面對日益頻繁的 CVE 公告、開源元件漏洞、供應鏈資安風險與法規合規要求，企業需要的不只是「看到漏洞」，而是能夠快速判斷漏洞是否影響自身資產、是否需要修補、由誰負責、何時完成，以及如何留下可供稽核與合規舉證的完整紀錄。

CIMS（Cyber Intelligence Management System，資安智慧情資管理系統）以使用者作業流程為核心，將資產建檔、漏洞情資同步、SBOM 掃描、VEX 評估、工單修補與稽核覆核串接為六大階段，協助企業建立從漏洞識別到修補驗證的端到端管理閉環。透過角色分工、流程交棒、工單追蹤、稽核日誌與儀表板監控，CIMS 可協助組織提升漏洞治理效率，並支援 ISO 27001、EU CRA、供應鏈資安與內部稽核等合規場景。
 

漏洞管理的挑戰：企業缺的不是資料，而是閉環流程

多數企業並不缺漏洞資訊。CVE、NVD、OSV、資安公告、供應商通知、滲透測試報告與弱點掃描結果，每天都可能帶來大量風險訊號。真正困難的是：企業如何將這些訊號轉化為可執行、可追蹤、可驗證的內部流程。在實務上，漏洞管理常見的問題包括：

• 資產資料不完整，無法判斷漏洞是否影響實際環境。
• CVE 與產品、版本、元件的比對結果不精準。
• SBOM 已產生，但沒有與漏洞情資及資產責任人連動。
• 資安人員判斷漏洞不受影響，卻缺乏正式 VEX 紀錄。
• 工單開出後，修補狀態、SLA 與處置理由不易追蹤。
• 稽核時難以證明誰在何時做了什麼決策。

因此，成熟的漏洞管理不只是導入掃描工具，而是建立一套涵蓋資產、情資、判斷、修補、覆核與證據保存的治理流程。
 

CIMS 的核心設計：六大階段形成漏洞治理循環

CIMS 從使用者視角出發，將漏洞管理拆解為六大作業階段：

1. 資產建檔
2. 情資同步
3. 漏洞掃描
4. VEX 評估
5. 工單修補
6. 稽核覆核

這六個階段不是彼此獨立的功能清單，而是一個持續循環的管理流程。資產維護員建立正確的產品與版本資料，資安管理員同步 CVE / OSV 漏洞情資，資安人員執行 SBOM 與資產比對，並透過 VEX 判斷漏洞是否實際影響組織。若確認受影響，系統可進一步推進工單修補，由資產負責人執行處置，再由資安管理員透過儀表板與稽核日誌進行覆核。這樣的流程設計，可協助企業從「被動收漏洞」轉向「主動治理漏洞」。
 

角色分工：讓漏洞管理責任清楚可交棒

CIMS 將漏洞管理流程拆解為四類主要角色：

• 資產維護員：負責資產資訊建檔與維護。
• 資安管理員：負責漏洞情資同步、系統設定與稽核覆核。
• 資安人員：負責漏洞掃描、比對結果分析與 VEX 評估。
• 資產負責人：負責修補執行、狀態更新與工單結案。

這種角色設計的價值，在於避免漏洞管理變成單一資安窗口的負擔。資安團隊可以專注於風險判斷與治理策略，資產負責人則承擔實際修補與處置責任，管理者則能透過儀表板掌握整體進度與風險分佈。對大型組織、跨部門產品團隊、IT/OT 混合環境或多系統資產管理場景而言，明確的角色分工與流程交棒，是漏洞管理能否長期維持的關鍵。
 

第一階段：資產建檔是漏洞比對的基礎

漏洞管理的第一步，是建立正確的資產資料。CIMS 的資產建檔流程要求使用者維護廠商、產品名稱、型號、版本、資產類型、系統 ID 與分類標籤等資訊。這些欄位並非單純的資產台帳資料，而是後續 CVE 比對、SBOM 分析與責任歸屬的關鍵基礎。若產品名稱、型號或版本填寫不精準，可能導致漏洞比對失準，進而造成誤報、漏報或修補優先順序錯誤。

