資安通報即時修補：依嚴重程度分級處理

給把營運資料放在 ERP 上、又沒有專職資安人員的企業：系統用到的第三方套件一有新公布的漏洞，我們依嚴重程度分級處理，目標是重大等級於通報後 24 小時內、高風險等級 72 小時內釋出修補版本。

解決什麼問題

ERP 不是只有自己寫的程式。它還用到程式語言的標準套件、網頁前端的開源元件、作業系統映像裡的系統套件。這些元件隨時可能被公布新的漏洞，公布當下程式碼一行都沒改，系統卻已經不安全了。如果沒有人定期比對，漏洞可能放好幾個月都沒人知道。

拓 ERP 把「發現漏洞」交給自動化掃描，把「修補與上線」放進固定的發布流程。掃描對照公開的漏洞資料庫，找出系統實際用到、而且已有修補版本的高風險項目；修補完成後跑完測試才換版，換版後自動檢查，有問題自動退回。每一次修補都留在版本紀錄裡，事後查得到改了什麼、為什麼改。

做法

修補時效目標

• 重大（Critical）等級漏洞：目標於通報後 24 小時內釋出修補版本。
• 高風險（High）等級漏洞：目標於通報後 72 小時內釋出修補版本。
• 修補的意思是把受影響的套件升到已修正的版本並完成換版，不是承諾所有問題都在時限內根除；上游尚未提供修正版本的漏洞，會另行評估替代做法。

怎麼追蹤通報

• 每週一台灣時間上午 10 點自動掃描一次，對照公開漏洞資料庫，檢查後端套件、前端元件、AI 介接元件與系統映像。
• 遇到外界公布重大漏洞時，可以隨時手動啟動同一套掃描，不必等到下週。
• 後端套件的掃描會分析程式是否真的呼叫到有問題的程式碼，減少「有裝但沒用到」的誤報。
• 只把「高風險以上、且已有修補版本」的項目列為必須處理，讓處理時間集中在真正要修的地方。

修補怎麼上線

• 每次修補都留下版本紀錄，說明升級了哪些套件、對應哪些漏洞公告，事後可以逐筆查。
• 換版前先跑完自動化測試，沒通過就不建置。
• 新版上線後自動檢查首頁、系統入口與資料讀寫，失敗就自動退回上一版。
• 換版過程約有 30 到 60 秒中斷，會避開使用者正在操作的時段。

常見問題