CAF 4.0 针对关键基础设施有哪些主要变更和新要求？
CAF（网络评估框架）是英国用于评估提供关键服务的组织如何管理网络风险和韧性的国家标准。该框架由英国国家网络安全中心（NCSC）于2025年发布，CAF 4.0版本提高了评估标准，不再采用清单式审查，转而针对关键基础设施采用可量化、以结果为导向的韧性评估。
重要更新
- Secure 内部和供应商系统中的Secure 开发及生命周期管理Secure （A4.b）
- 人工智能和自动化风险控制措施，用于防止系统发生不安全或非预期的操作
- 主动威胁狩猎作为原则C2下的必备能力
- 供应链保障与分包商可视化
- 适用于能源、医疗、交通和数字基础设施等领域的定制化行业叠加层
- 明确强调理解威胁（A2.b）以及通过良好实践指标（IGPs）验证安全性
CAF 4.0 符合《NIS2》（欧盟修订后的《网络和信息系统条例》）及英国《韧性法案》的要求，加强了董事会层面的问责制，并要求在目标 A 至 D 的框架下，持续提供治理与改进的证据。
CAF 4.0 与之前的版本有何不同？
由NCSC开发的CAF 4.0超越了单纯的清单式合规要求，转向了可衡量的成果和持续改进。它引入了“威胁狩猎”（C2）Software （A4.b）等新原则，并辅以针对各行业的具体补充要求。
主要区别
- 基于成果的证据取代了对照清单，使组织在践行各项原则时拥有更大的灵活性
- IGPs旨在引导专家判断，而非采用僵化的评分标准
- 威胁狩猎（C2）和安全软件开发（A4.b）的新原则
- 支持针对特定行业的叠加层，使监管机构能够根据各行业的特点调整监管预期
- 更加重视治理与合规，需要董事会层面的责任担当
实际上，CAF 4.0 要求提供可验证的证据和有据可查的威胁狩猎流程。早期版本侧重于网络监控，而 4.0 版本新增了一项专门的“威胁狩猎”原则，要求进行主动威胁狩猎并验证结果。
CAF 4.0 的常见挑战及该框架的解决方案
痛点 | CAF 4.0 是如何解决这一问题的 |
|---|---|
应对复杂且相互交织的监管要求 | CAF 4.0 与《NIS2 指令》和《英国韧性法案》保持一致，为跨行业的治理、保障和韧性建立了统一的框架。 |
用于持续收集证据和威胁监测的资源有限 | CAF 4.0 摒弃了清单式审核，转而采用基于结果的证据和持续评估，使组织能够更高效地证明其合规性。 |
对于如何落实有关安全开发和人工智能风险的新要求，目前尚存不确定性 | CAF 4.0 针对Secure Software 开发[A4.b]以及AI风险管理提出了明确的原则，就生命周期控制、测试和溯源提供了结构化的指导。 |
难以编制符合要求且可直接提交给董事会的合规与韧性报告 | CAF 4.0 通过可量化的目标和良好实践指标（IGPs），强化了管理层的问责制，使董事会层面的报告更加一致且以数据为依据。 |
AI风险与Secure 开发是CAF 4.0的优先事项
CAF 4.0 认识到，如果开发和管理不安全，人工智能驱动的自动化和复杂的软件供应链会带来新的风险，从而可能导致关键服务中断。
对组织的要求
- 在整个软件生命周期中贯彻安全开发实践，例如代码溯源追踪、测试和漏洞管理
- 评估并管控由人工智能驱动或自动化的决策系统带来的风险，此类系统可能产生不可预测的行为，或被攻击者操控
- 通过供应商保障流程，验证软件及更新的真实性与完整性，并确保其符合安全开发标准
这些更新旨在规范安全开发和人工智能风险管理流程，确保关键系统在部署前消除漏洞，并符合《NIS2指令》和《英国韧性法案》的要求。
新的行业叠加层及其对安全领导者的影响
CAF 4.0 引入了针对特定行业的 CAF 配置文件（即“叠加层”），以使该框架能够切实适用于提供基本服务的行业。这些叠加层是在国家网络安全中心（NCSC）的指导下开发的，既确保 CAF 仍是一个通用的国家框架，同时也允许根据行业特点进行具体解读。
