简介NIST SP 800-37 Revision 2《信息系统与组织风险管理框架》完整英文电子版面向信息安全合规从业者、系统所有者、审计人员与安全架构师用于落地联邦及行业层面的风险管理要求。文档共183页围绕2018年修订版展开重点覆盖与NIST网络安全框架的对齐、隐私风险管理流程的整合、系统生命周期安全工程过程的衔接以及供应链风险管理的纳入并给出一套组织级RMF任务指导系统级风险评估、风险决策、控制选择与实施、验证授权及持续监控等关键环节。资源包仅含1个PDF文件约2.23MB为官方原文排版内含目录、Authority说明、任务清单与角色职责划分便于检索引用与内部培训。已有122人学习下载适合作为构建综合安全与隐私管理体系的案头参考也可用于对照控制项梳理合规差距、撰写风险管理制度与评审材料。1. 一份 183 页的 NIST SP 800-37 R2 PDF为什么不能只当合规手册归档手里拿到NIST.SP.800-37 R2这份 2018 年定稿的 183 页英文 PDF多数团队的处理方式是丢进共享盘、目录里记一笔等审计前两周才翻出来逐条对照。它讲的其实是风险管理框架Risk Management FrameworkRMF怎么在组织级和系统级同时落地Prepare、Categorize、Select、Implement、Assess、Authorize、Monitor 七步与系统开发生命周期并行推进而不是上线后补一张自查表。适合三类人做合规与内控的、做安全架构与云上共用控制的、要交付授权证据的 ISSO 与安全工程师。后面谈的都是怎么把这 183 页读成可检索条款库和可自动化的检查项。2. NIST SP 800-37 R2 的七步 RMF 流程与角色职责拆解七步不是瀑布模型这一点决定了后面所有工程化的做法。Rev 2 相比上一版最大的改动是把 Prepare 提为第一步也就是在给系统定级之前组织先要有风险容忍度、通用控制目录、授权边界清单和角色任命。少了这一步Categorize 之后的每件事都会变成临时救火。2.1 七步任务清单每一步的输入、输出和落地物任务表是这份 PDF 里最值得反复翻的部分每条任务都规定了输入工件、责任角色和输出物。把它整理成一张对照表比通读附录更省时间。步骤核心问题主要输出工件常见误用Prepare组织有没有治理、容忍度、通用控制组织级策略、通用控制清单、授权边界直接跳到定级事后补治理Categorize信息与系统的影响级别是什么基于 FIPS 199 的安全分类结果口头定级不留判定依据Select基线怎么裁剪控制基线、裁剪理由、SSP 草案照搬 Moderate 基线不做裁剪记录Implement控制落到什么配置SSP、配置证据、架构图把计划要做写进 SSPAssess控制是否有效评估计划 SAP、评估报告 SAR自评替代独立评估AuthorizeAO 愿意承担什么残余风险授权书、POAM、持续监控策略把授权当成永久盖章Monitor变更后体系还成立吗持续监控报告、POAM 更新上线后不再更新任何工件表里最容易被忽略的是 Select 那一行的裁剪理由。裁剪本身完全合法SP 800-53 的基线本来就允许按适用性调整问题出在没有留下为什么裁的记录审计时只能靠回忆复述。2.2 角色职责AO、风险执行官、通用控制提供方各自负责什么Rev 2 用一整节定义角色核心是让决策权和执行权分开。System Owner 对系统的实现负责但他不能自己评估自己Control Assessor 必须独立于建设团队Authorizing OfficialAO拿到 SAR 和 POAM 之后做风险接受决策其独立性体现在它不属于系统建设条线。容易被忽略的是 Risk Executive (Function)它不签授权书但负责在组织层面汇总风险、给 AO 提供跨系统的风险视图。多系统同时上线时单个系统看着都在容忍度内加起来却超标这个判断只有风险执行官视角才做得出。再就是 Common Control Provider。组织级已经在机房、身份、日志平台实现的控制系统可以继承而不必重复实现这是摊薄成本的关键。判断一个控制是通用、混合还是系统特定决定了谁写证据、谁维护周期。混合控制最麻烦组织定策略系统落配置两边都要在 SSP 里写清继承关系和剩余责任。2.3 Prepare 阶段最容易被跳过的四件事Prepare 的任务最密覆盖治理到通用控制其中有四件最常被拖到项目中期才补组织级风险容忍度声明、授权边界与系统清单、通用控制目录、RMF 角色任命书。容忍度没有量化AO 后面就无法判断残余风险算不算可接受系统清单没有边界定义继承关系就无从谈起。把这些写成可版本化的文件比写在 PPT 里有效。下面这份清单可以直接抄成一版初稿。