全要求本出版物中包含的建议安全要求仅适用于由联邦机构在合同、哪或其他协议中授权时的三廉邦系统或组织安全要求适用于处理、存触解QJ或为此类组件提供安全保护

7、的非联邦系统的组件。第七页改善关键基础设施网络安全的框架已经实施或计划实施NIST改善关键基础设施网络安全框架INlSTCSF的组织可以在附录D中找到受控m网I密信息(CUl)安全要求与SP800-53中安全控制的直接映射.和ISO27001些控件还映射到与网络安全框架核心功能相关的类别和子类别：识M像四检测、Q戚胧氨当这些程序解NlST或ISO/IEC安全控制构建时,安全控映射对于希望在其已建立的信息安全程序的上下文中证明符合安全要求的组织非常有用C其他资源将安全控制映射到网络安全框架：httpscsrc.nistgovpublicato11sdetailnistr8170draft,将CU

8、l安全要求映射到网络安全框架https:/csrc.nist.gov/projects/cybersecurity-framework/informative-reference-catalog/details/1。第八页目录第一章简介1.1 目m用性21.2 目标受众41.3 本特别出版物的组织4第二轨础融只52.1 基本假设52.2 舱要求的制定6第三章要求93.1 访问控制103.2 意识和酬163.3 审计和问责173.4 配置管理203.5 身饰期制证233.6 事件口帔263.7 维护2738介质保护293.9 人员后313.10 物理保护323.11 风险评估333.12 评估3

9、43.13 系统徊信保护363.14 系统和信息完整性40附录文献44附录B术语表51附录C缩略语60附录D映射表61附录嗫剪屣84KObc勘误表此表包含已纳入特别出版物800-171中的更改C勘误更新可以包括出版物中的编辑性或实质性的更正、澄清或其他细微更改。弼类型改变页2021Irl月28日社论FrontMatter语”1XjS用要本“支收R安全要求适用.第一合箓11右整1女限“法。匕芸戌4。：，田干介川方秘定隹检CJl前无叱奉出化坤七2021Tl月28日供安全保护的非联邦系统的组件。.2第一童笫11节第2段：添加“这些要求适用于处岬.存阐传瑜CUl或为此类组件提供安全保护的非联邦系统的组

10、件，女睬洞的陶绸淀t院的系统组件用于处产、存储或播ICU1.贝这些组织可以通过将指定的系统组件隔离在单独的CUI安全域中来限制安全要求的范取2021年J月28日社论隔离可以通过应用架构和设计概念（例如,使用防火墙或其他边界保护设备实现子网并使用信息控却断制速实取贻域可以采用物理分离、酬分离或两都朔合.谢方法可以为CUI提供足够的安全性并避免檄倒的安全蝴提够圜出保护其任务、运营破产所需的水平。”22021年1月28日社论第一章第1.1节第3段：将”要求是“更改为本出版物中建议的安全要求是“3第一立第1.1节第6段:姓“如果受托保护CUl的非联邦组织指定用于处理、存储或伯场CUI的系统或组件,这些

11、织可以将安全要求的花国限制为仅针对这些系统或组件，通过应用架构设计概念（例如使用防火墙或其他边界保护设备实现子网相CUl隔度到其自己的安全域中可能是m朦邦组戈割足安全堂求和保护Cim密性的最具成本效益和最2021年1月28日社论地为CUl提供足够的安全性，并避免将组织的安全醐提高到超出保护其任务：谢碱产通常所需的水平。”4页面X第一章介绍保护受控非机密信息的必要性今天，联邦政府比历史上任何时候都更加依赖外部力役时间服务提供商帮助执彳广泛的联邦任务和业务职能使用信息系统。,许多联邦承包商处理、存储和传输支持向联邦机构提供基本产品和服务的敏感联邦信息（例如，提供金融服务；提供网络和电子邮件服务；处

