§4
E187-G4 端點保護（Endpoint Protection）
5.5 弱點緩解（Vulnerability Mitigation）
官方代號：E187.00-RQ-00005-00 判定選項：符合／不符合／不適用
摘要：確認已執行涵蓋整台設備的弱點掃描並有完整報告，弱點已分級且最嚴重等級均已修復或緩解。
Summary: Confirm a vulnerability scan covering the whole equipment has been performed with a complete report, vulnerabilities are rated, and all highest-severity ones are fixed or mitigated.
查核依據文件：設備弱點掃描報告（必須）、弱點管理機制說明文件（必須）
- 5.5.1 查核人員應確認待查核設備已執行弱點掃描，並檢視弱點掃描報告，是否包含下列事項：
a. 已執行弱點掃描，並顯示掃描結果，以及通過標準；
b. 掃描工具名稱及版本；
c. 掃描覆蓋範圍、掃描設定和掃描日期。
若是，則續查 5.5.2；若否，則紀錄為【不符合】；依據 5.3 查核結果，確認設備不具備連網功能，即完成本項查核紀錄為【不適用】。
- EN：The assessor confirms that a vulnerability scan has been performed on the equipment and reviews whether the scan report includes:
a. evidence that the scan was performed, the scan results and the pass criteria;
b. the scanning tool name and version;
c. the scan coverage, scan settings and scan date.
If yes, continue to 5.5.2; if not, record [Non-compliant]. If 5.3 established that the equipment has no network capability, this item is complete and recorded as [Not applicable].
- 交付物：設備弱點掃描報告。／Deliverable: Equipment vulnerability scan report.
- 須呈現：掃描結果與通過標準；工具名稱、版本與弱點資料庫更新日；掃描範圍涵蓋整台設備、掃描設定；掃描日期不晚於查核基準日；執行方式（申請者自行／實驗室執行／實驗室監督）。／Must show: scan results and pass criteria; tool name, version and vulnerability database update date; coverage of the whole equipment and scan settings; scan date no later than the validation reference date; who performed it (applicant, laboratory, or applicant under laboratory supervision).
- Note1：弱點掃描執行方式，得採下列方式之一：
• 由申請者自行執行(提供弱點掃描報告予檢測實驗室)；
• 由檢測實驗室執行；
• 由申請者於檢測實驗室監督下執行。
- Note2：針對 Note1 第一點所述情境，檢測實驗室應記錄未由檢測實驗室執行或未由申請者於檢測實驗室監督下執行之原因。
- Note3：針對 Note1 第三點所述情境，檢測實驗室應確認並紀錄掃描工具、掃描設定與掃描範圍，並留存相關監督紀錄作為查核佐證資料。
- Note4：查核人員應確認弱點掃描工具之版本及其所使用之弱點資料庫，於執行掃描時已完成最近一次可取得之更新，或其更新狀態足以合理反映查核基準日當時已知之主要資安弱點；
如非即時更新，申請者應能說明其更新頻率與合理性。
- Note5：查核人員於評估弱點掃描工具之適用性時，得參考第三方專業社群或研究機構（如 OWASP、Gartner 等）所公布之工具資訊，作為判斷該掃描工具功能完整性與成熟度之輔助依據。
- Note6：掃描範圍應包含當次待查核設備之設備全部，得經由5.4.1所取得文件進行確認。
- Note7：弱點掃描之執行日期，應早於或等於查核基準日，且其所使用之弱點資料庫更新狀態，應符合前述Note4所述之更新合理性要求。
- 5.5.2 查核是否為所有弱點建立嚴重性分級機制；且所有最嚴重等級弱點，均已修復或執行緩解措施。
若是，即完成本項查核紀錄為【符合】；若否，則紀錄為【不符合】。
- EN：Confirm that a severity rating scheme is applied to all vulnerabilities and that all vulnerabilities of the highest severity have been fixed or mitigated.
If yes, this item is complete and recorded as [Compliant]; if not, record [Non-compliant].
- 交付物：弱點管理機制說明文件、弱點處理清單。／Deliverable: Vulnerability management mechanism documentation and vulnerability remediation list.
- 須呈現：採用之分級方法（例：CVSS 及其版本）；各最嚴重等級弱點之修復或緩解措施；緩解措施經內部權責人員簽核。／Must show: rating method used (e.g. CVSS and its version); fix or mitigation for each highest-severity vulnerability; internal sign-off on mitigations.
