【資安基礎解析】何謂 Vulnerability（漏洞）？搞懂資安弱點、威脅與風險的關鍵差異

1. 漏洞 / 弱點 (Vulnerability)

漏洞指的是「系統本身存在的缺陷或弱點」。它可能是因為程式設計不良（如未過濾輸入參數造成的 SQL 注入）、系統架構設計疏失、伺服器配置錯誤，或是底層套件長時間未更新所造成的安全缺口。

生活化比喻：這就好比自家大門的鎖頭年久失修、窗戶沒關好，這項「物理缺陷」就是 Vulnerability（弱點）。

2. 威脅 (Threat)

威脅指的是「可能利用弱點造成損害的外部力量或潛在事件」。威脅的範圍相當廣泛，包含企圖入侵網站竊取機密的黑客、惡意軟體/勒索病毒、企業內部員工惡意洩密，甚至機房突然發生火災、淹水等不可抗力天然災害，都屬於資安威脅的一種。

生活化比喻：在外面四處尋找沒鎖門房屋的「小偷」，或是突然來襲的「颱風豪雨」，就是 Threat（威脅）。

3. 風險 (Risk)

風險指的是「當威脅成功利用弱點，對企業資產造成損害的機率與嚴重程度」。在國際資安標準中，風險通常以公式表示：風險 = 威脅 × 弱點 × 衝擊程度。如果門戶大開（有高弱點），且外面到處都是小偷（有高威脅），屋內又存放重要營業秘密（衝擊度極高），此時企業面臨的資安風險便處於紅色警戒狀態！

1. 老舊系統與過期套件 (Outdated Dependencies)：企業內部多年未重構的 PHP 老舊系統或未更新的開源套件，往往已累積大量公開的已知漏洞 (CVE)，成為黑客的首要跳板。
2. 不安全的參數過濾與程式邏輯缺陷：未落實 PDO 預處理查詢、未防範 XSS 跨站腳本與 CSRF 攻擊，容易導致後端資料庫機密被全數倒出。
3. 不當的存取權限控管 (Broken Access Control)：一般使用者透過直接修改網址 ID 即可窺看他人敏感訂單或個資。
4. 敏感連線未強制加密：後端通訊或 API 未採用安全 SSL/TLS 傳輸，導致機密金鑰在傳輸過程中被中間人側錄監聽。

Q1：系統有漏洞，就一定會立刻被黑客入侵嗎？

不一定。漏洞是被動的存在，必須剛好被攻擊者發現，且攻擊者擁有可行的利用工具（Exploit）並發動攻擊時，才會造成實質破壞。但黑客經常使用自動化掃描腳本全網撒網，一旦發現漏洞通常幾天內就會遭到滲透，因此必須及早修補。

Q2：企業老舊系統若無原廠支援，該如何防範未知漏洞？

建議尋找具備資安實務能力的專業系統團隊進行「老舊系統架構升級重構」，在資料庫與營運不中斷的前提下替換過期底層模組，並落實弱點掃描與修補作業。

修補老舊系統弱點，打造通過 ISO 27001 檢驗的高安全管理平台

企業老舊 PHP 系統效能低落、無人敢碰，深怕一改就崩潰？傑立資訊擁有超過 20 年企業級系統專案開發與老舊系統重構升級經驗，團隊落實 ISO/IEC 27001 資訊安全標準。我們能在保證商業資料庫完整的前提下平滑升級架構，修補漏洞隱患，為企業築起最高規格的資安護城河！