12、理安全许可或医疗保健数据；提供云月坞；网开发通信、卫星梅耀辍，联邦信息经常榔给州和地方政府、学娜!大学以及独立研究组织等实体或与实体共享。保护驻留在三廉邦系统2和组织中的敏感联邦信息对于联邦机构至关重要，并且可以直接影响联邦政府执行其指定任务和业务运营的能力。对非联邦系统和组织中非机密联邦信息的保护取决于联邦政府提供识别联邦机构使用的不同类型信息的流程。田13556建立了政府范围内的受控非机密信息（CUI）3制定计划以标准化行政部门处理需要保护的非机密信息的方式。4仅需要的信息根据联邦法律、法规或政府政策实施的保护或传播控同恻靛为CU1.CUl计划旨苕I过标准化程序和通过CUl注册表NARAC

13、UI提供通用定义来解决管理和保护非机密信息方面的一些缺陷.包括4声咖记1充分的保护和不必要的限制。CUI注册表是处理CUl的信息、指南、政策和三求（包括CUl执行代理发布的信息）的在线存储库CCUI注册机构确定批准的CUl类别,为每个类另假供T三述F电制的基5出并制定CUI使用程序,包括但不限于标记、保护、运输、传播、再使用和处置信息。1信息系统是专门为收集、姆H绮画熔偌蝴曜总磔疆掷信MS信睇谢周滕i例aWr过程控物系统.w9该人式系统和设备，本出版物中使用术语系统”来表示可以处理、存5?域传输CUl的所有类型的计算平台。2联邦信息系统是由行政机构、订政机构的承包商或传岫政机械另TflSWl或

14、操作的原鸵卜满足此次标准6源统是及联邦廨3受控车机由信息是指法律、法规或政府政策要求保护或传播控制的任何信息.不包括根据E。13526或任何先前或后续命令或经修订的AT0MS4分类的信息。4IEO135S6指定国家档案和记袤管仍局（NARA作为实iCUI计划的执7J机构.EO13556还要求CUl计划强调政府范围内做法的公开性、透明度和统一性，并且该计划的实施方式应符合管理和预算办公室（OMB）和联邦制定的适用政策。美国国家标准与技术研嫡（NlST）发布的标准和指南。三CUl法规，$由CUl执行官制定代就CUl我融、保户、传番、桢己崛苦利蜡畸m构跚福建Bt鳏悭躁求用蟠荒伐邺M他方面。1.1目的

15、和适用性本出版物的目的是向联邦机构提供建议的安全要求6.以前CUl的机密性：（1）当CUI驻留在非联邦系统和组织中时；（2）当非联邦组织不代表联邦机构收集或维护信息或代表机构使用或运营系统时；授权法律、法规或勒簪鹳对于CUl注册表中列出的CUl类M8这些要求适用于处理、存储或彳输CUI或为此类组件提供安全保护的非联邦系统组件。9如果非联邦组织指定特定系统组件用于处理、存储或传输CU1.则这些组织可能会限制通过将指定的系统组件隔离在单独的CUI安全域中来满足安全要求的范围C隔离可以通过应用架僻暇讨概念（例如，使用防火墙或其他边界保护设备实现子网并使用信息流控带晰制）来实现。安全域可以采用物PR分

16、离、逻辑分离或两者的组合.这种方法可以为CUl提供足够的安全性，并避免将组织的安全状况提高到超出保护其任务、运营和资产所需的水平。（32CFR2002于2016年9月14日发布,并于2016年11月14日生效.6术语“要米“可以在不同的上下文中使用.在联邦信息安全随私政策的背景下,该术语通常用于na织旅加的信息安全那私义务.例如OMBareUlarAi30规定了联邦机构在管理信息资源时必须谡守的一系列信息安全和隐私要求.脓了在联邦政策背景下使用术语-要求”力卜.朝牖中还以更广泛的含义使用术语“要求，以f特定系统或组织的利益相关者保护痛求集的栽达.不阍联者保护!妹和相应的安全需求可能来自i移来源

