简而言之：NIST 应用安全团队风险管理框架
NIST风险管理框架是一个流程，而不是一份控制清单。 它决定组织可以承担哪些风险。应用安全调查结果是那些……的证据。cis离子停留在上面。
- RMF是保护伞。 其他 NIST 出版物也与之相关：SP 800-53 用于控制，SSDF 用于安全开发，SP 800-204D 用于…… CI/CD pipelines 和 CSF 2.0 用于组织范围内的视图。
- 经典的瓶颈在于授权。 传统的 ATO 可能需要数月时间，并且假设系统三年内几乎不会发生变化，这是任何现代团队都无法保证的。
- 该修复程序已包含在框架中。 RMF 的监控步骤支持持续授权，而持续 ATO 计划正是建立在持续授权的基础上的。
- 持续授权需要持续的证据。 这意味着从代码、依赖项和安全方面发现的问题 pipelines，自动收集而不是在电子表格中收集。
- SSDF正在发生变化。 NIST 于 2025 年 1.2 月发布了 SSDF 1.2 版草案，因此安全开发证据要求也在发生变化。
NIST风险管理框架经常被视为文书工作：合规团队在系统上线前填写的文件。这忽略了重点。RMF是一个……cis离子处理和应用程序安全产生了大部分证据。cis离子取决于。
本文从应用安全的角度探讨了 NIST 风险管理框架：哪些 NIST 框架实际可以接入该框架，组织在哪些方面会遇到困难，以及如何将您的安全发现转化为 RMF 所设计的持续证据。
NIST风险管理框架是什么，以及它不是什么。
NIST风险管理框架的定义如下： NIST SP 800-37 修订版 2它为组织提供了一种结构化的方法，通过七个步骤在系统的整个生命周期内管理安全和隐私风险： 准备、分类、选择、实施、评估、授权和监控.
它并非安全要求清单。风险管理框架 (RMF) 会告诉你…… 形成一种 确定需要哪些控制措施以及剩余风险是否可接受。这些控制措施本身来自 NIST 的其他出版物。该系统最初是为美国联邦系统开发的，但许多私营机构也在使用，尤其是那些向政府或受监管行业销售产品的供应商。
NIST 的哪个框架回答了哪个问题？
NIST风险管理框架指的是整个流程。这些出版物阐述了该流程的具体内容。
| 出版物 | 它回答的问题 | 应用安全出现在哪里 |
|---|---|---|
| SP 800-37 (RMF) | 我们如何决定接受哪些风险，并保持这种不确定性？cis离子电流？ | 评估和监测步骤，其中调查结果将成为证据 |
| SP 800-53 | 我们可以选择哪些安全和隐私控制措施？ | 缺陷修复、配置和供应链风险控制 |
| SP 800-218 (SSDF) | 安全的软件开发是什么样的？ | SAST, SCA机密信息和漏洞应对措施，以及供应商证明 |
| SP 800-204D | 我们如何保障软件供应链的安全？ CI/CD pipelines? | Pipeline 权限、依赖管理、工件完整性 |
| 脑脊液 2.0 | 整个组织的网络安全成熟度如何？ | 治理和识别功能用于向上报告应用程序安全态势。 |
| AI RMF | 我们如何管理人工智能系统的风险？ | 代码中运行的人工智能的库存和风险证据 |
如需快速了解 NIST 系列产品，请参阅我们的术语表条目。 什么是 NIST？也涵盖 SP 800-204D。
组织在风险管理框架 (RMF) 方面遇到的难题
审批环节成了瓶颈。 授权步骤会生成运行授权书 (ATO)，但实际上这个过程通常很慢，而且需要人工操作。联邦团队经常报告…… 等待时间为 6 至 12 个月 ATO 的审批流程基于文件、电子表格和后期审核。
澳大利亚税务局假设系统不会改变。 传统的ATO通常是 有效期三年前提是系统的安全状况保持稳定。但对于每天部署的团队来说，一周之内这个假设就会被打破，每一次重大变更都可能意味着需要重新评估。
