NIST SP 800-53 Rev.5 是什麼？中小企業建立資安控制基線的實務指南

NIST SP 800-53 Rev.5 是一套安全與隱私控制目錄，內容涵蓋政策、流程、人員與技術措施。它不是只給美國政府使用的檢查表，也不是要求每家公司一次導入全部控制；它更適合被理解為一個「控制工具箱」，企業可以依照風險、法規、資產與營運需求選擇適合的控制。

SP 800-53 Rev.5 解決什麼問題？

許多企業知道要做存取控制、備份、弱點掃描與事件應變，卻缺少一致的分類方式。SP 800-53 將安全與隱私措施整理成控制家族，例如 Access Control、Identification and Authentication、Risk Assessment、Incident Response、System and Information Integrity，以及 Supply Chain Risk Management。控制採取技術與產業中立設計，可搭配不同風險管理方法使用。

中小企業不必從數百項控制同時開始

最實際的方式，是先建立「目前基線」與「目標基線」。目前基線描述公司已經做了什麼，目標基線則定義未來要達到的狀態。兩者差距就是改善清單，並可依風險與成本分期完成。

建議優先建立的八類控制

1. 資產與責任清冊

列出系統、資料、帳號、雲端服務、負責人與外部供應商。沒有資產清冊，就無法判斷哪些設備需要修補，也難以在事件發生時找到負責窗口。

2. 帳號與權限管理

建立帳號申請、異動、離職停用及定期複核流程；管理者帳號與一般帳號分離，重要系統導入多因素驗證。

3. 安全設定與變更管理

定義作業系統、雲端服務與網路設備的安全基準。所有重大變更應留下申請、核准、測試與回復方式。

4. 弱點與修補管理

定期進行內外部弱點盤點，依曝險程度、實際利用情況與資產重要性排序，並在修補後重新驗證。

5. 日誌與告警

確認重要系統有一致時間、足夠保存期與異常告警。日誌不只是稽核資料，也是事件調查時還原時間線的基礎。

6. 備份與營運持續

備份應包含離線或不可竄改副本，並定期執行還原測試。只有「備份成功」訊息，不能證明資料真的可復原。

7. 事件應變

預先定義通報、分級、隔離、證據保存、法律與客戶溝通方式，並透過桌上演練驗證流程。

8. 供應鏈與委外管理

盤點供應商能接觸的資料與系統，將安全責任、事件通報期限、資料歸還與刪除要求寫入契約。

每項控制都應留下可驗證證據

政策只能說明「應該怎麼做」，證據才能證明「確實有做」。例如權限複核紀錄、弱掃報告、修補工單、備份還原結果、告警紀錄與演練報告。建議每項控制至少記錄負責人、執行頻率、工具、證據位置與未完成風險。

從風險最高的十項改善開始

中小企業可以先完成資產盤點與差距分析，再選出十項高風險改善，而不是同時建立大量文件。AILAB 可結合弱點掃描、監控與 AI 報告，協助企業把控制要求轉成可追蹤的技術任務。

參考資料：NIST SP 800-53 Rev.5