17、（例in三政命令、指氨碱魄标但饿和Jfi务需同网第H种.本1陋中使用的术语要求包播黜和政策要求.以及可能来自其他来源的也广泛彻幡相关去保护需求的表达.所有这些要求在应用于系统时.有助于确定系统所需的特性.7代晨联科帕唳集或维护信息或代质机构使用或榛作系统fi徘联邦组织必须遵守IFlSMAJ中的要求.包括（FIPS200J中的要求以及IFlPS2J中的安全控敏SP80O-53偻见44USC3554）（aiA）.林出版物中的要求可用千霞用HSMA）对高级机构官员的要求，为支掰（控制T的运营和资产的信息Is供息安全包括K留在聿联掂糕和姐织中的CUl（请参阅44USC3554）（a乂IXA）和（八）（

18、2）。痍统组件包括,例如烛机Imi月雌：输湎珏皤；网嶷a件;视像嘘的I；和耐用本出版物中建议的安全要求旨在供联邦tn构在适当的合同方或这题构与三蹶搬织之间建立的其他协议中使用。在CUl指南和CUI联邦采购法规(FAR)由10CUI执行代理将解决确定是否符合安全要求的问题。11根据联邦CUI法规，使用联邦系统处理、存储或传输CUI的联邦机构至少必须遵守 联邦信息处理标准(FIPS)出版物199,安全标准联邦信息和信息系统的分类(中等保密)； 联邦信息处理标准(FIPS)出版物200.最低安全性联邦信,除和信急系统的要求, NIST特别出版物800-53,联邦信息的安全和隐私控制系统和组织；和 N

19、IST特别出版物800-60,信息和信息类型映射指南系统到安全类别。当此类信息与非联邦合作伙伴共享时，联邦机构保护CUl的贲任不会改变。因此，当m腺腱织使用m瞅邦系统处理、存储期输CUl时,需要类似级脂保护。13在m朦邦系统和组织中保护CUl的建议要求源自上述权威联邦标准和指南.雌H蝴保护水平。蜥认识到联邦CUl法规中的保护要求的范围仅隔干机南性的安全目标(即个直接解决完整性和可用性)，并且NlST标准和指南中表达的一些安全要求是联邦独有的，本出版物中的要求是针对非联邦实体小身定制的。第二章中描述的定制标准无意减少或最小化联邦CUI法规中表达的保护CUI的联邦要求。相反.其目的是以允许并促进m

20、曲邦系统和组织内的同等保护措施，并且4至降低中等机密性所需的CUI保护级别。除本出版物中描述的要求外.侬这些要求基于法律、法规或政府政策并且在CUl注册表中指定为CUl指定或协议规定时，才可以应用其他或不同的要求。NARA作为CUI执行代理.敞雌一项单独的FAR献.该条耐适用于联邦CUl法规和NlST针对承包商的特别出版物800-171.在FAR柒款到位之前,可以在符合联艇和监If要求的联邦合局中引用NlST特别出版物800-1中的要求.U$P806RlA提供了评估S庠以确定是否符合CUI安全要求.12(FIPS199)定义了对组织资产成个人潜在影锄三个伯(即(氏中、离发生违反安全的情况(例如

21、泄丫机密).13非联邦组织是拥有、运营或维捌瞰邦系辎任何实体，例？颜：州、勒和8路政府；翎潦氏学；褥酶.以高于中等机密性保护CUIBasicl4的要求。国家档案和记管理局（NARA）将在其CUl指南和CUlFAR中解决特定类别中CUl保护要求的规定,并反映为合同或其他协议中的具体要求。如度Ul基础设施满足组织的CUl相关合同和/或协议的保护要求（包括授权法律、法规或政府范围内要求或允许的任何特定保护），三城邦组织可以将相H的CUl基础设施用于多个政府合同或协议政策.1.2 目标受众本出版物为公共和私营部门的各种个人和组织提供服务，包括但不限于具有以下特征的个人：- 系统开发生命周期职贡（例m项

