時鐘從「知悉」開始：從零打造 PSIRT，三十天走完歐盟 CRA 的通報與 SBOM 系列

CRA 的通報義務 9 月 11 日生效。24 小時的時鐘不是從你確認完弱點開始，是從公司「知悉」那一刻，不因假日、時區、內部釐清權責而停。兩年前我寫 NIST 是建議，這次是義務。

CRA 給了兩個警鐘：一個是幾週內就得有人、有 runbook 的營運準備，另一個是十幾個月的工程專案。用同一種方法，一定會失敗其中一件。這 30 天寫資源有限的團隊怎麼撐住：PSIRT 人力怎麼算、security@ 怎麼建才不會變垃圾場、SBOM 與 HBOM 怎麼盤、AI 怎麼接手分流反查。

最後想問：四萬八千條 CVE，弱點類型不到一千種—資安什麼時候才會有抗生素跟疫苗