在聯邦資訊系統治理中， ATO（Authorization to Operate，營運授權） 是系統正式上線前的最後關卡。它不只是一份文件，更是組織對殘餘風險的正式承擔聲明。 ATO 的本質：風險接受的正式決策 ATO 由 授權官員（Authorizing Official，AO） 正式簽署，代表組織在充分評估系統安全狀態後，決定接受現存的殘餘風險。AO 通常為資深主管，對組織任務與風險承擔直接負責。整個決策依據來自 安全授權套件（Authorization Package） ，包含系統安全計畫（SSP）、安全評估報告（SAR）與風險評估結果。AO 可做出三種決定：核發完整 ATO、核發附條件 ATO（IATO），或拒絕授權（Denial）。每份 ATO 均設有效期限，通常為三年，到期須重新評估。 ATO 在 NIST RMF 中的位置 NIST 風險管理框架（RMF）共七個步驟：準備、分類、選擇控制、實施控制、評估控制、授權、監控。 ATO 屬於第六步「授權（Authorize）」 ，是整個 RMF 流程的核心治理里程碑。前五步驟的所有產出，最終都彙整為授權套件，供 AO 做最終裁決。取得 ATO 後，系統進入第七步「持續監控」，透過 ISCM 機制維持授權有效性。任何重大系統變更都可能觸發重新授權程序，確保風險判斷持續有效。 💡 重點整理 ATO 是風險接受聲明 ，而非系統無風險的證明。 AO 承擔決策責任 ，須對組織任務影響負完整課責。 授權套件是決策核心 ，SSP、SAR 缺一不可。 持續監控維持授權效力 ，重大變更須觸發重新授權。 ATO 不是流程終點，而是風險治理的持續起點。理解 AO 的決策機制，是落實 NIST RMF 合規的關鍵基礎。 📚 參考文獻 NIST SP 800-37 Rev. 2 — Risk Management Framework for Information Systems and Organizations ： https://csrc.nist.gov/publications/detail/sp/800-37/rev-2/final NIST SP 800-53 Rev. 5 — Security a...