2023年11月22日 星期三

NIST°²È«ÈíÌ忪·¢¿ò¼Ü£¨SSDF£©£¬ÈÃÈíÌ忪·¢°²È«ÉϹìµÀ


让我们跟著【高雄画刊】一起阅读高雄、游赏风光、聆听达人说故事,探寻这城市更多的美好! 【杀破狼每周星座运势】提供各星座整体运势分析、当周须注意事项。量身为12星座打造本周星座最佳行走指南!
★ 无法正常浏览内容,请按这里线上阅读
新闻  健康  udn部落格  
2023/11/23 第756期  |  订阅/退订  |  看历史报份
  科技新知 NIST安全软体开发框架(SSDF),让软体开发安全上轨道
影响力科技标竿!瑞典金融新创Doconomy推出奥兰指数与碳排计算器
《专题文章》人工智慧与个资保护
全息投影将不再只出现在科幻片!AI生成技术促使3D投影更逼

NIST安全软体开发框架(SSDF),让软体开发安全上轨道
FIND研究员∶李启荣

在SSDLC安全软体开发生命周期、SBOM软体用料清单的重要性更被重视的当下,虽然有企业界开始导入采用,但仍需要一个具有公信力的可参考指引,供业界依循安全开发流程。於是美国NIST就制定了「安全软体开发框架(Secure Software Development Framework, SSDF)」,让安全软体开发理论和实务流程加以整合,以利软体开发业界能有效依循,来产出高安全性的软体。

技术发展背景

自从SSDLC开发工法问世後,让原有的瀑布式/敏捷式开发工法追加了安全控管要素,力求每个开发流程都万无一失,产出安全又满意的软硬体产品;另外美国曾因为Log4j重大事故所带来的软体套件安全性冲击,促使美国政府推动SBOM并列入政府软体供应商需求,藉由让软体组成透明化,来预防潜在的漏洞、间接增强安全性。

NIST推动的SSDF,除整合安全软体开发所需的流程需求,以及安全开发工具要素外,也考量坊间许多安全软体工法的特点,例如OWASP SAMM、Synopsys BSIMM等流程,将安全软体开发实践到资讯科技(IT)、工控系统(ICS)、网路─实体整合系统(CPS)、物联网(IoT)等情境与产品。

技术介绍与应用现况

NIST SSDF共有四个实务(Practice)类别,作为软体开发者的预备方向∶

1.组织预备(PO)∶开发团队应做好人员、流程和技术等层面的准备工作

2.软体防护(PS)∶开发团队手上的所有软体元件,应防止被窜改,或遭未经授权之外部存取

3.产出绝佳安全软体(PW)∶当产出软体成品时,应确保最低程度的软体漏洞发生

4.对漏洞做出因应措施(RV)∶开发团队应留意软体成品发生的已知漏洞,并防止类似事故在未来再次发生。

软体开发团队藉由落实上述四种实务,可望结合SSDLC和SBOM,确保软体开发过程中的风险和品质管控,同时提高流程和产品的安全系数。

未来展望/挑战

藉由导入SSDF,可以将SSDLC和SBOM的理论进一步具体化实践,从开发源头密切把关开发流程和软体原料的安全性,并不断因应日新月异的威胁加以动态补强改善,进而为下一世代的产品擘划更为安全的蓝图,以便应付旧世代产品淘汰後,新世代产品青黄不接的空缺,所产生的安全空窗期,来减少组织面、流程面、工具面等风险暴露,影响新世代软体安全性。

封面图片经图库123RF授权使用

参考资料∶

1.Souppaya, M., Scarfone, K., & Dodson, D. (2022, February). Secure Software Development Framwork (SSDF) Version 1.1. doi:10.6028/NIST.SP.800-218

2.杨力学. (2022年9月21日). 从 SSDLC 视角简介 FIPS 140-3 标准. 撷取自 2022台湾资安大会: https://s.itho.me/ccms_slides/2022/9/29/10333ec8-0dc1-403e-a38a-5281d57d1996.pdf

 
影响力科技标竿!瑞典金融新创Doconomy推出奥兰指数与碳排计算器
FIND研究员∶徐宗隆

瑞典金融科技新创公司Doconomy创立於2018年,以影响力科技为标竿,积极付诸於气候变迁抗衡的投资项目。自始力求透过金融科技工具的开发,以教育与社会积极改造著手达成减碳方针。并透过与芬兰奥兰银行〔Ålandsbanken〕、联合国气候变迁纲要公约组织〔United Nations Framework Convention on Climate Change, 简称UNFCCC〕与万事达卡公司〔Mastercard〕共同合作,向世界展现金融知识、气候变迁专业与支付科技所协同而擦撞出灿烂火花。

Doconomy推出碳排计算与评估产品系以不同查核主体为单位而做划分。主体类别包括金融交易、个人生活方式、产品及企业。以下为Doconomy产品系列简述∶

金融交易碳排计算器 (Transaction Impact Calculator)

於金融交易碳排计算器所采纳之奥兰指数解决方案〔Åland Index Solutions〕系Doconomy与芬兰奥兰银行偕手合资的结晶。其宗旨系为让银行业者、支付系统服务商及金融机构提供客户以金融交易为单位所计算的碳排〔CO₂e〕及耗水〔H₂O〕冲击评估指数。如此让企业及消费者在明确厘清其消费、投资或生产活动所延伸之环境影响结果後,尔促使其采取有助於减碳减水目标的行动,从而对全球气候变迁与水资源贫瘠难题付出心力。

