文章总结： 英国NCSC发布CAF4.0网络评估框架，面向关键基础设施及受监管组织，采用成果导向方法评估和提升网络韧性。框架包含管理风险、防护攻击、检测事件、最小化影响四大目标，强调理解攻击者方法、安全软件开发、威胁狩猎及AI风险应对。通过良好实践指标(IGPs)指导组织证明其韧性水平，适用于IT与OT环境，旨在管理因网络攻击导致不可接受后果的风险。 综合评分： 87 文章分类： 安全建设,安全运营,威胁情报,安全标准,网络安全

英国CAF网络评估框架4.0收藏简介

原创

铸盾安全 铸盾安全

河南等级保护测评

2026年2月10日 00:00 河南

了解什么是网络评估框架（CAF）资料库，为什么要制作，用途为何，以及该资料库应如何使用。

为什么NCSC会制作CAF收藏？

网络和信息系统及其支持的基本功能在社会中发挥着至关重要的作用，从确保电力、水、石油和天然气的供应，到医疗服务的提供以及客运和货运的安全。它们的可靠性和安全性对日常活动至关重要。

正如我们从众多网络安全事件中看到的，这些系统可能成为恶意行为者的诱人目标，同时也可能因系统故障而受到干扰。网络和信息系统安全事件的规模、频率和影响正在增加。历史事件如2015年乌克兰电力网络袭击和2017年WannaCry勒索软件攻击，以及近期美国殖民管道、Redcar & Cleveland和Hackney议会的勒索软件攻击以及Synnovis病理实验室勒索软件攻击，都清楚地凸显了这些事件可能带来的影响。

因此，有必要持续提升英国网络和信息系统的安全性，特别关注那些一旦被攻破，可能对经济、社会、环境和个人福祉造成重大损害，包括生命损失的关键功能。

CAF收藏中的资源旨在用于在英国日常生活中发挥关键作用的组织，如被指定为关键国家基础设施（CNI）一部分的组织，或受某些类型网络监管的机构，包括2018年《网络与信息系统（NIS）条例》）。 以及安全法规中的网络方面，如重大事故危害控制（COMAH）。

注释

受网络监管约束的组织在使用NCSC CAF以满足监管要求前，应先咨询其监管机构。

CAF收藏是干什么用的？

CAF的集合旨在帮助组织在执行的特定关键职能上实现并展示适当的网络韧性水平。

为什么要“成就并展示”？

CAF旨在被组织用来管理因网络攻击而导致预先确定且不可接受后果的风险。这通常涉及外部实体或网络监督机构（如网络监管机构或政府政策机构）负责了解某一行业所有组织在多大程度上成功管理此类网络风险的情境。CAF收藏提供了一个专门设计的框架，帮助相关网络监督机构产生此类行业层面的理解。

CAF的合集主要以需达成的成果为基础，而非合规清单。实现指定CAF成果的方式通常有多种不同，这可能导致对组织是否成功建立适当网络韧性存在不确定性。然而，CAF中包含良好实践指标（IGPs）为实现CAF成果的组织通常应具备的措施类型提供了指导，使该组织能够展示适当的网络韧性水平。

为什么是“网络韧性”？

“网络韧性”一词指的是组织即使在遭遇不利网络事件的情况下，仍能保持其核心职能的正确运行能力。此术语旨在强调CAF收集适用于某些预先确定的不可接受后果，遵循CAF要求的目的是管理因网络攻击而导致不可接受后果的风险。

为什么要“指定基本功能”？

强调“指定基本职能”的网络韧性，用来区分CAF与一套通用的良好网络安全实践。CAF用户通常需负责正确作一个或多个重要组织职能，若其妥协或失败，将导致不可接受的后果。

例如，该组织可能是电力配电网络运营商/配电系统运营商，其核心职能是“为用户场所提供可靠的电力供应”。这个例子既属于CNI也属于NIS基本服务运营商类别。

指定的基本功能促使考虑哪些网络和信息系统属于CAF网络韧性要求范围。为此，CAF集合设计得同等适用于信息技术（IT）和运营技术（OT）。这与一般的良好网络安全实践形成对比，后者通常被认为适用于整个组织的IT体系，且通常不设计涵盖OT。

请注意，CAF收藏的使用范围不限于拥有和运营英国CNI部分内容的组织。因此，CAF收藏的术语旨在推广和扩展CNI术语。具体来说，在CAF收藏中：

1. “基本功能”

   可能指被认可为CNI的基本服务，或指组织执行的其他重要活动（例如NIS条例定义的必要服务，或在交通服务、工业场所运营等背景下维护公共安全）。

2. “负责核心职能的组织”

   可以指拥有并运营CNI部分的组织，或其他类型的组织（例如根据NIS条例被指定为基本服务运营商的组织，或受网络安全法规约束的组织）。

此外，请注意，在CAF收藏中使用的“必要功能”一词可能指或不指受网络监管的活动。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：河南等级保护测评 铸盾安全 铸盾安全《英国CAF网络评估框架4.0收藏简介》