報導摘要
美國國家標準暨技術研究院（NIST）作為全球資訊安全標準的領導者，近期發布了其旗艦出版物《資訊系統與組織安全與隱私控制措施》（NIST SP 800-53）的最新修訂版。此次修訂的核心，是因應美國政府的行政命令，專注於提升軟體更新與修補程式的安全性與可靠性，並以此來強化國家整體的網路安全。新版文件不僅新增了多個控制措施，更強調了從軟體設計階段就融入「網路韌性」（Cyber Resiliency）的概念。此舉意味著資安防護的焦點正從傳統的被動防禦，轉向一種更為主動、從源頭上確保軟體安全的全面性策略。對於企業而言，這不僅是技術標準的更新，更是對其軟體開發、維護與風險管理流程的重新審視。
引言：NIST SP 800-53 的核心地位與最新修訂
在資訊安全領域，NIST SP 800-53 系列出版物被廣泛視為一個黃金標準。它為美國聯邦機構及其承包商提供了詳細且全面的安全與隱私控制措施清單，旨在保護資訊系統的機密性、完整性和可用性。隨著數位化轉型的加速，特別是在雲端運算、物聯網（IoT）和工業控制系統（ICS）等新技術的應用下，網路威脅的性質與複雜性也隨之進化。
此次的最新修訂，其目的在於將這份經典的標準與時俱進，使其能夠更有效地應對當前的網路威脅。特別是在軟體供應鏈攻擊日益猖獗的背景下，NIST 意識到，僅僅在軟體部署後進行安全防護已不足夠。駭客正在利用軟體開發、部署和更新過程中的漏洞，發動難以偵測的攻擊。因此，此次修訂的核心，是將安全措施前移至軟體生命週期的早期階段，並提供更詳細、更具體的指導，以協助開發者和組織共同肩負起確保軟體安全的責任。
新修訂的核心動機與目標
此次修訂的直接動機，源於美國政府為應對日益嚴峻的網路威脅而發布的一系列行政命令，特別是要求強化軟體供應鏈安全的相關指令。NIST 藉由這次修訂，旨在實現以下幾個核心目標：
- 強化軟體維護與更新的安全性： 提供更具體的指南，確保軟體更新的過程是安全的，不會成為駭客植入惡意程式的管道。
- 推動安全軟體開發實踐： 鼓勵軟體開發者從設計之初就考慮到資安問題，而不僅是在產品完成後才進行修補。
- 提升系統與軟體的網路韌性： 強調設計能夠預期、承受、回應並從攻擊中恢復的系統，即使在遭受攻擊時也能維持關鍵功能。
- 降低整體網路風險： 透過系統化的方法，幫助組織識別、評估和管理與軟體維護相關的風險。
這些目標共同構成了一個更為主動和全面的資安策略，它不僅關注於防禦，更著眼於如何在攻擊發生時維持運作，並在事後快速恢復。
關鍵變革：從被動防禦到主動韌性
NIST SP 800-53 最新修訂版最大的哲學性轉變，是從被動地「保護」系統轉向主動地「設計」具有韌性的系統。這種轉變體現在幾個層面：
- 韌性設計（Design for Cyber Resiliency）： 這是一個全新的控制措施（例如 SA-24），它要求組織在設計階段就考慮到系統的生存能力。這包括了如何應對攻擊、維持關鍵業務功能，以及在遭受入侵後如何快速恢復。這項控制的引入，標誌著資安已從單純的「防禦者」角色，轉變為「戰略家」角色，需要從宏觀角度來規劃系統的整體安全架構。
- 涵蓋整個軟體生命週期： 新版文件擴展了其涵蓋範圍，將軟體開發與部署過程中的多個環節納入考量。這包括開發者測試、更新的部署與管理、軟體完整性與驗證等。這確保了從程式碼的誕生到最終用戶的每一次更新，都有嚴格的安全控制。
- 軟體完整性與驗證： 針對供應鏈攻擊的核心痛點，新修訂版強調了對軟體完整性的檢查。它要求組織不僅要驗證下載的軟體更新是來自於合法來源，還要確認其內容在傳輸過程中未被篡改，這通常需要使用數位簽章或雜湊值來進行驗證。
新增與強化的安全控制措施
