資安長導入 ISO/IEC 29147：漏洞通報窗口與 CRA 怎麼接？

外部研究員或客戶發現我們產品的漏洞，資安長要先建好哪些東西？

典型交付：

• 通報窗口：security.txt 與通報信箱或表單，讓外部找得到。
• 受理與回覆 SLA：收到通報後多久確認、多久回覆進度、誰負責。
• CVD 政策：寫明承諾與期待，含安全港聲明。
• 公告：公告模板與發布流程，必要時的 CVE 編號申請程序。
• 銜接：把對外受理接上 ISO/IEC 30111 的內部處理流程，狀態回報給通報者。

小公司不需要大編制，但要有明確的接收管道、責任人與回覆流程。

CRA 沒有指名 29147，資安長要做到什麼程度才說得過去？

CRA 附件一第二部分的相關要求：建立並執行 CVD 政策（第 5 點）、提供漏洞通報聯絡地址（第 6 點）、安全更新可用後公開已修補漏洞的資訊（第 4 點）、無延遲處理並修補（第 2 點）；另須指定單一聯絡窗口（第 13 條第 17 項）。

JRC 與 ENISA 2024 年的分析指出，EN ISO/IEC 29147 對應八項中的第 2、4、5、6 點。依標準建立制度，是向客戶與符合性評估機構說明作法的有效方式，但不產生符合性推定。SBOM（第 1 點）、資安測試與審查（第 3 點）、更新安全派送（第 7 點）要用其他標準或程序補齊。

29147、30111 與產品資安團隊（PSIRT）怎麼分工？

建議成對建立：CRA 的漏洞義務同時涵蓋對外揭露與內部處理，分開做，交接處容易留下稽核缺口。PSIRT 是兩者的執行單位，要事先取得對外通報的授權。

收到的漏洞已遭主動利用，CRA 通報怎麼接？跟公司內部資安事件通報有什麼不同？

CRA 第 14 條通報義務自 2026 年 9 月 11 日起適用，及於已上市產品。主動遭利用的漏洞，經 ENISA 單一通報平台同時送交被指定為協調者的 CSIRT 與 ENISA：知悉後 24 小時內早期預警、72 小時內通報、矯正或緩解措施可用後 14 天內最終報告。該平台已於 2026 年 9 月 11 日上線。

上市櫃公司依管控指引第 34 條建立的應變及通報程序，處理的是公司自身資通系統的事件；CRA 處理的是產品中的漏洞。做法是在同一套程序裡加一條路徑，觸發條件與對外窗口分開寫。非公開發行公司不受此指引規範，可以自願參考。

歐盟客戶要求我們提供 CVD 政策與 PSIRT 聯絡點，資安長怎麼回應？

這是 29147 的典型需求情境之一。客戶若是 NIS2 實體，採購含數位元件產品時，CRA 的 SBOM 與漏洞處理正好是 NIS2 第 21 條供應鏈安全的證據。

• 給得出來的文件：公開的 CVD 政策、security.txt、通報受理與回覆 SLA。
• 說得清楚的流程：對外受理怎麼交給內部處理、多快回覆、公告怎麼發布。
• 共用既有制度：已有 ISO 27001 者，可把 CVD 流程掛載在既有 ISMS 上，文件與稽核機制共用。

產品不進歐盟、客戶也沒要求時，可以先自行公布通報窗口與簡單的處理承諾。

ISO/IEC 29147 現在用哪一版？時程要怎麼排？

現行有效版本仍是 ISO/IEC 29147:2018。第 3 版於 2025 年 10 月 8 日在 ISO/IEC JTC 1/SC 27 登錄為工作項目；ISO/IEC 30111 修訂的工作草案則把漏洞處理與揭露整合成同一份標準。新版尚未發布。

服務頁沒有列出導入月數，排程以 CRA 法定時點為準：第 14 條通報義務自 2026 年 9 月 11 日起已適用，其餘規定自 2027 年 12 月 11 日起全面適用。產品若屬 CRA 範圍，通報窗口與流程應優先完整建立並演練。

積穗科研怎麼協助資安長處理 ISO/IEC 29147？

• 通報窗口：建立 security.txt 與通報信箱或表單，訂定受理與回覆時限。
• 政策與公告：撰寫含安全港聲明的 CVD 政策、公告範本與發布流程，必要時協助申請 CVE 編號。
• 成對導入：把對外揭露接上 ISO/IEC 30111 的內部處理流程。
• 一套證據：已有 27001 者，把 CVD 流程掛載於既有 ISMS。
• 實作經驗：積穗科研自身營運漏洞監測與合規證據鏈，輔導內容來自實際落地經驗。
• 分工：副總、董事級顧問全程親自輔導、不外包。

延伸閱讀：ISO/IEC 29147、29147 顧問怎麼選、ISO/IEC 30111、EU CRA。申請免費機制診斷