英国最低网络安全标准介绍

2018年6月，英国政府与NCSC(国家网络安全中心)合作，推出了一套新的安全标准，要求所有政府“部门”，包括公司企业、政府机构、非政府公共机构和承包商，无一例外，必须遵守。而且，为应对新的威胁或新型漏洞，为融入新主动网络防御措施，这些标准还会随时间进程不断增多。

该标准细分为5节10条：身份、保护、检测、响应和恢复。

身份

第一节：各部门应设置恰当的网络安全监管过程

各部门必须明确负责敏感信息和关键运营服务的具体个人，清晰定义其职责。

需有恰当的管理策略和过程以指导部门的总体网络安全方法。各部门应识别敏感信息和关键运营服务的重大风险，并加以管理。

各部门还需了解并管理因对外部供应商或供应链的依赖而产生的安全问题。供应商也须合乎本规范，可通过获取有效网络基础证书或直接展示其合规性来体现。此时，各部门可确定该风险评估是否充分。

第二节：各部门需识别并编目其所掌握的敏感信息

各部门所持有或处理的信息，持有或处理该信息的原因，用以处理该信息的计算机系统或服务，以及该信息遗失、被盗或曝光所致的影响，都应为各部门所知晓并记录在案。

第三节：各部门应识别并编目其所提供的关键运营服务

各部门应知晓并记录下自身关键运营服务、这些运营服务所赖以正常安全工作的技术和服务、其他依赖(比如电力、冷却系统、数据和人员等)，以及服务不可用所造成的影响。

第四节：需了解并持续管理用户对访问敏感信息或关键运营服务的需求

用户访问敏感信息或关键运营服务的需求应受到各部门的理解与持续管理。各部门尤其应铭记：用户只应被赋予其角色必需的最小权限，且该权限在用户离开组织后即应撤销。因此，应定期开展审计，确保权限持续受到恰当的维护。

保护

第五节：敏感信息和关键运营服务的访问权，仅应提供给经识别、验证和授权的用户或系统

只有经识别、验证和授权的用户或系统，才可以被赋予对敏感信息和关键运营服务的访问权。取决于信息的敏感程度或服务的关键程度，各部门还可能需要验证和授权用以访问的设备。

第六节：处理敏感信息或关键运营服务的系统应能抵御已知漏洞利用

本节覆盖4个主要技术领域：企业技术、终端用户设备、电子邮件系统和数字服务。从对所有硬软件资产的全面审计，到确保英国公共产业DNS服务和 TLS 1.2 这样的技术得到应用，都在本节讨论范围之内。

第七节：特权账户不应被常见网络攻击攻陷

特权用户不应使用其特权账户进行“读取邮件或浏览网页”之类的“高风险操作”。只要技术上允许，就应采用多因子身份验证，包括公司层面上的社交媒体账户。能赋予广泛系统访问的口令应相当复杂，且需做更改，不能保持默认口令。

检测

第八节：各部门应采取措施检测常见网络攻击

使用常见网络攻击技术的攻击者不应能毫无所查地访问数据或控制技术服务。应实现事务性监测技术以保护“网络罪犯”眼中诱人的数字服务。各部门需明确必须保护的东西及原因，实现检测已知威胁的监视系统。

响应

第九节：针对影响敏感信息或关键运营服务的网络安全事件，各部门应拥有定义良好经过测试的响应计划

应实现明确定义了动作、角色和职责的事件响应与管理计划，其中应包含发现事件即触发的通信协议。如果事件涉及个人数据，应通告信息专员办公室。事件响应计划应定期测试。

恢复

第十节：各部门应具备定义良好且经过测试的过程，确保关键运营服务遭遇故障或入侵时的持续性

各部门应拥有应急处理机制，确保遭遇故障或入侵时能继续交付基本服务。这些应急处理过程应经受测试，以便通过这些过程进行的恢复工作已是熟能生巧。为保证同样的问题不会再次出现，应识别并修复漏洞。

该标准中涉及的很多要求都是公司企业应采纳的基本控制措施。最近，互联网安全中心(CIS)刚刚发布了其新版20大安全控制措施。

这些安全控制措施最先由SANS研究所提出，已被中小企业及大型公司所采用。只要应用了这些控制措施，公司企业就能抵御大部分攻击了。

查看标准全文：

https://www.gov.uk/government/publications/the-minimum-cyber-security-standard