22、目经1I!任务业务所有者、信朗有音管者、系统设讨者和开发者、颗安全工程师、系统集成商）；- 采办或采购职责（例如合同官员）；- 系统、安全或风险管理和监督职费（例如授权官员、首席信息官、首席（萧安全邕系缄有者、值眼全经哨；和- 安全评估和监控职费（例如审计员、系统评1古员、闲损、独遹的盼证员、分析员）。上述角色和职贡可以从两个不同的角度来看待：腑5角度作为在合同工具飒均邮承间协议中建立和传达安全要求的实体；非联邦视角是响应和遵守合同或协议中规定的安全要求的实体。1.3 本特别出版物的组织本特别出版物的其余部分组织如下：-第二章描述了用于开发该模型的基本假设和方法。保护CUI机密性的安全要求；要

23、求的格式和结构；以及应用于NIST标准和指南以获得要求的定制标准。第三章描述了保护网络安全的十四个系列的安全要求。非联邦系统和组织中CUl的机密性。支持附录提供与CUl保护相关的附加信息非联邦系统和组织，包括：资料；定义和术语；缩写词；将安全要求与SP800中的安全控制相关的映射表535027001以及应用于中等安全控制基线的定制操作。wCUIBasic在CUI注册表NARACUlI中定义。第二章基本原理制定安全要求的假设和方法该章描述了用于开发的假设和方法时i回建议的安全要求,以保护非联邦系统中的CUl和组织；基本和派生安全要求的结构；和适用于联邦信息安全要求和控制的定制标准。2.1 基本假

24、设本出版物中描述的建议安全要求是基于三个基本假设制定的：- 无论此类信息驻留在联邦系统还是非联邦系统（包括这些系统运行的环境）中，保护CUI的法定和监管要求都是一致的；联邦和非联邦为保护CUl而实施的保障措施是一致的系统和组织；和1516- CUI的机密性影响值不低于FIPS199中等“这些假设强化了这样的概念：指定为CUI的联邦信息具有相同的特征。内在价值和泄强后的潜在小利影响无论此类信息位于联邦组织还是非联邦组织。因比施CUl的机密性对于联邦机构的使命和业务成功以及国家的经济和国家安全利益至关重要。还影响安全要求的制定以及联邦机构与m蹶邦实体合作的期望的其他假设包括：- 非联邦组织拥有适当

25、的信息技术基础设施,并且不一定开发或获取专门用于处理、存储或传输CUl的系统；- 非联邦组织制定了具体的保护措施来保护其信息，这些措施也可能足以满足安全要求；- 非联邦组织可能没有必要的组织结构或资源来满足每项安全要求，并且可以实施替代但同样有效的安全揶镰弥补无法满足要求的情况；和- 非联邦组织可以直接实施各种潜在的安全解决方案或使用外部服务提供商（例如托管服务廉满足安全要求，15（FIPSl判中定义的中等影3辆何能会成为【FIPS200中中等影响系统的TJ分.这需要使用SP806刈中的中等基线作为定制操作的起点.16根据（32CFR20O2J.CUl的分类f低于中等机密性影响值.但是,当建立

26、CUI控制的联邦法律、法般或政府政策指定与中等保密基线不同的控制时,将透循这些控制.为CUI实施单一国家安全解决方案受控非机密信息具有相同的价值，无论此类信息驻留在属于联邦机构一三分的联邦系统中还是属扫朦邦组织一部分的非联邦系统中。因此本出版钟包含的建议安会求与联邦机构用于储户CUl的标准和指南一致并互补。2.2 安全要求的制定旌好联邦系统和组织中保护CUl机密性的安全奥求具有明鹤定义的结构，由草本安全要求部分组成以及派生的安全要求部分。基本安全要求来自FlPS200,它为联邦信息和系统屋供了高级和基本的安全要求。派生的安全要求是对基本安全要求的补充取郎P800-53中的安全控制从安全要求和安

27、全控制处于中等基线（即联邦系统和组织中CUl所需的最低保护级别），要求和控制S过定制，以5麻以下要求、控M或部分控制：-独特的联邦性（即主要由联邦政府负责）.写保护CUl的机密性没有直接关系；或者期望在没有规范的情况下通常由m座棚织满足。附录E提供了支持CUI派生安全要求的安全控制的完整列表，以及已根据上述CUl定制标准从适度基线中删除的控制。基本安全要求和派生安全要求的结合体现了FIPS200）和SP8-刈关于保护非联邦系统和组织中CUI的机密性刷录D提供了安全要求与SP800-53和IS。27001中相关安全控制的非正式映射,这些映射有助于见好地对!解CUl安全要求.并且无意对IE联邦组织

