中小企業網站安全檢查清單：從哪裡開始？

需要考慮什麼

列出企業官網、客戶入口、公開 API 和檔案下載服務，記錄用途與維護人員。行銷網站和客戶文件系統即使使用同一家雲端供應商，也需要不同的風險判斷。舊網域和測試環境應先確認是否在授權內。

如何執行檢查

詢問服務方涵蓋哪些資產與角色、排除哪些操作、如何提供證據。OWASP WSTG 可用來組織測試，但提到指南名稱不代表實際涵蓋全部項目，仍需確認具體範圍。

接下來做什麼

安排與維護人員的交接，為確認的問題分派負責人、目標日期和複測方式。未檢查的部分應維持未知，不應視為安全。新功能上線後，也要更新資產清單。

執行清單

• 確認服務用途與負責人
• 區分正式及測試環境
• 先確認授權和限制
• 預留修復與複測時間

常見問題

掃描沒發現問題就代表安全嗎？

不代表。結果只對應特定時間、範圍及已完成的檢查，不能證明所有漏洞均不存在。