# authorization-package.yaml system: name: crm-platform boundary: prod-vpc saas-dependency # 授权边界含依赖的外部服务 impact: moderate # FIPS 199 定级结论 controls: common: org-baseline-v3 # 从通用控制提供方继承 hybrid: [AC-2(1), AU-6(1)] # 组织定策略、系统落配置 system_specific: [SC-7(5), SI-4(2)] tasks: - id: C-1 owner: issoexample.com evidence: fips199-worksheet.xlsx - id: A-1 owner: assessor-vendor evidence: sap-2026Q1.pdf monitor: cadence: monthly triggers: [major change, poam aging 90d]boundary字段要写清依赖的 SaaS 和共享服务否则评估范围会反复变hybrid列表建议只放真正需要两边配合的控制项放太多等于没分类triggers决定持续监控的触发条件写成自然语言就会被忽略所以用可被脚本识别的字符串。2.4 授权不是盖章三种授权结果和持续授权的触发条件授权决策其实有三种结果批准、拒绝、带约束条件的批准。第三种在真实项目里出现频率最高比如 AO 同意上线但要求九十天内关闭某条高优先级 POAM或在下一季度完成一次渗透测试复测。写进授权书里的约束条件就是后续 Monitor 阶段的输入。持续授权的判断线也不复杂常见触发条件是四类重大变更架构、边界、数据处理方式变化、控制失效评估或监控发现、POAM 超期、组织风险容忍度调整。任何一条命中就该重新走一遍 Assess 到 Authorize 的闭环而不是等年度复审。3. 把 183 页英文版 PDF 变成可检索条款库pdf解析与任务表抽取英文标准文档做 pdf解析难点不在文字识别而在表格和章节编号。任务表是网格结构正文是多栏排版用同一种方法处理两种页面结果一定是半对半错。3.1 先做无损文本化pdftotext 保留版面再谈解析第一步不要急着上 Python先用 poppler 的pdftotext把整本转成文本确认哪些页能直接读、哪些页必须走表格抽取。# 依赖poppler-utils pdftotext -layout -nopgbrk NIST.SP.800-37r2.pdf rmf.txt # 定位第 3 章任务表位置任务表标题通常写作 TABLE n grep -n ^TABLE rmf.txt | head -30 # 只抽任务表集中区间减少后续处理量 pdftotext -layout -f 30 -l 120 NIST.SP.800-37r2.pdf rmf_ch3.txt wc -c rmf.txt rmf_ch3.txt-layout保留原始列位置正文段落不会被打散-nopgbrk去掉分页符段落跨页时才不会中断-f/-l指定页区间。如果输出里表格文字串成一行、列之间没有多余空格说明这页是真正的表格对象pdftotext处理不了必须交给pdfplumber或 OCR。3.2 用 pdfplumber 抽取任务表转成结构化记录任务表是这套流程的骨架抽成 CSV 才能做后续的责任人映射和差异比对。下面按页区间逐页抽表。import csv, pdfplumber # 页码区间先用 grep 到 TABLE 标题的页号核对别直接照抄 TABLES [(prepare, 41, 52), (categorize, 55, 58), (select, 59, 66)] rows [] with pdfplumber.open(NIST.SP.800-37r2.pdf) as pdf: for step, start, end in TABLES: for pno in range(start - 1, end): page pdf.pages[pno] # 任务表是显式网格线lines 策略比 text 策略稳 table page.extract_table({ vertical_strategy: lines, horizontal_strategy: lines, snap_tolerance: 3, }) if not table: continue for r in table: cells [(c or ).replace(\n, ).strip() for c in r] if not any(cells): continue rows.append([step, pno 1] cells) with open(rmf_tasks.csv, w, newline, encodingutf-8) as f: csv.writer(f).writerows(rows) print(f抽到 {len(rows)} 行任务记录)vertical_strategy/horizontal_strategy设成lines时工具按页面上真实存在的水印线切单元格适合有边框的表如果某页抽出来是空的先换成text策略重试再不行就说明该页是扫描图需要走 OCR。snap_tolerance控制吸附距离数值调大能容忍线条轻微偏移但太大可能把两行并成一行3 到 5 之间比较稳。抽完必须人工抽查两页PDF 表格抽歪是常态不抽查等于埋雷。3.3 段落切分与关键词定位把散落的命中收敛成任务清单直接grep Prepare会命中上百处真正有用的是任务编号。用正则把编号和上下文切出来形成可查询索引。