28、提出额?陛求，17根据定制的（FIPS2网安全要求和ISP8-刈中等安全控制基线有馆的安全要求代表了全面信息安全i+所需的保护J削筋子集.三股相8织中此类计J的强度和质Y取决于姐织实施安全要求和控制的程度这些要末和囹iff计在双令联邦药碗粉厥下通常会徼晒足，这包括实施支持有效的航例&的信息安全计划的安全策略、程序和实践.鎏限联邦组织参考附录E和代P8。-53,以获取被晚为超出第三章安全要求范国的适度基线中的安全控制的完整列表.以下媒体保护系列示例说明了CUI要求的结构：基本安全要求3.8.1 保护（即物理控制和安全存储庖含CUl的系统介质，刨蘸耐数字的。3.8.2 限制授权用户对系统介质上的C

29、Ul的访问。383在处置或稀放以供再利用之前，对含有CUl的系统介质进行消毒或销毁C衍生的安全要求384用必要的CUl标记和分发限制来标记媒体，3.8.5 控制对包含CUl的媒体的访问并在传输过程中保持对媒体的责任控制区域之外.386实胸唯机制来保护存储在数字上的CUl的机密性运输过程中的介质，除非另有其他物理防护措施的保护。387控制系统组件上可移动介质的使用.388禁止使用没有可识别所有者的便携式存储设备。三三则喙389保护存储位置备份CUl的机密性。为了便于使用，安全要求分为十四个系列.每个系列都包含与该系列的200中描述的联邦信息和系统的副氐安全要求紧密一致。应急计划、系统和由于定制标

30、准，要求不包含在本出版物的范围内。18表1列出了本出版物中涉及的安全要求系列。表：安全要求系列家庭家庭媒体保护意识和培训人员安全审H和问责物理保护配置置理风险评估事件响应系统和通讯保护维护系统和信息完整性18三个例外包括：要求保护应急计划系列的系境备份（源自CP9游机箔性；制定秘嗑笈统安全T柱原则（源自SA8）的要求，这些要求分另胞含在CU腺体保护、安全评估以及财系列中的骸安全计ft（源自P1.2）的要求；以及实施系统碘务采购系列中的购厢信网要求系列中,每个CUI安全要求后面都有一个讨论部分，提供附加信息以促进要求的实施和评估。此信息送源自SP800-53中的安全控制讨论部分.旨在让组织更好地

31、了解用于实施保护CUI的控制的机制和程序。讨论盼是信息性的而是规范性的。它无意于扩展需求的范围或影响组织可以用来满足需求的解决方案，示例的使用是概念性的，并非详尽无遗.并且不反映组织可用的潜在选项。图1说明了基本安全要求383及其支持讨论部分和信息参考。3.8.3在处置或释放以供重复使用之前，对包含CUl的系统介质进行消毒或销毁,此要求适用于所有系统媒体（数字和非数字）,并可进行处置或重现使用，槐括:工徒网络魁扫瞰翔机打印机,笔记电脑和移动设备中的数字媒体,以SM瞬雌例顿斓懒（瞬.净依濯，斓耕瞬龈倍脂S无法被筋献清理技术（包括消除、清除、力啕建锚优殿可防止在此类介质被释放以供重复使用或处置时向

32、未经授权的个人泄定信息，组织确定适当的;髓方法,认识到当其他方法无法应用例要;限励介质BI可能需要辍，组织可以自行决定对包含公共领域或可公开发布的信息的媒体使用消温技术和程序或者如果发布以供耐用或处置，则被认为彳会对组织或个人产生何膨响，三啜字媒体的清姆包括俏毁、从文档中1臊CU1.或者通过以与从文侪;m单骷部分等效的方式遮盖编就绵盼或单诩缩S文档中选定的部分或单词。NARA政策和）旨i三J受控非机乘息的清印流程。（SP80088）提供有关介质清理的指南。图1：CUl安全要求的格式和结构第三章要求保护CUI机密性的安全要求该章描述了14个建议的安全要求系列iq、19这时间保护非联邦系统和组织中