不妨将这些叠加层视为量身定制的蓝图，它们将同一框架适应于各行业的运营实际情况，其中每一层都将CAF的成果调整以适应其所在行业的具体风险、技术及监管要求。
部门叠加图的主要目标
- 针对特定行业的解读：确保 能源、医疗保健、交通和数字基础设施运营商能够在各自的运营环境中应用CAF原则
- 监管协调：允许 监管机构制定能够反映实际运营状况的韧性目标
- 领导力重点：帮助 安全负责人专注于对其核心职能至关重要的成果
- 一致的衡量标准：支持 在IT和OT环境中对网络安全成熟度进行统一评估
对于领导团队而言，这些叠加层明确了各领域中“良好”状态的具体表现，从而将CAF 4.0转变为一种用于对风险和证据进行优先级排序的实用工具，而不仅仅是一份普通的核对清单。
OPSWAT 助力简化并落实 CAF 4.0 标准
OPSWAT CAF 4.0 的目标相契合，将框架目标转化为贯穿 IT 和 OT 环境的可衡量运营控制措施。
主要一致领域
- 威胁预防与检测工作符合CAF目标B（防范网络攻击）和目标C（检测网络安全事件），并MetaDefender MetaDefender 通过机器学习和行为分析开展C2威胁狩猎
- 通过MetaDefender Core 中的 SBOM 生成和漏洞扫描来Secure ，为软件完整性Core 可量化的保障
- 自动化报告可提供可视化信息并确保符合审计要求
- 隔离网络之间的跨域安全文件交换有助于保护数据流
借助与《共同评估框架》（CAF）对接的合规映射OPSWAT 超越单纯的清单式合规，实现持续保障和可量化的韧性。下表展示了OPSWAT技术如何与 CAF 目标相对应，从而帮助组织证明其具备可量化且有据可依的合规性。
OPSWAT 如何帮助组织应对 CAF 4.0 的挑战
痛点 | OPSWAT 是如何OPSWAT 这一问题的 |
|---|---|
应对复杂且相互交织的监管要求 | OPSWAT该合规映射方案将CAF 4.0、NIS2和英国《韧性法案》整合为单一的 |
用于持续收集证据和威胁监测的资源有限 | MetaDefender Core,MetaDefender Managed File Transfer , 以及My OPSWAT Central Management |
对于如何落实安全开发和人工智能风险管控存在不确定性 | MetaDefender Core 用于验证软件真实性、生成软件物料清单（SBOM）并管理漏洞 |
难以编制符合要求且可直接提交给董事会的合规与韧性报告 | OPSWAT该平台集中的合规视图和报告功能，将技术证据转化为与CAF目标A–D相对应的高管级 |
OPSWAT 为 CAF 4.0 实现基于证据的合规性
借助OPSWAT自动化证据收集、集中式合规视图以及数据点与 CAF 目标的实时映射功能，您可以简化 CAF 4.0 的报告工作。这些 CAF 4.0 实践已体现在关键基础设施环境中OPSWAT 解决方案中。
OPSWAT 支持持续CAF保障的关键OPSWAT
- SBOM 的生成和vulnerability detection为符合 CAF A4.b 要求的安全开发实践提供了直接证据，将技术证明与具体的OPSWAT 及成果联系起来。
- MetaDefender Core MetaDefender File Transfer™的审计报告与CAF 目标 A 和 D 相对应，为首席信息安全官（CISO）提供可追溯且符合监管要求的摘要，以展示合规进展
OPSWAT Technologies的核心能力
集中式合规视图，可实时直观展示针对CAF目标的合规状态
自动收集日志、报告和审计轨迹，以支持持续的证据收集
