環境與責任盤點
整理納入評估的系統、設備及負責人 確認可取得的資料與限制
找出缺口
知道先做甚麼
從實際設備、設定與工作流程開始 檢視基本安全控制 整理風險及改善次序 讓企業有依據地作決定
適合未有完整安全盤點、準備更換 IT 支援 或希望確認現有防護安排的企業
工作範圍
我們可以負責的工作
實際項目按企業環境及委託範圍確認
基本控制檢視
按範圍檢視帳戶權限、多重驗證、更新狀態及遠端接入設定
備份安排檢視
檢視可提供的備份紀錄與復原安排；實際還原測試另行界定
改善優先次序
說明已發現的問題、營運影響及建議行動 區分即時與後續工作
交付內容每項工作
每項工作
有可查閱的紀錄
工作頻率、責任、服務時段及額外收費項目 均在委託前說明
- 評估範圍及證據限制
- 環境與責任盤點摘要
- 風險及改善清單
- 按優先次序排列的行動建議
SECURITY PRODUCTS / 安全產品
結合安全技術與本地服務
WebRAY（盛邦安全）安全產品由代理商一大方案有限公司提供 企業可按需要討論漏洞評估及應用安全方案 設備、授權與交付範圍會在方案內列明
WebRAY（盛邦安全）提供漏洞管理、Web 應用防護、API 安全及網絡安全產品 GDMME 會按企業需要討論產品選型、部署及管理安排 並在方案中列明採用的產品與授權
WebRAY RayScan / 漏洞評估
找出漏洞 排定改善次序
按方案確認範圍
使用 WebRAY（盛邦安全）的 RayScan 漏洞評估技術時 GDMME 可按已授權資產及企業需要規劃掃描、結果核實、修補建議與複測安排
可評估的檢查項目
系統漏洞
檢查作業系統、軟件及設備中的已知漏洞與更新缺口
Web 應用漏洞
檢查 Web 應用常見漏洞 例如注入、跨站腳本及檔案上傳風險
弱密碼
按授權範圍檢查弱密碼風險 事先確認速率及帳戶鎖定限制
安全基線
核對安全設定與所選基線 指出需要檢視的設定差異
資料庫漏洞
檢視資料庫的設定、身份驗證、權限及已知漏洞
容器映像
檢查容器映像中的漏洞及設定問題 支援部署前的風險檢視
甚麼時候適合安排評估？
- 網站或系統上線前：先確認暴露資產、檢查範圍及需要修補的問題
- 重大改動或服務交接後：重新檢視納入範圍的系統與安全設定
- 定期風險檢視：按約定頻率追蹤新增發現、修補進度及複測結果
確認授權與範圍
列明納入的 IP、網站、系統、存取方式、測試時段及停止條件
執行掃描與核實
按約定方式掃描 檢視結果及證據限制 核實需要跟進的發現
提交改善清單
按風險與營運影響排序 列明受影響資產、建議行動及負責人
安排複測
按另行確認的範圍複測已修補項目 記錄改善結果及待處理事項
報告與交付內容
以下為可納入方案的交付項目 實際證據、深度與複測次數 按已確認的工作範圍安排
| 交付項目 | 可以包含的資料 |
|---|---|
| 範圍與資產摘要 | 已授權資產、檢查時間、採用的方式 以及無法檢查或尚待確認的項目 |
| 發現與證據 | 受影響資產、漏洞識別及參考來源、可取得的證據 以及已核實或待核實狀態 |
| 風險與改善清單 | 按嚴重程度、對外暴露及營運影響訂立優先次序 列明建議行動、負責人及目標時限 |
| 複測與待處理紀錄 | 記錄已修補、未修補或未能核實的項目 列明複測日期及仍需跟進的限制 |
選擇掃描方案前
是否每個方案都包含六類檢查？
按所選版本、授權、可取得的存取權限及企業資產確認 方案會列明採用的模組、資產數量與排除項目 讓你清楚了解實際覆蓋
掃描後會自動修補嗎？
修補工作需要由負責團隊評估影響 按改動安排執行 GDMME 可按另行確認的委託提供改善跟進與複測；你亦可交由現有 IT 團隊處理
檢查模組及可用功能取決於所選版本、授權與部署條件 掃描結果須配合核實；滲透測試及紅藍隊演練可另行委託
