1. 沒有人可以肯定的說, 自己做的網站有沒有甚麼漏洞? (連 Google, FB 都辦不到)
2. 通常漏洞需要經高手進行滲透測試才會知道有沒有洞? (所以才會有漏洞懸賞獎金制)
3. 通過滲透測試也不代表100%沒有洞, 漏洞是隨時間而出現的. 業界統計, 平均六個月就會挖掘到新的漏洞; 也就是說: 如果你的網站即使現在偵測不到漏洞, 在甚麼程式都不改的前提下, 六個月後有可能突然被發現新漏洞.

(題外話, 目前滲透測試的行情是: 每次 30~100 萬, 每次大約要執行 2~4 周才會得到結果, 而且只要網站程式改版, 就必須重做. 所以, 把漏洞補到完全沒有的成本是非常高的)

資安是由層層防守堆疊出來的, 不是只靠一面銅牆鐵壁就全守住.
我們知道目前沒辦法做到 100% 無漏洞, 所以就要在其他方面補強.

NIST CSF 盤點了有五大功能要防守:

有沒有漏洞? 屬於五大功能裡面的:
識別和保護功能

但萬一真的被突破, 後續就要馬上接著:
偵測:(透過監測, 隨時知道有沒有被偷換網頁?)
回應:(萬一被換掉, 就趕快改進網站維護模式)
復原:(把被換掉的網頁修好之後, 重新開放)

近幾年的資安都已經不再強調盾牌攻防: 是否被擊破?
轉而強調網路韌性（Cyber Resilience）, 也就是:
可以被打倒, 但倒下去之後, 多快能回神(發覺)? 然後站起來恢復正常?

回到樓主的情境, 業主要求:

被置換後立即關閉網站，並導向維護頁面

我們只要問一個問題:

半夜 01:20 網站被換掉了, 你多久才會發現? 多久能夠應變和復原?
如果你等到早上 9:00 上班才看到, 那樣就太久了 (萬一遇上連休?);

(這裡還涉及另外一個議題: 你如何能馬上知道網頁被換掉?)
(萬一你手上要管上百個網站的話呢?)

根據: 行政院>數位發展部 頒布的,
資通安全事件通報及應變辦法>第 4 條:
https://law.moj.gov.tw/LawClass/LawSingle.aspx?pcode=A0030305&flno=4

公務機關知悉資通安全事件後，應於一小時內依主管機關指定之方式及對象，進行資通安全事件之通報。

資通安全事件通報及應變辦法>第 5 條:
https://law.moj.gov.tw/LawClass/LawSingle.aspx?pcode=A0030305&flno=5

主管機關應於其自身完成資通安全事件之通報後，依下列規定時間完成該資通安全事件等級之審核，並得依審核結果變更其等級：
一、通報為第一級或第二級資通安全事件者，於接獲後八小時內。
二、通報為第三級或第四級資通安全事件者，於接獲後二小時內。

前項機關依規定完成資通安全事件等級之審核後，應於一小時內將審核結果通知主管機關，並提供審核依據之相關資訊。

以上的時間都是 24hr 連續計算, 不會跳過休假暫停的.

你覺得, 需要派多少人力去守這個網站, 才能確保以上合規?

一個人背 Call 機值星?
那如果這個人不小心睡死了呢?
出事了要不要通知主管? 那主管睡死呢?

要一個主管/工程師 24hr 待命, 半夜驚醒接回應電話, 給他多少月薪才願意做?
(台積電的工程師確實隨時可能在半夜被叫回公司處理, 但是人家領多少薪水?)
這些在第一線值班的人會不會請病假? 事假? 特休假?
休假要不要代理人? 需要多少人輪班+代理?

我們估一個值班小組通常都是 5 人起跳,
(含補位/休假/代理等員額, 符合勞基法),
五個 30K 薪水的人, 一個月剛好 15 萬.

聽說學校的網站被搞了
校長還是教育部的要求是底下的人去輪班刷網頁
業界總有很多奇事

我的作法是這樣
如果網頁本身內容有異動就會用LINE通知管理者去檢查狀況
當然裡面是有很多細則
只是單純提供方向

剛好近期處理過，哪個機關我就不說了。

一樣也是依具政府的公文，要做當網站被侵入時做切換處理到維修頁上。
一開始是報15萬，為手動處理。並做安全通知。且非24小時待命。

但他們覺得很貴。建議用另外一個方式會比較便宜。
也就是想要自動跳轉無需人工。

是的，這個想法沒錯。少了人工費用。
我一開始是說不太可能。花費成本會很高。
他們說能有多高。

我就大約列了一下，監看器，多2台主機。(備存及自動導向CDN)
合計起來每個月大約會多3~4萬的成本出來。一年就4X萬。
跟原本的15萬相差很大。

而且我後來還說了，這還只是低估。因為人工成本還是要算進去的。

關於

網路韌性（Cyber Resilience）
被置換後立即關閉網站，並導向維護頁面

提供幾個想法:
1.寫個程式, 定期去下載網站的"特殊檔" 比如首頁檔(index.php...) 或全部檔案, 然後跟合法的"特殊檔" checksum 比對, checksum 不一樣 表示被改了, 並更改首頁檔(index.php...) 導向維護頁面, 然後通知相關人員!
2.用RPA 機器人流程自動化, 寫個腳本, 定期更新網站,辨識內容, 然後發現畫面不一樣了, 同上處理....!
3.用影像辨識IPCAM,對著定時更新網站的螢幕辨識, 然後發現畫面不一樣了, 同上處理....!
4.....
方法總比問題多
剩下就是考量成本 及 罰則了
罰則也是$
方法也是$
以上提供參考!

Cyber Resilience 的關鍵不在於導向維護頁面，而在於能否復原(和復原需要的時間)。

情境一：發現被置換後，能在1小時內復原到被置換前的內容，
情境二：發現被置換後，立即導向維護頁面，但是需要24小時恢復

相較之下，情境一的韌性更高。