ประธานาธิบดีโดนัลด์ ทรัมป์ ลงนามในกฎหมาย NIST Small Business Cybersecurity Act แล้วเมื่อสัปดาห์ที่ผ่านมา หลังจากกฎหมายผ่านโหวตในสภาตั้งแต่ต้นเดือนที่ผ่านมา ทำให้กฎหมายมีสภาพบังคับ ให้ NIST ที่เคยออกมาตรฐานความปลอดภัยให้รัฐบาลกลาง ต้องออกมาตรฐาน, แนวปฎิบัติ, คำแนะนำ, และเครื่องมือต่างๆ เพื่อช่วยให้ธุรกิจขนาดเล็กพัฒนาความปลอดภัยไซเบอร์ง

NIST ออกมาตรฐานความปลอดภัยหลายอย่าง ที่เป็นมาตรฐานสำคัญ เช่น NIST FIPS-140-2 มาตรฐานความปลอดภัยกระบวนการเข้ารหัสลับ หรือแนวปฎิบัติ NIST SP-800-63 ที่กำหนดแนวทางการพิสูจน์ตัวตนสำหรับบริการออนไลน์

NIST ออกเอกสารแนะนำการใช้เครือข่ายไร้สายในโรงงาน NIST AMS 300-4 เป็นครั้งแรกที่ NIST ออกแนวทางการใช้เครือข่ายไร้สายในโรงงาน จากเดิมที่มีการออกแนวทางการรักษาความปลอดภัยในโรงงานมาตั้งแต่ปี 2013

เอกสารออกมาเพื่อวิศวกรที่ดูแลระบบควบคุมโรงงานอยู่เดิม จึงปูพื้นตั้งแต่ระบบเครือข่ายและระบบไร้สาย ไปจนถึงไปการจัดการคลื่นความถี่ นอกจากนี้แนะนำไปถึงข้อแตกต่างระหว่างระบบควบคุมแบบมีสายในโรงงานเดิม กับระบบไร้สาย โดยเตือนให้วิศวกรต้องคำนึงถึงความเสี่ยงที่แพ็กเก็ตจะสูญหาย, ระยะเวลาหน่วงที่ยอมรับได้, และจำนวนอุปกรณ์บนเครือข่าย

มาตรฐานการยืนยันตัวตน NIST 800-63 เพิ่งออกใหม่ไปเมื่อไม่กี่เดือนก่อน ทาง Wall Street Journal ก็ไปสัมภาษณ์ Bill Burr ผู้จัดการของ NIST เมื่อปี 2003 และเป็นผู้เขียน NIST 800-63A เวอร์ชั่นแรก ระบุว่ารหัสผ่านต้องมีความซับซ้อนด้วยการผสมประเภทอักขระ (ตัวเล็ก, ตัวใหญ่, ตัวเลข, สัญลักษณ์) พร้อมๆ กับระบุให้รหัสผ่านมีวันหมดอายุ

มาตรฐานการยืนยันตัวตน NIST SP 800-63 (มีเอกสารย่อยอีก 4 ฉบับ) เปิดรับฟังความเห็นมาตั้งแต่ปีที่แล้ว ตอนนี้กระบวนการรับฟังความเห็นได้จบลงแล้วและเอกสารตัวจริงออกมาให้องค์กรต่างๆ นำไปใช้งานต่อไป

ความเปลี่ยนแปลงสำคัญในเวอร์ชั่นใหม่ ได้แก่

ร่างมาตรฐานการยืนยันตัวตนดิจิตอลเวอร์ชั่นใหม่ NIST SP 800-63B ที่เปิดรับฟังความเห็นเมื่อปีที่แล้วตอนนี้ปิดช่วงรับฟังความเห็นและมีการแก้ไข จุดเพิ่มเติมสำคัญคือการกำหนดให้บริการไม่ตรวจสอบความซับซ้อนของรหัสผ่าน และไม่บังคับให้ผู้ใช้เปลี่ยนรหัสผ่านตามระยะเวลาอีกต่อไป

