鐵人檔案
CRA 的通報義務 9 月 11 日生效。24 小時的時鐘不是從你確認完弱點開始，是從公司「知悉」那一刻，不因假日、時區、內部釐清權責而停。兩年前我寫 NIST 是建議，這次是義務。
CRA 給了兩個警鐘：一個是幾週內就得有人、有 runbook 的營運準備，另一個是十幾個月的工程專案。用同一種方法，一定會失敗其中一件。這 30 天寫資源有限的團隊怎麼撐住：PSIRT 人力怎麼算、security@ 怎麼建才不會變垃圾場、SBOM 與 HBOM 怎麼盤、AI 怎麼接手分流反查。
最後想問：四萬八千條 CVE，弱點類型不到一千種—資安什麼時候才會有抗生素跟疫苗
提案送上去，過了兩週回來，少了一席。 你簽了字，因為爭下去也沒用，而且少一席看起來還撐得住。 那一刻你做的事情，比妥協嚴重一點：你替公司做了一個風險決定，但沒有...
CRA 第 14 條的通報義務昨天生效。 所以現在假設一件事：昨天下午三點，一封信進到你們的對外信箱，說某個型號的弱點正在被利用。 你們有沒有一個人，按得下那個...
一個對外資安信箱典型的一天，大概長這樣。 早上打開，二十七封新信。 十二封是自動掃描器的報告，全部指向同一個 SSL 設定。四封說「我發現貴公司網站有嚴重漏洞，...
昨天那二十七封信，直覺的解法是再開幾個信箱：security-report@、bounty@、vuln@，各收各的。 這個解法會失敗，而且失敗得很快。 通報者不...
回到 Day 13 那二十七封信。 其中有幾封是「非得由懂資安的人看過才能判斷」的？大概兩封。 剩下二十五封，機器可以先處理掉絕大部分。這一層就叫 L0。 **...
L0 交出來的是一件欄位齊全、已經去重的案件。 現在它躺在第一個真人面前。這個人要做的事，只有一件：決定它走哪一軌。 多數人在這裡的第一個動作是打開附件看程式碼...
兩個人為了「這是 P2 還是 P3」爭論了二十分鐘。 二十分鐘之後結論出來了，而那件案子該做的動作，跟爭論之前完全一樣。 這種會議我相信很多人開過。它暴露的是一...
一個案子在系統裡的狀態是「調查中」。 三天過去，狀態還是「調查中」，因為工程師還在復現那個條件。而法定的 72 小時，昨天就到了。 **這件事的可怕之處在於：沒...
二十一項裡，硬體廠通常會在哪三項交白卷。 信箱怎麼收、誰來分、誰按送出鍵、時鐘怎麼管。這些都是門鈴響了之後的事。但門鈴只是第 14 條，一條。真正決定你能不能在...
有人交了一份 SBOM 給客戶。三個月後客戶回信問：這份還準嗎？ 答不出來。 因為那份 SBOM 是某個人某天下午掃出來的，之後產品出了兩個韌體版本，沒有人重掃...