為了實現這些目標，NIST 在最新的 SP 800-53 中引入了多個全新的控制措施，並對現有控制進行了強化與修訂。這些新增的控制措施涵蓋了軟體開發與維護的各個層面，包括：
- 強化軟體更新管理（Maintenance）： 新的控制措施要求組織必須建立一套嚴格的軟體更新管理流程，確保所有更新都經過測試與驗證，以避免惡意更新的植入。
- 軟體完整性與驗證（System and Information Integrity）： 引入更為細緻的控制，要求對所有接收到的軟體和更新進行完整性檢查。
- 安全開發生命週期（System and Services Acquisition）： 強調軟體供應商在開發過程中應遵循安全編碼規範，並進行定期的安全測試。
- 韌性設計（System and Services Acquisition）： 如前所述，這是全新的控制措施，它要求軟體和系統的設計必須考量到面對攻擊時的生存能力與快速恢復能力。
這些新增的措施，加上對現有控制的修訂，共同構成了一個更為強大且全面的資安框架，旨在從根本上提升軟體生態系統的安全性。
對軟體供應鏈安全的深遠影響
此次 NIST SP 800-53 的修訂，對軟體供應鏈安全具有革命性的影響。過去，許多組織認為供應鏈安全主要是供應商的責任。然而，新版標準清楚地表明，使用者和組織同樣扮演著關鍵角色。他們必須主動要求供應商提供軟體開發的安全證明，並在接收軟體更新時進行嚴格的驗證。
此外，此次修訂也將對軟體開發產業帶來重大影響。軟體公司將被要求在其開發流程中融入更多資安實踐，例如代碼審查、自動化安全測試和建立可追溯的更新日誌。那些未能遵循這些最佳實踐的軟體供應商，將可能面臨市場競爭力下降的風險，特別是在與需要遵守 NIST 標準的政府部門或關鍵基礎設施行業合作時。
企業應如何因應與實施
面對 NIST SP 800-53 的最新修訂，企業應採取以下策略來因應：
- 內部審核與評估： 企業應首先審核其現有的軟體維護與更新流程，評估其與新版標準的差距，並制定詳細的實施計畫。
- 與供應商合作： 積極與軟體供應商溝通，要求他們提供符合新標準的安全保證。這包括要求提供軟體物料清單（SBOM），並確保其更新機制是安全的。
- 技術與工具的投資： 投資於能夠支援自動化安全測試、程式碼完整性驗證和資安可視性的工具，以幫助實施新標準。
- 人員培訓： 確保資安團隊、開發者和IT維護人員都接受關於新標準的培訓，使其能夠理解並實施這些新的控制措施。
- 建立跨部門合作： 資安不再是單一部門的責任。企業應建立跨部門的合作機制，讓開發、營運和資安團隊能夠共同協作，從軟體設計之初就考慮到安全問題。
結論：持續演進的資安標準與挑戰
NIST SP 800-53 的最新修訂，是資安界的一個重要里程碑。它不僅反映了當前網路威脅的進化，更為未來安全軟體生態系統的發展指明了方向。這份標準從單純的合規性要求，轉變為一種指導企業實現真正資安韌性的策略框架。
雖然實施這些新標準會帶來挑戰，需要企業投入資源與時間，但從長遠來看，這是一項極為重要的投資。它將幫助組織建立一個更為堅固、更具韌性的數位基礎，從而有效地抵禦日益複雜的網路攻擊，保護其寶貴的資訊資產。在當今的網路威脅環境中，不論是軟體開發者還是最終用戶，都必須共同努力，才能在這場持續演進的攻防戰中取得勝利。
資料來源：https://industrialcyber.co/nist/nist-enhances-sp-800-53-controls-to-improve-cybersecurity-and-software-maintenance-reduce-cyber-risks/