歡迎來到 QNAP 信任中心

• 作業內容：全天候接收來自外部資安研究人員、客戶、Bug Bounty 平台或內部測試發現的資安疑慮與漏洞情資。
• 安全傳輸管道：提供專屬 OpenPGP 公鑰，確保通報內容與概念驗證 (PoC) 程式碼具備高度機密性。
• SLA 承諾：專責資安團隊排班待命，承諾於 24–72 小時內完成初步審查並發送人工確認回覆。

關鍵產出：建立事件追蹤編號，指派資安專家專案跟進。

• 作業內容：資安專家於隔離沙盒環境重現漏洞情境，精準評估受影響的產品型號、韌體版本與系統模組。
• 國際評分標準：參考 CVSS (Common Vulnerability Scoring System) 評分，並綜合實際部署情境評定 Critical／High／Medium／Low 處置等級，決定修復優先序與處理時程。
• 協調揭露與 CVE 指派：定調修復優先級與處置時程，並於 QNAP 產品範圍 (CNA Scope) 內獨立審查與指派。

關鍵產出：確定修復優先級與內部處理時程。一般案件於 24–72 小時內發出人工確認；經判定為高危者優先處理，於 9 小時內完成初步評估與影響範圍確認。

• 作業內容：研發團隊開發安全性更新與 Hotfix；資安團隊進行二次滲透測試與驗證，確保修補有效且不影響系統穩定度。
• 雙重驗證機制：進行攻擊模擬與迴歸測試 (Regression Testing)，確保修補徹底且未引入新風險。
• 跨平台相容性測試：針對受影響的多個主流 OS 平台與 App 模組，進行完整打包與 QA 測試。

關鍵產出：通過 QA 驗證的安全韌體版本 / 應用程式更新包。

如修補過程涉及第三方/開源元件依賴或重大架構調整，將優先提供臨時防禦措施，並依實際驗證狀況彈性調整最終 Patch 釋出時間。

• 作業內容：發布官方 QNAP Security Advisory (SA) 資安通告，載明漏洞細節、緩解措施與更新建議，並主動推送更新通知。
• 全球資訊同步：作為 CVE Numbering Authority (CNA)，QNAP 於自身產品範圍內指派 CVE 識別碼，並將 CVE Record 發布至 CVE Program (cve.org)；供美國 NVD 等全球漏洞資料庫據以收錄。
• 即時防護與安全指引：針對高風險資安事件，在韌體更新完成前，QNAP 將優先透過 Malware Remover 更新惡意軟體定義，進行自動化掃描與惡意程式清除，並經由 Security Counselor 提供即時安全策略指引，確保設備在最短時間內獲得主動防禦。

關鍵產出：Security Advisory 官方資安公告、Security Advisory 郵件主動派發、Malware Remover 惡意軟體定義更新、CVE Record 國際漏洞資料庫同步紀錄。

• 作業內容：進行事件根因分析 (RCA)，將處理經驗回饋至軟體開發生命週期 (DevSecOps)，並向資安貢獻者表達謝意。
• 防線優化閉環：將已知漏洞特徵轉化為自動化靜態 (SAST) 與動態 (DAST) 掃描規則，落實資安左移 (Shift-Left)。
• 外部致謝：將貢獻漏洞的資安研究人員列入 QNAP 官網名人榜 (Hall of Fame) 誌謝。

關鍵產出：RCA 根因分析報告、DevSecOps 掃描規則庫更新、Hall of Fame 誌謝名單。