[那是什么] 为武器·电力的安全风险管理体系，‘K‑RMF’
Source: Byline Network
📅 活动通知
-
[会议] 2026 电子商务业务洞察
- 📍 地点: 首尔江南区泰赫兰路7街 22 号 ST Center 大会议室2
- 🗓️ 时间: 3月12日 12:30 ~ 17:00
- 🔗
-
[网络研讨会] 为AI时代准备的Kubernetes
- 🗓️ 时间: 3月24日 14:00 ~ 16:00
- 🔗
📌 最近国际局势与网络战争
最近美国·以色列与伊朗的冲突显示出现代战争形态 物理打击 + 网络攻击 同时进行的趋势。
- 美国金融界为防范伊朗相关势力的 DDoS 等网络攻击可能性，提高了警戒。
- 战争局势相关的虚假视频·图片迅速传播。
尤其根据路透社和美联社的事实核查，伊朗最高领袖的照片或 美军资产被击中画面 等部分内容是 AI 生成或是利用其他视频重新拼接的假信息。辨别战争中哪些是真实的变得越来越困难。
问题：在这样的时代，武器该如何管理？
回答：K‑RMF 为此提供了解答。
🔐 什么是 K‑RMF？
K‑RMF（Korean Risk Management Framework）是 国防部制定的国防网络安全风险管理制度。
- 目的：在武器系统·作战支援系统的全生命周期（需求提出 → 采购 → 运行 → 维护 → 退役）中，提供 预防·评估·响应·缓解 网络安全风险的系统化流程。
- 特点：不是安全产品·认证标志，而是 贯穿全生命周期的管理体系。
比喻：不是在建筑完工后才安装灭火器·监控摄像头，而是从设计阶段就把紧急出口·出入口控制·检查流程等纳入规划。
📚 起源与结构
- 来源：美国 NIST（National Institute of Standards and Technology）的 RMF（Risk Management Framework）。
- K‑RMF 阶段（6 步）
- 系统安全分类
- 选择安全控制项
- 实施
- 安全评估
- 系统授权
- 监控
专家意见：韩国信息保护学会风险管理（RMF）研究会成员 柳在元 教授（亚洲大学） – “RMF 并非‘完美安全’，而是‘需要管理的安全’制度的转变。”
📌 与公共领域的关联
- N²SF（国家网络安全体系） 对比
- K‑RMF：面向国防部武器·作战支援系统
- N²SF：面向公共机构信息·服务
- 共同点：采用 依据风险·重要性设计安全控制 的方式
🇰🇷 在韩国引入的背景
-
武器系统的数字化转型
- 传统的独立运行 → 网络·传感器·软件 集成
- 网络攻击暴露风险上升 → 需要 从研发早期阶段就嵌入安全需求
-
与美国的兼容性
- 2019 年罗伯特·艾布拉姆斯（Robert Abrams）美韩联合司令官，要求韩国 达到 RMF 水平的制度
- F‑35A 等先进武器系统技术泄露的担忧成为契机
- 2019 年底，郑景斗（정경두）国防部部长指示防情司令部 建立符合美国要求的网络安全风险管理制度 → K‑RMF 设计
核心：不是简单照搬美国制度，而是 在兼容美军的同时，结合韩国法律·军队特性 构建的独立体系
⚙️ K‑RMF 工作方式
根据 《国防网络安全风险管理指令（2024）》 的具体流程
| 阶段 | 主要内容 |
|---|---|
| 1. 系统安全分类 | 确认信息类型 → 评估机密性·完整性·可用性影响 → 确定安全影响等级 |
| 2. 选择安全控制项 | 选定安全需求 → 编写安全计划书 |
| 3. 实施 | 将选定的控制项在开发·运行环境中落实 |
| 4. 安全评估 | 对已实现的控制进行验证 |
| 5. 授权 | 基于评估结果判断 是否投入运行（包括重新评估·重新授权） |
| 6. 监控 | 直至退役前持续进行风险管理 |
- 授权 不只是一次检查合格，而是 判断实际作战能否投入使用 的程序，环境或配置变化时需重新评估。
实际应用示例
- 需求提出机构：在武器系统需求提出时 强制进行系统安全分类
- 授权负责人 指定并写入需求书
- 渗透测试 必要性审查·指挥控制系统必须执行渗透测试的规定
🤖 AI 与战争，以及 RMF 的重要性
- AI 生成的虚假内容 加重了战争信息战的负担
- 美军尝试使用 Claude 等生成式 AI，2025 年与 Anthropic 签订 2亿美元规模的合同
- AI 应用系统的 数据依赖·复杂性·不可预测性 增强 → 需要 AI 风险管理框架（AI RMF）
关联：K‑RMF 与 AI RMF 虽然适用对象不同，但在 AI 被用于武器系统的情境 下，两者都必须被考虑。
📈 K‑RMF 现状
- 法律依据：2025 年 1 月实施的《国防信息化基础建设及国防信息资源管理法》修订
- 制度沿革
- 2020 年制度制定
- 2021‑2022 年试点评估（指挥控制系统等）
- 2023 年扩大适用范围
- 2024 年 7 月 1 日后 战场管理信息系统 优先适用，随后逐步推广
当前已应用的主要系统
- C4I（Command, Control, Communications, Computers, Intelligence）
- 舰船
- F‑35A
- 高空无人机 Global Hawk 等
目前 约十余套系统 正在接受 K‑RMF 评估管理。
🛡️ K‑RMF 与 K‑防务（国防工业）
- 防务企业·合作伙伴 也需要加强网络安全
- 2024 年警察厅公布北朝鲜黑客组织攻击国内防务企业案例 → 强调 内外网隔离·防护措施
- 现代铁马（2026 年）在合作伙伴共赢战略中 加入渗透测试·恶意邮件响应培训·安全管理体系诊断
专家意见：“K‑RMF 必须从防务企业到防务事业厅、国防部、实际作战部队统一实施。”（柳在元 教授）
- MPE（Mission Partner Environment）：美国为与盟国·合作伙伴将信息·指挥控制系统 整合为单一网络 的标准·协议环境 → 与 K‑RMF 关联的安全标准一致性要求直接相关。
📌 整理
- K‑RMF 是 国防网络安全风险管理 在全生命周期内系统化的制度，在 AI·数字战争 时代是必不可少的框架。
- 法律·制度基础 已经搭建，正逐步扩大适用范围。
- 防务产业 也在同步构建安全生态，且与 美国的兼容性 使其符合国际标准化趋势。
随着软件和网络依赖度的提升，竞争力的衡量标准也从单纯的性能转向 在遭受黑客攻击时是否仍能完成任务、是否能安全地与联盟体系连接。在物理战争与网络战争相互交织的时代，K‑RMF 的必要性愈发凸显。
文·Byline Network
god8889@byline.network