在 NIST RMF 框架中，Authorizing Official（AO，授權官員）是唯一擁有正式授權權力的角色。他們的一個簽名，決定了系統是否能夠上線運作。
AO 的角色定義與法定責任
AO 是組織內具有正式法定授權的高階主管，通常為機構主管、副主管或業務單位負責人。其核心職責是評估安全評估報告（SAR）、系統安全計畫（SSP）與風險評估結果，最終決定是否核發授權運作許可（ATO, Authorization to Operate）。AO 不僅承擔技術風險，更承擔組織的業務使命風險與法規合規責任。根據 FISMA 規範，AO 的決策必須有文件佐證，且不可轉授他人。
AO 在 RMF 六步驟中的關鍵介入點
AO 雖在 RMF 全程皆有監督角色，但關鍵介入點集中於第五步驟「Authorize」。此階段 AO 需審閱授權套件（Authorization Package），內含 SSP、SAR 及風險行動計畫（POA&M）。AO 綜合評估後，做出三種決定之一：核發 ATO、核發有條件 ATO（IATO），或拒絕授權（DATO）。此外，AO 亦可指定授權官員指定代表（AODR）協助行政作業，但最終決策權仍歸 AO 所有。
💡 重點整理
- 唯一決策權：AO 是組織中唯一能正式核發 ATO 的角色，責任不可轉授。
- 風險承擔者：AO 以個人職位為擔保，對系統殘餘風險負完全責任。
- 審閱授權套件：決策依據為 SSP、SAR、POA&M 三份核心文件。
- 三種授權結果：ATO（通過）、IATO（有條件通過）、DATO（拒絕）。
AO 是 RMF 框架的最終守門人。理解其職責邊界，有助於組織建立清晰的風險問責鏈，確保資安治理不流於形式。
📚 參考文獻
- NIST SP 800-37 Rev. 2 — Risk Management Framework for Information Systems and Organizations（官方 RMF 核心文件，定義 AO 角色與 RMF 六步驟）
- NIST SP 800-53 Rev. 5 — Security and Privacy Controls for Information Systems and Organizations（AO 授權決策所依據的控制措施標準）
⚠️ 本文內容基於撰寫時的最新資訊，實際應用時請參考官方文件的最新版本。
留言
張貼留言