NIST เปิดรับความเห็นร่างเอกสาร NIST SP-800-63B มาตรฐานการยืนยันตัวตนที่เคยอัพเดตไปเมื่อปี 2017 โดยรอบนี้มีจุดสำคัญคือการเพิ่มมาตรฐานความปลอดภัยของ Passkey ที่ใช้ล็อกอินโดยไม่ต้องการรหัสผ่าน และยังสามารถซิงก์ข้ามอุปกรณ์ได้

NIST ประกาศมาตรฐานการเข้ารหัสที่ทนทานต่อคอมพิวเตอร์ควอนตัม (post-quantum cryptography - PQC) ชุดแรก 3 อัลกอริทึม จาก 4 อัลกอริทึมที่ผ่านมาการคัดเลือกตั้งแต่ปี 2022 โดยตัวที่ 4 คือ Falcon จะตามมาในปลายปีนี้ ตอนนี้ทั้งสามอัลกอริทึม ได้แก่

ทีมวิจัยของ NIST หน่วยงานออกมาตรฐานอุตสาหกรรมสหรัฐฯ รายงานถึงการพัฒนาเซ็นเซอร์กลูโคสโดยอาศัยการดัดแปลงจากเซ็นเซอร์แม่เหล็กที่มีในโทรศัพท์สมัยใหม่แทบทุกเครื่องอยู่แล้ว

กระบวนการวัดระดับน้ำตาลจริงๆ จะอาศัยแผ่นไฮโดรเจลที่ยืดหรือหดลงเมื่อระดับน้ำตาลในตัวอย่างที่นำมาทดสอบต่างกันไป ที่ปลายแผ่นไฮโดรเจลติดสารแม่เหล็กเอาไว้ทำให้ระดับสนามแม่เหล็กเปลี่ยนไป และนำมาแปลงค่าแสดงในโทรศัพท์มือถือด้วยเซ็นเซอร์เข็มทิศอีกที

NIST ออกชุดเอกสาร NIST’s cybersecurity framework (CSF) เวอร์ชั่น 2.0 สำหรับการวางโครงสร้างองค์กรให้พร้อมรับมือภัยไซเบอร์ หลังจากออกเวอร์ชั่น 1.0 มาตั้งแต่ปี 2014 ตามคำสั่งฝ่ายบริหารของรัฐบาลโอบามา โดยรอบนี้พยายามทำเอกสารให้ครอบคลุมองค์กรทุกประเภท และทุกระดับความเสี่ยงภัยไซเบอร์

NIST องค์การมาตรฐานอุตสาหกรรมสหรัฐฯ ออกเอกสารรวบรวมภัยจากการโจมตี machine learning และแนวทางเพื่อลดความเสี่ยงลง พร้อมกับเตือนว่าตอนนี้ยังไม่มีทางใดที่ป้องกันการโจมตีได้ทั้งหมด และนักพัฒนาควรระมัดระวัง

เอกสาร NIST AI 100-2e2023 ไม่ใช่มาตรฐานอุตสาหกรรมแต่เป็นการรวบรวมการโจมตีรูปแบบต่างๆ และแนวทางการลดความเสี่ยงเท่านั้น โดยเอกสารจัดรูปแบบการโจมตี 4 รูปแบบใหญ่ๆ ได้แก่

NIST ประกาศผลประกวดกระบวนการเข้ารหัสลับและการแฮชข้อมูลสำหรับอุปกรณ์ขนาดเล็ก จากที่มีผู้ส่งประกวด 57 ราย ได้ผู้ชนะคือ Ascon ที่พัฒนาโดยทีมวิจัยร่วมระหว่าง Graz University of Technology, Infineon Technologies, Lamarr Security Research, และ Radboud University

NIST ออกเอกสาร FIPS 186-5 มาตรฐานการเซ็นลายเซ็นดิจิทัลโดยปรับปรุงจากมาตรฐานเดิม FIPS 186-4 ที่ออกมาตั้งแต่ปี 2013 มีการปรับปรุงถอดอัลกอริทึม DSA (Digital Signature Algorithm) ออกจากมาตรฐาน หลังจากอยู่ในมาตรฐานมาตั้งแต่ปี 1994

DSA คิดค้นโดย David W. Kravitz เจ้าหน้าที่ NSA ในปี 1991 แม้จะยื่นจดสิทธิบัตรไว้แต่ NIST ก็เปิดให้ใช้งานได้โดยไม่คิดค่าใช้จ่ายทำให้ได้รับความนิยมเป็นวงกว้าง เอกสาร FIPS 186-5 ยังอนุญาตให้ไลบรารีต่างๆ รองรับลายเซ็นแบบ DSA ได้เฉพาะการตรวจสอบลายเซ็นในเอกสารเดิมเท่านั้น ไม่อนุญาตให้เซ็นเอกสารใหม่เพิ่มเติม

NIST หน่วยงานออกมาตรฐานอุตสาหกรรมสหรัฐฯ ประกาศแผนการถอดมาตรฐานการแฮช SHA-1 ออกจากมาตรฐานทั้งหมดภายในปี 2030 แม้ว่าจะแนะนำให้เลิกใช้งานเร็วที่สุดที่เป็นไปได้ก็ตาม

กระบวนการแฮชแบบ SHA-1 ถูกใช้งานในมาตรฐานหลายตัวของ NIST โดยเอกสารหลักคือ FIPS-180 เอกสารที่ระบุกระบวนการเข้ารหัสที่ยอมให้ใช้งานที่ NIST ใส่ SHA-1 ไว้ตั้งแต่เวอร์ชั่นแรกของเอกสารที่ออกปี 1993

