新聞

雲端安全聯盟（CSA）發布Frontier Ready Assessment Framework，這套資安成熟度評估框架涵蓋3大面向、12類資安領域及5個成熟度等級，協助企業檢查現有資安防護是否足以應付頂尖AI可能加快網路攻擊速度、擴大攻擊規模所帶來的威脅，並規畫改善方向。

CSA先前推出的雲端控制矩陣（Cloud Controls Matrix，CCM）及AI控制矩陣（AI Controls Matrix，AICM），主要協助企業確認應採取哪些安全控制措施，這次發布的資安成熟度評估框架則進一步評估企業能否讓這些措施持續發揮作用，並在攻擊速度加快時及時應變。模型將資安成熟度分成5級，從初步認識風險、建立基本控制措施，到持續執行安全防護，再進一步導入防禦AI及自動化機制。最高等級則著重持續檢查防護成效，並根據結果改善作業，同時維持人工治理與監督。

這套模型將12類資安領域分為基礎、架構及維運3大面向，涵蓋風險治理、暴露面管理、防禦AI與AI代理維運、身分與存取權限控管、端點與工作負載安全、軟體供應鏈安全、漏洞處理及事件應變等。即使企業沒有導入AI，也可利用這套模型檢視因應AI攻擊的準備程度。

隨著攻擊者可能更快利用已知漏洞，企業不能只依賴定期掃描，再按漏洞嚴重程度安排修補，而是需要持續掌握系統暴露情況、驗證漏洞能否被利用，並依據漏洞可能形成的攻擊路徑，決定哪些問題需要優先修補。依照資安成熟度第4級的評估標準，企業須事先核准特定類別的例行修補作業，讓系統自動執行；對於可從外部利用漏洞的系統，重大及高風險漏洞應在數小時內完成修補；內部系統的重大及高風險漏洞則應在24小時內完成修補。

AI代理的安全管理也被納入評估。CSA提出，企業應建立代理清冊、管理身分與存取權限、記錄執行活動，並設置緊急停止機制。企業可讓AI代理在事先核准的授權範圍內自動執行特定工作，但仍須保留監控與稽核機制；對於無法撤銷、可能干擾系統或服務運作、對外可見，或須向監管機關提出正式聲明的操作，仍須由人員核准。

事件應變方面，CSA進一步檢視企業同時處理多起重大資安事件的能力。依照第4級的評估標準，企業須在攻擊者擴大攻擊前阻止其後續行動，通常需要在數分鐘內完成遏止；同時也須透過演練，確認能應付至少3起同時發生的高嚴重程度資安事件。模型也要求企業驗證備份資料的還原能力與完整性，並演練關鍵服務復原，以及內部AI代理失控時的應變措施。