前言：AI時代下，macOS成為駭客鎖定的高價值目標
隨著生成式 AI 帶動數位轉型浪潮，企業對效率與創新的追求，也伴隨著前所未有的資安挑戰。根據業界觀察，高階主管與決策者所使用的 macOS 與行動裝置，已成為駭客鎖定的高價值目標。在零日攻擊與零點擊攻擊數量持續攀升的背景下，如何確保企業營運同時兼顧安全、合規與效率，成為新的治理課題。
為此，國家資通安全研究院（資安院）發布了 《Apple macOS 15.x 政府組態基準》（文件編號：TWGCB-01-015）的預告版 V1.0。這份文件為政府機關使用 macOS 15.x 作業系統的終端設備，提供了標準化且一致性的安全設定指引。
本文將深入解析這份最新的 GCB 規範，並探討企業如何透過現代化的裝置管理工具，實現所需的合規性與資安韌性。
什麼是政府組態基準 (GCB)？
政府組態基準 (Government Configuration Baseline, GCB) 的核心目的，在於規範資通訊終端設備（如個人電腦）的一致性安全設定。這些設定涵蓋通行碼長度與更新期限等細節，旨在降低這些設備成為駭客入侵管道，進而引發資安事件的風險。
GCB 的導入在公部門早已是基本要求準則。這份針對 Apple macOS 15.x 作業系統的基準，專門適用於安裝該系統並扮演使用者電腦角色的裝置。
macOS 15.x GCB 規範的組成（九大類、共 68 項）
Apple macOS 15.x 組態基準總計包含 68 項設定，分為以下九大類：
| 項次 | 項目 | 項數 | 合計 |
|---|---|---|---|
| 1 | 軟體與安全更新 | 5 | 68 |
| 2 | 系統設定 | 33 | |
| 3 | 登入驗證與存取安全 | 6 | |
| 4 | 日誌與稽核 | 1 | |
| 5 | 網路組態 | 3 | |
| 6 | 檔案系統權限與存取控制 | 5 | |
| 7 | 密碼管理 | 8 | |
| 8 | 系統存取、認證及授權 | 5 | |
| 9 | 應用程式 | 2 |
macOS 15.x GCB 的關鍵安全要求解析
要符合資安院的 GCB 規範，機關必須針對 macOS 終端設備執行多項強制性的設定，以下是幾個關鍵的安全控制點：
1. 強化資料加密與系統完整性
數據保護是 GCB 的重中之重：
- 檔案保險箱 (FileVault)： 必須啟用檔案保險箱功能，對啟動磁碟進行完整加密，以降低裝置遺失或遭竊時的資料外洩風險。
- 系統完整性保護 (SIP)： GCB 要求 SIP 應啟用，SIP 是 macOS 內建的安全功能，限制對系統檔案的存取，並阻止對執行中系統程序進行附加操作，藉此維護系統核心區域的完整性。
- 應用程式來源限制： 應將系統允許執行之應用程式來源限制為「App Store 與已知的開發者」，以防止執行來自未知或未經驗證的惡意軟體。
2. 最小化系統攻擊面與停用非必要功能
許多內建共享與雲端同步功能可能增加資安風險，GCB 建議將這些功能停用：
- 雲端同步： 建議停用 iCloud 密碼與鑰匙圈同步 以及 iCloud 雲碟同步，以避免公務帳密與個人帳密混合儲存，強化資料控管。
- 遠端與共享服務： 應停用螢幕共享、檔案共享、遠端登入、網際網路共享，以及 AirDrop 接收設定為「沒有人」，以降低系統被攻擊面，減少未經授權遠端存取的風險。
- 分析與廣告： 應停用分享 Mac 分析、改進 Siri 與聽寫、分享 iCloud 分析等所有分析與改進之資訊共享功能，避免敏感資訊外流。
3. 實施高強度密碼管理（90天週期與複雜度）
密碼管理規範旨在對抗暴力破解攻擊，並強制定期更新密碼。
- 最小長度與複雜度： 密碼最小長度須為8 個字元以上，並必須包含至少 1 個字母、1 個數字、1 個特殊字元，以及大小寫混合字元。
- 重設週期與歷程： 密碼重設週期應在 129,600 分鐘（即 90 天）以下。同時，系統應記錄密碼歷程，確保密碼必須與最近使用至少 3 組密碼不同。
- 帳戶鎖定： 帳戶鎖定閾值應設定為小於或等於 5 次登入失敗。
實現合規自動化：Jamf 與 GCB 的整合策略
面對嚴格且快速變動的法規要求，企業僅靠人工配置難以維持所有 Apple 裝置的持續合規。這時，行動裝置管理（MDM）與安全解決方案就成為關鍵。
1. 零信任與合規自動化
珈特身為 Apple 商務合作夥伴與 Jamf Elite Partner，正積極協助企業將 GCB 這樣的在地法規，與國際標準（例如 CIS Benchmark、NIST Framework）進行整合。
Jamf 策略夥伴發展副總黃新民 指出， 資安已成為生態的協作工程，企業需透過統一平台架構來推動自動化與威脅防禦。在 AI 驅動的威脅環境下，Jamf 以零信任為核心，結合 AI 行為分析與威脅偵測模型，讓企業能在威脅發生前即時應對。
2. GCB 與 macOS 安全性合規專案 (mSCP)
要將 GCB 這些複雜的設定項目（如終端機指令、權限修改）自動化部署，可以參考 macOS 安全性合規專案 (mSCP)。
mSCP 是一個開放原始碼作業，由美國 NIST、NASA 等機構合作開發，旨在提供程式設計方式來產生安全性指引、指令碼與設定描述檔。它支援多種國際合規準則，包括 NIST SP 800-53/800-171、DISA STIG 和 CIS Benchmark。
Jamf 的 Compliance Editor 工具便是基於 mSCP 開發，可協助 macOS 管理員輕鬆設定並維持合規性要求，透過自動化管理與可視化監控，讓 Apple 裝置自註冊起即可套用標準化政策、執行稽核與偏差修復。
結論：建構堅韌的 Apple 生態資安防禦網
資安院發布的《Apple macOS 15.x 政府組態基準》不僅是公部門的規範，也為所有使用 Apple 裝置的企業提供了高標準的資安部署藍圖。
透過遵循這些包含檔案加密、服務最小化、以及強制密碼複雜度的 68 項嚴格設定，並結合如 Jamf 這類能實現「合規自動化」的平台，企業能確保 Apple 生態系統的體驗、安全性與效能被推向更高的標準，在快速變動的市場環境中，穩健前行。
在 AI 正在加速滲透企業營運的此刻，利用平台 API 串接合作夥伴服務、從端點到雲端建構協作式的零信任網路，正是提升整體防護韌性與延展性，達成全社會資安防禦願景的關鍵步驟。
下載《macOS 15.x GCB 原文（預告版）》PDF
