NIST | 800-37 聯邦信息系統風險管理框架應用指南

?

機構如今越來越依賴信息技術和信息系統，而這些信息技術和信息系統正是從曾被機構用來成功執行任務和業務功能的技術發展而來的。從機構成分來說，信息系統包含了從高端超極計算機到個人數字助理和蜂窩電話的各種計算平臺。信息系統還包含非常專業化的系統和設備（例如電信系統、工業流程控制系統、測試和調試設備、武器系統、指揮和控制系統、環境控制系統等）。聯邦信息和信息系統面臨著各種嚴重威脅，這些威脅會因破壞系統處理、保存和傳輸的信息的保密性、完整性或可用性，而對機構運行（包括任務、功能、形象和信譽）、機構資產、人員、其他機構乃至國家造成負面影響。信息和信息系統面臨的威脅包括環境破壞、人為或機器錯誤和有目的的攻擊。當今針對信息系統的網絡攻擊往往步調一致、組織嚴密、資金充裕，越來越多有案可查的事件表明，它們不僅侵略性極強，而且技術水平極高。對公共和私營部門信息系統的攻擊會給美國的國家和經濟安全利益造成嚴重或重大傷害。有鑒于這些威脅構成的危險日趨嚴重，機構的各級領導對于自己在實現充分信息安全和管理信息系統安全風險的工作中所要承擔的責任，必須了然于胸。