RFC 8446：TLS 1.3 協定 （於新視窗開啟）
mTLS 點對點加密的協定本體，包含握手流程與前向保密的設計依據。
rfc-editor.org
資源中心
標準與規範
以下連結指向政府機關、標準組織與非營利機構的公開資料，非坤安科技所有，內容以原發布單位為準。
9 份參考資料
RFC 9325：TLS 與 DTLS 安全使用建議 （於新視窗開啟）
實務上該啟用哪些密碼套件、該停用哪些版本的具體建議，比協定本體更適合直接作為設定依據。
rfc-editor.org
RFC 5280：X.509 憑證與 CRL 規範 （於新視窗開啟）
憑證鏈驗證、有效期與撤銷機制的規範，是設計裝置身分憑證體系時的基礎。
rfc-editor.org
SP 800-63B：數位身分指引 — 驗證與生命週期管理 （於新視窗開啟）
定義驗證器強度分級（AAL），也是「不應強制定期更換密碼」等現代作法的原始出處。
pages.nist.gov
SP 800-162：屬性型存取控制（ABAC）指引 （於新視窗開啟）
在 RBAC 之外補上情境屬性的授權模型，是服務微分段策略要細化時的下一步參考。
csrc.nist.gov
SP 800-53 Rev. 5：安全與隱私控制措施 （於新視窗開啟）
控制措施的完整目錄，常被用來對應合約中的資安條款與客戶稽核項目。
csrc.nist.gov
應用程式安全驗證標準（ASVS） （於新視窗開啟）
可逐條勾稽的應用層安全需求清單，適合寫進委外開發的驗收條件。
owasp.org
Web 安全測試指南（WSTG） （於新視窗開啟）
滲透測試的公開方法論，可用來檢視委託的測試範圍是否完整。
owasp.org
CVSS 通用漏洞評分系統 （於新視窗開啟）
弱點嚴重程度的計分標準。讀懂向量字串才能判斷一個高分漏洞在你的環境是否真的高風險。
first.org