複選題

32. 【題組 4】情境如圖所示。承上題，XYZ 公司在開發新產品時所面臨的資安風險，請問有下列哪些方式可以導入處理？(複選)
(A) 當產品開發測試階段完成後再處理所有安全問題
(B) 產品安全事件管理上需通知客戶相關風險並提供產品安全修補，並納入新產品的設計考量之中
(C) 產品開設計階段進行威脅建模以分析潛在漏洞
(D) 使用靜態程式碼分析工具檢查程式碼安全

答案：登入後查看
統計： A(3), B(44), C(47), D(40), E(0) #3537018

詳解 (共 2 筆)

#6629743
正確選項為：B、C、D；A屬於「事後修...
(共 3415 字，隱藏中）
前往觀看
0
0
#7266559

這題的正確答案是 (B)、(C)、(D)。

以下是針對每個選項的詳細解析：

  • ❌ (A) 當產品開發測試階段完成後再處理所有安全問題

    • 錯誤原因：這違背了 PSDLC (產品安全開發生命週期) 的核心精神。PSDLC 強調的是「左移 (Shift Left)」的概念，即在開發的早期階段（需求、設計、編碼）就引入資安考量。如果等到開發測試全部完成才處理，修復漏洞的成本會極高，且可能延誤上市時間。

    • 對照圖片：圖 1 的「2023年進度」中提到落實執行「產品安全開發生命週期 (PSDLC) 程序」，包含需求、設計、編碼、測試等階段，證明安全是貫穿全流程的，而非最後才做。

  • ✅ (B) 產品安全事件管理上需通知客戶相關風險並提供產品安全修補，並納入新產品的設計考量之中

    • 正確原因：這是標準的 PSIRT (產品資安事件應變) 流程與持續改善機制。發現漏洞後，除了當下的修補與通知客戶外，更重要的是將經驗回饋到未來的產品設計中，避免重蹈覆徹。

    • 對照圖片：圖 1 的「短期目標」提到「有效落實漏洞追蹤與修補」；「中長期目標」提到「針對產品安全漏洞通報訊息進行分析，強化現行產品開發流程不足之處」，這與本選項描述一致。

  • ✅ (C) 產品開設計階段進行威脅建模以分析潛在漏洞

    • 正確原因：威脅建模 (Threat Modeling) 是 PSDLC 在「設計階段」最重要的活動之一。它能幫助團隊在寫程式碼之前，就識別出架構上的安全缺陷。

    • 對照圖片：圖 2 下方的「產品安全」方塊中，明確列出了「威脅模型」作為執行的項目之一。

  • ✅ (D) 使用靜態程式碼分析工具檢查程式碼安全

    • 正確原因：這是屬於 PSDLC 中「實作/編碼階段」或「驗證階段」的標準控制措施，通常稱為 SAST (Static Application Security Testing)。

    • 對照圖片：圖 1 的「中長期目標」中提到「建立軟體自動化安全檢測技術」，這通常包含了靜態 (SAST) 與動態 (DAST) 的檢測工具導入。

綜上所述，符合資安最佳實務與圖片中 XYZ 公司策略的選項為 (B)、(C)、(D)。

0
0