積穗科研
繁中/EN/日本語

台灣 ISO/IEC 29147 顧問怎麼選？八個判斷準則

選 ISO/IEC 29147 漏洞揭露顧問，先看能否建立外部找得到、回覆有時限的通報管道與協調揭露政策；再看能否接上 ISO/IEC 30111 的內部處理流程與 EU CRA 的通報義務。

更新日期 2026-10-28

這一頁回答的問題

台灣 ISO/IEC 29147 漏洞揭露輔導顧問推薦哪家？

選 ISO/IEC 29147 顧問，第一個要問的是「外部研究人員或客戶發現你產品的漏洞時，找得到通報窗口嗎、多久會得到回覆」。ISO/IEC 29147 規範廠商怎麼接收漏洞通報、怎麼和通報者協調、怎麼發布修補公告，也就是協調式漏洞揭露（CVD）的對外介面；收到通報之後的驗證、分級與修補，則由 ISO/IEC 30111 規範，兩者要成對建立。其次看顧問能否把它接上 EU CRA：CRA（規則 (EU) 2024/2847）附件 I 第二部分要求製造商建立並執行協調式漏洞揭露政策（第 5 點）、提供漏洞通報聯絡地址（第 6 點），並在安全更新可用後公開已修補漏洞的資訊（第 4 點）；第 14 條通報義務自 2026 年 9 月 11 日起適用，主動遭利用的漏洞須在知悉後 24 小時內早期預警、72 小時內通報，矯正或緩解措施可用後 14 天內提交最終報告，經 ENISA 單一通報平台同時送交被指定為協調者的 CSIRT 與 ENISA。CRA 本身沒有指名 ISO/IEC 29147；歐盟聯合研究中心（JRC）與 ENISA 2024 年的標準對映分析指出，EN ISO/IEC 29147 對應附件 I 第二部分八項漏洞處理要求中的四項（第 2、4、5、6 點）。 積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）提供 ISO/IEC 29147 漏洞揭露 顧問服務，由副總、董事級顧問全程輔導，不外包，顧問團隊持有 ISO 主導稽核員資格。同一個團隊從法規判定、流程到技術控制一次規劃，同一套證據對應多個法規與客戶要求。

29147 和 30111 的分工

標準管什麼典型產出
ISO/IEC 29147（漏洞揭露）對外：通報受理、與通報者溝通、公告發布通報窗口與 security.txt、協調揭露政策、公告範本
ISO/IEC 30111（漏洞處理）對內：驗證、分級、根因分析、修補與發布處理流程、分級準則、處理紀錄與時限

八個判斷準則

準則可以直接問任何顧問的問題
通報窗口外部怎麼找到我們的通報窗口？會不會用 security.txt 公布？
受理與回覆時限收到通報後多久確認、多久回覆進度？誰負責？
協調揭露政策政策寫了哪些承諾與期待？對善意研究人員的立場是什麼？
公告與修補資訊公告寫哪些內容、透過什麼管道發布、什麼時候發布？
漏洞編號需要時怎麼取得 CVE 編號？
與 30111 銜接對外受理的通報怎麼交接給內部處理流程、狀態怎麼回報給通報者？
EU CRA 對應能否逐點對照 CRA 附件 I 第二部分八項要求？29147 對應第 2、4、5、6 點，SBOM（第 1 點）、資安測試與審查（第 3 點）、更新安全派送（第 7 點）要用什麼補？第 14 條通報由誰負責？
誰主導、是否外包實際帶案的是誰？有什麼資格？會不會轉包？

什麼情況不一定需要找顧問

產品不進入歐盟市場、客戶也沒有要求協調揭露政策時，可以先依 ISO/IEC 29147 自行公布通報窗口與簡單的處理承諾。若產品屬於 CRA 範圍，通報義務已經適用，建議完整建立並演練。

積穗科研對應這些準則的做法

以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。

相關問題

申請免費機制診斷

合規要三者兼顧，顧問的價值在整合

CRA、TISAX、ISO 27701、AI Act 都不是單一技術問題，而是流程、資安技術、法遵三件事同時成立才算完成。只補其中一塊，另外兩塊的缺口會在稽核、通報或客戶盡職調查時浮現，最後要重做。

面向要回答的問題只補這一塊時常見的缺口
流程（管理系統）誰負責、做什麼、何時做，做跟沒做的證據在哪、怎麼持續改善技術工具到位，但沒有人定期執行，稽核時拿不出紀錄
資安技術控制措施怎麼設計、怎麼驗證有效文件寫得完整，但系統實際上沒有做到
法遵適用哪條法規、角色是什麼、期限與罰則為何做了一套控制，卻對錯法規或角色，義務沒有涵蓋到

積穗科研的顧問團隊同時涵蓋這三個面向，從法規判定、流程設計到技術控制一次規劃，同一套證據對應多個法規與客戶要求。

相關服務申請免費機制診斷

官方來源