主管审批工作流和详细的审计日志记录了文件的流转、策略执行以及人工监督情况，符合CAF目标D2的要求
基于逻辑的过滤和定期重新扫描通过自动对新出现或正在出现的威胁进行合规性验证，进一步满足了CAF对持续审查的要求
与安全文件传输、访问控制及威胁分析工具集成，以验证数据完整性
OPSWAT的跨领域覆盖能力为何在OT Security独树一帜？
CAF 4.0 要求对支持关键功能的 IT 和 OT 系统实施统一的安全控制。OPSWAT统一平台可在数据流、设备和网络的任何交汇点提供保护。这种方法支持 CAF 针对能源、交通和数字基础设施的行业叠加要求，在这些领域，监管机构越来越要求对 IT 和 OT 系统实现统一的可视化。
虽然一些供应商仅专注于运营技术（OT）可视化或基于信息技术的监控，OPSWAT平台却能在单一的安全与合规模型下，同时保护这两个领域。
Core
- IT 和 OT 系统的综合防护
整合了MetaDefender Core、MetaDefender Managed File Transfer、MetaDefender 和MetaDefender 等技术，旨在保障连接环境和物理隔离环境中的文件交换及终端安全
- Secure、基于策略的文件传输
MetaDefender Managed File Transfer 通过工作流规则、审批流程和审计日志，Managed File Transfer 网络间文件的Managed File Transfer 传输，从而确保合规性和数据完整性
- 通过启动前Multiscanning实现设备安全保障
File-Based Vulnerability Assessment 终端设备连接到网络File-Based Vulnerability Assessment MetaDefender Drive 裸机Multiscanning File-Based Vulnerability Assessment ，从而帮助防止恶意软件的传播
- 可移动存储介质的Media
MetaDefender Kiosk Proactive DLP™ 技术及安全擦除选项，在可移动存储介质进入安全环境之前对其进行验证和清理
- 集中式可视化与报告
MetaDefender Core、Managed File Transfer（Managed File Transfer）以及My Central Management 统一的仪表盘、SIEM 集成和审计日志，用于展示受管环境中设备、用户和文件的活动情况
OPSWAT的产品是如何应对高级威胁狩猎和人工智能风险的？
OPSWAT 通过MetaDefender 、MetaDefender Intelligence™ 和MetaDefender CoreOPSWAT 隐藏威胁并验证基于人工智能的软件行为，从而满足 NCSC《网络评估框架 4.0》中 CAF 4.0 的目标 C2 和 B4.a。
Core OPSWAT 功能
- Metascan™Multiscanning 威胁情报：在文件传输和设备中发现高级威胁和零日威胁
- Sandbox ： 即使在缺乏已知指标的情况下也能检测 恶意行为，并通过与 MITRE ATT&CK（攻击战术、技术和通用知识）框架的映射关联分析结果，从而获得结构化的证据
- AI辅助分析：验证 自动化决策，并标记系统行为中的异常
- 对这些技术的持续更新：符合 不断演变的CAF 4.0要求
这些能力相结合，既能对已知威胁和新兴威胁提供高精度的检测，又能为CAF评估提供可验证的证据。
下表总结了OPSWAT如何与《网络评估框架》（CAF）4.0的目标和原则相契合，并展示了各产品如何助力在IT和OT环境中实现可量化、基于证据的合规性。
OPSWAT 功能与《加拿大武装部队条例》（CAF 4.0）目标和原则的对应关系