33、CUI的机密性。附录D中列出了SP800-53）中与基本和派生要求相关的安全控制措施。2组织可以使用NIST出版物来获取额外的、非与建议的安全要求相关的说明性信息（例如讨论部分中针对每个弓I用的安全控制的解释信息、邦SO27001）安全控制的映射表以及可用于指定其TE安全要求的可选控制的目录，如果需要的话）.j此信息可以帮胧姗或解释任务和业务要求、操阿境融脸评估背景下的要求,三璇邦组织可以直接或使用托管服务实施各种潜在的安全保决方案以满足安全要求,并可以实施替代但同样有效的安全措施来弥补无法满足要求的情况.21讨论部分与每个CUl要求相关的讨论部分是信息性的，而不是嬲性的它无意于扩展需求的范围

34、或影响三何以用来满足需求的解决方案。此外示I碘使用只是概念性的并非详尽无遗，也不反映组织可用的潜在选项C非联邦组织在系球全计划中描述i晌满足安全要求或组织计加；口何满足要求并解决已知和预期的威胁。礴安全计期触：礴边界；运行环境M晌实施安全要求;以及与其他系阚关系或喀基m携网织制定行动计划,搬如畸足未实施的安全要求以及i响实施任何计划的缓解措施。组织。J以以化I。J近定的格式将余统女生计划和n动计划记录为单独或组合的又件,22朔密性和完整性的安全目标!附而关.因为系鹤!的许多底台全机制郁文悔辆个丽因比本出励冲的刈相姓安全要刺龈了对CuI的保护.防止未i破权的%和未经授权的修改，20附录D中的安全

35、控制参考是为了促进更好地即解建议的安全要求.而不是扩大要求的范围.21为了促进一致性、2S三J5JttH酶困的辎按铝卷包好SKB例S筋5U版邕戏和静燥,包周SO27001威SP80553。NISTCUI提供特别出版物800-171的补充材料，包括系圾安全模板计划和行动计划。根据要求，麴安全计划（或其摘录）和相关计划任何计划实施或缓解措施的行动均提交给负责的联邦机构/订约办公室，以证呻瞅邦组织已实施或inj实施安全要求，联邦机构可能会将提交的系统安全i+J和行动计划视为风险管理决策的关蝴人.以在三朦腱织托管的系统上处理、存阐游输CUI,并且是否建议与非联邦组织签订协议或合同。本出版物中建议的安全

36、要求仅适用于处理、存储或皤CUl或为此类组件提供保护的非联邦系统的组件，f三,侬S专用辍（例如工业/过程控制系统、医疗设备、ii三l整控幡），可能对某些安全要求的应用有限制.为了解决此类问题，系球全计划（如要求3.12.4中所反映）用于描述安全要求的任何持久例外情况。W的、孤立的或暂时的缺陷通过行动计划进行管理，女喇S.12.2中所反映:组织系统的含义本出版物中许多建议的CUl安全要求中都使用了术语.组织系统“。该术语对于安全要求的适用范围具有特含义，这些要求仅适用于处理、存储或传输Cui或为系统组件提供保护的非联邦系统组件,Cui安全要求的适当范围是确定与保护相关的投资决策和电1.负责保护C

37、Ul的非联邦组织的安全风险的重要因素。3.1访问控制基本安全要求311限制授权用户的系统访问、代表授权用户的进程以及设备（包括其他系统）。提高信息安全除其他系统包括组织内部和Me的系统此要求重点关注系统和应用程序的帐户管理。除了由怅户类型艇的访问授权（例如,特权与4揪）之外,访问授权的定义和执h在要求312中讨论C312限制系统访问授权用户有权执匕的交务类型和功屹讨论组织可以选择按帐户、帐户蝇或两者的组合来定义访问三或其他属性。系统帐户类型包括个人、癖蛆系统匿名幡、跄瑕者、制酶供渤脚授城画醐雌属性螭蛛中断网一天和起始点的限制C在定义其他帐户属性盹组织会考虑系辘关需求（例如麴氏级、定娓酚）以及任