ทุกวันนี้บริการต่างๆ มักกำหนดความซับซ้อนของรหัสผ่าน เช่น ต้องมีตัวอักษรเล็ก, อักษรใหญ่, ตัวเลข, สัญลักษณ์ ผสมกัน แต่ในความเป็นจริงการโจมตีรหัสผ่านมักอาศัยการใช้รหัสผ่านที่รั่วออกมาจากบริการอื่นๆ ไม่ว่ารหัสจะมีความซับซ้อนแค่ไหนก็ไม่ได้ช่วยในกรณีเหล่านี้

NIST ประกาศตั้งแต่เดือนสิงหาคมที่ผ่านมาว่าจะเริ่มกระบวนการสรรหาอัลกอริทึมเข้ารหัสสำหรับหลังยุคคอมพิวเตอร์ควอนตัม ตอนนี้กติกาการแข่งขันก็เสร็จสิ้นแล้ว ถึงเวลาเปิดรับอัลกอริทึมจากนักวิจัยกันต่อไป

อัลกอริทึมที่เข้าแข่งขันต้องเข้ามาตรฐาน FIPS 186-4 ที่เป็นอัลกอริทึมสำหรับการสร้างลายเซ็นดิจิตอล และมาตรฐาน SP-800-56A และ SP-800-56B อัลกอริทึมเข้ารหัสลับแบบกุญแจลับ-กุญแจสาธารณะ

การเสนออัลกอริทึมในชั้นแรกจะสิ้นสุดกำหนดในเดือนพฤศจิกายน 2017 นี้

ปัญหาแรงงานด้านความปลอดภัยไซเบอร์ไม่เพียงพอทำให้หลายหน่วยงานไม่สามารถป้องกันระบบของตัวเองได้ แม้แต่ประเทศต้นกำเนิดอย่างสหรัฐฯ เองก็ยังเป็นปัญหา หน่วยงานออกมาตรฐานความปลอดภัยไซเบอร์อย่าง NIST เองก็ต้องลงมาเว็บ CyberSeek แสดงโอกาสความก้าวหน้าในอาชีพด้านนี้

ในสหรัฐฯ มีตำแหน่งงานด้านความปลอดภัยไซเบอร์ที่เปิดรับอยู่ถึงกว่าเจ็ดแสนตำแหน่ง เฉพาะงาน Incident Analyst ที่เป็นระดับเริ่มต้นก็มีรายได้เฉลี่ยปีละ 70,000 ดอลลาร์ นับว่าต่ำที่สุดในสายงานเดียวกัน

การโจมตีไซเบอร์ในช่วงหลังมีความท้าทายสำคัญคือองค์กรต่างๆ ไม่ยอมแบ่งปันข้อมูลระหว่างกัน ทำให้องค์กรที่ใช้งานซอฟต์แวร์หรืออุปกรณ์ประเภทเดียวกันถูกโจมตีตามๆ กันไป การที่องค์กรไม่ยอมแบ่งปันข้อมูลส่วนหนึ่งมาจากความกลัวเสียชื่อเสียงว่าถูกโจมตี แต่อีกทางหนึ่งก็กลัวที่จะปล่อยข้อมูลสำคัญให้กับองค์กรอื่นด้วย ตอนนี้ NIST ออกแนวทางการแบ่งปันข้อมูลภัยไซเบอร์

เจ้าหน้าที่ฝ่ายไอทีกับผู้ใช้ในองค์กรคงมีปัญหากันบ่อยๆ เมื่อผู้ใช้ไม่ได้ระมัดระวังตัวเองกับความปลอดภัยต่างๆ หรือหาทางข้ามมาตรการที่องค์กรวางไว้อยู่เรื่อยๆ แต่รายงานใหม่ของ NIST ระบุว่าปัญหานี้อาจจะไม่ใช่ปัญหาของตัวผู้ใช้เองแต่เป็นระบบที่ออกแบบไม่ได้คำนึงถึงผู้ใช้

