不能不做，「資安報告」成顯學
在當專案經理的這些時間裡，除了透過專案進行觀察到一些台灣企業對「資安」的看法與痛點之外，近期也有不少「政府採購預算需單獨編列資安費」的新聞出現，內容重點大致分為三個：
資安預算「獨立」、禁用中資廠牌產品、中資廠商不能參與標案。
同時，政府也針對以往資安廠商投標的困境，做了制度上的改善，像是 採用最有利標時不訂底價 ，及「創意」取代「回饋」項目，做為評選廠商的區隔。
從這些政府的改變當中，不難看出 資訊安全在台灣的重視程度是愈來愈高了 。
以目前接觸的客戶來看，大致上可以分為兩種類型，第一種被第三方（泛指客戶、合作夥伴、合作廠商、招標商）要求需檢視並提供企業或所交付之產品的資安概況的廠商。第二種：廠商本身對資安的重視。
我們目前碰到的客戶還是以前者為大宗，因此也就不免俗的會碰到客戶提出類似的問題：你們的檢測報告可以拿去投政府標案嗎？可以拿去合規嗎？有參考ISO27001這類的規定嗎？
政府重視，民間跟上
初期的訪談階段也會很常聽到： 政府說要做 ，今年要開始編列預算了。已經一級一級壓下來了，現在輪到我們了。
政府標案存在的原因，是因為政府本身也有資源有限的狀況，因此會需要委託民間的專業，來幫政府完成任務。
想要被政府「委託」，就會需要經過一系列的流程，包含 領標、投標、開標、決標、履約與驗收 。
這當中投標者會需要準備很多說明文件，甚至是簡報來向政府證明自己有能力接下政府的委託。
資安報告為何重要？能提升合作安全感
投標時，通常會附上很多與標案相關的資訊文件，不論這個標案涉及到哪一個面向，我們都建議一併附上專案的服務檢測資訊。
一來是能夠證實自己在資訊安全這塊的 重視與安全度 ，二來是能夠提高彼此之間 合作的信任度 。
就像在相親時你只能透過見面的當下來認識你眼前的人，你對他的認識其實很有限，但如果這時他能夠拿出OO協會的會員證，告訴你我是OO協會的榮譽會員，那這時你應該會有一定程度的心安，至少可以確定他不是出來詐騙的。
資安報告就像會員證，告訴對方你做過什麼檢測來驗證你的安全性與重視程度。
當然，資安檢測是一個持續檢測與監控的循環，攻擊永遠都在更新與進步。
資安報告需要什麼？
一個基本的資安報告通常會有幾個元素：
- 基本的測試資訊：包含測試的標的、檢測的日期、檢測等地或分數，一些基本資訊列出
- 風險細節描述：包含風險名稱、風險等級、風險說明、修補方式、以及資訊來源，主要是針對風險本身做描述與分類，讓使用者可以更快速理解風險本身，同時也可以評估修補的優先級順序。
- 方法論：主要講述風險的評分或規劃是參考什麼樣的準則，給予使用者進一步的了解。
這些元素可以說是一個資安報告的雛形，更多的元素可能則是來自使用者或市場的回饋。
「合規」是什麼？為何重要？
「合規」就是要合乎規範，那為什麼合規如此重要呢？
規範通常是一個 通行的準則 、一個認可的標準，就像法規一樣，是普遍大眾遵循的守則。
因此，如果你合乎某某國際規範的話，基本上就代表你被普遍大家所依循的標準背書了。
這樣聽起來好像還好，但實際上「合規」這件事的影響不單單只是這樣。延伸來看，它對你的 企業信譽、海外市場、股東與投資人、風險管理 等都有所影響。
如果今天A企業想推行海外市場並與當地B企業合作時，該如何向B企業證實自己家的東西具有安全性是很重要的？畢竟如果兩家企業之間任一遭受到攻擊，將有機會連帶影響到另外一間企業。
因此，拿出一份能夠證實其合規的資安報告，會讓你的企業與合作夥伴之間多一份信任。
當然，我們不能夠好幾十年只單憑一份資安報告來證實安全性。在資安世界中，最重要的其實是 持續與定期性的監控與檢測 ，如果做不到持續這件事，那再好的資安檢測也沒辦法防止你被攻擊。
怎麼選擇適用的資安報告？
在選擇適用的資安報告時，知道自己需要什麼才是最重要的。
你會需要釐清獲得這份 資安報告的目的是什麼？ 是為了向客戶或合作夥伴證實自己的安全性程度，還是你需要的是符合某一份標案的要求。
目的性不同，都會影響到抉擇廠商時的考量，不同的投標項目又有分別看重的要點。
舉例來說，政府依照《資通安全管理法》，將公家機關分為A、B、C、D及E級，每一等級所要求的資安檢測頻率都不相同，有些可能是每半年一次，有些則是兩年一次。
最常見的就是當要交付軟體系統的時候，政府或企業客戶通常會要求廠商出示一份弱點掃描（或我們常說的網掃）報告，確認該系統的安全性，且漏洞皆已修復的依據。
如果預算許可，還有可能會要求提供更深入的滲透測試報告。這邊會建議選擇一間業界普遍都有在使用的檢測廠商，或是選擇一間有上政府共同供應契約的廠商。
這兩種選擇的共同特點，是能夠確保他有經過一定程度的認可。
江湖在走，資安檢測要有
不管你要不要投政府標案或任何標案，資安檢測都應該要確實執行，不光是為了自身企業的安全性，更是增加企業業務合作的可能，多給自己加一層保障與優勢，這是雙贏。
投標的話就更不用說了，加上資安檢測報告已經快變成普遍的現象，已經不是你有你贏，而是你沒有你掰。
必須再再再三強調，資安檢測不是一次性就好，真正的核心精神是持續性的檢測，才能達到最大化功效。
本文授權轉載自：Cymetrics
《數位時代》長期徵稿，針對時事科技議題，需要您的獨特觀點，歡迎各類專業人士來稿一起交流。投稿請寄edit@bnext.com.tw，文長至少800字，請附上個人100字內簡介，文章若採用將經編輯潤飾，如需改標會與您討論。
（觀點文章呈現多元意見，不代表《數位時代》的立場）
責任編輯：溫偉軒、蘇祐萱
