您的 CAF 4.0 行动计划：Secure 基础设施安全，防范现代威胁

CAF（网络评估框架）是英国用于评估提供关键服务的组织如何管理网络风险和韧性的国家标准。该框架由英国国家网络安全中心（NCSC）于2025年发布，CAF 4.0版本提高了评估标准，不再采用清单式审查，转而针对关键基础设施采用可量化、以结果为导向的韧性评估。

• Secure 内部系统和供应商系统中的Secure 开发及生命周期管理 （A4.b）
• 人工智能和自动化风险控制措施，用于防止系统发生不安全或非预期的操作
• 主动威胁狩猎作为原则C2下的必备能力
• 供应链保障与分包商可视化
• 适用于能源、医疗、交通和数字基础设施等领域的定制化行业叠加层
• 明确强调理解威胁（A2.b）以及通过良好实践指标（IGPs）验证安全性

由国家网络安全中心（NCSC）开发的CAF 4.0，已超越单纯的清单合规要求，转向可衡量的成果和持续改进。该版本引入了“威胁狩猎”（C2）Software （A4.b）等新原则，并辅以针对各行业的具体补充要求。

• 基于成果的证据取代了对照清单，使组织在践行各项原则时拥有更大的灵活性
• IGPs旨在引导专家判断，而非采用僵化的评分标准
• 威胁狩猎（C2）和安全软件开发（A4.b）的新原则
• 支持针对特定行业的叠加层，使监管机构能够根据各行业的特点调整监管预期
• 更加重视治理与合规，需要董事会层面的责任担当

CAF 4.0 认识到，如果开发和管理不安全，人工智能驱动的自动化和复杂的软件供应链会带来新的风险，从而可能导致关键服务中断。

• 在整个软件生命周期中贯彻安全开发实践，例如代码溯源追踪、测试和漏洞管理
• 评估并管控由人工智能驱动或自动化的决策系统带来的风险，此类系统可能产生不可预测的行为，或被攻击者操控
• 通过供应商保障流程，验证软件及更新的真实性与完整性，并确保其符合安全开发标准

CAF 4.0 引入了针对特定行业的 CAF 配置文件（即“叠加层”），以使该框架能够切实适用于提供基本服务的行业。这些叠加层是在国家网络安全中心（NCSC）的指导下开发的，既确保 CAF 仍是一个通用的国家框架，同时也允许根据行业特点进行具体解读。

不妨将这些叠加层视为量身定制的蓝图，它们将同一框架适应于各行业的运营实际情况，其中每一层都将CAF的成果调整以适应其所在行业的具体风险、技术及监管要求。

• 针对特定行业的解读：确保能源、医疗保健、交通和数字基础设施运营商能够在各自的运营环境中应用CAF原则 
• 监管协调：允许监管机构制定能够反映实际运营状况的韧性目标 
• 领导力聚焦：帮助安全负责人专注于对其核心职能至关重要的成果 
• 一致的衡量标准：支持在 IT 和 OT 环境中对网络成熟度进行统一评估

OPSWAT CAF 4.0 的目标相契合，将框架目标转化为贯穿 IT 和 OT 环境的可衡量运营控制措施。

• 威胁预防与检测工作符合CAF目标B（防范网络攻击）和目标C（检测网络安全事件），并MetaDefender MetaDefender 通过机器学习和行为分析开展C2威胁狩猎
• 通过MetaDefender Core 中的 SBOM 生成和漏洞扫描Secure 验证，为软件完整性Core 可量化的保障
• 自动化报告可提供可视化信息并确保符合审计要求
• 隔离网络之间的跨域安全文件交换有助于保护数据流

借助与《共同评估框架》（CAF）对接的合规映射OPSWAT 超越单纯的清单式合规，实现持续保障和可量化的韧性。下表展示了OPSWAT技术如何与 CAF 目标相对应，从而帮助组织证明其具备可量化且有据可依的合规性。

借助OPSWAT自动化证据收集、集中式合规视图以及数据点与 CAF 目标的实时映射功能，您可以简化 CAF 4.0 的报告工作。这些 CAF 4.0 实践已体现在关键基础设施环境中OPSWAT 解决方案中。

• SBOM 的生成和vulnerability detection为符合 CAF A4.b 要求的安全开发实践提供了直接证据，将技术证明与具体的OPSWAT 及成果联系起来。
• MetaDefender Core MetaDefender File Transfer™的审计报告与CAF 目标 A 和 D 相对应，为首席信息安全官（CISO）提供可追溯且符合监管要求的摘要，以展示合规进展
  

