從單一評級轉向領域成效評估

澳洲通訊局（ASD）正式推出新版資安指引「ASD Essentials」，旨在逐步取代已沿用近10年的「Essential Eight」框架。過去舊制習慣用一個整體的成熟度等級來定義企業資安狀態，但新版框架徹底改變這一邏輯，轉為針對不同安全領域分別評估防護成效。ASD Essentials由多份指引組成，涵蓋企業IT、營運技術（OT）及雲端環境，組織可依據自身技術架構選擇適用指引，並根據風險優先順序規畫改善措施。這種模組化的方式讓企業能更靈活地調整防護策略，而非被動追求單一的高分評級，確保資源投放在最關鍵的風險領域。

AI資產盤點與提示詞注入新挑戰

隨著人工智慧普及，ASD特別強調新版框架同樣適用於使用、開發或部署AI的組織。企業必須將AI模型、訓練資料、基礎架構以及API等系統介面納入資產盤點，並嚴格管理AI代理的非人類身分與存取權限。針對新興威脅，ASD指出攻擊者可能透過電子郵件或網頁內容進行「間接提示詞注入」，操縱AI代理行為。由於提示詞注入無法完全防範，組織應限制AI代理及其整合工具能存取的資料範圍，降低惡意指令利用既有權限存取敏感資料的風險，同時警惕公開來源AI模型遭竄改的可能性。

治理責任明確化與過渡期安排

在資安治理層面，ASD Essentials要求組織明確界定董事會及高階主管的責任，包括設定可承受的風險程度、確保預算人力充足，並持續監督防護措施的有效性。新版框架要求分別呈現各領域評估結果，讓管理階層能清楚掌握重大安全缺口與改善進度，據此決定後續資源投入。根據澳洲科技媒體iTnews報導，ASD正與政府討論法規調整時程，過渡期可能持續1至2年。期間ASD仍會維護Essential Eight，企業過去部署的防護措施可沿用，但需重新確認是否符合新版要求，以確保合規性與防護力不中斷。