import re, json # 任务编号形如 C-1 / S-7 / A-6Prepare 编号格式不同按实际输出调整 TASK_ID re.compile(r\b(?:PREPARE|C|S|I|A|R|M)-\d\b) def build_index(path): text open(path, encodingutf-8).read() index {} for m in TASK_ID.finditer(text): tid m.group(0) # 每条编号后截 500 字上下文够覆盖任务描述和责任角色 index.setdefault(tid, text[m.start(): m.start() 500].strip()) return index idx build_index(rmf.txt) json.dump(idx, open(task_index.json, w, encodingutf-8), ensure_asciiFalse, indent2) print(len(idx), 个任务编号)正则里的前缀要按实际文本调整因为文本化之后编号可能带空格或换行。上下文截断长度按段落平均长度估500 字通常能覆盖任务描述加责任角色如果发现截断在句子中间改成按空行切段更稳。方式适合页面优点局限pdftotext连续正文、单栏快、保版面、零依赖表格结构丢失pdfplumber有边框表格行列准确、可调策略扫描页无效、速度慢PyMuPDF大批量提取速度快、坐标可得表格需自行重建OCR图片型页面唯一可行需纠偏、错字率随版面上升4. 用 OSCAL 把 RMF 工件机器化控制项抽取与差异比对把 PDF 读通只是第一步RMF 真正的成本在工件维护SSP、SAP、SAR、POAM 互相引用任何一处控制项变更都会牵动好几份文档。OSCALOpen Security Controls Assessment Language就是为这件事设计的机器可读格式。4.1 OSCAL 的模型划分与它在 RMF 里的位置OSCAL 把工件拆成几类模型catalog 描述控制项本身profile 描述基线裁剪SSP 描述系统实现SAP 和 SAR 对应评估的计划与报告POAM 对应整改项。这套划分和 RMF 七步几乎一一对应所以把内部文档往 OSCAL 靠本质上是在把 RMF 步骤数据化。NIST 发布的 SP 800-53 Rev 5 catalog 有对应的 JSON 文件常见文件名是NIST_SP-800-53_rev5_catalog.json。拿到它之后控制项的 ID、标题、正文都能直接解析不必再从 PDF 里抠。4.2 从 catalog JSON 抽控制项并导出核对表catalog 是树状结构group 下面套 controlcontrol 下面还有增强项和多个 part。递归遍历时要注意 parts 的层级。import json, csv def walk(node): 递归遍历 OSCAL catalog兼容 group 嵌套和 control 增强项 if id in node and title in node: # statement 通常藏在 part 的 prose 字段里逐层收集 prose [] for p in node.get(parts, []) or []: if p.get(prose): prose.append(p[prose]) for child in p.get(parts, []) or []: if child.get(prose): prose.append(child[prose]) yield node[id], node[title], .join(prose) for key in (groups, controls): for child in node.get(key, []) or []: yield from walk(child) catalog json.load(open(NIST_SP-800-53_rev5_catalog.json, encodingutf-8)) rows [{id: i, title: t, statement: s[:300]} for i, t, s in walk(catalog[catalog])] with open(controls.csv, w, newline, encodingutf-8) as f: w csv.DictWriter(f, fieldnames[id, title, statement]) w.writeheader() w.writerows(rows) print(f导出 {len(rows)} 个控制项)statement截到 300 字是为了控制文件大小做关键词检索够用如果需要完整正文去掉截断即可。这个脚本导出的是控制项全集实际项目里通常还要叠一层 profile把基线裁剪结果作为筛选条件否则核对表会长到没人看。4.3 生成 RMF 工单表任务、责任人、证据、复核周期把第 3 章抽到的任务表和角色映射合并就得到一份可派工的清单。这张表是 RMF 从文档变成日常动作的临界点。