รายงาน "Security Fatigue" เป็นการสำรวจผู้ใช้ด้วยการสัมภาษณ์ผู้ใช้งาน 40 คน คนละ 45-60 นาที โดยสอบถามถึงการใช้งานระบบความปลอดภัย ตั้งแต่ไอคอน เครื่องมือ และคำศัพท์ต่างๆ ที่ผู้ใช้ต้องเจอ และวิเคราะห์ว่าอะไรเป็นสาเหตุทำให้ผู้ใช้เหนื่อยล้ากับความมั่นคงปลอดภัย และผลเมื่อผู้ใช้เหนื่อยล้ากับระบบขึ้นมา

NIST ออกรายงานการเข้ารหัสสำหรับอุปกรณ์ขนาดเล็ก วางแนวทางการสร้างมาตรฐานกระบวนการเข้ารหัสลับสำหรับอุปกรณ์ขนาดเล็ก เช่น รถยนต์, เซ็นเซอร์, อุปกรณ์สุขภาพ, อุปกรณ์ IoT, ไปจนถึงระบบควบคุมไฟฟ้า

รายงานระบุถึงข้อจำกัดของอุปกรณ์ขนาดเล็กเหล่านี้ที่อาจจะปรับปรุงได้ ได้แก่

เทคโนโลยีคอมพิวเตอร์ควอนตัมมีพัฒนาการอย่างต่อเนื่องในช่วงไม่กี่ปีที่ผ่านมา แม้ว่าจะยังไม่มีแนวโน้มว่าคอมพิวเตอร์เหล่านี้จะสามารถเจาะกระบวนการเข้ารหัสลับที่ใช้กันทุกวันนี้ได้ภายในเร็ววันก็ตาม แต่ NIST ก็เริ่มกระบวนการกำหนดมาตรฐานการเข้ารหัสลับหลังเข้าสู่ยุคคอมพิวเตอร์ควอนตัมแล้ว

NIST ระบุว่าการคาดการณ์ว่าคอมพิวเตอร์ควอนตัมระดับที่ใช้เจาะการเข้ารหัสลับที่เราใช้งานกันทุกวันนี้ น่าจะใช้เวลาประมาณ 20 ปี อย่างไรก็ดี กระบวนการเข้ารหัสที่เราใช้กันทุกวันนี้ก็ใช้เวลาในการพัฒนาโครงสร้างกันประมาณ 20 ปีเช่นกัน ทำให้กระบวนการวางมาตรฐานควรเริ่มโดยเร็ว

NIST หน่วยงานออกมาตรฐานอุตสาหกรรมที่เป็นผู้ออกมาตรฐานการเข้ารหัสจำนวนมากในทุกวันนี้ เปิดรับฟังความเห็นร่างเอกสาร NIST SP 800-63B มาตรฐานการยืนยันตัวตนดิจิตอลเวอร์ชั่นใหม่ เพื่อรับฟังความเห็นจากสาธารณะ

เอกสารนี้กำหนดมาตรฐานกระบวนการยืนยันตัวตนให้ปลอดภัย ตั้งแต่กระบวนการเบื้องต้นเช่นการจำกัดจำนวนครั้งที่การยืนยันตัวตนล้มเหลว, การใช้งานการยืนยันตัวตนหลายขั้นตอน แต่ความเปลี่ยนแปลงที่สำคัญคือการเตรียมยกเลิกการยืนยันตัวตนด้วย SMS

การยืนยันตัวตนด้วย SMS ยังคงยอมรับได้ในร่างเอกสาร แต่ประกาศสถานะเป็น deprecated และจะไม่รวมอยู่ในเอกสารนี้เวอร์ชั่นต่อไป

NIST ออกมาตรฐาน SP 800-38G สำหรับการเข้ารหัสข้อมูลที่ "คงฟอร์แมต" ของข้อมูลไว้ เพื่อการใช้งานกับระบบฐานข้อมูลดั้งเดิมที่อาจจะไม่เหมาะกับการเปลี่ยนแปลงฟอร์แมต