-NIST SDLC和RMF
在啟動項目後進行系統分類；這意味著已經開發了一個業務案例，並且已選擇，接受，批准了替代方案並變成了項目。
安全控制的實施取決於安全措施或安全控制的確定。安全控制框架（SCM），例如NIST SP 800-53，提供了安全控制的初始範圍，然後可以對其進行定製或修改。範圍界定和剪裁是NIST RMF中“選擇控件”步驟的核心概念，其次是“實施控件”步驟。
應用緊急補丁修復高優先級漏洞意味著該系統有權運行。但是，系統分類是在系統開發生命週期（SDLC）的初始階段進行的。
範圍界定是指檢查基準安全控制並僅選擇適用於您要保護的IT系統的那些控制。例如，如果系統不允許任何兩個人同時登錄，則無需應用並發會話控件。
斯圖爾特（James M.）。CISSP（ISC）2認證的信息系統安全專業人士正式學習指南。威利。
資料來源： Wentz Wu QOTD-20210308
PS:此文章經過作者同意刊登 並且授權可以翻譯成中文
