“对于上市柜公司而言，无利可图的事情不会做，所以合勤科技打造PSIRT（产品资安事件回应小组），表示PSIRT对合勤科技营运有帮助，也成为该公司重要的企业竞争力。”合勤科技资安长游政卿如此说道。

不只是合勤科技，包括知名的NAS业者群晖科技和威联通公司等，也都在企业内部成立PSIRT团队，负责各该公司的产品，一旦遭遇的各种资安问题，PSIRT团队都可以在第一时间提出相对应的资安措施。

合勤科技面对挫败打造PSIRT，董事长担任最高主管

游政卿回忆合勤科技当年为什么要打造PSIRT团队，他说，这是用血泪得来的教训。

时间发生在2016年11月28日，德国电信遭遇一次大范围的网络故障，在这次故障中，该公司的2千万固定网络用户中，有大约90万个路由器发生故障（约4.5%），而这些损坏的路由器就是合勤科技的产品。

经过查证，当年德国电信网络故障的原因是因为Mirai傀儡网络造成的，同时间，其他还有爱尔兰电信的xDSL设备都被骇客接管。

因为德国电信采购合勤科技的路由器故障，结果导致合勤科技不仅要为此投入大量的资源修复漏洞，也同时支付了一大笔罚款。

这件事情也让合勤科技董事长朱顺一开始思考，“不应该把要发给员工的奖金，变成是支付给客户的罚款。”因此，合勤科技为了因应这类该公司推出产品，一旦爆发各种资安事件，该公司可以有足够的能量即时因应，于是便在2017年4月，成立PSIRT团队。

游政卿指出，PSIRT在合勤科技的地位很高，因为，PSIRT最大长官就是重视资安的董事长朱顺一，并且是扮演策略中心角色，就不会因为成本过高或是利润不足的因素，让PSIRT成为一个不上不下的单位。

成立PSIRT的目的在于保护客户和公司信誉，也是企业差异化竞争力所在

“成立PSIRT团队的目的就是：为了获得客户的信任”，他表示，资安不仅要高阶主管从上而下的支持和重视，公司的流程也必须都符合资安的原则，让所有的SOP都符合资安的规定，加上，合勤科技的通路商是全球各大电信业者，而这些通路商当中，也开始提供云端资安的服务，因此，合勤科技也决定取得ISO 27001的资安认证，让公司的SOP（标准作业程序）都可以符合资安的规范。

游政卿认为，PSIRT的目的是为了保护客户和公司信誉，许多客户对于资安议题的关注来自于各种舆情和媒体报导，因此，合勤科技的PSIRT团队重要的资讯来源在于行销部门和市场的客户回馈，内部研发部门会评估，各种漏洞影响该公司产品型号为何？带来影响性为何？例如，这些漏洞是否已经有POC（概念验证）？或者已经在现实社会中，已经可以被骇客验证、执行了？以及是否有自动化的攻击工具等等。

他指出，该公司的产品经理都要负责产品的损益，完成修补产品漏洞的作法后，怎么派送并部署这些修补程式才是重点。因为，合勤科技和全球很多电信业者合作，这些业者在最后一哩路，必须委托工装工程师到客户端安装、设定路由器等产品，但这些负责安装的工程师往往并不在意产品的安全性，而是在意便利性。

游政卿表示，很多厂商的路由器往往有预设账号、密码，为了提高客户服务的满意度，最关键的流程就是修补程式必须到位，例如，从厂商端释出，往往难在漏洞修补程式，怎么顺利的在客户端完成修补修补。

虽然，许多PSIRT团队的任务是事后完成产品漏洞修补，但游政卿表示，合勤科技的PSIRT团队透过把后端检测模组化后，并将设计验证的测试放到设计初期，透过超前验证的方式，可以在设计的前期，就把发现到的资安漏洞完成修补。“这种Design By Default（预设安全设计）把资安往前做，往往比事后才做漏洞修补要好。”他说。

所以，“PSIRT对合勤科技带来的价值在于：可以与人沟通、拥有客户观点。”他认为，打造PSIRT团队不是单纯为了资安而已，而是必须可以为公司创造利益、提高客户满意度，这才是PSIRT真正的价值。

他说，该公司面对错误、成立PSIRT后，积极修补各种产品的资安漏洞，并获得客户的高度满意。面对路由器故障遭到德国电信的罚款，合勤科技在成立PSIRT团队后，对该公司带来的实际效益就是：合勤科技在2018年，名列德国电信四大优秀供应商之一。游政卿表示，合勤科技的PSIRT团队，不仅带来客户的信任，也对公司带来实际的营收获利，更成为和同业带来差异化的竞争力所在。

PSIRT不仅要懂资安和产品，更必须擅长人际互动和沟通

“成立PSIRT对组织的挑战，不在是否具备良好的资安技术能力，而是在于人和人之间、和客户之间的沟通是否流畅，”游政卿表示，毕竟，PSIRT关注的议题，都应该要是客户所关注的议题，即便企业内部了解漏洞和修补漏洞的重要性，但怎么让客户端也为PSIRT在意的资安重点买单，往往有很长资讯流的环节必须完善。

因此，他笑说：“合勤科技PSIRT团队成员是该公司研发团队中，最优秀的一批工程师，也是人际关系最好的工程师。”对内不仅可以和公司内部的行销、公关和业务部门沟通，对外也可以和客户沟通无碍。

