NIST安全教育.docx

NIST平安教育1NISTSP800-16的版本演变过程1998年4月出版的SP800-16第一版首次提出IT平安连续学习统一模型，并设计基于角度和表现的培训模型该模型按政府工作人员的职能将受训人员分为6种角色，即管理人员、采购人员、设计与开发人员、操作人员、检查测评人员以及普通使用人员模型针对这6种角色设计了3个根本的培训领域〔法律和法规、平安工程管理以及信息系统平安〕，并为此设计了平安培训课程框架，提出了培训有效性的评估方案2021年3月NIST发布了SP800-16的第一次修订草案一是明确信息平安培训职责，即对涉及信息平安培训的机构领导、首席信息技术执行官、高级机构信息平安官、管理人员、培训设计专家、对信息平安负有重要责任的人员以及用户等7类人员的职责划分二是在信息平安培训课程的学习层次上强调知识水平的连贯性三是对第一版的基于角色的培训提出了一个教学设计模型，即针对政府人员的信息平安需求，依次进行需求分析、课程设计、课程开发、培训实践和教学评估等五大环节，这使得信息平安的培训可以迭代改进2021年10月NIST发布了对SP800-16的第二次修订版本草案，这次修订中首次提出了网络空间平安培训，因为美国2021年4月启动了?国家网络空间平安教育方案?〔NationalInitiativeofCyberSecurityEducation，NICE〕，该方案旨在通过促进教育和培训来改善人的网络行为、技能和知识，从而增强美国整体的网络空间平安。

这意味着美国政府已着手于将网络空间平安上升到国家平安的战略层面上来2021年版的改动有以下几个方面：一是强调信息平安意识的培训应当在网络空间的背景下进行设计；二是在信息平安培训的目标对象中参加了对重要信息技术和网络空间平安负有责任的政府工作人员；三是对信息平安培训的评估体系进行了细化，即明确提出了评估培训的4个目的不到半年时间，NIST再次发布了SP800-16的第三次修订草案，这个版本改动较小，主要是在信息平安培训的组织责任中参加了网络空间培训管理员/首席学习执行官其职责包括：一是确保培训教材针对具体人员进行设计；二是确保培训教材对目标人员的有效性；三是为信息平安培训提供有效的反响信息；四是对信息平安培训教材进行及时更新；五是重视培训效果的跟踪和汇报2NIST特别出版物版本演变带来的启示纵览美国历时17年对信息技术平安培训指南的修订过程，其开展特点如下：首先，该指南进行了顶层设计，即提出IT平安连续学习统一模型，设计基于角度和表现的培训模型，对需要接受信息平安培训的目标对象进行角色划分，按照角色需求从法律法规、平安工程管理以及信息系统平安3个领域进行课程设计，初步提出了课程的评估框架。

此后的3个版本都是在该体系结构下，从角色划分、培训领域和课程评估方法等3个方面进行充实、完善其次，该指南具有可扩展性，即该指南的最初版本就设计了连续学习统一体，为培训对象的知识结构发生变化后，如何满足其信息平安的知识结构留下了足够的学习空间第三，该指南的实时更新性，即结合信息平安领域的新技术，对培训目标对象和培训课程进行实时更新如在美国NICE方案颁发之后，指南很快在培训环节增加了对国家网络空间平安的培训内容目前，我国的信息平安教育工作主要侧重于专业技术人才的培养，对涉及使用信息系统的广阔普通用户的相关信息平安常识的教育重视不够，更确切地说，对公众的信息平安常识教育的方案和实施体系尚未建立我国有关部门应该参照NISTSP800-16和SP800-50出台适合我国国情的有关信息平安常识和培训纲要的标准指南，以便完善我国的信息平安教育的完整体系，推进提高全民信息平安意识和技能的工作，为构建我国信息平安保障体系提供人员平安素质方面的根底保证3结语美国已经认识到“国家正处于危险之中，政府和关键根底设施中的网络空间平安漏洞将会危及国家平安、公共平安和经济繁荣〞，必须“启动一个聚焦于网络空间平安意识、教育、培训和职业开展方面的综合性国家方案〞，以保证“促进和加强全国范围内的网络空间平安力量，并建立一个灵活的、高度熟练的队伍以应对动态和快速开展的一系列威胁〞。

这标志着美国信息平安工作进入了一个新的里程碑时期，必将对其网间平安状况的改善、实现更加平安的数字国家、并在国际上占据主动优势地位产生深远的影响，值得我们深思和借鉴。