import csv # 任务编号前缀 → 责任角色按组织实际岗位改 OWNER {PREPARE: grc-lead, C: isso, S: security-architect, I: platform-eng, A: assessor, R: ao-liaison, M: soc} tasks list(csv.DictReader(open(rmf_tasks.csv, encodingutf-8))) out [] for t in tasks: prefix t[task_id].split(-)[0] out.append({ task_id: t[task_id], step: t[step], owner: OWNER.get(prefix, unassigned), evidence: t.get(evidence, ), # C/M 类任务随变更走其余按版本发布走 review_cycle: quarterly if prefix in (C, M) else per-release, }) with open(rmf_worklist.csv, w, newline, encodingutf-8) as f: w csv.DictWriter(f, fieldnameslist(out[0].keys())) w.writeheader() w.writerows(out)unassigned是刻意保留的默认值跑完之后按这个字段筛一遍就能发现哪些任务没人认领。review_cycle分两档是有原因的定级和监控会随环境变化季度复核合理控制实现和评估跟版本发布绑定按发布节奏走更贴合实际。4.4 差异比对基线裁剪与实现情况的对账评估前最实用的一次检查是把基线和 SSP 里声明的控制项做集合差。import csv baseline {r[id] for r in csv.DictReader(open(baseline.csv, encodingutf-8))} implemented {r[control_id] for r in csv.DictReader(open(ssp_controls.csv, encodingutf-8))} missing sorted(baseline - implemented) # 声明要做但没写实现 orphan sorted(implemented - baseline) # 写了实现但不在基线内 print(未实现:, missing[:20], 共, len(missing)) print(多余:, orphan[:20], 共, len(orphan))missing为空不代表合规只代表文本层面自洽控制是否有效仍要靠评估orphan却往往立刻有价值多出来的控制项要么是基线版本没同步要么是团队额外做了加固但没进基线两种情况都该修。5. 验证 RMF 是否真的在运行把 183 页收成十几行自评结果体系跑没跑起来看工件的新鲜度和自动化覆盖率最快。下面三张指标表可以直接当成月度检查项工件新鲜度SSP、SAR、授权书最近一次更新距今天数、POAM 老化未关闭项超过期限的天数分布、自动化覆盖率有多少控制项的证据来自系统自动采集而非人工填报。前两项反映流程是否在维护第三项决定长期成本。5.1 用一段脚本产出可复现的自评结果把工件检查写成脚本比人工勾表格可靠因为每次结论一致。import csv, datetime as dt REQUIRED [system boundary, categorization, control implementation, assessment, authorization decision, monitoring strategy] def check_ssp(path): text open(path, encodingutf-8).read().lower() return {s: (s in text) for s in REQUIRED} def check_poam(path, days90): today dt.date.today() stale [] for row in csv.DictReader(open(path, encodingutf-8)): due dt.date.fromisoformat(row[due_date]) if row[status] ! closed and (today - due).days days: stale.append((row[id], (today - due).days)) return stale for k, v in check_ssp(ssp.md).items(): print(f{OK if v else MISS} {k}) print(超期 POAM:, check_poam(poam.csv))REQUIRED列表对应的是 SSP 里必须具备的六类内容缺任何一项评估阶段都会被追着要days90是超期阈值可以按组织容忍度调调小会让更多项进入视图适合整改压力大的阶段。跑完把 MISS 行和超期项直接转成工单比在会议里逐条确认快得多。5.2 一个容易忽略的收尾动作最后留一步把due_date全部换成 ISO 8601 格式再跑一次脚本。日期格式混用是这类检查最常见的失效原因fromisoformat遇到03/15/2026会直接抛异常脚本一挂指标就断了而断掉的指标比没有指标更危险。格式统一之后把脚本挂进 CIPOAM 一超期就在提交记录里冒出来Monitor 这一环才算真正接上了自动数据源。本文还有配套的精品资源点击获取