CAF 4.0 要求对支持关键功能的 IT 和 OT 系统实施统一的安全控制。OPSWAT统一平台可在数据流、设备和网络的任何交汇点提供保护。这种方法支持 CAF 针对能源、交通和数字基础设施的行业叠加要求，在这些领域，监管机构越来越要求对 IT 和 OT 系统实现统一的可视化。

虽然一些供应商仅专注于运营技术（OT）可视化或基于信息技术的监控，OPSWAT平台却能在单一的安全与合规模型下，同时保护这两个领域。

• IT 和 OT 系统的综合防护 


整合了MetaDefender Core、MetaDefender Managed File Transfer、MetaDefender 和MetaDefender 等技术，旨在保障连接环境和物理隔离环境中的文件交换及终端安全

• Secure、基于策略的文件传输 


MetaDefender Managed File Transfer 通过工作流规则、审批流程和审计日志，Managed File Transfer 网络间文件的Managed File Transfer 传输，从而确保合规性和数据完整性

• 通过启动前Multiscanning实现设备安全保障 


File-Based Vulnerability Assessment 终端设备连接到网络File-Based Vulnerability Assessment MetaDefender Drive 裸机Multiscanning File-Based Vulnerability Assessment ，从而帮助防止恶意软件的传播

• 可移动存储介质的Media 


MetaDefender Kiosk Proactive DLP™ 技术及安全擦除选项，在可移动存储介质进入安全环境之前对其进行验证和清理

• 集中式可视化与报告 


MetaDefender Core、Managed File Transfer（Managed File Transfer）以及My Central Management 统一的仪表盘、SIEM 集成和审计日志，用于展示受管环境中设备、用户和文件的活动情况

OPSWAT 通过MetaDefender 、MetaDefender Intelligence™ 和MetaDefender CoreOPSWAT 隐藏威胁并验证基于人工智能的软件行为，从而满足 NCSC《网络评估框架 4.0》中 CAF 4.0 的目标 C2 和 B4.a。

• Metascan™Multiscanning 威胁情报：在文件传输和设备中发现高级威胁和零日威胁
• Sandbox ： 即使在缺乏已知指标的情况下也能检测 恶意行为，并通过与 MITRE ATT&CK（攻击战术、技术和通用知识）框架的映射关联分析结果，从而获得结构化的证据
• AI辅助分析：验证 自动化决策，并标记系统行为中的异常
• 对这些技术的持续更新：符合 不断演变的CAF 4.0要求

这些能力相结合，既能对已知威胁和新兴威胁提供高精度的检测，又能为CAF评估提供可验证的证据。

下表总结了OPSWAT如何与《网络评估框架》（CAF）4.0的目标和原则相契合，并展示了各产品如何助力在IT和OT环境中实现可量化、基于证据的合规性。

您可能会觉得 CAF 4.0 较为复杂，因为它基于成果导向的框架构建，且与《网络安全指令 2》（NIS2）和《英国韧性法案》等其他法规存在交叉。作为安全负责人，您可以通过使用集成式合规工具来降低复杂性，这些工具能够自动化收集证据并生成报告，在最大限度减少人工操作的同时，确保与不断演变的法规保持一致。

1. 通过行业叠加分析来解读结果，而非采用僵化的控制措施
2. 通过自动化、可验证的数据实现证据收集标准化
3. 利用统一报告机制整合CAF、NIS2及《韧性法案》的要求

这种方法简化了多框架合规流程，确保对所有CAF目标保持实时可视化，并能帮助您以更低的行政成本展示可量化的进展。

首席信息安全官（CISO）可以通过重点关注准备工作、证据收集以及跨法规协调来做好充分准备。其目标是通过范围界定、差距分析以及与目标A至D相一致的自动化证据收集，使CAF评估具有可预测性，而非被动应对。

1. 确定属于CAF范围内的关键职能，并将其与四个核心目标相对应
2. 利用更新后的内部治理政策（IGPs）进行差距分析，以确定高影响领域的优先级
3. 使安全控制措施符合NIS2 和《英国韧性法案》的要求，以避免重复审计和义务重叠
4. 通过集成合规报告和政策映射，尽早实现数据收集自动化，从而实时跟踪控制措施的成熟度
5. 在董事会层面明确责任归属，以确保各评估环节之间保持持续的透明度

