第一步：先別急著修！把「誤判」挑出來

很多工程師一拿到滿江紅的報告，直覺反應就是上網找 Patch，這絕對是大忌。弱點掃描工具再厲害，它終究只是個自動化程式，難免會看走眼。特別是如果您使用的是開源軟體（延伸閱讀：七大免費弱點掃描神器總整理），發生誤判的機率通常會更高。

第二步：這洞該不該補？做個簡單的風險評估

IT 部門的人力與資源永遠不夠，我們不可能要求團隊在一天內修補完所有的洞。您需要綜合考量，建立一套修補的優先順序。除了參考國際通用的 CVSS 分數，更重要的是結合「這台機器對公司的重要性」：

• 極高風險 (Critical)： 這台機器有對外連線，且網路上已經有駭客的攻擊腳本流通了。這沒什麼好說的，請立即排程處理。
• 高風險 (High)： 屬於內網的核心資料庫或關鍵營運系統。建議與部門主管協調，在 7 到 14 天的維護視窗內完成。
• 中低風險 (如 SSL/TLS 設定)： 這是報告中最常出現湊數的紅字，通常是因為憑證過期或加密協定太舊。其實只要重新檢視您的 SSL 網站信任憑證 設定，確保強制啟用 TLS 1.2 以上版本，就能輕鬆消掉一大半的缺失。

第三步：老舊系統修不了怎麼辦？善用「補償性控制」

確認完優先順序後，就準備進入修補階段。但實務上最常發生的痛點是：遇到「不能修補」的老系統怎麼辦？

很多企業內部都藏著運行十幾年的 ERP 或工控系統，原廠早就倒閉或停止支援，只要一更新套件，產線可能就直接停擺給你看。針對這類動不了的系統，在 ISO 27001 的精神裡，我們強烈建議採取 補償性控制措施 (Compensating Controls)，也就是業界常說的「虛擬修補 (Virtual Patching)」。

簡單來說，就是雖然洞還在，但我用別的防護罩把它包起來：

• Web 應用層防護： 如果是網頁層的漏洞，可以在伺服器前面擋一台 Wapples (WAAP) 網站防火牆 或是採用雲端服務的 Cloudbric WAF。它們能在惡意流量碰到伺服器之前就先一步攔截，讓您完全不需要去改動那脆弱的舊程式碼。
• 郵件威脅過濾： 如果弱點是出在郵件伺服器，可以搭配 OSecure 郵件過濾防火牆，直接從網路閘道端阻絕惡意連結與夾檔。

顧問提醒：在填寫 ISO 稽核的缺失改善回覆單時，請務必清楚寫下「因系統相容性考量，已採行 WAF 防護作為補償性控制，並降低風險等級」，這樣才是標準的合規應答。

第四步：更新完別忘了複掃驗證

這是最多工程師會踩坑的地方！「軟體更新完畢」絕對不等於「漏洞修補成功」。很多時候工程師更新完套件，卻忘記重啟服務 (Restart Service)，導致帶有漏洞的舊版本依然在記憶體中運作。

請務必要求資安廠商針對已修補的項目執行「複掃」。另外，如果這個系統包含貴公司自行開發的程式碼，光靠傳統的網頁弱掃是不夠的，建議要進一步搭配 SAST 原碼掃描，直接從程式碼的底層邏輯去把漏洞抓出來。

第五步：讓資安成為持續性的管理機制

駭客的手法日新月異，新的漏洞每天都在產生。單靠企業內部有限的 IT 人力，很難隨時追蹤全球龐大的威脅情資。

建議您不要讓企業資安成為孤島。平常可以多關注我們的 資安部落格，或是訂閱相關的技術電子報，確保防禦觀念能跟上最新的威脅趨勢。