上周，美國國家標準技術研究所(NIST)在美國圣地亞哥舉行了第三次網絡安全框架研討會，根據2013年2月12日美國總統奧巴馬所簽署的總統令，建立一個完善的網絡安全框架，以提高關鍵性基礎設施網絡安全。這次研討會有將近500人參與，NIST意在從這些參與者中收集有效反饋信息，以填補初步框架草案內容，初步框架將于10月初發布。

本次研討會召開之前，NIST就提供了一份基本框架草案大綱，讓研討會參與者填補框架的核心內容，其中包括五項網絡安全功能：了解、檢測、預防、應對和恢復。每一項功能需要歸類，比如“了解”功能，可以分為“了解企業資產和系統”，轉而還要將這些類別進行再分類，比如“了解企業風險架構”。

參與者需要指出每個類別和子類別下的相關信息參考，比如現有的標準，這可能有助于實現類別和子類別的目標。NIST提供了一個包含322個信息參考的綱要，這些參考大部分來源于國際標準化組織(ISO)、美國國家標準協會(ANSI)和全國環境研究委員會(NERC)等標準制定組織。

為了完成這項工作，NIST將研討會參與者分為了8個工作組，每個組同一個NIST協調者合作，在為期三天的研討會上評估和修改這五項功能并并行分類和再分類，同時設法將相關參考定位到核心內容的恰當部位。

NIST計劃在7月底完成整合8個工作組的成果，形成統一文件，并在8月底第四次研討會召開前發布一個更加完善的版本。第四次研討會將于9月11日在美國達拉斯召開。

盡管很少有參與者了解8個工作組在哪些工作領域上意見一致或者出現分歧，但是NIST很滿意于整個工作過程。“它看起來更像是一個非常豐富的工具箱，而規則管理程序則是教你怎樣使用這個工具箱”，NIST主管Patrick Gallagher研討會第二天說。

“大多數工作組已經著手這項任務并開始準備大綱、完成我們提出的工作”，Adam Sedgewick說。Adam Sedgewick是NIST資深信息技術政策顧問，同時也是這項框架建立程序的主要組織者之一。

“獨立概括總結8組的工作，這有點難”，一個大型政府公共設施網絡安全專家說，“我覺得，整合收集反饋信息會給NIST帶來一些有價值的見解，給完善框架草案核心內容帶來一個良好的開端”。

事實上，三天的研討會進展的非常順利，NIST為參與者提供了高質量、專業以及便利的工作條件，從而贏得了參與者們的高度評價。即使如此，在10月***期限進入了緊張的倒計時階段，框架開發工作也出現了一些裂痕。

比如一些聲音質疑：“NIST是要推翻現有的網絡安全戰略重新創建嗎?”，對此，NISTSedgewick回應說，現階段NIST著手開發的網絡安全框架，是不斷完善現有的網絡安全戰略，建立一個更高層次、更加靈活且應用范圍更廣的網絡安全框架，而不是推翻重建。

同時，在網絡安全框架開發過程中，只有少數選定部門領域，如能源、金融和通訊等領域，對于開發工作表現出積極性，其他一些相對比較弱勢的領域可能會給網絡安全框架應用的廣泛性拖后腿。

還有人對美國國土安全部和NIST能否更好的協調合作表示擔心，尤其在12日美國國土安全部部長Janet Napolitano宣布辭職，更加劇了參與者的這種擔心。但是，來自NIST和美國國土安全部的代表均表示，兩個組織在共享和相關任務中協調得很好。

還有人擔心這個基于自愿性基礎的網絡安全框架有可能會演變成為一種強制的規章制度，針對這一問題，參與者在研討會上強調并討論過，同時介紹了參議院商務委員會網絡安全法案的草案，草案中包含了網絡安全框架的相關內容，現階段這個草案仍然基于自愿性的基礎。(王旋編譯)