季度弱點掃描報告：掃描結果與修補紀錄每季彙整
給要應付內部稽核、客戶供應商評鑑或資安問卷的企業：拓 ERP 每季把弱點掃描結果與修補紀錄整理成一份報告，被問到「你們的系統多久掃一次、掃到的問題修了沒」時，有書面資料可以交。
解決什麼問題
越來越多大型客戶會要求供應商填資安問卷，內部稽核也會問系統有沒有定期做弱點掃描。這時候光說「我們有在掃」不夠，對方要看的是掃描日期、範圍、發現了什麼，以及每一項後來怎麼處理。資料如果散在不同系統的紀錄裡，每次被問都要臨時翻找、重新整理。
拓 ERP 的弱點掃描每週自動執行，修補也都留有版本紀錄。季度報告把這些既有紀錄依季彙整成一份文件，讓稽核與評鑑時拿得出一致、可追溯的資料，不必每次重新拼湊。
報告背後的紀錄不是事後補寫的。掃描由固定排程自動觸發，修補由版本控制逐筆記錄時間與內容，整理報告時是從這些既有紀錄彙整，查核的人可以回頭對照原始紀錄。
做法
報告的資料來源
- 每週一自動執行的弱點掃描結果，涵蓋程式碼機密外洩、後端與前端相依套件、部署用的系統映像，以及以登入身分進行的網站動態掃描。
- 網站動態掃描每次都產出報告檔，列出發現的警告項目，作為人工判讀分級的依據。
- 修補紀錄來自版本控制：每次升級套件修補漏洞都有一筆版本紀錄，記下修改時間與內容。
報告呈現的內容
- 當季的掃描執行情況與掃描範圍。
- 掃描發現的弱點，依嚴重程度分級列出。
- 每一項弱點的處理狀態與對應的修補紀錄，可以對回修補時效目標：重大等級 24 小時內、高風險 72 小時內釋出修補版本。
適用情境
- 企業內部稽核需要佐證系統有定期弱點掃描與修補。
- 客戶或上游廠商做供應鏈資安審查，要求提供 ERP 系統的弱點管理紀錄。
- 季度弱點掃描報告包含在拓 ERP 的資安加值維護方案中，簽約時可以選擇。
常見問題
報告裡有哪些內容？
報告彙整當季每週弱點掃描的執行情況與範圍、發現的弱點及嚴重程度，以及每一項的處理狀態與對應的修補紀錄。掃描範圍包含程式碼機密外洩、相依套件、部署用系統映像，以及以登入身分進行的網站動態掃描。
報告可以拿去應付客戶的資安問卷嗎？
可以作為佐證資料。供應鏈資安審查常會問弱點掃描的頻率、範圍與修補情況，季度報告把這些資訊整理在同一份文件，搭配每次修補的版本紀錄，能回答「掃了什麼、發現什麼、怎麼處理」。問卷中與 ERP 無關的題目仍需企業自行回覆。
每個方案都有季度報告嗎？
季度弱點掃描報告包含在資安加值維護方案中。每週自動弱點掃描與漏洞修補是系統本身的維護流程，季度報告則是把這些紀錄整理成書面文件的服務，簽約時可以選擇。