NIST ประกาศผลการคัดเลือกอัลกอริทึมเข้ารหัสที่ทนทานต่อคอมพิวเตอร์ควอนตัม โดยชุดแรกมี 4 อัลกอริทึมที่จะเข้าสู่กระบวนการจัดทำมาตรฐานต่อไป แบ่งเป็นกระบวนการเข้ารหัสแบบกุญแจลับ/กุญแจสาธารณะ 1 รายการ และกระบวนการสร้างลายเซ็นดิจิทัล 3 รายการ

NIST ประกาศแนวปฎิบัติสำหรับการทดสอบซอฟต์แวร์ขั้นต่ำ (Guidelines on Minimum Standards for Developer Verification of Software) ตามคำสั่งของรัฐบาลโจ ไบเดนที่ให้ NIST วางแนวทางที่เกี่ยวข้องเพื่อปรับปรุงความปลอดภัยไซเบอร์

แม้จะเป็นคำสั่งสำหรับเพิ่มความปลอดภัยไซเบอร์ แต่แนวทางปฎิบัติของ NIST ก็เป็นแนวทางสำหรับกระบวนการพัฒนาซอฟต์แวร์ที่ดี โดยกำนหนดเงื่อนไขการพัฒนาซอฟต์แวร์ไว้หลายอย่าง เช่น

NIST ออกร่างเอกสารเฟรมเวิร์คการจัดการความเสี่ยงมัลแวร์เรียกค่าไถ่ NISTIR-8374 ระบุถึงแนวทางการจัดการความเสี่ยงมัลแวร์เรียกค่าไถ่หรือ ransomware วางแนวทางให้องค์กร

เนื้อหาในเอกสารส่วนใหญ่ระบุถึงความเสี่ยงต่างๆ ของมัลแวร์เรียกค่าไถ่แล้วย้อนกลับไปถึงแนวทางการจัดการความปลอดภัยไซเบอร์รูปแบบอื่นๆ ที่มีเอกสารแนวทางมาก่อนหน้านี้แล้ว แต่ต้วเอกสารเองก็มีคำแนะนำโดยรวม เช่น

ประธานาธิบดีโดนัลด์ ทรัมป์ ลงนามในกฎหมาย NIST Small Business Cybersecurity Act แล้วเมื่อสัปดาห์ที่ผ่านมา หลังจากกฎหมายผ่านโหวตในสภาตั้งแต่ต้นเดือนที่ผ่านมา ทำให้กฎหมายมีสภาพบังคับ ให้ NIST ที่เคยออกมาตรฐานความปลอดภัยให้รัฐบาลกลาง ต้องออกมาตรฐาน, แนวปฎิบัติ, คำแนะนำ, และเครื่องมือต่างๆ เพื่อช่วยให้ธุรกิจขนาดเล็กพัฒนาความปลอดภัยไซเบอร์ง

NIST ออกมาตรฐานความปลอดภัยหลายอย่าง ที่เป็นมาตรฐานสำคัญ เช่น NIST FIPS-140-2 มาตรฐานความปลอดภัยกระบวนการเข้ารหัสลับ หรือแนวปฎิบัติ NIST SP-800-63 ที่กำหนดแนวทางการพิสูจน์ตัวตนสำหรับบริการออนไลน์

NIST ออกเอกสารแนะนำการใช้เครือข่ายไร้สายในโรงงาน NIST AMS 300-4 เป็นครั้งแรกที่ NIST ออกแนวทางการใช้เครือข่ายไร้สายในโรงงาน จากเดิมที่มีการออกแนวทางการรักษาความปลอดภัยในโรงงานมาตั้งแต่ปี 2013

เอกสารออกมาเพื่อวิศวกรที่ดูแลระบบควบคุมโรงงานอยู่เดิม จึงปูพื้นตั้งแต่ระบบเครือข่ายและระบบไร้สาย ไปจนถึงไปการจัดการคลื่นความถี่ นอกจากนี้แนะนำไปถึงข้อแตกต่างระหว่างระบบควบคุมแบบมีสายในโรงงานเดิม กับระบบไร้สาย โดยเตือนให้วิศวกรต้องคำนึงถึงความเสี่ยงที่แพ็กเก็ตจะสูญหาย, ระยะเวลาหน่วงที่ยอมรับได้, และจำนวนอุปกรณ์บนเครือข่าย

มาตรฐานการยืนยันตัวตน NIST 800-63 เพิ่งออกใหม่ไปเมื่อไม่กี่เดือนก่อน ทาง Wall Street Journal ก็ไปสัมภาษณ์ Bill Burr ผู้จัดการของ NIST เมื่อปี 2003 และเป็นผู้เขียน NIST 800-63A เวอร์ชั่นแรก ระบุว่ารหัสผ่านต้องมีความซับซ้อนด้วยการผสมประเภทอักขระ (ตัวเล็ก, ตัวใหญ่, ตัวเลข, สัญลักษณ์) พร้อมๆ กับระบุให้รหัสผ่านมีวันหมดอายุ

มาตรฐานการยืนยันตัวตน NIST SP 800-63 (มีเอกสารย่อยอีก 4 ฉบับ) เปิดรับฟังความเห็นมาตั้งแต่ปีที่แล้ว ตอนนี้กระบวนการรับฟังความเห็นได้จบลงแล้วและเอกสารตัวจริงออกมาให้องค์กรต่างๆ นำไปใช้งานต่อไป

ความเปลี่ยนแปลงสำคัญในเวอร์ชั่นใหม่ ได้แก่