- Note8：弱點分級可參考常見之弱點評分或分級方法（如 CVSS 等），或依弱點掃描工具所採用之分級規則進行判斷。若採用之分級方法或其版本非屬目前普遍使用之作法，查核人員應檢視其分級邏輯與評估依據，以確認其於查核基準日當時具備合理性與一致性。
- Note9：如採用緩解措施，查核人員應確認緩解措施經申請者內部權責人員簽核確認，並符合查核時的資安技術水準。
5.6 惡意軟體掃描（Malware Scanning）
官方代號：E187.00-RQ-00006-00 判定選項：符合／不符合
摘要：確認已執行涵蓋整台設備的惡意軟體掃描並有完整報告，掃描結果已分析且問題均已修復或緩解。
Summary: Confirm a malware scan covering the whole equipment has been performed with a complete report, the results are analysed, and all findings are fixed or mitigated.
查核依據文件：設備的安全指南或使用者文件（必須）、惡意軟體掃描(Malware Scan)報告（必須）、惡意軟體掃描管理機制說明文件（必須）
- 5.6.1 查核人員應確認待查核設備已執行惡意軟體掃描（Malware Scan），並檢視惡意軟體掃描報告，是否包含下列事項：
a. 已執行惡意軟體掃描，並顯示掃描結果及其判定依據，例如：是否偵測到惡意軟體、偵測結果之處置狀態，以及申請者用以判斷設備是否符合資安要求之標準或原則；
b. 掃描工具名稱及版本；
c. 掃描覆蓋範圍、掃描設定和掃描日期。
若是，續查 5.6.2；若否，則紀錄為【不符合】。
- EN：The assessor confirms that a malware scan has been performed on the equipment and reviews whether the malware scan report includes:
a. evidence that the scan was performed, the results and the basis for judgement, e.g. whether malware was detected, how detections were handled, and the criteria the applicant uses to decide whether the equipment meets security requirements;
b. the scanning tool name and version;
c. the scan coverage, scan settings and scan date.
If yes, continue to 5.6.2; if not, record [Non-compliant].
- 交付物：惡意軟體掃描（Malware Scan）報告、惡意軟體掃描管理機制說明文件。／Deliverable: Malware scan report and malware scan management mechanism documentation.
- 須呈現：偵測結果、處置狀態與判定標準；工具名稱、版本與病毒碼更新日；掃描範圍涵蓋整台設備、掃描設定；掃描日期不晚於查核基準日；執行方式。／Must show: detection results, handling status and judgement criteria; tool name, version and signature update date; coverage of the whole equipment and scan settings; scan date no later than the validation reference date; who performed it.
- Note1：惡意軟體掃描之執行方式，得採下列方式之一：
• 由申請者自行執行(提供惡意軟體掃描報告予檢測實驗室)；
• 由檢測實驗室執行；
• 由申請者於檢測實驗室監督下執行。
- Note2：針對 Note1 第一點所述情境，檢測實驗室應記錄未由檢測實驗室執行或未由申請者於檢測實驗室監督下執行之原因。
- Note3：針對 Note1 第三點所述情境，檢測實驗室應確認並紀錄掃描工具、掃描設定與掃描範圍，並留存相關監督紀錄作為查核佐證資料。
- Note4：查核人員應確認惡意軟體掃描工具之版本，以及其所使用之病毒碼或惡意程式資料庫，於執行掃描時已完成最近一次可取得之更新，或其更新狀態足以合理反映查核基準日當時已知之主要惡意軟體威脅；如非即時更新，申請者應能說明其更新頻率與合理性。
- Note5：查核人員於評估惡意軟體掃描工具之適用性時，得依據設備所使用之作業系統，參考第三方測試或評測機構（如 AV-Comparatives、AV-Test.Org 等）所公布之資訊，作為判斷該掃描工具防護能力與成熟度之輔助依據。
- Note6：掃描範圍應包含當次待查核設備之設備全部，可經由5.4.1所取得文件進行確認。
- Note7：惡意軟體掃描之執行日期，應早於或等於查核基準日，且其所使用之病毒碼或惡意程式資料庫更新狀態，應符合前述 Note4 所述之更新合理性要求。
- 5.6.2 查核申請者是否已分析掃描結果，且所有問題均已修復或執行緩解措施。
若是，即完成本項查核紀錄為【符合】；若否，則紀錄為【不符合】。
- EN：Confirm that the applicant has analysed the scan results and that all findings have been fixed or mitigated.
