協調式漏洞披露

Coordinated Vulnerability Disclosure（CVD）是指安全研究人員、白帽駭客或使用者發現軟體或硬體漏洞後，透過企業指定的安全聯絡窗口進行私下通報，而非直接公開的協作機制。其核心邏輯是「先修補、後公開」，以保護終端用戶免受已知漏洞的攻擊。此概念最早由Schneier於1998年提出，並在ISO/IEC 29147（漏洞披露）與ISO/IEC 30111（漏洞處理）中被系統化。與「全面公開披露」（Full Disclosure）不同，CVD強調的是協調性，確保修補措施在漏洞被惡意利用前已部署。臺灣《資通安全管理法》第20條亦要求機關或企業應建立資通安全事件通報機制，CVD正是其技術層面的具體實踐方式。對於企業而言，CVD不僅是技術議題，更是企業聲譽管理與法律合規的關鍵風險控制手段。

企業導入CVD需遵循系統化步驟：第一步，建立「漏洞通報入口」，包括專屬電子郵件、網站表單或Bug Bounty平臺。第二步，制定「回應政策（VDP Policy）」，明確定義漏洞的定義標準、回應時限（如收到通報後48小時內回應）、修補優先級及獎勵機制。第三步，建立「修補與驗證流程」，包含內部修補、測試、發布公告及追蹤。實務上，臺灣企業可參考NIST VDP（Vulnerability Disclosure Policy）指引建立。量化指標方面，企業應追蹤「漏洞通報至修補完成的平均時間（MTTR）」與「公開漏洞數與私下通報數的比例」，目標是將MTTR控制在90天以內，並將公開漏洞數降至趨近於零。例如，某臺灣製造商導入CVD後，年度資通安全事件減少30%，同時符合ISO 27701的隱私保護要求。

臺灣企業導入CVD主要面臨三大挑戰。首先是「法律灰色地帶」：許多企業擔心協助通報的白帽駭客觸犯臺灣《刑法》第360條或《資通安全法》第27條。對策是企業應在網站公開明確的「安全港（Safe Harbor）聲明」，承諾對依政策誠信通報者不追究法律責任。其次是「資源配置不足」：中小型企業缺乏專人處理漏洞通報。對策是委託第三方資安服務商或加入臺灣資通安全協會（TISA）的共同防禦聯盟。第三是「供應鏈責任不清」：臺灣企業多為OEM/ODM，漏洞往往來自供應商。對策是將CVD要求納入供應商管理協議（SLA），要求供應商提供SBOM（軟體物料清單）以提升可追溯性。建議企業分階段實施：第一年建立政策與入口，第二年導入獎勵機制，第三年整合供應鏈管理。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注臺灣企業Coordinated Vulnerability Disclosure相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家臺灣企業。申請免費機制診斷：https://winners.com.tw/contact