資通安全弱點通報系統資料提交及弱點修補之管控機制未臻周妥,審計部促請資通安全署改善,已採行具體處置措施

資通安全弱點通報機制
資通安全弱點通報機制
數位發展部資通安全署(下稱資安署)建置資通安全弱點通報系統(下稱VANS系統),提供導入機關相關弱點資訊與自我檢查機制,並即時得知重大弱點與應變處理,經審計部查核發現,該系統資料提交及弱點修補改善措施之管控機制未臻周妥,經函請資安署研謀改善,已於新版VANS系統提供相關提醒機制或管理功能。
審計部指出,依資通安全責任等級分級辦法附表一至六規定,資通安全責任等級C級以上之公務機關及關鍵基礎設施提供者(特定非公務機關)應導入資通安全弱點通報機制(下稱VANS),並上傳資訊資產於VANS系統,透由該系統自動將機關資訊資產與國際權威弱點資料庫(NVD)比對,羅列出資訊資產所對應之弱點資訊後,由資安署以電子郵件通知導入機關至VANS系統填報弱點修補改善措施。
然而,審計部於113年4月查核發現,部分導入機關實施過程,有資訊資產漏未上傳、高風險弱點修補資訊查找過程繁瑣且費時、未依限填報弱點修補措施,暨VANS系統未有相關提醒機制等情事,不利督導管理與加值應用,影響機關導入VANS之預期效益,審計部遂於113年6月函請資安署研謀改善。
審計部表示,經追蹤改善情形,資安署已開發建置新版VANS系統並通過各項檢測,自114年9月1日正式上線,提供資訊資產上傳、標示常被利用之高風險弱點、資訊資產弱點改善措施填寫情形之定期統計報表等相關提醒機制或管理功能,並將定期檢視機關導入、上傳資訊資產數量等情形,暨適時予以輔導。
發布單位: 審計部第六廳(發布日期:2025-7-24)
被審核機關: 數位發展部資通安全署
施政主題細項: 資通安全