最好的網絡安全指南在保護美國和世界各地的數據免遭盜竊和泄露方面發揮了巨大作用。

這些指南是一套全面的推薦做法、程序和原則，旨在幫助組織和個人保護其數字資產、系統和數據免受惡意攻擊。它們涵蓋了廣泛的實踐，部分目的是收集和分享基于行業標準和專業知識的最佳實踐和策略。至關重要的是，它們會經常更新，以應對不斷變化的威脅和技術進步。

真正有效的網絡安全指南是實現安全性最大化的路線圖。這些指南內容全面，涵蓋技術和組織方面。它們具有清晰的治理結構、詳細的實施計劃和適應靈活性。它們認識到人為因素的重要性，注重用戶賦權和教育，而不是假設和批評用戶的無知。

然而，并非所有網絡安全指南都是一樣的。最不有效的做法往往過分強調技術而忽視人為因素，忽視可用性考慮，未能解決操作方面的問題，或缺乏持續評估和改進的規定。

以下是產生最大積極影響的五條網絡安全指南和有待改進的三條指南。

1. NIST CSF

美國國家標準與技術研究院 (NIST) 網絡安全框架 (CSF)是最有效和最具影響力的網絡安全指南之一。其中一個原因是它非常全面，并圍繞五個核心功能構建：識別、保護、檢測、響應和恢復。這種結構為組織提供了網絡安全風險管理的整體視圖，確保解決所有關鍵方面。

NIST CSF 經歷了三個主要迭代：1.0 版最初于 2014 年發布，隨后于 2018 年對 1.1 版進行了小幅更新，并于 2024 年對 2.0 版進行了重大修訂。

還非常靈活。各種規模和不同行業的組織都可以根據自己的特定需求輕松調整該框架，使其具有廣泛的適用性。

2.ISO 27001

ISO 27001標準因其高度系統化的方法和對持續改進的重視，在全球網絡安全領域發揮了巨大作用。它提供了一種結構化的方法來識別、評估和處理信息安全風險。作為一項國際公認的標準，ISO 27001 認證受到各行各業和各國的尊重。

3. CIS 控制

互聯網安全中心 (CIS) 控制措施已被廣泛采用，成為一套實用有效的網絡安全指南。這些指南的特點是優先行動，解決最關鍵的安全措施，并幫助組織有效分配資源。該框架的分層實施使組織能夠根據規模和網絡安全成熟度量身定制其戰略。CIS 定期更新控制措施，以應對新出現的威脅和不斷發展的最佳實踐。

4. CSA 云控制矩陣

云安全聯盟(CSA) 云控制矩陣因其專注于云而脫穎而出，解決了云計算固有的獨特安全挑戰。其全面覆蓋多個安全領域，包括應用程序安全、加密和身份管理。該矩陣的互操作性與其他主要標準和法規相一致，有助于組織跨多個框架實現合規性。

5. PCI DSS

支付卡行業數據安全標準 (PCI DSS)盡管屬于特定行業，但已大大提高了支付卡的安全性。處理支付卡數據的組織必須遵守 PCI DSS，以確保其得到廣泛采用。該標準為保護持卡人數據提供了詳細且可操作的要求。并且，它定期進行改進，以應對支付卡行業中新出現的威脅和技術。

一些網絡安全指南尚未產生如此大的影響

遺憾的是，一些網絡安全指南并沒有像上面列出的五個那樣受到歡迎。

TSA 的初始管道指令

在殖民地輸油管道遭受網絡攻擊之后，美國運輸安全管理局 (TSA) 于 2021 年 5 月 27 日發布了其初始管道安全指令，即“安全指令管道-2021-01”。

該指令旨在加強美國各地管道所有者和運營商的網絡安全措施。

最初的指令對管道公司提出了幾項關鍵要求。它要求指定一名網絡安全協調員，全天候響應事件并與政府機構進行協調。此外，公司必須在發現網絡安全事件后 12 小時內向網絡安全和基礎設施安全局 (CISA) 報告。

許多網絡安全專家認為，該指令實施倉促，且缺乏充分的行業咨詢。批評人士認為，該指令在某些部分過于規范，而在其他部分則過于模糊。該指令還被批評為過于死板。

該指令經過修改，滿足了許多業界的批評意見。

聯合國網絡犯罪條約

聯合國于 8 月最終確定并批準了一項新的全球網絡犯罪公約，這是國際打擊網絡犯罪努力的重要里程碑。該條約之所以具有里程碑意義，是因為它是聯合國所有成員國（經過三年談判）協商并一致接受的第一項網絡犯罪條約。

但一些批評人士表示，該條約實際上將網絡安全研究定為犯罪，它已經過時，規定性過強。他們說，這實際上可能會削弱全球網絡安全。

美國網絡報告規則草案

網絡安全和基礎設施安全局（CISA）最近提出了美國網絡事件報告規則草案，這可能會影響關鍵基礎設施公司向聯邦政府報告網絡攻擊的方式。

草案針對的是擁有或運營被美國政府視為關鍵基礎設施的系統的公司。這包括醫療、能源、制造業和金融服務等行業。這些規則還擴展到對行業運作至關重要的公司，包括各種服務提供商。

一些組織表示擔心，報告要求可能會造成負擔（特別是對較小的組織而言）、成本高昂且與現有要求重疊。

美國制造商協會表示，這些規則過于寬泛，可能影響超過 30 萬個實體，這讓人懷疑所有目標組織是否都涉及“關鍵基礎設施”。

最佳網絡安全指南實現恰當的平衡

網絡安全指南旨在提高安全性。最好的指南是推動組織實現這一目標的重要工具。制定優秀的指南需要大量的行業投入，涵蓋全面而廣泛的問題，并具有足夠的靈活性以適應不同規模和類型的組織。