成果：一种就绪模型，它以持续的保障和基于证据的治理取代了手动准备工作。

通过高效收集证据，您可以将CAF审计从一次性工作转变为持续的合规保障。标准化模板和自动化报告功能有助于您的组织实时跟踪结果，并保持一致且可验证的合规证明。

1. 使用CAF专用模板和自动化数据采集功能，将每项控制措施与可衡量的成果建立关联
2. 将证据集中整合到统一的合规视图中，以便实时监控针对CAF目标的进展情况
3. 直接从自动化报告中生成简洁且符合审计要求的摘要，从而缩短准备时间并减少错误

CAF 4.0 要求提供可量化的、由系统生成的证据，以证明每一项控制措施都与目标 A 至 D 中的相应成果相关联。仅仅证明控制措施的存在是不够的，这些措施必须能够长期有效且一致地运行。OPSWAT 通过自动数据采集和可定制的报告功能OPSWAT 这一流程，既能提供技术证明，又能生成高管级摘要。

1. 政策与治理文件：风险登记册、安全政策、事件响应计划以及供应商合规记录
2. 运行和技术数据：来自生产环境的系统日志、配置文件、漏洞评估报告以及文件扫描报告
3. 保证性输出： 与“良好实践指标”（IGPs）相一致的内部 审计发现、测试结果及成熟度评估

NCSC的指导方针强调，证据必须证明系统的持续运行，而非仅在特定时间点的合规性。OPSWAT日志收集、审计追踪和验证报告功能，确保每项CAF控制措施均可通过系统生成的数据进行验证，而非依赖手动记录。

电子表格映射将每个CAF评估结果与具体的技术控制措施相关联，显示证据是完整、部分存在还是缺失。它能即时呈现合规成熟度状况，并突出显示可采取的后续行动。

您可以将CAF评估结果OPSWAT综合报告仪表盘及审计数据关联，从而实时跟踪控制状态。在与关键基础设施运营商的试点部署中，这种方法不仅将手动报告工作量减少了50%以上，还提升了审计准备度。

根据所属行业不同，您将面临各异的运营风险，因此CAF 4.0提供了量身定制的指导，以说明评估结果如何适用于您的具体环境。这些调整有助于组织更高效地实施控制措施，并使其与实际运营相契合。OPSWAT 自动化报告和模块化产品配置OPSWAT 这一过程，这些配置可根据不同的运营环境进行调整。

各行业的CAF优先事项虽有差异，但都以保障基本服务为共同目标。通过将针对性指导与自动化技术恰当结合，既能加速CAF 4.0的采用，又能确保各行业的管控措施保持适当且可衡量。

企业可利用OPSWAT可配置的仪表盘和报告功能，使其控制措施与行业特定的 CAF 成果保持一致。这些工具能够实时展示跨环境的控制状态，帮助团队在采用 CAF 4.0 实践时应用统一标准并简化入职流程。

当资源有限时，应重点关注那些能最大程度降低运营风险的管控措施。自动化和持续智能如同力量倍增器，使规模较小的团队也能达到与大型组织同等水平的CAF 4.0保障水平。

1. 从影响重大的目标入手，例如 B3（数据安全）和 C2（威胁狩猎）
2. 利用自动化取证来取代手动流程，从而为分析师腾出时间
3. 优先实施持续威胁检测，并落实安全开发管控措施，以优先保护核心资产
4. 使用综合报告仪表盘来监控控制有效性，并自动标记存在的问题

CAF 4.0 通过将您的安全表现与可衡量的业务成果相挂钩，将合规性定位为您的战略推动力。它使组织能够量化网络安全成熟度、证明持续保障能力，并优先考虑那些能直接增强韧性的投资。OPSWAT自动化数据采集和报告功能将运营数据与可衡量的安全成果相联系。这使您能够清晰地了解每一项控制措施如何支持任务连续性。

实时情报确保CAF 4.0合规性能够随着威胁形势的变化而不断演进。OPSWAT会自动更新恶意软件引擎和威胁情报源，涵盖从零日漏洞利用到人工智能驱动的攻击。这种持续的更新周期确保了评估结果的准确性，并保证监管证据能够真实反映组织在任何特定时刻的安全态势。

在应对CAF 4.0合规要求及行业特定规定时OPSWAT 通过值得信赖的威胁防护和合规自动化技术OPSWAT 您全面保护每个文件、设备和数据流。

联系OPSWAT ，加快您的 CAF 4.0 准备工作。