CIMS 透過必填欄位、格式驗證、重複建檔檢查、批次匯入與稽核日誌，協助企業提升資產資料品質。當資產建立成功後，後續即可進一步發起 SBOM 掃描、檢視關聯任務或納入漏洞比對流程。
 

第二階段：情資同步讓漏洞資料保持最新

漏洞情資具有高度時效性。新的 CVE、開源元件漏洞與攻擊利用資訊，可能每天都在更新。CIMS 透過漏洞情資管理模組，支援 CVE 與 OSV 等資料來源同步，並提供全量同步與增量同步兩種模式。

全量同步適合首次建置或資料重建，增量同步則適合日常維運，協助系統持續保持漏洞資料庫更新。管理者可透過概況卡查看總數、最後同步時間、嚴重度分佈與新增 CVE 筆數，掌握情資更新狀態。對企業而言，情資同步的價值不只是取得更多資料，而是確保漏洞管理流程能以最新資訊進行風險判斷與修補決策。
 

第三階段：SBOM 與資產比對，快速定位受影響範圍

在軟體供應鏈風險升高的背景下，SBOM（Software Bill of Materials，軟體物料清單）已成為漏洞管理的重要基礎。CIMS 支援 SBOM 檔案上傳與伺服器專案路徑掃描，可處理 CycloneDX、SPDX、package.json、pom.xml、requirements.txt 等格式或專案相依資料。掃描完成後，CIMS 可於統一漏洞比對視圖中呈現 SBOM 與資產比對結果，並依嚴重度、來源類型與任務狀態進行篩選。

更重要的是，CIMS 將漏洞比對流程與資產責任人、工單拋轉及後續 VEX 評估連結。這讓企業不只是知道「某個元件有漏洞」，而是能進一步判斷「哪些系統、哪些產品、哪些資產負責人需要處理」。
 

第四階段：VEX 評估降低誤報，讓決策可被追溯

並非所有出現在 SBOM 或資產比對結果中的漏洞，都一定會對企業形成實際風險。例如某個元件雖然存在漏洞，但受影響功能並未啟用、程式碼不可達、部署情境不符合攻擊條件，或已透過其他補償措施降低風險。這也是 VEX（Vulnerability Exploitability eXchange）評估的重要性所在。CIMS 支援四種決策狀態：

• 評估中（UNDER_INVESTIGATION）
• 不受影響（NOT_AFFECTED）
• 受影響（AFFECTED）
• 已修補（FIXED）

資安人員在做出決策時，需填寫判定理由，並可設定決策到期日。若判定為不受影響，可進一步啟用工單抑制，系統會將對應 CVE 與資產的工單關閉，並記錄抑制理由與操作者。這使得企業能正式管理「不修補」或「暫不修補」的決策，而不是讓判斷停留在口頭溝通或零散文件中。對稽核與合規而言，這一點尤其重要。
 

第五階段：工單修補讓風險處置具備 SLA 與責任追蹤

當漏洞確認影響企業資產後，CIMS 可透過工單管理模組推進修補作業。資產負責人可接收通知、查看 CVE 編號、受影響資產、CVSS 分數、SLA 截止日、決策建議與處置紀錄。

工單流程可依狀態逐步推進，例如待處理、開立、受理、處理中、結案與確認。每次狀態變更都可新增進度備註，並保留完整時間軸。完成修補後，資產負責人需填寫決策代碼與處置理由，例如已修補、已緩解或採取其他補償措施。管理員後續可進行確認、覆核或必要時駁回重啟。透過這樣的設計，CIMS 將漏洞修補從「通知某人處理」提升為「具備責任、期限、狀態、證據與覆核」的正式流程。
 

第六階段：稽核覆核讓漏洞治理可被證明

漏洞管理若無法被稽核，往往難以支撐合規要求。CIMS 透過儀表板、KPI 指標、工單趨勢、嚴重度分佈、逾期告警、稽核日誌與系統健康狀態，協助資安管理員掌握整體治理情形。管理者可以檢視逾期工單、7 天內到期工單、SBOM 覆蓋率、新建與已解決工單趨勢，也可抽樣覆核已結案工單的決策代碼與處置理由是否合理。