监控环节常常被忽略。 美国国防部在其文件中明确表示。 2022年持续性ATO备忘录RMF 的实施重点在于获得授权，而授权授予后，对风险的持续监控却有所欠缺。
这些框架一直在变化。 NIST 发布了 SSDF 1.2 版草案 2025年12月，SSDF将新增和改进安全软件开发实践。已签署SSDF认证协议的组织需要跟踪最终版本发布后的变更情况。
如何将您的应用安全计划接入 NIST 风险管理框架
目标很简单：停止手动生成 RMF 的安全证据，让它从你已经运行的工具中自动生成。
- 根据实际库存进行准备和分类。 你无法对尚未绘制映射图的系统进行分类。首先要清点存储库。 pipeline代码中的依赖项和 AI 组件。
- 选择可以自动验证的控件。 有利于缺陷修复、配置管理和供应链保护等控制措施，其中扫描仪可以产生客观证据。
- 在以下方面实施安全措施 pipeline而不是之后。 遵循 SSDF 和 SP 800-204D，以便在每次构建时运行扫描、权限和工件完整性检查。
- 持续评估。 将每次扫描都视为一次评估事件。从代码、依赖项、密钥和密钥中发现问题。 pipeline成为始终有效的证据。
- 授权应基于上下文，而非数量。 根据实际可利用性和业务影响对调查结果进行优先排序，以便授权官员能够看到真正重要的风险，而不是成千上万条警报。
- 默认状态为监控。 警惕新的关键风险和漂移 pipeline 配置和权限是持续授权的基础。
同样的逻辑也适用于应用层。 standard如果您也以 OWASP ASVS 为基准进行基准测试，请阅读我们的指南。 如何根据 OWASP ASVS 对您的应用安全程序进行基准测试.
Xygeni 如何将证据输入 NIST 风险管理框架
西吉尼 持续地从一个地方生成评估和监测步骤所需的证据。
- CI/CD pipelines: 西吉尼 CI/CD 安保防护 使其检查与行业保持一致 standard它支持 OWASP 和 NIST SP 800-204D 等标准，并支持针对这些标准的合规性评估。 standard如 CIS、NIST 和 OpenSSF.
- 优先风险： Xygeni ASPM 汇总来自代码、依赖项、密钥等方面的发现 IaC和 pipeline包括第三方扫描器在内的所有扫描器，并根据实际风险对其进行优先级排序，这是授权的视角。cis离子需求。
- 人工智能风险： Xygeni AI Security 可以发现您代码中的 AI 资产， 将研究结果与 OWASP LLM Top 10 和 NIST AI RMF 进行比对为您提供系统中人工智能部分的清单和风险证据。如需了解逐项功能介绍，请参阅我们的 指南.
将您的安全调查结果转化为RMF证据
根据上季度电子表格进行的授权描述了上季度的系统。 预约演示 看看 Xygeni 如何转换代码、依赖项和 pipeline 将调查结果纳入持续的、优先的证据中，或 免费开始 今天就开始扫描你的第一个存储库吧。
常见问题解答
NIST RMF 的七个步骤是什么？
按照 NIST SP 800-37 修订版 2 中的定义，进行准备、分类、选择、实施、评估、授权和监控。
NIST风险管理框架是否仅适用于美国联邦机构？
它最初是为联邦系统设计的，但许多私营组织自愿使用它，而政府供应商通常需要与它保持一致。
NIST RMF 和 NIST CSF 有什么区别？
RMF 是一个系统级流程，用于选择控制措施和授权系统。CSF 2.0 是一个组织级框架，用于描述和改进网络安全成果。
什么是连续自动调动？
持续授权运行 (ATO) 取代了周期性的、基于文件的授权，转而采用基于自动化监控和在整个软件生命周期中收集的证据的持续授权。
