NIST特别出版物NIST SP 800-161r1 系统的网络安全供应链风险管理 实践 和组织 Jon Boyens Angela Smith NadyaBartol KrisWinkler Alex Holbrook Matthew Fallon NiST National Institute of Standards and Technology U.S.DepartmentofCommerce NIST特别出版物NIST SP 800-161r1 系统的网络安全供应链风险管理 实践 和组织 Jon Boyens 安吉拉-史密 斯 计算机安全司信息技术实 验室 Nadya Bartol Kris Winkler Alex Holbrook Matthew Fallon 波士顿咨询集团 2022年5月 NTOF 美国商务部 Gina M.Raimondo，秘书 国家标准和技术研究所 LaurieE.Locascio,NIST主任和负责标准和技术的商务部副部长 管理局 本出版物由NIST根据2014年《联邦信息安全现代化法案》（FISMA）（44U.S.C.$3551etseq） 规定的法定职责制定。，公法（P.L.）113-283。NIST负责制定信息安全标准和准则，包括联邦信 息系统的最低要求，但这些标准和准则在未经对国家安全系统行使政策权力的适当联邦官员明确 批准的情况下，不得适用于这些系统。本准则与管理和预算办公室（OMB）A-130号通告的要求 一致。 束力的标准和准则相抵触。这些准则也不应被解释为改变或取代商务部长、OMB主任或任何其他 联邦官员的现有权力。本出版物可由非政府组织在自愿基础上使用，在美国不受版权限制。但 是，请注明出处，NIST将对此表示感谢。 国家标准和技术研究所特别出版物800-161r1 Natl. Inst. Stand.Technol.Spec.Publ. 800-161r1, 326 pages (May 2022) CODEN:NSPUE2 本出版物可从以下网站免费获取： https://doi.org/10.6028/NlST.SP.800-161r1 为了充分描述一个实验程序或概念，本文件中可能会提到某些商业实体、设备或材料。这种标识并不意味 着NIST的推荐或认可，也不意味着这些实体、材料或设备一定是可用于该目的的最佳选择。 本出版物中可能会提到NIST根据其指定的法定职责目前正在开发的其他出版物。本出版物中的信息，包括 概念和方法，甚至在这些配套出版物完成之前，就可以被联邦机构使用。因此，在每个出版物完成之前， 现有的要求、准则和程序，如果存在的话，仍然有效。出于规划和过渡的目的，联邦机构可能希望密切关 注NIST对这些新出版物的开发。 我们鼓励各组织在公众评论期间审查所有的出版物草案，并向NIST提供反馈。除上述出版物外，许多NIST 网络安全出版物可在https:/csrc.nist.gov/publications。 将对本出版物的意见提交给：[email protected]国家标准和技 术研究所 收件人：信息技术实验室计算机安全部 100 Bureau Drive (Mail Stop 8930) Gaithersburg, MD 20899-8930 所有意见都将根据《信息自由法》（FOIA）予以公布。 i 系统和组织的网络安全供应链风险管理实践 NIST SP 800-161r1 关于计算机系统技术的报告 美国国家标准与技术研究所（NIST）的信息技术实验室（ITL）通过为国家的测量和标准 基础设施提供技术领导来促进美国经济和公共福利。ITL开发测试、测试方法、参考数 据、概念实施的证明和技术分析，以推动信息技术的发展和生产性使用。L的职责包括 为联邦信息系统中与国家安全无关的信息制定管理、行政、技术和物理标准和准则，以实 现低成本的安全和隐私。特别出版物800系列报告了国际交易日志在信息系统安全方面的 研究、准则和推广工作，以及它与工业界、政府和学术组织的合作活动。 摘要 企业担心与产品和服务相关的风险，这些产品和服务可能含有恶意功能，是假冒的， 或者由于供应链中的不良制造和开发做法而变得脆弱。这些风险与企业对其获得的技 术是如何开发、集成和部署的，或用于确保产品和服务的安全性、复原力、可靠性、 安全性、完整性和质量的过程、程序、标准和做法的可见性和理解的减少有关。 本出版物为各组织提供了关于识别、评估和减轻其组织各级供应链中的网络安全风险的 指导。该出版物将网络安全供应链风险管理(C-SCRM)纳入风险管理活动，采用了多层 次、针对C-SCRM的方法，包括指导制定C-SCRM战略实施计划、C-SCRM政策、C- SCRM计划以及产品和服务的风险评估。 