38、务或业务需求（例如，时区差异、客户需求、对遇蠕求的那访问）C彷生的安全要求313按照批准的授权控制CUl的流程。讨论信息流控制调节信息可以在系统内和系统之间传输的位Jr（相对于谁可以访问该信息），并且小明瑞考虑对信息的后续!嗣.流”;控挪R甯悒括以下内容：防止出口管制脂息以明文方式传输到互联网,阻止两棘自组织内部御格用的，；限制且E来自内部Web代理服务泗的Internet请求；基于数据结栩卬溶限吉始织之间的信息传输。蛆织通常使用信息流控制三和执行机制来控制系统内指定源和目的地（m旗、个人和设备此间以及互连系统之间的信息流.流吊控财信息或信息路径的特征，擀脑发生在边界保沪S备（例如隈i,m,防

39、朦力您缱、随城中.这些设备采用规典朦或建立限制系统服务的配置设置.提供基于标头信息的数雌过潮能或基于报头信息的消总过戏功能。关于消息内容（例如实帙键词授三使用文档特征）。组织还考虑对信息流执行至关重要的过速和桧查机制”噂件、固件画:件组件）的可信度。在代表具有小同安全策略的不同安全域的系统之间传输信息会带来这样的传输违反一个或多个域安全策略的风险。在这种情况下.怙息所有者或管埋员在SS系统之间的指厢纵行点提的聘。当需要执彳潴定的安全策谿时组织会考虑强制使用特定睡构解决方案。强制执彳I包括：禁止互连系统之间的信息传输（即仅允许访问）；采用硬件m竭融加单向信息流：并姬B得信箱的重新分级机制来重新分

40、足安全属性和安全标签；31A分离个人的职责,以减少不共谋的恶趣醐的风险.讨论职责分离解决了滥用授权特权的可能性.并有助于降!疏不共谋的眈下进行恶意活的风险。职责分离包括将任务!滕和系统支拘职献吩给八同的个人或角色；与不同人员一行系疑支持雌（例如配置管即、质;“偶却S喊W三P,s苗哪网球全）:礴保管理访问控制功能的安全人员1金同时管理审计功能,由于职责分离违规行为可解獭版和应用程序城因此维R在却定就责分离政班会考虑整个组织系统和系统组件.，三营用最小特权原则，包括特$安全功领嫌揪鬃户，讨论组织对特定职责以及用户和进酬假权访问三三,j端权原则。应用剥柳则附目标总授权权限于完蝌雌a织任务或业务功能所

41、的权限C组织会考虑根据需要包建勖卜的进程、角鲫躺僻,以现费拽艰螂还粉蚓树隘用斑织徜伽发实趣迹:安寺蜘隧立系统怅户、设置要记鼬硬件*设置入侵检喇姒及配置访潮S权（BM三,特权）。特权帐户（包括超级用户怅户通常被描述为各种类型的商业现成操作系统的系统管理员。将特懒户限制刈的殿角色可以防止日常用户访问特权信息或功能。组织可以在应用此求时区分木地冲和啾户允许的权限前提是组织保留每排帔全然的系统配置僦，以及充分降1即端所必需的其他能力。U6访问非安全功能时使用非特权帐户或角色：讨论此要求限制了在特权怅户或角色中进仃操作时的丛麻角色的包含便次了组织实施访硼赣崛（例如基于角色的访问控制的情况以及角色的更改为

42、用户和代表用户行事的所有进程的访问授权史豺供了相同程度的保证.将通过特m户和非特权帐户之间的更改来提供“317防止m第权用户执行特权函数并捕获执仃情况审计日志中的此类功能。讨论特权功能包括建立系雌户、旅J系统浣整性检查、执八野隘作成管理加密密钥管川帝动,m网权用户是只备适当授权的个人.规避入侵检测和预防机制或恶意代码保护机制是需要保护非特权用户的特权功能的示例。请注正此要求代表了3.1.2中授权权限定义要实现的条件。授权用户或已泄露系绸妒的未经授权瞅阳实桶意或无意地滥用特权功能是f严重且持绮）同题可能会对组织产生重大1：利物吼记录特权功能的使用是检测此类滥用的一种方法,这样做有助于睇内部械肋和