图一、金融交易碳排计算器介面图样

图片来源:https://doconomy.com/transaction-imct/

该计算器所使用的数据来源出自与该交易有关企业之公开数据,而计算方法论则系由安永会计事务所〔E&Y〕独立验证。另,该计算公式乃根据美国标普全球〔S&P Trucost〕模型技术所设计,融入超过50类特殊强度构建因素所计算出之碳排及耗水影响力指数。

目前采用奥兰指数的国际金融机构包括法国巴黎银行〔BNP Paribas〕、英国渣打银行〔Standard Chartered〕、日本世尊信用卡公司〔Credit Saison〕。

生活方式碳排计算器 (Lifestyle Calculator 2.0)

生活方式碳排计算器系Doconomy与UNFCCC共同协力激荡的成果,专针对个人生活型态提供碳排影响评估的行动应用程式。

图二、生活方式碳排计算器涉及交通、家用电器、食品等消费范畴

图片来源:https://doconomy.com/transaction-imct/

其目的即为帮助使用者从认识个人生活实际碳排情形,进而促进做出有利於减碳生活型态的选择。该碳排涉及领域涵盖个人交通、生活用品、 鞋类、运动与文化、家用电器、衣服、交通等各类别的消费。

产品碳排计算器 (Product Impact Calculator 2030)

该产品目的为帮助制造业者与品牌商以最便捷之方式,计算出其个别产出或售出产品的碳足迹总量。计算范畴涵盖自制造、运输至最终贩售点所涉之碳足迹。且亦透过碳排系数算出该产品零件、材料、包装及运输,甚至在制造阶段耗能,所积累之总碳排量。简言之,自产品的无到有,至市场贩售,从中所有的碳足迹。其所采用的数据系由使用者主动输入的。

图三、透过产品碳排计算器显示之丹宁牛仔裤产品,自制造到贩售所连带总碳排结果图样

图片来源:https://doconomy.com/transaction-imct/

图四、透过产品碳排计算器显示之Nike跑鞋产品,自制造到贩售所连带碳排结果图样

图片来源:https://doconomy.com/transaction-imct/

该计算器所包括之产品类别含鞋具、服装、皮包及配件、家具、游戏、家电用具、花园与宠物、运动与户外、媒体、珠宝与手饰、玩具与婴儿产品、嗜好与手工艺、书籍类。

企业碳排影响仪表(Corporate Impact Dashboard)

此产品目前仍处於开发阶段,旨向让银行业者可帮助企业客户,了解该企业营运所衍伸之碳排冲击数据,以协助完成碳排盘查之义务。如此可厘清企业应所专注之减碳领域,以设定出行动计画达成净零指标。

延伸台湾产业应用

身为第三方服务服务顾问角色的资策会近来为协助达成国家2050净零排放目标,欲将类似Doconomy碳排计算器之概念积极运用在智慧农业与公民生活碳足迹计算领域中。冀望以实际鼓励机制的建置促使民间落实减碳措施,为匹敌全球暖化日渐严峻趋势,付以赤诚又奏效之行动。

封面图片来源: https://doconomy.com/transaction-imct/

参考资料来源:Doconomy官网∶https://doconomy.com/transaction-imct/

 
《专题文章》人工智慧与个资保护
FIND研究员∶宋佩珊 壹、前言 近年人工智慧(Artificial Intelligence, AI)领域再次引领潮流,近期最引人注目的新闻即是Open AI所开发的ChatGPT,,然而同时间也引起各界热烈讨论人工智慧未来可能对人类社会造成何种影响 ...
 
全息投影将不再只出现在科幻片!AI生成技术促使3D投影更逼
FIND研究员∶郭力玮 1977年的电影星际大战(Star Wars)震撼了全球,片中令影迷津津乐道的技术之一「全息投影」引起广泛的讨论,当时平面投影技术已经发展了百馀年,民众依然只能透过平面的投影布幕看到平面影像,也难怪全息投影效果在当时的观众心中留下了深刻的印象。 ...
 
和平岛时空旅读 大航海时代的遗迹与荣耀
和平岛,在尚未进行填海造陆工程以前,实则包含著旧名为「社寮岛」的本岛「和平岛」,与两座离岛「中山仔岛」、「桶盘屿」。桥梁尚未兴建的古代,位置堪称遗世而独立。然而,因著为大海包围,在仰赖水运的往昔,也拥有了四通八达的优势。独特的地理条件,让它有了许多空前绝後的「第一」。

「刷代币」英文怎麽说? 认识常见【搭乘公交】实用英文
搭乘公共交通是一种体验当地文化和生活方式的好方法,当然在这之前也需要一些计划和准备!在旅行前,建议可以先研究当地的交通系统,了解购票方式和交通规则。快来认识旅游时「搭乘公共交通工具」必须会的实用英文。
 
本电子报著作权均属「联合线上公司」或授权「联合线上公司」使用之合法权利人所有,
禁止未经授权转载或节录。若对电子报内容有任何疑问或要求转载授权,请【
联络我们】。
  免费电子报 | 著作权声明 | 隐私权声明 | 联络我们

沒有留言:

張貼留言