Categories
QNAP 構築主動防禦架構
QNAP 於 2026年正式取得 IEC 62443-4-1 認證，這是工業控制系統領域最嚴格的安全開發生命週期標準，台灣硬體廠商中少數取得者。多年來，QNAP 也透過 Bounty Program 擴編、Pwn2Own 世界級競賽參與、Viettel Cyber Security 紅隊滲透測試與驗證完成、國家資通安全研究院合作，以及 SBOM（軟體物料清單）與 DevSecOps 的全面導入，從研發源頭注入安全核心，構築「主動防禦」的全新架構。
取得 IEC 62443-4-1 認證，意味著通過了高度檢驗的安全開發流程審計。
IEC 62443-4-1 是由國際電工委員會（IEC）制定的工業自動化與控制系統（IACS）資安標準體系中的一個子部分，專門規範「產品的安全開發生命週期要求」（Product Security Development Life-cycle Requirements）。
這份標準的審計對象不是產品本身，而是開發流程。具體涵蓋八個面向：安全管理、安全需求定義、安全設計、安全實作指引、安全驗證與確認測試、安全議題管理、安全更新管理，以及安全指引文件。每一個面向都必須提供可追溯的文件與執行紀錄，由獨立認證機構審查後核發。
取得 IEC 62443-4-1 認證，代表 QNAP 的產品開發流程已符合工業控制系統等級的安全要求，並獲得第三方機構的正式背書。此標準源自工業自動化與關鍵基礎設施領域，其要求比一般 IT 產品認證更為嚴格，不僅代表 QNAP 在研發管理上的成熟度，更是企業面對歐盟網路韌性法案（Cyber Resilience Act, CRA）等新一代國際資安法規的重要合規基石。
2025 年：把承諾變成制度
QNAP 將資安承諾，變成了可執行的制度，將「快速反應」成為日常的流程。
QNAP PSIRT（產品安全事件應變團隊）在收到高危漏洞通報後，9 小時內完成調查、14 小時內完成修復、24 小時內完整結案。2025 全年共指派逾 224 個 CVE ID（Common Vulnerabilities and Exposures），貢獻於全球資安資料庫，且所有 Critical 等級弱點在 1 週內修復完畢。這是 SLA（服務水準協議），也是 QNAP 對所有客戶的承諾。
而 SBOM（Software Bill of Materials，軟體物料清單）正式導入，確保軟體元件透明安全，並攜手優良供應商從源頭管理風險，實踐對數據安全的最高承諾。
2026 年：QNAP 偕同外部夥伴一同驗證資安成果
除了內部制度的建立與完善，QNAP 也與外部夥伴積極合作，讓資安專業機構來驗證制度的有效性與產品的安全性。
QNAP 在 2026 年取得 Viettel Cyber Security（VCS）頒發的「Cyber Security Certificate of Completion」。VCS 是多屆 Pwn2Own 冠軍、擁有近 500 項零時差漏洞研究成果的亞洲頂尖資安機構。測試對象是 QuTS hero 作業系統——QNAP 企業級 NAS 的核心，奠基於高可靠的 ZFS 檔案系統。所有測試期間識別的弱點，在認證前全數修復並通過驗證。
QNAP 也積極參與由數位部資安署指導、國家資通安全研究院（NICS）主辦的「產品資安漏洞獵捕計畫」，測試範圍涵蓋旗下產品 ADRD NDR（網路偵測及應變）與 QHora 系列次世代路由器，同時 QuTS hero 系統在嚴苛測試中展現出高度的架構穩定性。
與此同時，Bounty Program（漏洞獎勵計畫）的規模顯著擴張：超過 151 位來自全球的外部安全研究員參與，一年就累積發出逾 US$88,000 獎金。QNAP 也連續多年參與 Pwn2Own 國際資安競賽——這是全球公認最高規格的即時攻擊挑戰——並在 2024 年贊助趨勢科技旗下的 Zero Day Initiative（ZDI）實驗室。這些成果顯示，QNAP 已經成為零時差漏洞研究社群的主動參與者，讓資安防護不再只是內部的自我檢測，而是與全球資安專業社群共同維護。
取得認證只是一個里程碑，而維持資安高標準是持續不斷的進程。
QNAP 持有 ISO 27001（資訊安全管理）、ISO 27017（雲端安全控制）、ISO 27018（雲端個人資料保護），再加上 IEC 62443-4-1，形成從組織管理到產品開發到雲端服務的完整認證框架。AI 輔助 Code Review 與弱點掃描已整合進 CI/CD 流程，GenAI 生成程式碼的審查 SOP 也已建立。
資安威脅的演化不會停，QNAP 對資安的承諾也不會停。
常見問答 FAQ
Q1：QNAP Bounty Program 怎麼參與？
外部安全研究員可透過 Bounty Program 提交漏洞回報。QNAP 根據漏洞嚴重等級發放獎金，Critical 等級漏洞會在 1 週內完成修復並通知回報者。
Q2：如何防範 NAS 勒索軟體？QNAP 給用戶的資安防護建議有哪些？
資安沒有百分之百的絕對，但能透過良好的防護習慣將風險降至趨近於零。我們強烈建議用戶落實以下三大核心行動：
- 安全遠端存取：切勿將 NAS 直接暴露在公網。請務必關閉路由器 UPnP 自動連接埠轉發功能、避免使用預設連接埠編號；使用 VPN 或 myQNAPcloud Link 進行安全的遠端存取。(閱讀 Blog)
- 落實基礎防護：務必啟用 2FA（雙重驗證），嚴格遵守「3-2-1 備份原則」，並定期執行還原演練，確保備份隨時可用。
- 使用不可變性儲存 (Immutability)：選擇 QuTS hero NAS 或 myQNAPcloud One 雲端空間，建立 WORM 資料夾或不可變快照。它能強行鎖定檔案，在預先設定的保留期限內，任何惡意軟體或人員皆無法竄改內容。
Q3：除了取得 IEC 62443-4-1 認證，QNAP 如何協助企業應對歐盟 CRA 等新一代國際資安法規？
因應歐盟網路韌性法案（Cyber Resilience Act, CRA）正式推動，QNAP 亦建立專屬的 QNAP CRA 資安事件通報平台。若您在部署或運營 QNAP 解決方案時發現遭主動利用之漏洞或已確認之重大資安事件，皆可經由此官方窗口進行通報。我們的 PSIRT 團隊將第一時間啟動安全應變機制。
本文之部分文字與影像素材係透過 AI 技術輔助生成，並經由作者檢視與審核，以確保內容品質。
