在 NIST RMF 框架中， Authorizing Official（AO，授權官員） 是唯一擁有正式授權權力的角色。他們的一個簽名，決定了系統是否能夠上線運作。 AO 的角色定義與法定責任 AO 是組織內具有 正式法定授權 的高階主管，通常為機構主管、副主管或業務單位負責人。其核心職責是評估安全評估報告（SAR）、系統安全計畫（SSP）與風險評估結果，最終決定是否核發 授權運作許可（ATO, Authorization to Operate） 。AO 不僅承擔技術風險，更承擔組織的 業務使命風險與法規合規責任 。根據 FISMA 規範，AO 的決策必須有文件佐證，且不可轉授他人。 AO 在 RMF 六步驟中的關鍵介入點 AO 雖在 RMF 全程皆有監督角色，但關鍵介入點集中於第五步驟「 Authorize 」。此階段 AO 需審閱授權套件（Authorization Package），內含 SSP、SAR 及風險行動計畫（POA&M）。AO 綜合評估後，做出三種決定之一：核發 ATO、核發有條件 ATO（IATO），或拒絕授權（DATO）。此外，AO 亦可指定 授權官員指定代表（AODR） 協助行政作業，但最終決策權仍歸 AO 所有。 💡 重點整理 唯一決策權： AO 是組織中唯一能正式核發 ATO 的角色，責任不可轉授。 風險承擔者： AO 以個人職位為擔保，對系統殘餘風險負完全責任。 審閱授權套件： 決策依據為 SSP、SAR、POA&M 三份核心文件。 三種授權結果： ATO（通過）、IATO（有條件通過）、DATO（拒絕）。 AO 是 RMF 框架的最終守門人。理解其職責邊界，有助於組織建立清晰的風險問責鏈，確保資安治理不流於形式。 📚 參考文獻 NIST SP 800-37 Rev. 2 — Risk Management Framework for Information Systems and Organizations （官方 RMF 核心文件，定義 AO 角色與 RMF 六步驟） NIST SP 800-53 Rev. 5 — Security and Privacy Controls for Infor...