做安全的人常有一种挫败：方案写了，预算批了，设备也上了，出事后复盘却发现该做的都没做。这类失败很少是技术原因。
NIST 网络安全框架在 2.0 版（2024 年 2 月）里正面回应了这件事——把「治理」单列成一个功能，放在其余五项之前。
六个功能，一条主线
| 功能 | 回答的问题 |
|---|---|
| 治理 Govern | 谁对风险负责？策略、角色、供应链怎么定？ |
| 识别 Identify | 有什么资产，面临什么风险？ |
| 保护 Protect | 上了哪些防护？ |
| 检测 Detect | 出事我怎么知道？ |
| 应对 Respond | 知道了之后做什么？ |
| 恢复 Recover | 怎么恢复、怎么复盘？ |
Govern 不是流程上的第一步，而是贯穿其余五项的那一层。1.1 版里它是隐含的（散在「识别」中），2.0 把它提出来，这个改动很小，含义很大。
为什么值得单独一条
因为安全事件的根因排行榜上，技术问题往往排在后面：没人拍板、预算无归属、第三方组件无人负责、出事不知道向谁汇报、风险偏好从来没被写下来过。
放进「识别」还有个副作用——它看起来像一次性的盘点，做完就结束了。而治理是持续的：风险偏好要定期重定、责任人会换、供应链会变。
它是尺子，不是证书
CSF 不能「通过」，也没有及格线，这一点常被误读。它的用法是两张画像：
- 现状画像：按子类别把当前做到的程度标一遍；
- 目标画像：写下业务需要达到的程度。
两张图的差就是路线图。这套方法的价值不在打分，而在把「我们要更安全」翻译成一张可排序的清单——哪些差距高风险低成本先做，哪些要排进年度预算。
中小团队不必从正文读起。2.0 配的快速入门指南按「我想达成某个具体目标」组织，比如「我想管好供应链风险」，直接从那一页进更快。
一个实践建议
如果只能先做一件事，做「资产与责任清单」：谁负责哪套系统、它跑在哪、数据存在哪、出了事找谁。这份表在多数组织里不存在，而它几乎是其余五项的前提。
资料来源
NIST 网络安全框架 2.0（NIST CSWP 29）及其快速入门指南、画像模板。NIST 出版物为美国联邦政府作品，属公有领域；本文为中文整理与评述。