43、高级持续威胁的风险，31.8限制不成功的登录尝试。讨论无论登录是通过本地连接还是网络连接进行.此要求均适用。由于存在拒绝服务的可能性.在大多数情况下,系统发起的自动锁定是暂时的.并会在系统建立的预定期限后自动解除。组织（即延迟算法）“如果选择延迟算法.嬲可以根据备询锄功能对不同的系统组件采用不同的算法。对不成功登录尝试的响应可以在操作系统和应用程月般别实现31.9提供符合适用CUl规则的除私和安全声明,，讨论系统使用通知可以使用个人登录组织系统之前显示的消息或警告横幅来实现。系统使麻敌仅用于通过人类用户的登录界面用脚.相当此类人类界面小存在时不需要.根据风险评估,组织会考虑在初始阍澄录后是否需

44、要辅助系统使用通雉K访问应用程序或其他系僦源。如有必要可以使腌报其他印刷材料代替自动化系统横幅:各组织咨询总法律顾问办公室，以进行警告横幅内容的法律审查和批准”3110使用带有模式隐藏显示的会话锁定来防止访问和查看数据1：活动期。讨论会话锁定是当用户停止工作并离开系统附近但由于其缺席的娴性质而不想注销时采取的酬操作.会话锁是在可以魂定会话活的地方实现的.通常础酢礴捌（但也可以在应用程单5别），会话JH隆替代注销系统三11.女求用户在I作日结束时注需图案隐藏显示可以包括静态或动态图堡例如与解偏户程加起使用的图案、峻儆纯色时畅畴命指示器或空白屏幕，但需要注意的是，没着任何像传达受控的4用I密信氤a

45、m在定义的条件后终止（自动）用户会话.讨论与通信会话相关联的网络连接的终止（即，从理醐讦厢比该要求解决了用户发起的逻辑会话的终止铛郦3（或代表用户的进程肪同组织系统时,就会届健辑会话（用于本地、隧和远程访问）.可以终止此类用户会话（从而终止用户访问）而不终止网络会话。会话终止终止与用户的逻辑会话相关蝌所W进程,除了由那（即会话所有者）专门创建以在会话止后继续的那些进程之外C需要自动的终止战械触发事件可以包，维必的用户1、活动期、又操些类型事件的有针对性的响应以及对系统使用的时间限制。31.12监视和控制远程访问会话。讨论远程访问是通过外部网络（m互蝌涵信的用户（或代表用户的进程）对组织系统的访

46、包就访问方法包括拨号宽翻疣线组织通常使用啥的物专用喻/PN）来增强远程连接的机密性.使用加密VPN并不会使访问成为非远程的；然而在充分配置的情况下使用VPN适当的控制（例如，采用加密技术进彳淅密性保护何以为组织提供充分的保证，使其能够有效地将此类连接视为内部网练具有加雌S的VPN可能会影响充分监控网络通信流小是否存在恶意代码的能fJ.,磷访问会话的自动监视和控胺组织能够检测网络攻击，并通过审检旗用户在各种系触件（例如服务器、理&钮犍脑智能手机）上的连接活动,帮助聃保持飒守远?氨和脚粗和平板电脑）“SP80046,SP800-77和SP800-113提供有关安全远程访问和虚拟专用网络的指南。1113采用加密机制来保护远程访诃会话的机密性。加需标准包括FIPS聆证的加宓和NSA批准的加定.，参见NIST加密；NISTCAVP；NISTCMVP国家安全局加密标准。21.14通过托管访问控制点搐由远程访问。讨论通过托管访问控制点路由醺访确强了对此类连接的哪组织控制,降低了对组织系统进行未缴权访问的可能性.从而第未绍帖的CUl泄海3115授权远程执行特权命令和远程访问安全相关内容信息：讨论特权命令是在系统上执