OPSWAT | 主要功能 | CAF 4.0 涉及的目标/原则 | 该功能如何支持 CAF 4.0 合规性 |
|---|---|---|---|
MetaDefender Core™ |
|
|
|
MetaDefender |
|
|
|
MetaDefender 情报™ |
|
|
|
MetaDefender Managed File Transfer™ 管理式文件传输 |
|
|
|
MetaDefender Kiosk™ |
|
|
|
MetaDefender Drive™ |
|
|
|
MetaDefender |
|
|
|
MetaDefender NetWall™ |
|
|
|
My Central Management |
|
|
|
从安全开发和供应链保障，到主动威胁狩猎和运营技术（OT）网络防护，这份综合报告为监管机构和安全负责人提供了可追溯、基于数据的韧性证明。
通过整合文件流、设备和网络的可见性OPSWAT 您证明自身符合每一项《网络安全框架》（CAF）目标，同时保持运营效率并做好应对不断演变的威胁的准备。这种方法不仅能加速实现《网络安全框架》4.0 版的合规要求，还能增强受监管行业在网络安全方面的长期韧性。
安全负责人如何降低 CAF 4.0 合规性的复杂性和模糊性？
您可能会觉得 CAF 4.0 较为复杂，因为它基于成果导向的框架构建，且与《网络安全指令 2》（NIS2）和《英国韧性法案》等其他法规存在交叉。作为安全负责人，您可以通过使用集成式合规工具来降低复杂性，这些工具能够自动化收集证据并生成报告，在最大限度减少人工操作的同时，确保与不断演变的法规保持一致。
- 通过行业叠加分析来解读结果，而非采用僵化的控制措施
- 通过自动化、可验证的数据实现证据收集标准化
- 利用统一报告机制整合CAF、NIS2及《韧性法案》的要求
这种方法简化了多框架合规流程，确保对所有CAF目标保持实时可视化，并能帮助您以更低的行政成本展示可量化的进展。
首席信息安全官应采取哪些措施来准备CAF 4.0评估？
首席信息安全官（CISO）可以通过重点关注准备工作、证据收集以及跨法规协调来做好充分准备。其目标是通过范围界定、差距分析以及与目标A至D相一致的自动化证据收集，使CAF评估具有可预测性，而非被动应对。
- 确定属于CAF范围内的关键职能，并将其与四个核心目标相对应
- 利用更新后的内部治理政策（IGPs）进行差距分析，以确定高影响领域的优先级
- 使安全控制措施符合NIS2 和《英国韧性法案》的要求，以避免重复审计和义务重叠
- 通过集成合规报告和政策映射，尽早实现数据收集自动化，从而实时跟踪控制措施的成熟度
- 在董事会层面明确责任归属，以确保各评估环节之间保持持续的透明度
成果：一种就绪模型，它以持续的保障和基于证据的治理取代了手动准备工作。
高效收集CAF审计证据的3种方法
通过高效收集证据，您可以将CAF审计从一次性工作转变为持续的合规保障。标准化模板和自动化报告功能有助于您的组织实时跟踪结果，并保持一致且可验证的合规证明。
- 使用CAF专用模板和自动化数据采集功能，将每项控制措施与可衡量的成果建立关联
- 将证据集中整合到统一的合规视图中，以便实时监控针对CAF目标的进展情况
- 直接从自动化报告中生成简洁且符合审计要求的摘要，从而缩短准备时间并减少错误
OPSWAT 解决各行业存在的监管模糊性
CAF 4.0 的行业叠加层允许各行业根据自身的运营风险来解读结果，但许多组织业务横跨多个行业。“OPSWAT 系列产品采用统一的报告和控制架构，使组织能够在多个环境中跟踪类似的保障措施。这种一致性有助于跨行业运营商在无需重复提供证据或进行审计的情况下，保持与监管要求的符合性。
需要哪些证据和文件来证明符合CAF 4.0要求？