但他认为，既然成立PSIRT，要长期维运下去，就一定要让组织有利可图，不可能只单纯依赖热情维运PSIRT，因此，合勤科技也必须提供PSIRT良好的升迁管道，让PSIRT团队有自我提升的动力，打造优秀人才愿意留下来、不会被其他同业挖角的工作环境。

有一些大型企业针对资安事件成立CSIRT（资安事件紧急应变团队），但他说，成立PSIRT团队其实才刚在起步阶段，不仅要具备资安和产品的技术能力，更必须超越成本中心，只有连动到市场、行销和客户，转变成利润中心，让PSIRT团队的技术有价，更成为该公司的最大企业竞争力的差异所在。

威联通成立PSIRT团队，将资安漏洞转换成产品新功能

在大数据时代，不管是企业和个人都拥有大量的资料，采购并使用各种NAS（网络附加储存）设备，已经是一种常态。威联通技术长龚化中表示，面对各种傀儡网络、挖矿和勒索软件的威胁，威联通很早就成立自己的PSIRT产品安全团队，而该公司面对的威胁有两种，通常是自己开发软件带来的资安漏洞以及开源软件函式库的漏洞。

他指出，刚开始成立PSIRT时，因为担心分享漏洞资料会影响商誉，许多像是TWCERT或是First等国际组织，因为具有良好的SOP，透过各种稽核方式，可以避免漏洞资讯太早外泄而对客户造成损害；但龚化中也说，不管是企业端或是消费端客户，如果是媒体关注的资安漏洞新闻的话，企业和消费者立即更新漏洞修补程式的意愿也比较高。

从过往该公司产品发生的资安事件为例，龚化中表示，短期看，只要爆发资安漏洞，全球客户都会一同受害，但关键问题在于客户能否即时更新修补程式，一旦不能自动更新，则可能对企业营运带来重大损害。因此，他说，威联通则透过设定的方式，让客户愿意及早并主动更新修补程式。

漏洞有两种，一种是自行开发在输入字段造成SQL Injection和API输入不慎有关，该公司则透过收集程式码并提供工程师纠错的工具外，教育训练更形重要，开发程式时，不仅要采用最小权限原则，不该开放的埠就不要开之外，也要将程式做签证，确保产品程式不会被乱改，同时，鼓励消费者使用NAS产品时，可以打开产品的防火墙功能，并且启用双因素认证，以确保账号输入的安全性。

龚化中带领研发团队很长一段时间，他坦言，该公司的PSIRT团队是放在软件架构处，他们面对即时威胁时，也要觉得有趣才行。事实上，PSIRT团队的意见受到内部重视，因为他们不只协助处理漏洞，更重要的是，还会提供产品怎么修改、未来会更好用的意见，真正做到将资安问题转换成新的产品功能。他表示，PSIRT团队成功将资安漏洞转换成产品新功能，成为该公司的产品竞争力。

由于威联通也设立漏洞奖励计划（Bug Bounty Program），邀请白帽骇客挖掘产品的漏洞，可以及早修补、强化产品的安全性。所以，龚化中表示，该公司PSIRT团队的成员，除了懂资安技术外，也必须要和资安社群有联系、能够和白帽骇客沟通及对话才行。

群晖科技是台湾最早成立PSIRT团队的企业

群晖科技是台湾知名的NAS（网络附加储存）业者，面对所有产品都连上网络，面对各式各样的网络威胁，该公司也是台湾最早成立PSIRT团队的公司。

群晖科技产品安全应变小组经理李宜谦表示，该公司在2014年面临勒索软件以及网络挖矿的威胁，导致许多客户端的产品，不是被勒索软件加密，就是算力莫名成为为他人作嫁的挖矿机的一员。

李宜谦回忆，当年为了解决客户面对的资安议题，为了让产品上市前，就可以改善资安问题，同时也为了产品面对到各种资安威胁时，公司能有专门的团队负责了解资安漏洞对产品和客户带来的威胁，并进行相关的漏洞修补，才决定在2014年成立PSIRT，可以有专门的团队正视公司产品面临的各种资安议题。

李宜谦表示，最早的PSIRT团队只有二个人，因为人力和资源有限，PSIRT最主要的任务在于搜集各种资安情资，以便得以早日因应，像是过去几年，有一些造成许多网络服务器或网络设备高风险的漏洞，例如：Heartbleed、SambaCry以及 KRACKs等都是例证。

除了懂资安，李宜谦认为，好的PSIRT团队，技术强不强其实是其次，重点要能够即时掌握各种资安情资，并和社群维持良好互动，透过持续跟进各种新的攻击思维和防御手法，从红队、蓝队等不同角度找出产品问题；或者可以透过红队和蓝队结合的紫队，从新的角度看待产品漏洞；当然，透过举办漏洞奖励计划，邀请白帽骇客协助找出该公司产品的漏洞，也是提升该公司产品安全性的方法。

但他也坦言，要找到并留住PSIRT团队成员是相对困难的，怎么让研发工程师可以转变思维模式，从看程式码到看情报，转变过程并不简单，“如果可以持续扩散PSIRT团队的影响力，让更多人愿意尝试加入PSIRT团队，是目前积极努力的方向。”李宜谦说道。

群晖科技NAS产品连网，面临各种勒索软件的威胁，PSIRT团队一直持续努力三年，才终于解决这样的风险。

不过，李宜谦在PSIRT团队这么多年来，他认为，在公司资源有限的情况下，成员必须要有足够的热情，才能持续这份工作，而该公司也开始思考，怎么将PSIRT团队转成营收单位，可以吸引更多成员有动机加入PSIRT团队，目前看来，还有很长的一段路要走。