If yes, this item is complete and recorded as [Compliant]; if not, record [Non-compliant].
- 交付物：掃描結果分析紀錄、處置紀錄。／Deliverable: Scan result analysis and remediation records.
- 須呈現：每項偵測結果之分析結論與修復或緩解措施；緩解措施經內部權責人員簽核。／Must show: analysis conclusion and fix or mitigation for each finding; internal sign-off on mitigations.
- Note8：如採用緩解措施，查核人員應確認緩解措施經申請者內部權責人員簽核確認，並符合查核時的資安技術水準。
5.7 反惡意軟體保護（Anti-Malware Protection）
官方代號：E187.00-RQ-00007-00 判定選項：符合／不符合
摘要：確認文件描述相容的反惡意軟體方案（防毒或應用程式允許清單）及其預設與建議設定，且依設定啟用後設備運作正常。
Summary: Confirm the documentation describes a compatible anti-malware solution (antivirus or application allow-listing) with default and recommended settings, and the equipment operates normally with it enabled.
查核依據文件：設備的安全指南或使用者文件（必須）
- 5.7.1 檢查設備的安全指南或使用者文件，並查核其中是否描述相容的反惡意軟體解決方案，包括預設設定和建議設定。
若是，續查 5.7.2；若否，則紀錄為【不符合】。
- EN：Review the equipment security guide or user documentation and confirm that it describes a compatible anti-malware solution, including its default and recommended settings.
If yes, continue to 5.7.2; if not, record [Non-compliant].
- 交付物：設備安全指南或使用者文件（反惡意軟體章節）。／Deliverable: Equipment security guide or user documentation (anti-malware section).
- 須呈現：相容之反惡意軟體方案名稱與版本（防毒或應用程式允許清單）；預設設定與建議設定；已知誤判或須排除掃描之程式與資料夾。／Must show: name and version of the compatible solution (antivirus or application allow-listing); default and recommended settings; known false positives or programs and folders to exclude from scanning.
- Note1：反惡意軟體解決方案，包括(但不限於)防毒軟體或應用程式允許清單（Application Allow List）控制機制。
- 5.7.2 透過查核確認，根據安全指南或使用者文件中的預設設定和建議設定操作，指定的相容反惡意軟體解決方案是否與設備正常運作。
若是，即完成本項查核紀錄為【符合】；若否，則紀錄為【不符合】。
- EN：Confirm that, when operated according to the default and recommended settings in the security guide or user documentation, the specified compatible anti-malware solution works with the equipment operating normally.
If yes, this item is complete and recorded as [Compliant]; if not, record [Non-compliant].
- 交付物：反惡意軟體方案啟用狀態截圖、運作測試紀錄；必要時之效能評估或測試報告。／Deliverable: Screenshots of the anti-malware solution enabled and operational test records; performance evaluation or test reports where needed.
- 須呈現：方案已依文件設定啟用；啟用後設備功能正常運作；未列於第三方評測者之防護效能佐證。／Must show: the solution is enabled per the documented settings; the equipment functions normally with it enabled; evidence of protection effectiveness if the solution is not covered by third-party testing.
- Note2：如設備採用防毒軟體作為反惡意軟體解決方案，該防毒軟體與設備中所用應用程式有已知誤判（例如無毒判斷為有毒）情形，或特定應用程式或資料夾掃毒後可能引起系統運作問題者，申請者應於安全指南或使用者文件予以明文標示。
- Note3：查核人員於評估設備所採用之反惡意軟體保護解決方案時，得依據設備所使用之作業系統，參考第三方測試或評測機構，如 AV-Comparatives、AV-Test.Org等，所公布之資訊，作為判斷該解決方案防護能力與成熟度之輔助依據。
- Note4：如申請者所採用之反惡意軟體保護解決方案未列於前述第三方評測資訊中，申請者得視實際情形，提供其他可合理說明其防護效能與適用性之資料（例如效能評估報告、測試報告或相關技術文件），供查核人員於整體判斷時參考。
5.8 系統強化 (Hardening)（System Hardening）
官方代號：E187.00-RQ-00008-00 判定選項：符合／不符合
摘要：確認有系統強化說明或預設狀態清單（I/O 介面、作業系統服務、最低必要功能、實施方式），且設備預設狀態與其一致。
Summary: Confirm a system hardening guide or default-state list exists (I/O interfaces, OS services, minimum required functions, implementation guidance) and the equipment default state matches it.
