安全性更新

網站安全性更新多久要做一次？

基本原則是：安全性更新按照固定週期（例如：每月一次）持續進行，一旦公布嚴重漏洞，就不等週期、立刻套用。也就是把定期檢查和緊急應變分開來看。

緊急漏洞會透過開發商的公告，或KISA網路保護網的資安公告發布。如果有委託維護廠商，請事先講好由誰查看這些公告並做判斷。

更新頻率也會因網站是用什麼做的而不同。裝了很多外掛的網站，要更新的元件比較多，需要更常檢查。

也可以開啟自動更新。小的安全性修正設定自動更新，大版本變更則確認後再套用，這樣分開處理，就能同時降低漏洞和畫面跑版的風險。

網站有哪些東西需要更新？

需要更新的對象從伺服器到畫面上的小工具，分成好幾層。如果沒講好每一層由誰負責，就會互相以為「對方會處理」，結果出現漏洞。

很多人以為客製開發的網站沒有外掛，所以很安全。但網站裡使用的開源元件（函式庫）一旦被發現漏洞，也會推出更新。請問問開發廠商，有沒有在追蹤這些元件的資安通知。

要知道用了哪些元件，才有辦法更新。向維護廠商要一份「我們網站使用的程式與元件清單」，資安公告一出來，就能馬上判斷自己的網站有沒有受影響。

安全性更新要按什麼順序做才安全？

安全更新的關鍵是「先做好還原準備，套用後親自確認」。比起更新本身，更常見的問題是更新後沒人確認，跑版的畫面就這樣放了好幾天。

拖了很久的更新一次全部套用，出問題時就很難找出是哪一個造成的。如果累積的更新很多，請分批套用，每套用一批就確認一次畫面。

1. 01先做一次完整備份。
2. 02閱讀更新說明，確認是安全性修正還是大版本變更。
3. 03可以的話，先在和正式網站一模一樣的測試環境中套用看看。
4. 04在客人少的時段套用到正式網站。
5. 05用手機和電腦親自點點看首頁・詢問表單・預約・付款。
6. 06記錄什麼時候更新了什麼。
7. 07出問題時就用備份還原，確認原因後再重新套用。

安全性更新一直拖，實際上會發生什麼事？

拖延更新的網站，會成為四處搜尋已知漏洞的自動程式的目標。攻擊者並不是鎖定特定店家，而是用機器大範圍掃描還留有漏洞的網站，掃到哪家就入侵哪家。

一旦被入侵，可能會在客人看不到的地方偷偷冒出廣告・賭博頁面，或被植入把客人導到其他網站的程式碼。這種狀態一旦被搜尋引擎發現，搜尋結果或瀏覽器就可能顯示危險警告。

如果客人的個人資料從詢問表單或會員資料外洩，問題就更大了。可能必須通知客人並向相關機關通報，付出的代價遠比拖延更新省下的時間大得多。

被駭的痕跡，老闆很難第一時間察覺。如果搜尋結果裡出現掛著自家網站名稱的陌生文章，或客人說「一點進去就跳到別的地方」，請馬上通知維護廠商。只要連結好Google Search Console，Google發現資安問題時就能收到通知。

除了更新，還要養成哪些資安習慣？

就算更新做得很好，如果管理員密碼太弱，就等於大門敞開。最好把帳號管理和更新綁在一起顧好。

好幾位員工共用同一個管理員帳號，也是常見的風險。不但無法知道誰改了什麼，員工離職時也很難更換密碼。可以的話，請替每個人分別建立帳號，只給必要的權限。

Google也建議網站管理員除了套用最新更新，還要使用安全的密碼。下面這些習慣幾乎不用花錢，效果卻很大。

• 管理員密碼設得長一點，不和其他網站共用
• 網域・主機・管理後台帳號都開啟兩步驟驗證
• 離職員工・前一家廠商的帳號立刻刪除
• 沒在用的外掛和佈景主題，不要只是停用，直接刪除
• 不要在店裡的公用電腦上保持管理員登入狀態

把網站資安交給廠商時，要問哪些問題？

光聽「我們會幫您做資安管理」，無法知道實際做了什麼。請具體問清楚頻率、緊急應變、紀錄分享、出事時的聯絡方式，並寫進合約或報價單。

如果已經懷疑被駭，請先通知廠商，也可以撥打KISA網路保護網的駭客・垃圾訊息・個資侵害諮詢專線118尋求協助。ISSYMO網站維護（訂閱）每個月都會套用安全性更新並留下備份。

• 定期更新多久做一次？
• 發布緊急資安公告時，幾天內會套用？
• 能不能收到更新紀錄？
• 更新後畫面跑版，修復要另外收費嗎？
• 懷疑被駭時，要聯絡誰、怎麼聯絡？