摘要

  • NIST 于 2026 年 9 月 17 日发布 IR 8623 首个公开草案，为将开放无线接入网纳入基础设施的联邦机构提供 CSF 2.0 社群画像；征求意见截至 11 月 2 日，文件尚未定稿。
  • 草案的审阅说明明确警示：即便声称符合 O-RAN ALLIANCE 某项规范，也可能未充分实现相应的网络安全框架成果。技术报告提供信息，不能直接充当所有设备的硬性要求。
  • 表格里的 OutOfScope 指联盟威胁评分或组件规范的边界，不是机构风险管理的豁免。把设备证据接到部署范围、运营控制及具名决定者，是本文的编辑建议，并非 NIST 新增表格要求。

假设一家机构准备启用一套由多家供应商组成的无线接入系统。技术团队拿到了无线单元的符合性材料，采购评审却只在“安全”栏里写了一个勾，没人说明跨组件配置、业务数据和后续运维由谁评估。这是解释问题的假设场景，不是已发生的采购失误。它说明：设备测试与机构接受风险可以都很认真，但它们回答的不是同一个问题。

NIST 的 联邦机构开放无线接入网部署网络安全框架 2.0 社群画像 草案讨论的是把 Open RAN 作为机构基础设施的一部分。开放接口和组件拆分让不同厂商的设备有机会协同，并可能方便软件化部署；这些可能性本身并不构成安全结论。草案的作用是为机构安全负责人提供共同威胁与参考资源，使他们能够编制符合自身业务和环境的组织画像，而非替每个机构预先批准一个架构。

文件开头的审阅说明刻意限制了“符合规范”四个字的证据效力。O-RAN ALLIANCE 的技术规范可能列出组件应具备的功能或要求；其技术报告则提供运营、架构或安全背景，不应被误作设备必须实现的条款。CSF 成果谈的是整个组织在具体条件下是否达成风险管理目标。一个组件的测试能够支持某项判断，却不能自动证明其他接口、人员流程和运行状态也已受到同等检验。

更容易出错的是附录中的 OutOfScope。NIST 在正文说明：联盟的规范针对组件，并不规定机构如何实际部署、管理和运行整套网络。某些运营与治理事项因而超出联盟威胁分析评分的适用范围；草案同时提醒，这不表示它们对联邦机构不重要。风险容忍度、企业级风险流程、领导责任和组织政策等治理成果，都可在表格里看到这种边界。把“组件文件没有评分”读成“机构无需负责”，会把表格的含义完全倒转。

可靠的交接记录应当写明是哪一个组件与规范版本、哪种测试或声明、覆盖了哪些 CSF 成果的一部分，还要写明部署拓扑、传输的信息、相邻系统、权限和监测安排。最后由谁评估剩余风险、何时重审，也不能由供应商的产品表格代填。反过来说，机构不应因为无法从单一设备证书读出全局结论，就否定组件测试的实际价值。问题在于把证据的适用范围说准。

草案还强调，社群画像所列优先级可以与某个机构的真实优先级不同；业务用途、网络外的依赖与传输数据都可能改变判断。11 月 2 日只是意见截止日，不代表发布最终文件。审阅者可以要求 NIST 在表格中更醒目地解释 OutOfScope，并示范如何把组件证据接入机构画像。本文没有任何实际联邦部署失败、厂商误导、漏洞或违规的证据，也不把建议伪装成法定义务。

来源