RED / BLUE / PURPLE TEAM
以演練驗證防禦能力
演練方案規劃中
GDMME 正規劃把紅藍隊安全演練納入評估的延伸方案 以約定情境檢視攻擊路徑、偵測及處置能力 再共同訂立改善及複測安排
紅隊：模擬攻擊路徑
在授權資產及測試範圍內 按約定情境模擬攻擊者行為 記錄可驗證的安全缺口
藍隊：驗證偵測與處置
檢視紀錄、告警及升級流程 驗證約定的隔離、應對及復原安排
紫隊：共同檢視與改善
以共同證據核對偵測覆蓋與盲點 安排規則調整、流程改善及複測
演練情境示例
以下是規劃示例 會按企業目標、授權及人員安排選定；實際系統測試與桌面推演的範圍會分開確認
- 帳戶異常與權限變更
- 在受控情境下 檢視相關紀錄、告警、身份核實及升級通報流程
- 網站異常請求
- 以約定的測試請求核對紀錄與偵測覆蓋 檢視已部署防護的處置結果
- 事故通報與復原協調
- 透過桌面推演檢視聯絡人、責任分工、隔離決策及復原優先次序
檢視演練結果
可按範圍記錄已執行情境、偵測覆蓋、通報及處置時間、待改善事項與複測結果 這些紀錄用於跟進改善 實際指標及量度方法在方案中確認
方案可包括演練計劃、測試證據、偵測覆蓋摘要、改善清單及複測紀錄 實際交付以約定範圍為準
執行前須確認書面授權、資產清單、允許及排除項目、時段、停止條件與資料處理方式 人員安排、演練強度及交付內容按委託確認
責任與服務邊界先把責任說清楚
先把責任說清楚
合作才有依據
清楚列明包括與未包括的工作 方便比較方案 也方便日後跟進
需要另外確認
- 基線評估不等同滲透測試、認證審核或法律合規意見
- 可能影響系統的測試 需要另行授權及安排維護時段
- 結果以約定檢查及當時可取得的證據為依據 未取得的資料會列為限制
企業本身需要負責甚麼？
指定有權作決定的聯絡人 說明營運優先次序及系統／資料負責人 執行授權、安全的存取安排、現有供應商協調及約定的內部跟進 仍需要企業配合
評估期間發現更多系統 會一併檢查嗎？
新增系統、測試或需要額外資料時 先確認範圍、授權、時間及費用 未納入檢查的項目應清楚標示 不能當作已通過評估
決定之前
把關心的問題先說清楚
這是滲透測試嗎？
本服務為約定控制項目及現有證據的基線檢視 滲透測試須另行界定範圍、授權及時間
會影響日常營運嗎？
事前確認存取方式與時段；可能影響營運的操作須另作協調及確認
評估後必須使用託管服務嗎？
評估可獨立進行 你可以交由現有 IT 團隊跟進 或另行要求改善及管理方案
評估可以證明公司完全安全或已經合規嗎？
評估只能反映約定範圍、時間及可取得的證據 不保證日後不會發生事故 也不等於合規認證 涉及特定行業規管、審計或法律要求時 應另行確認所需專業工作
沒有完整設備清單 可以開始嗎？
可以先提供目前知道的系統、據點、使用人數及主要問題 評估前再界定可取得的資料、授權及限制；缺少證據的部分應在結果中標示 不能當作已通過檢查
委託前先說清楚
方案如何釐定
- 你的環境
- 人數、設備、據點與現有系統
- 包含的工作
- 約定工作、授權及另行收費項目
- 服務安排
- 涵蓋時段、檢視頻率與交接時間
公開指引與延伸閱讀
以下資料供一般準備及延伸閱讀 來源不代表 GDMME 的合作、認證或背書；適用範圍與發布日期請以原文為準
- 資訊安全網：備份及復原
備份安排應包括資產範圍、負責人、紀錄檢查及實際復原測試
- HKCERT：中小企網絡安全七大攻略
從管理政策、端點、網絡、系統、監察、事故處理及員工意識 檢視基本安全安排
- 私隱專員公署：資訊及通訊科技的保安措施指引
資料保安同時涉及管理責任、風險評估、技術措施、資料處理者管理及事故後檢討
先說說你的企業需要
提供公司規模及簡述情況 再確認可行的下一步