拿到軟體成分清單，確認產品暫時沒事，資安團隊就能關掉工單安心下班了嗎？答案恐怕沒那麼簡單。
根據 台灣 CIO 雜誌 報導，許多企業在導入軟體物料清單後，常以為只要找出哪些產品用了有問題的零件，就能快速判定風險。這個軟體物料清單，簡稱 SBOM，概念就像食品包裝袋上的成分標示，詳細記錄了產品裡面包含了哪些開放原始碼或外購套件。至於大家常聽到的漏洞，就像是程式碼裡的門鎖瑕疵，讓壞人有機可乘。
一家網通設備大廠在檢查產品時，發現十款產品都使用了同一個含有已知漏洞的開源套件。起初大家以為十款都會出事，但經過技術分析後才發現，真正受到影響的只有四款，有五款在特定設定下並不受影響，另外一款則是已經完成修補。這時候光看成分表是不夠的，還需要搭配漏洞可利用性交換說明，也就是 VEX。這個機制就像是一份醫生診斷報告，用來標示漏洞對產品的實際威脅，究竟是會生病的受影響、帶原但不發病的未受影響、還是已經治好的已修補。
那麼，為什麼明明用了含有瑕疵漏洞的元件，卻能判定為未受影響？這是因為部分產品在編譯時就移除了有問題的模組。所謂編譯，就像把食譜真正下鍋做成菜餚，如果在下鍋前就把壞掉的配料剔除，最後成品就不會有危險。另外有些產品則是預設沒有啟用該功能，導致漏洞程式碼根本無法被執行觸發。
真正的隱患往往藏在結案之後。如果未來客戶在管理介面手動開啟了該功能，或是更新韌體時把這個服務改成預設開啟，當初成立的未受影響結論就會瞬間失效。這裡提到的韌體，就是燒錄在設備裡的內建大腦指令。
此外，有些企業為了追求報表上的完成率，急著把還沒查清楚的項目標示為未受影響，讓漏洞直接從追蹤清單上消失，技術風險卻依然停在原地。資安專家建議企業應該追蹤決策覆蓋率，也就是真正具備有效技術依據且結論持續有效的評估比例，而不是只看表面數字。
資安管理不能只看有沒有清單，更要看條件改變時能不能及時重新檢驗。只有把判定依據與版本設定清楚記錄下來，才能建立真正禁得起考驗的安全防線。
[ 文章來源：SBOM 都備齊了，判定產品未受影響就能結案嗎？ ]
