ASD enforces stricter security standards for software developers

•澳洲訊號局(ASD)更新的資訊安全手冊(ISM)明確要求軟體開發人員在應用程式開發中採用「安全設計」(Secure-by-design)和「預設安全」(Secure-by-default)原則，並鼓勵使用記憶體安全程式語言，如C#、Go、Java、Ruby、Rust和Swift。
•新的ISM指南擴展了對安全軟體開發的關注，特別納入了安全人工智慧(AI)應用程式開發的具體要求，包括實施細粒度權限和基於角色的存取控制。
•ISM修訂版強調在軟體開發生命週期中整合SecDevOps實踐，並要求嚴格隔離開發、測試、預備和生產環境及其相關數據，以最大限度地降低引入故障或惡意內容的風險。

ISM的風險管理方法借鑒自美國國家標準暨技術研究院(NIST) Special Publication 800-37, Revision 2，並與ISO 31000:2018標準相容。
該手冊以一系列網路安全原則和指南的形式呈現，旨在保護資訊技術(IT)和操作技術(OT)系統、應用程式和數據免受網路威脅。
軟體開發指南推動「安全設計」和「預設安全」原則，並建議在可能的情況下使用記憶體安全程式語言（例如C#、Go、Java、Ruby、Rust、Swift），或採用記憶體安全程式實踐。
強調SecDevOps實踐的應用，以及在應用程式開發中進行威脅建模和常見安全風險的緩解。
具體控制措施包括要求軟體開發人員接受安全軟體開發和程式設計實踐的培訓或技能提升 (ISM-2038)。
指南涵蓋傳統應用程式、行動應用程式、網路應用程式和人工智慧應用程式的開發活動。
關鍵實踐包括隔離開發、測試、預備和生產環境及其相關數據，以減少故障或惡意內容引入生產環境的可能性。
ISM基於四個核心原則：治理(govern)、保護(protect)、偵測(detect)和回應(respond)。
風險管理框架包含六個步驟：定義系統、選擇安全控制、實施安全控制、評估安全控制、授權系統和監控系統。

政府軟體供應鏈的安全性將顯著提升

更嚴格的標準將迫使所有與澳洲政府合作的軟體開發商和供應商提升其安全實踐，從而減少供應鏈中的漏洞。

開發人員需投入更多資源於安全培訓與工具

隨著對安全編碼實踐和記憶體安全語言的強調，軟體開發團隊將需要投資於相關培訓和採用新的安全工具。

AI應用程式開發將面臨更嚴格的監管與安全要求

隨著ISM納入AI應用程式的安全開發指南，未來在澳洲為政府開發AI解決方案將需要從設計階段就整合強化的安全控制。

1947-11

國防訊號局(Defence Signals Bureau)成立，為澳洲訊號局(ASD)的前身。

2001

國防訊號局根據《2001年情報服務法》轉為法定機構。

2013

國防訊號局更名為澳洲訊號局(Australian Signals Directorate, ASD)。

2024-03

澳洲訊號局發布了資訊安全手冊(ISM)的最新更新。

2024-12

ISM發布新版本，引入了針對操作技術(OT)安全、AI應用程式開發和擴大CISO內部報告要求的新控制措施。

2026-03

ISM OSCAL v2026.03.24發布，其內容基於2026年3月的資訊安全手冊(ISM)。

ASD 對軟體開發人員實施更嚴格的安全標準