CAF 4.0 要求提供可量化的、由系统生成的证据，以证明每一项控制措施都与目标 A 至 D 中的相应成果相关联。仅仅证明控制措施的存在是不够的，这些措施必须能够长期有效且一致地运行。OPSWAT 通过自动数据采集和可定制的报告功能OPSWAT 这一流程，既能提供技术证明，又能生成高管级摘要。
符合CAF 4.0要求的3种证据类型
CAF证据的3个类别
- 政策与治理文件：风险登记册、安全政策、事件响应计划以及供应商合规记录
- 运行和技术数据：来自生产环境的系统日志、配置文件、漏洞评估报告以及文件扫描报告
- 保证性输出： 与“良好实践指标”（IGPs）相一致的内部 审计发现、测试结果及成熟度评估
NCSC的指导方针强调，证据必须证明系统的持续运行，而非仅在特定时间点的合规性。OPSWAT日志收集、审计追踪和验证报告功能，确保每项CAF控制措施均可通过系统生成的数据进行验证，而非依赖手动记录。
电子表格映射使合规工作得以落实
电子表格映射将每个CAF评估结果与具体的技术控制措施相关联，显示证据是完整、部分存在还是缺失。它能即时呈现合规成熟度状况，并突出显示可采取的后续行动。
您可以将CAF评估结果OPSWAT综合报告仪表盘及审计数据关联，从而实时跟踪控制状态。在与关键基础设施运营商的试点部署中，这种方法不仅将手动报告工作量减少了50%以上，还提升了审计准备度。
CAF 4.0 中“适合提交董事会审议的报告”是什么样子的？
面向董事会的报告需要对风险状况、控制成熟度以及合规情况进行清晰的总结。OPSWAT的综合报告仪表盘提供清晰直观的视觉摘要，将技术指标转化为业务层面的洞察。
针对各行业的指导意见加速了CAF 4.0的采用
根据所属行业不同，您将面临各异的运营风险，因此CAF 4.0提供了量身定制的指导，以说明评估结果如何适用于您的具体环境。这些调整有助于组织更高效地实施控制措施，并使其与实际运营相契合。OPSWAT 自动化报告和模块化产品配置OPSWAT 这一过程，这些配置可根据不同的运营环境进行调整。
对CI领域而言，CAF 4.0最关键的目标
各行业的CAF优先事项虽有差异，但都以保障基本服务为共同目标。通过将针对性指导与自动化技术恰当结合，既能加速CAF 4.0的采用，又能确保各行业的管控措施保持适当且可衡量。
系统的韧性与运营技术（OT）网络分段至关重要。OPSWAT MetaDefender 和MetaDefender Drive 隔离环境，并在连接前验证终端的完整性。
保护患者数据和临床工作流程至关重要。MetaDefender Managed File Transfer MetaDefender 可确保每次文件传输和上传都经过验证、清理且可追溯。
系统可用性和数据完整性是合规性的关键。OPSWAT集成式报告功能和基于策略的传输自动化，可在分布式系统中保持可视性和控制力。
威胁检测和安全软件开发是核心。MetaDefender Core Threat Intelligence 持续的漏洞评估和主动防御。
是否有针对特定行业的CAF实施模板？
企业可利用OPSWAT可配置的仪表盘和报告功能，使其控制措施与行业特定的 CAF 成果保持一致。这些工具能够实时展示跨环境的控制状态，帮助团队在采用 CAF 4.0 实践时应用统一标准并简化入职流程。
资源受限的组织如何优先实施控制措施以实现最大韧性
当资源有限时，应重点关注那些能最大程度降低运营风险的管控措施。自动化和持续智能如同力量倍增器，使规模较小的团队也能达到与大型组织同等水平的CAF 4.0保障水平。
- 从影响重大的目标入手，例如 B3（数据安全）和 C2（威胁狩猎）
- 利用自动化取证来取代手动流程，从而为分析师腾出时间
- 优先实施持续威胁检测，并落实安全开发管控措施，以优先保护核心资产
