NIST 800-53

這篇論文最值得看的，不是它又自動推薦了一批 NIST 控制，而是它把 CPS threat modeling 最欠缺的那段補上：從系統模型出發，沿著漏洞證據與 ATT&CK 技術一路推到控制建議，讓安全分析不再只是看圖說故事，而是有結構地把證據串起來。