NIST SP 800-12 是什么？
企业信息安全管理入门指南
NIST SP 800-12（全称 NIST Special Publication 800-12）是美国国家标准与技术研究院发布的信息安全基础手册。它不是法规，但被全球企业和政府机构广泛用作安全管理的参考框架。
很多人第一次看到”800/12″或”NIST 800-12″，是因为公司要做合规，或者准备安全认证。这份文件是 NIST SP 800 系列的一部分——NIST 发布了几百份安全相关的特别出版物，800-12 是其中最基础的一本，相当于信息安全的”入门教材”。
NIST SP 800-12《信息安全介绍》（An Introduction to Information Security）的目标是：为企业和政府机构提供一套信息安全管理的基础概念框架，帮助管理层和技术团队建立共同语言，理解为什么信息安全重要、应该从哪些维度来保护信息系统。
800-12 不是操作手册，不会告诉你具体怎么配置防火墙。它做的是更上层的事：定义安全管理的基础原则、责任划分、风险思维框架。
对企业来说，它的价值在于三点。第一，它是很多合规框架的参考基础——包括 FISMA（美国联邦信息安全管理法案）的实施指导。第二，它提供了一套所有人都能理解的”安全语言”，让管理层和技术团队能够对话。第三，它是建立安全政策的起点，不是终点。
800-12 的核心框架，建立在三个基本目标上。这三个目标通常被称为”CIA 三元组”。
Confidentiality
Integrity
Availability
这三个目标不是独立的，它们之间存在张力。提高保密性可能降低可用性（加了更多门槛）。提高可用性可能降低保密性（开放了更多访问渠道）。安全管理的本质，是在三者之间找到适合自身业务的平衡点。
Rev. 1 版本共包含以下核心章节，覆盖了信息安全管理的主要维度：
800-12 提炼出了一套安全管理原则。这些原则不是技术规定，而是管理思路。
根据 800-12 的框架，企业建立基础信息安全项目时，可以对照以下清单自查：
