一、 網站應用程式安全檢測原則

網站應用程式安全防護機制：

• 定期檢測與修復：網站應用程式在開發與上線營運生命週期中，應定期執行各項安全檢測，包含源碼檢測（SAST）、弱點掃描（Vulnerability Scanning）與滲透測試（Penetration Testing），並對檢出之安全弱點進行程式碼層級的修復。
• 補償性控制措施：若因系統架構老舊或第三方套件限制導致弱點暫時無法修復，組織必須實施對應的補償性控制措施（Compensating Controls）（如調整存取權限、實施網路隔離），以降低實質安全風險。
• WAF 的角色限制（重要觀念釐清）：部署網頁應用程式防火牆（WAF）進行虛擬修補（Virtual Patching）僅能作為緊急阻斷與前置緩衝的手段，絕對無法完全取代軟體開發安全生命週期（SDL）中的源碼檢測與滲透測試。

二、 營業秘密與機敏資料防護

營業秘密防護機制：

• 技術與管理並重：針對未上市新產品、核心原始碼或研發成果等高度敏感之營業秘密，企業必須採取多層次的縱深防禦（Defense-in-Depth），確保資料不外洩。
• 具體防護作法：

1. 法律與契約管制：員工與合作廠商入職或接案時，應強制簽署嚴格的保密協定（NDA）與競業禁止條款。
2. 實體環境管制：設立研發機敏區域為手機管制區、嚴禁攜帶相機或具拍照功能的設備進入、禁止攜帶個人 USB 隨身碟等外接儲存裝置。
3. 終端技術管控：透過端點安全管理系統限制電腦截圖、畫面錄影及資料外傳。
4. 網路與流量監控：建立內外網流量監控機制、郵件附件關鍵字過濾與資料外洩防護（DLP）系統，即時攔截異常的大規模資料外傳行為。