資安漏洞回報 企業仍居大宗

漏洞是資安攻防的關鍵，駭客年會建立VulReport漏洞回報平台，去年11月24日公開上線測試，10日將正式上線。至8日的統計，回報的漏洞為政府11件、學校13件、NGO（非政府組織）5件，企業高達36件，可見企業資安漏洞仍是大宗。

駭客年會表示，目前社會大眾對駭客普遍存在負面觀感，即使駭客協助發現學校網站、企業甚至政府網站等有漏洞或被入侵，卻往往被認為是駭客惡意入侵，因而訴諸法律，扭曲駭客原本美意。

駭客年會VulReport營運團隊成員蘇展志指出，該平台從公益角度出發，統整駭客發現的漏洞，也希望扭轉外界誤解，藉該平台讓駭客發揮能力，與企業形成正向循環，整合零散專業人力，提升台灣資安競爭力。他強調，如果駭客能力妥善發揮，就不會將心力著重在做壞事，才能讓黑色產業漸漸消失。

蘇展志指出，該平台所有動作都依法行使，VulReport接到通報後，會經過團隊審核，確認後公布並隱藏單位敏感資料，進而跟廠商溝通直至修復。若該單位仍遲遲不修復，最後仍會公開細節，但會斟酌公開內容，不會導致該企業或單位更容易被攻擊。

蘇展志也呼籲，台灣企業可以在網站上公開歡迎駭客等資安研究人員進行研究，例如：最近很夯的Uber就在其網站刊登責任揭密政策，建立規範並歡迎安全研究人員找問題，與駭客等建立良好關係，讓駭客能更放心地幫助企業網站找問題，一起建立更好的資安環境。◇