弱點評估

弱點評估（Vulnerability Assessment）是一套系統化的技術程序，旨在「識別、量化並排序」資訊系統、網路或應用程式中存在的安全弱點。此概念源於早期資訊安全實務，並在NIST SP 800-30《風險評估指南》與ISO/IEC 27005《資訊安全風險管理》中被標準化。在工業控制系統（OT）領域，IEC 62443系列標準特別強調其重要性，要求對工業自動化與控制系統（IACS）進行定期評估。它在風險管理體系中屬於「風險識別」與「風險分析」階段的關鍵活動，專注於找出「已知」的弱點。這與「滲透測試」（Penetration Testing）不同，後者是模擬駭客攻擊，主動「利用」弱點來驗證防禦的有效性。弱點評估是防禦性的、廣泛的掃描，而滲透測試是攻擊性的、目標導向的驗證。

在企業風險管理中，弱點評估的應用遵循一個結構化流程。第一步「範疇界定」，需依據ISO/SAE 21434的威脅分析與風險評估（TARA）方法，確定評估對象，例如車載電子控制單元（ECU）或整車通訊架構。第二步「執行掃描與分析」，使用自動化工具（如Nessus、Qualys）與手動檢測，比對通用漏洞披露（CVE）資料庫，識別已知弱點並評估其嚴重性（如使用CVSS評分）。第三步「報告與修補」，產出包含風險等級、潛在衝擊與修補建議的報告，並追蹤修補進度。例如，一家汽車製造商透過定期對其車聯網（V2X）平台進行弱點評估，成功在軟體更新（OTA）發布前發現一項高風險的遠端執行漏洞，將潛在召回成本降低了約90%，並確保符合UNECE R155法規要求，提升了審計通過率。

台灣企業導入弱點評估主要面臨三大挑戰。第一，「OT與IT環境整合的複雜性」：傳統OT設備生命週期長且不容許停機，標準IT掃描工具可能導致系統中斷。對策是採用專為OT設計的被動式掃描工具，並在維護窗口期執行，遵循IEC 62443-2-4的安全計畫要求。第二，「專業人才與資源不足」：熟悉車用電子或工控系統網路安全的專家稀缺。解決方案是與專業顧問合作，進行知識轉移與人員培訓，建立內部能力，預計6個月內可自主操作。第三，「供應鏈安全管理困難」：汽車或工業設備的零組件來自多家供應商，難以確保其軟體安全。應對之道是要求供應商提供軟體物料清單（SBOM），並將弱點評估納入供應商採購合約的強制要求，以符合ISO/SAE 21434的供應鏈管理規定。