當掃描工具跳出滿坑滿谷的高風險漏洞警示，這往往還不是資安長最頭痛的時候。真正的考驗，是當大客戶直接拿著漏洞編號找上門，一路往下追問：你什麼時候知道這個問題？為什麼現在還沒修？如果不修，是誰做的決定？
台灣 CIO 雜誌 的觀點指出，這兩年客戶對資安的查核重點已經發生了根本性的轉變。過去大家在意的只是「你有沒有掃描漏洞」，但現在客戶更在乎的是「你當時怎麼做決定」。這意味著，企業不僅要會修補問題，還必須具備說清楚判斷依據的能力。
這裡提到的 CVE，全名是常見漏洞與暴露，簡單來說，它就像是軟體界公認的疾病診斷書。每一張診斷書都有個專屬編號，讓全世界的技術人員能對同一個漏洞有統一的溝通基礎。
為什麼不能一發現漏洞就馬上修好？ 很多人以為找到病因最難，但其實安排開刀時間才最麻煩。雖然現在人工智慧在分析程式碼上快得驚人，讓問題能更早被看見，但企業後端的研發驗證與版本發布流程，並不會因為人工智慧就突然縮短時間。一個修補程式寫完並不代表結束，背後還要確認是否影響既有功能，或是會不會造成系統當機。如果因為急著修補一個漏洞而導致客戶服務中斷，那個代價往往更高。
在研發資源、驗證資源都有限的情況下，每一項修補順序的背後，其實都是一場資源配置的博弈。
這就是為什麼資安專家開始強調 修補證據鏈 的重要性。所謂修補證據鏈，重點在於留下當時的判斷脈絡。試想一下，半年後如果被查核人員追問，團隊還能不能還原當時為什麼決定延後發布？是因為驗證還沒完成，還是評估後發現實際影響有限？
如果企業只是開會口頭討論，卻沒有留下正式的風險評估記錄與核准流程，即使最後順利完成了修補，在面對客戶追問時，依然會陷入說明上的困難。
現在的資安管理不能只看弱點數量的增減，如何判斷影響、如何安排優先順序，以及如何向客戶說明，都是產品安全責任的一部分。當漏洞被發現的速度越來越快，企業真正需要準備好的，不是更多的工具，而是那份能說服客戶的決策記錄。
[ 文章來源：當客戶開始追問 CVE，企業準備好說明決策了嗎？ ]