- 使用综合报告仪表盘来监控控制有效性，并自动标记存在的问题
是什么让CAF 4.0成为一项战略资产？
CAF 4.0 通过将您的安全表现与可衡量的业务成果相挂钩，将合规性定位为您的战略推动力。它使组织能够量化网络安全成熟度、证明持续保障能力，并优先考虑那些能直接增强韧性的投资。OPSWAT自动化数据采集和报告功能将运营数据与可衡量的安全成果相联系。这使您能够清晰地了解每一项控制措施如何支持任务连续性。
“持续智能”可确保合规与防御的未来适应性
实时情报确保CAF 4.0合规性能够随着威胁形势的变化而不断演进。OPSWAT会自动更新恶意软件引擎和威胁情报源，涵盖从零日漏洞利用到人工智能驱动的攻击。这种持续的更新周期确保了评估结果的准确性，并保证监管证据能够真实反映组织在任何特定时刻的安全态势。
在应对CAF 4.0合规要求及行业特定规定时OPSWAT 通过值得信赖的威胁防护和合规自动化技术OPSWAT 您全面保护每个文件、设备和数据流。
联系OPSWAT ，加快您的 CAF 4.0 准备工作。
常见问题
与之前的版本相比，CAF 4.0 有哪些主要变化？
CAF 4.0 摒弃了基于核对清单的合规模式，转而采用可量化的成果和持续性保障机制。该框架引入了安全软件开发要求（A4.b）、人工智能与自动化风险控制措施，以及正式的威胁狩猎原则（C2）。此外，该框架还针对能源、医疗、交通和数字基础设施领域增加了行业特定要求，并强化了《网络安全指令2》（NIS2）及《英国韧性法案》所规定的治理要求。
英国关键国家基础设施（CNI）组织应如何证明其符合《网络安全评估框架》的要求？
您必须确保证据由系统自动生成、可追溯，并与CAF目标相关联。OPSWAT 通过自动化日志记录、集成式报告以及基于策略的工作流OPSWAT 这一点OPSWAT 这些功能将每项控制措施与可衡量的成果相匹配。持续监控取代了手动电子表格，帮助关键国家基础设施（CNI）运营商验证性能，并提供可审计的合规证明。
为了满足CAF 4.0对董事会层级报告的要求，需要提供哪些类型的证据或文件？
您应审查各类治理记录（政策、风险登记册）、运营数据（日志、漏洞报告）以及合规性验证结果（审计报告、测试结果）。OPSWAT 这些内容OPSWAT 简明扼要的合规摘要，将技术指标与CAF目标相联系，使高管无需进行深入的技术审查，即可实时掌握成熟度和韧性状况。
CAF框架如何与即将出台的英国韧性与安全法规（如《网络和信息系统安全指令2》（NIS2）及《韧性法案》）保持一致？
CAF 4.0 与《网络安全指令 2》（NIS2）及英国《韧性法案》高度契合，其核心在于强调持续改进、董事会问责以及基于证据的合规保障。OPSWAT合规映射和自动化报告功能，使组织能够通过单一的、以结果为导向的工作流来满足各项重叠的要求，而无需针对每项法规分别进行审计。
在 CAF 4.0 框架下，实施威胁狩猎和安全开发流程的最佳实践有哪些？
采用主动威胁狩猎（C2）策略，利用相关工具在缺乏已知指标的情况下也能检测异常行为。将安全开发实践（A4.b）——例如生成Software （SBOM）和漏洞扫描——融入每个版本的发布流程。OPSWAT 通过MetaDefender 、Core Threat Intelligence OPSWAT 这两项OPSWAT ，提供自动化检测、MITRE ATT&CK 映射以及可验证的代码完整性。
资源有限的公共部门机构应如何优先实施CAF 4.0控制措施，以最大限度地提高网络弹性？
首先应聚焦于那些能最大程度降低运营风险的高影响力目标（B3 数据安全、C2 威胁狩猎）。通过自动化证据收集和文件流保护，为分析师节省时间。OPSWAT持续情报和集成合规报告功能，使小型团队能够以更少的资源维持 CAF 级别的保障水平，同时跟上不断演变的威胁。
