《我,机器人》+ NIST AI RMF = 防止机器人叛乱完全指南

尽管 ISO/IEC 27002、PCI DSS、HIPAA 等框架都要求定期风险评估，许多组织仍不知从何下手。作者梳理了基本流程：划定评估范围、识别威胁（含断电、飓风等非人为因素）、结合已有控制量化影响与发生概率；成熟组织可引入 NIST SP 800-30、OCTAVE 等方法论。

PCI-SSC 社区会议的三大主题：推动「安全高于合规」的理念、对基于风险方法的谨慎态度，以及与 NIST、FISMA 等法规标准的日趋趋同。

Bishop Fox 解读 NIST 对 CVE 富化策略的调整：自 2026 年 4 月 15 日起优先处理 CISA KEV、联邦软件与行政令 14028 关键软件，其余降为最低优先级；团队应转向基于风险的补丁管理。

文章指出后量子密码（PQ）的核心价值不只在抗量子：即便量子计算机迟迟无法实现，新 PQ 标准也基于更多样化的数学难题、吸取数十年实践经验，在安全性和用例灵活性上优于经典算法，迁移依然值得。

Bishop Fox 密码安全指南：解析强制复杂字符与定期改密的过时逻辑，结合 NIST SP 800-63B 最新建议给出组织密码策略改进方向，并剖析喷洒、破解等常见攻击手法。

NIST 新起草数字身份指南解读：密码需比对泄露库、字典词与上下文相关词；SMS 不再作单因子，推送式 MFA 在更高保障等级中上位，为企业密码策略提供基线。