美國商務部轄下的國家標準暨技術研究院（National Institute of Standards and Technology，NIST）於 11 月 2 日發布白皮書《小型企業資安：無僱員企業》（Small Business Cybersecurity: Non-Employer Firms，NIST Cybersecurity White Paper 50）
，為沒有僱用員工的個人事業主提供資安入門指引。外媒報導指出，這份指引為非技術背景的經營者提供基本做法，但專家認為，對於無需人為監督即可運作的技術，包括代理式 AI（agentic AI），這個指引可能著墨不足。
為沒有 IT 團隊的經營者而寫
這份白皮書的對象是無僱員企業（non-employer firms），也就是除業主之外沒有其他受薪員工的事業，包括自由工作者、獨資經營者與獨立承包商。NIST 以淺顯文字撰寫，不預設讀者具備資安知識，協助業主從 NIST 網路安全框架 2.0 版（Cybersecurity Framework 2.0，CSF 2.0）中，挑選優先要做的事項。
白皮書更新自《NISTIR 7621》。前一版涵蓋不同規模的小型企業，也談到較廣泛的資訊安全議題，新版則專門針對無僱員業者。NIST 小型企業參與負責人 Daniel Eliot 表示，這份白皮書距離前一版《NISTIR 7621》第 1 修訂版，已相隔近 10 年。
白皮書附有資產清查表與資安任務追蹤表，並提供律師、工藝師與企業顧問三種情境範例。NIST 也表示，這份指引是起點，並非適用於所有業者的完整解方。
外媒報導指出，對個人事業主而言，資安事件可能是致命打擊，部分業者在遭受攻擊後甚至就此歇業。報導也提到，攻擊者可以選擇鎖定防禦嚴密的大型企業，爭取單筆高額款項，也可以轉向數以千計防護薄弱的小型業者，後者付款的機率要高出許多。
專家：基本指引可能不夠
報導指出，這份指引可能未能處理無須人為監督即可運作的技術該如何確保安全。專家 警告，隨著代理式 AI 讓更多人得以獨自經營事業，這類事業的安全比以往更為重要。他指出：
「獨自經營的加密貨幣業者，或掌握客戶機密的顧問，需要的遠遠超過這份指引的基準。」
依據外媒報導與 NIST 說明，白皮書建議的入門做法包括：
- 備份資料、更新軟體，並更換裝置的預設密碼。
- 使用清查表盤點有風險的資產，並以追蹤表記錄已完成的資安任務。
- 在電子郵件、網路銀行、密碼管理工具、敏感檔案儲存與關鍵雲端服務等項目上，盡可能採用防釣魚的多因素驗證（MFA）。白皮書說明，部分 MFA 方式仍可能遭釣魚攻擊。
報導另提到，能封鎖已知惡意網域、IP 位址、連接埠與通訊協定的產品，可補強既有的網路安全原則。
本文參考 Dark Reading、GBHackers 等外媒報導，以及美國小型企業管理局倡議辦公室（SBA Office of Advocacy）公告編譯。