複選題
18.網路安全框架（CybersecurityFramework,CSF）為美國國家標準暨技 術研究院（NationalInstituteofStandardsandTechnology,NIST）彙整 後所提出，作為整體網路安全架構之規劃藍圖參考，請問該CSF之 組成元素包含下列哪些項目？（複選）
(A)框架核心（FrameworkCore）
(B)框架設定檔（FrameworkProfile）
(C)實施程序（FrameworkProcedure）
(D)實施層級（ImplementationTiers）

這題的正確答案是 (A)、(B)、(D)。

美國國家標準暨技術研究院（NIST）提出的網路安全框架（CSF）主要由三大核心組成元素（Three Components）所構成：

正確選項（三大組成元素）說明

• (A) 框架核心（Framework Core）：

  • 原因： 這是 CSF 最知名的部分，它將網路安全活動依核心功能進行分類（在最新的 CSF 2.0 中包含六大功能：治理 Govern、識別 Identify、保護 Protect、偵測 Detect、回應 Respond、復原 Recover）。每一項功能下又細分多個類別（Categories）與子類別（Subcategories），並提供實務參考指引。

• (B) 框架設定檔（Framework Profile）：

  • 原因： 這是用來協助組織將業務需求、風險容忍度與自身資源，與框架核心進行對齊的工具。組織可以建立「現況設定檔（Current Profile）」與「目標設定檔（Target Profile）」，藉此找出資安現況與目標之間的差距（Gap），並規劃改善優先順序。

• (D) 實施層級（Implementation Tiers）：

  • 原因： 這是用來評估組織「網路安全風險管理成熟度」的上下文參考。層級共分為 1 至 4 級（Tier 1：局部偏向非正式，Tier 2：具備風險意識，Tier 3：可重複執行，Tier 4：具備適應能力）。它協助組織檢視目前的資安管理流程是否足夠成熟。

錯誤選項原因說明

• (C) 實施程序（Framework Procedure）：

  • 原因： 這是出題老師刻意創造的混淆名詞。NIST CSF 的官方文件與架構中，並沒有「實施程序（Framework Procedure）」這個專有名詞或組成元素。NIST 只提供框架與指引，具體的實施步驟和操作程序是由各企業根據自身 Profile 來自行訂定。