关键词 获取；C-SCRM；网络安全供应链；网络安全供应链风险管理；信息和通信技术；风 险管理；供应商；供应链；供应链风险评估；供应链保证；供应链风险；供应链安 全。 ii NIST SP 800-161r1 系统和组织的网络安全供应链风险管理实践 鸣谢 作者--美国国家标准与技术研究所（NIST）的Jon Boyens、Angela Smith（NIST）、波士 顿咨询公司（BCG）的Nadya Bartol、Kris Winkler（BCG）、Alex Holbrook（BCG）和 Matthew Fallon （BCG）--在此感谢Alexander Nelson （NIST）。Murugiah Souppaya (NIST）、Paul Black（NIST）、Victoria Pillitteri（NIST）、Kevin Stine（NIST）、 Stephen Quinn （NIST）、Nahla Ivy（NIST）、Isabel Van Wyk（NIST）、Jim Foti (NIST）、Matthew Barrett （Cyber ESI）、Greg Witte （Huntington Ingalls）、R.K. Gardner (New World Technology Partners), David A. Wheeler (Linux Foundation), Karen Scarfone (Scarfone Cybersecurity), Natalie Lehr-Lopez (ODNI/NCSC), Halley Farrell (BCG), 以及NIST SP 800-161的原作者Celia Paulsen (NIST), Rama Moorthy (Hatha Systems), 和 Stephanie Shankles（美国退伍军人事务部）的贡献。作者还要感谢C-SCRM社区，该社区 为管理供应链提供了宝贵的见解和不同的观点，特别是自2015年NISTSP800-161发布以 来分享其实施经验和文件的部门和机构，以及合作为附录F提供意见的持久安全框架的公 共和私人成员。 专利披露通知 通知：信息技术实验室（ITL）已要求专利权持有人向ITL披露其使用可能需要符合本出版物的 指导或要求的专利权。然而，专利持有人没有义务回应国际交易日志的专利要求，国际交易 日志也没有进行专利搜索，以确定哪些专利可能适用于本出版物。 截至本出版物发表之日，以及在呼吁查明其使用可能需要符合本出版物的指导或要求的专 利权利要求之后，国际交易日志没有发现此类专利权利要求。 ITL没有作出或暗示在使用本出版物时不需要许可证以避免专利侵权。 ii NIST SP 800-161r1 系统和组织的网络安全供应链风险管理实践 鸣谢 作者--美国国家标准与技术研究所（NIST）的Jon Boyens、Angela Smith（NIST）、波士 顿咨询公司（BCG）的Nadya Bartol、Kris Winkler（BCG）、Alex Holbrook（BCG）和 Matthew Fallon （BCG）--在此感谢Alexander Nelson （NIST）。Murugiah Souppaya (NIST）、Paul Black（NIST）、Victoria Pillitteri（NIST）、Kevin Stine（NIST）、 Stephen Quinn （NIST）、Nahla Ivy（NIST）、Isabel Van Wyk（NIST）、Jim Foti (NIST）、Matthew Barrett （Cyber ESI）、Greg Witte （Huntington Ingalls）、R.K. Gardner (New World Technology Partners), David A. Wheeler (Linux Foundation), Karen Scarfone (Scarfone Cybersecurity), Natalie Lehr-Lopez (ODNI/NCSC), Halley Farrell (BCG), 以及NIST SP 800-161的原作者Celia Paulsen (NIST), Rama Moorthy (Hatha Systems), 和 Stephanie Shankles（美国退伍军人事务部）的贡献。作者还要感谢C-SCRM社区，该社区 为管理供应链提供了宝贵的见解和不同的观点，特别是自2015年NISTSP800-161发布以 来分享其实施经验和文件的部门和机构，以及合作为附录F提供意见的持久安全框架的公 共和私人成员。 专利披露通知 通知：信息技术实验室（ITL）已要求专利