关于遵循「安全设计（Security by Design）」原则已宣导多年，如何让更多人认清这方面的问题，并实际采取行动，是软体开发界、资安界持续面临的挑战。一个多月前，美国网路安全暨基础设施安全局（CISA）为此特别发布新型态资安警报，他们强调在软体开发生命周期中，若未实施安全措施，将造成危害，希望进一步促进制造商重视此议题，扭转全球资安风险态势，避免不安全的产品持续危及企业、家庭，以及关键基础设施（CI）。
值得关注的是，过去CISA发布的资安警告与通报（Alerts & Advisories），都是聚焦在「最新的攻击」，以及「软体的漏洞」，最近他们发布有别于上述的全新警报系列，名为Security by Design Alert，我们认为此举相当别具意义，这意味著资安推动将更正式迈向软体开发实践，进一步在更早期的阶段解决相关问题。
CISA发布的两份警报，一份是聚焦在这方面的内容，也将能作为我国企业组织的重要参考与借镜。因为对于资通讯产业发达的台湾而言，近年政府持续推动将资安概念与重点融入产业发展政策，Security by Design亦是一大发展重点。
减少国家风险，提醒防御者因应，还要促进软体制造商改变
有了最新攻击警报及软体漏洞警报，为何CISA还要发布全新的Security by Design类型警告？他们表示，如果想要减少国家的风险，不只是提醒防御者最新的攻击与软体的漏洞，更需要深入软体开发的面向。
过去CISA通常将重点放在向防御者宣导，使他们了解应该怎么做，才能预防或应对，现在这个新系列警报的对话目标，则是软体制造商，并著重说明供应商的决策能帮助全球减少相关危害，同时也告诉这些制造商可以遵循哪些原则，主动消除所带来的风险。
例如，当我们看到一个漏洞或入侵活动，如果制造商在开发过程遵循安全设计原则，就可以避免这些问题。因此，需要提醒制造商从根因（root cause）分析角度出发，采取具体改善行动，以减少同样类型问题造成的资安风险。
未来，CISA如有更进一步的规范，这些指引内容也能作为企业后续改良安全设计的依据，一旦发生相关资安事件时，也能以此作为究责的参考标准。
接下来，让我们看看目前CISA最新发布的安全设计警告，首先聚焦于哪些面向：
警报1：保护网页管理介面、防范恶意网路活动
在企业环境或各种装置与软体系统上使用预设密码，虽然降低操作复杂性，但也等于为攻击者大开方便之门，因此现在很多资安管理规范都会要求：预设密码需于登入后强制变更密码。
不过CISA指出，虽然他们一再提醒企业组织，现况并未好转，网路攻击者仍持续利用预设密码（如1234、default、password等），来攻击暴露在网际网路上的系统，像是美国最近几个月遭遇的资安事故，是伊朗政府资助的骇客组织，利用OT产品的预设密码入侵美国的关键基础设施系统。
有鉴于这类事故层出不穷，CISA建议每个技术制造商都应该开始采取行动。这是因为，要求客户更改密码，并不足以防范相关威胁，只有制造商共同采取行动，才能适当应对这类威胁，尤其是在关键基础设施系统方面。
事实上，从当前的网路威胁情势来看，使用广为人知的预设密码就是资安风险。而制造商提供的产品，本身应该采取安全且妥善的预设组态。
CISA建议，可参考CISA去年发布的《安全设计与预设的原则和方法》，遵循当中提及3大原则中的第一项与第三项原则，分别是：「对客户的资安负起全部责任」，以及「建立组织结构与领导阶层来实现目标。」
以第一项原则而言，制造商应投资发展关键安全领域，尤其是在预设配置方面，产品应对合理可预见的威胁，提供妥善的资安保护。例如，攻击者可在网际网路上查找预设密码，并对暴露网际网路的装置进行测试，这样的风险已是显而易见的情形。
CISA建议制造商可选择其他作法，这里举出三例：
一、针对产品提供独一无二的设定密码
二、提供单次且有效期限制的密码，并要求启用更安全的身份验证方式，如抗网钓MFA。
三、要求初始设定必需实体存取，并采指定的独特凭证。
如在某些情况或特定产品下，并无法采用上述作法，制造商也该谨这项原则的目标，在于建立持久的安全性，制造商不应假设客户知道──他们必须关闭那些不安全的预设配置。
此外，CISA还提及一件事，制造商应确保最简单的使用方式，也就是最安全的使用方式。像是许多制造商能够支援企业的身分存取管控，像是整合单一登入SSO，而且不需额外收费，并在流程上引导客户使用。
至于第3项原则，是建立组织结构与领导阶层，后续才能顺利推动「拒用预设密码」。这意味著不只是由上而下的要求，还要有组织架构与体系的配合，促使预设安全的资安策略能够真正落实。
基本上，制造商要确保内部人员清楚一件事：资安问题就是产品与公共安全问题，尤其是负责设计、开发与交付的相关部门人员。因此，对于设计与开发的团队而言，需了解客户如何使用产品，以及相关配置如何产生，进而能够减轻资安风险。
同时，团队主管也要在产品设计与开发初期，在商业流程上建立相关激励制度，并且分配足够的资源，以便实现这些目标。
推动产品安全设计成全球资安共识，欧美各国政府动作频频
最近一个多月，CISA持续扩大推动安全设计的力道，新发布这类型的资安警报。他们强调，安全的最佳实践不应依赖客户执行，而是应由产品本身来执行，才能真正减缓相关风险。