此外，CIMS 會將登入、權限異動、資產變更、工單狀態變更、VEX 決策與覆核動作納入稽核日誌。對需要符合 ISO 27001、EU CRA、供應鏈資安要求或內部稽核制度的企業而言，這些紀錄可作為重要的合規證據。
 

CIMS 對企業的實務價值

CIMS 的價值不只是提供漏洞掃描或工單管理功能，而是協助企業建立一套端到端的漏洞治理作業模式。

1. 提升漏洞判斷效率：透過 CVE / OSV 情資同步、SBOM 分析與資產比對，企業能更快判斷漏洞是否影響自身環境。
2. 降低誤報與不必要工單：透過 VEX 評估與工單抑制機制，企業可將「不受影響」的判定正式文件化，避免大量誤報消耗修補資源。
3. 明確責任歸屬：資產建檔、責任人標記與工單指派，讓漏洞從資安部門轉化為具體資產負責人的修補任務。
4. 強化 SLA 與進度追蹤：透過工單狀態、SLA 倒數、進度備註與管理儀表板，管理者可掌握修補效率與積壓風險。
5. 建立合規與稽核證據：所有重要操作皆可形成稽核紀錄，支援 ISO 27001、CRA、客戶稽核、供應鏈要求與內部治理需求。

CIMS 與 EU CRA、SBOM、PSIRT 的關聯

隨著 EU Cyber Resilience Act、供應鏈資安要求與產品安全治理要求提升，企業不只需要一般 IT 弱點掃描，也需要能支援產品生命週期的漏洞處理能力。CIMS 可協助企業支援下列能力：

• 建立資產與產品元件清單。
• 以 SBOM 快速定位受影響元件。
• 以 CVE / OSV 情資持續追蹤已知漏洞。
• 以 VEX 決策紀錄說明受影響或不受影響原因。
• 以工單流程追蹤修補與緩解措施。
• 以稽核日誌保存漏洞處理證據。
• 以儀表板呈現漏洞治理狀態與風險趨勢。

這些能力可作為企業建立 PSIRT、產品漏洞處理、供應鏈資安管理與 CRA 合規準備的重要支撐。
 

企業導入 CIMS 的建議路徑

企業若準備導入 CIMS，可依下列步驟推進：

1. 盤點重要資產、產品、系統與責任人。
2. 建立資產分類、命名規則與版本管理規則。
3. 設定 CVE / OSV 情資同步來源與同步頻率。
4. 選定代表性系統或產品進行 SBOM 試點。
5. 建立 VEX 決策準則與判定理由範本。
6. 設定工單流程、SLA 規則與角色權限。
7. 執行一次漏洞比對與修補演練。
8. 透過儀表板檢視流程瓶頸與逾期風險。
9. 將稽核日誌與工單紀錄納入合規證據管理。
10. 定期檢討流程，形成持續改善循環。

透過分階段導入，企業可先從高風險產品線或關鍵系統開始，逐步擴展至全組織漏洞治理流程。
 

漏洞管理應從工具使用升級為治理能力

面對持續增加的漏洞資訊與合規壓力，企業不能只依賴人工追蹤、表單彙整或單點掃描工具。真正成熟的漏洞管理，需要把資產、情資、SBOM、VEX、工單、稽核與管理視圖串接成一個可持續運作的閉環。CIMS 協助企業將漏洞處理流程標準化、角色化與證據化，讓每一筆漏洞都能被追蹤、被判斷、被處置，也能在日後被稽核與驗證。

對正在面對 ISO 27001、EU CRA、供應鏈資安、客戶稽核或產品安全治理要求的企業而言，CIMS 不只是漏洞管理系統，更是建立資安治理成熟度與合規證據能力的重要平台。若貴公司正在評估如何強化漏洞治理、SBOM 管理、VEX 決策、修補追蹤或合規稽核證據，歡迎與 TASC 聯繫，了解 CIMS 如何協助企業建立端到端的漏洞管理閉環。