CISO要停用某個有RCE風險的功能，系統其他部分照樣運作，這樣算哪一種處置？

我兩輪都選了Avoid，正解是Mitigate。

後來想想，我腦子裡把「停用」直接等於「不做了」，但這題的情況是系統本體還留著、還在跑，只是把那個有洞的功能關掉。整個系統都不做了才是Avoid，留著系統只是砍掉風險點，這是Mitigate。

四種處置，先講清楚在分什麼

風險處置常見的分法是Mitigate、Accept、Transfer、Avoid四種。我自己是釐清一個問題來分：漏洞或風險本身有沒有被改變。

Mitigate（緩解）是漏洞還在，但你做了什麼讓它的影響變小，像打補丁、加控制、重設定。

Accept（接受）是漏洞完全沒變，你就是知道了、記錄了、簽核了，先放著不動。這裡我一開始也搞混過，覺得「接受」聽起來像沒處理，但其實記錄下來、有人簽核才算數，跟真的沒發現、沒人管是兩回事。

Transfer（轉嫁）是把可能的損失丟給別人扛，保險、外包都算，但風險本身沒消失，只是出事了誰賠錢的問題換了對象。

Avoid（避免）是整個風險來源直接不要了，系統下架、功能整個停掉不留。

前面那題的判斷點就在這：Mitigate是留著系統砍風險點，Avoid是連系統或這件事一起放棄。

EOL資產：換不掉又不能留著裸奔

工作上真的碰過的例子是一台刀鋒主機（blade server），後面就叫他G1好了。這台不只是硬體本身已經EOL甚至到EOS（End of Support），上面跑的Windows作業系統版本也已經EOS了。

這種雙重EOS的情況其實蠻常見的：硬體老舊通常伴隨作業系統也跟不上，廠商不再出補丁，等於已知的漏洞永遠不會被修了，為什麼不修呢，因為還能用、因為當初買的軟體不支援新的OS、因為......反正有一萬種換不了的理由。

站在分析師視角看EOL資產的顧慮，重點是「原廠不再修補已知漏洞」這件事本身，不是維運端常講的「支援服務終止」。這兩個聽起來像同一件事，但關心的東西不一樣：維運在意的是壞了找不到人修、買不到料，分析師在意的是漏洞攤在那邊沒人補，等於長期曝險。

這類資產修不了、又不能立刻換掉的時候，做法大致是隔離開來，放進獨立網段，甚至做到air gap（實體斷網，完全不連任何網路）。除此之外還可以加嚴格的存取控制清單、加強監控這些補償控制，但白名單、唯讀、多監控都只是縮小風險，真正能把攻擊面封死的還是隔離跟air gap。

像G1這種情況，如果沒辦法整套換掉，比較實際的做法就是先確認它現在的網路存取範圍有多大，能不能收斂到最小，需要對外或對其他系統開放的通道，能關的先關，能加規則限制的就限制，等於是拿「隔離」的精神去做局部處理。

資料要清到什麼程度：Clear、Purge、Destroy

當預算下來準備要換掉舊設備的時候，另一個常忽略的問題是我資料轉移到新設備了，舊設備上的資料要清到什麼程度。這塊NIST SP 800-88有分三層：

Clear是清除到能擋掉一般、非侵入性的資料復原手法，通常就是標準的讀寫指令去覆寫。Purge是清到連比較先進的實驗室手法都救不回來，但媒介本身還保留可以重複使用的狀態。Destroy是直接把媒介實體銷毀，資料連同載體一起沒了。

判斷要清到哪一層，我的理解大致是看兩件事：資料敏感度，還有這個媒介之後會不會離開組織的控制範圍。敏感度低、又留在組織內部繼續用，Clear大概就夠；敏感度高，或者硬碟要歸還給租賃商、外流到組織外面，就要拉到Purge。真的要淘汰不再用的，才輪到Destroy。

這裡要老實講一件我原本以為是這樣、後來去查證才發現不太一樣的地方：degaussing（消磁）這個技術，我原本記的是「只適合磁帶」。但去對NIST SP 800-88的官方文件（現行版本是2025年9月剛發布的Rev.2，已經正式取代2014年的Rev.1），裡面寫的是degaussing適用於磁性硬碟跟磁帶這類磁性媒介，對硬碟是有效的Purge手段，只是消磁強度要對到硬碟本身的矯頑力，而且消磁後那顆硬碟基本上就報廢、不能再重複使用了。對SSD這種靠電荷儲存的媒介，消磁完全沒用。Purge 理論上媒介還能重用,但degauss(消磁)用在硬碟上是個例外——伺服軌道資料也會被清掉,硬碟等於報廢,這點跟磁帶就不一樣。

大家要不要有空去盤點一下負責的資產有多少是已經EOL甚至是EOS的產品呢?