查核依據文件：設備的安全指南或使用者文件（必須）
- 5.8.1 檢查設備的安全指南或使用者文件，並查核其中是否包含設備系統強化（System Hardening）說明或預設狀態清單，且其中需描述安裝、操作和維護設備時，應遵守的強化指南、說明、安全配置選項和建議設定。
若是，續查 5.8.2；若否，則紀錄為【不符合】。
- EN：Review the equipment security guide or user documentation and confirm that it includes system hardening guidance or a default-state list describing the hardening guidelines, instructions, security configuration options and recommended settings to follow when installing, operating and maintaining the equipment.
If yes, continue to 5.8.2; if not, record [Non-compliant].
- 交付物：系統強化說明文件或預設狀態清單。／Deliverable: System hardening guide or default-state list.
- 須呈現：I/O 介面管理（如停用未使用 USB 埠）；停用之作業系統服務與工具；設備運作所需之最低服務；不中斷運作的實施方式；參考之基準（如 CIS Benchmarks、SCAP）。／Must show: I/O interface control (e.g. disabling unused USB ports); OS services and tools disabled; minimum services the equipment needs; how to apply hardening without disrupting operation; baseline referenced (e.g. CIS Benchmarks, SCAP).
- Note1：申請者提供之設備系統強化說明，內容至少應包含下表「強化領域」所列事項：
強化領域預期內容
輸入/輸出介面管理描述 I/O 埠口的控制措施（例如在不需要時停用 USB 埠口）
作業系統服務與工具識別並停用未使用的作業系統服務、工具或背景程序
最低要求功能配置描述設備功能所需的作業系統服務
實施指南說明如何在不中斷設備運作的情況下應用強化措施
- Note2：申請者可參考已被廣泛認可的安全框架，例如CIS Benchmarks（網際網路安全中心基準）、SCAP Frameworks（安全內容自動化協定）等，建立適用於設備的系統強化基準設定（Baseline Secure Configuration）。
- 5.8.2 透過查核確認，設備的預設狀態，是否與前述設備系統強化說明或預設狀態清單一致。
若是，即完成本項查核紀錄為【符合】；若否，則紀錄為【不符合】。
- EN：Confirm that the default state of the equipment is consistent with the system hardening guidance or default-state list.
If yes, this item is complete and recorded as [Compliant]; if not, record [Non-compliant].
- 交付物：設備實機設定比對紀錄（服務清單、I/O 設定截圖或指令輸出）。／Deliverable: Comparison records of actual equipment settings (service list, I/O setting screenshots or command output).
- 須呈現：實機預設狀態逐項與強化說明一致；不一致項目之說明。／Must show: item-by-item match between the default state and the hardening guide; explanation of any mismatch.
5.9 存取控制機制-帳號識別（Access Control - Account Identification）
官方代號：E187.00-RQ-00009-00 判定選項：符合／不符合
摘要：確認所有可存取介面都需識別與認證使用者，未登入不可操作，管理員與一般帳號分離，訪客帳號預設停用。
Summary: Confirm every accessible interface identifies and authenticates users, nothing is operable before login, administrator and regular accounts are separated, and guest accounts are disabled by default.
查核依據文件：設備的安全指南或使用者文件（必須）
- 5.9.1 檢查待查核設備的安全指南或使用者文件，查核其中是否包含設備中的所有可存取介面（包含作業系統及設備層級介面）及其所對應的裝置列表。
若是，續查 5.9.2；若否，則紀錄為【不符合】。
- EN：Review the equipment security guide or user documentation and confirm that it lists all accessible interfaces of the equipment (both operating system and equipment level) and the corresponding devices.
If yes, continue to 5.9.2; if not, record [Non-compliant].
- 交付物：設備安全指南或使用者文件（存取介面章節）。／Deliverable: Equipment security guide or user documentation (access interface section).
- 須呈現：作業系統層與設備層所有可存取介面及對應裝置清單；含 USB 等實體介面。／Must show: all accessible interfaces at OS and equipment level and the corresponding devices, including physical interfaces such as USB.
- 5.9.2 依據 5.9.1 查核結果，實際檢視待查核設備，查核下列事項：
a. 設備是否可以在所有可存取介面（作業系統或設備）上，識別（Identify）和認證（Authenticate）所有用戶，且不得存在未經申請者說明，或無法對應其技術文件之帳號、群組或權限設定。
b. 未執行登入識別前，所有可存取介面（作業系統或設備）上的操作功能均須保持不可操作狀態。
c. 至少應查核管理員帳號與一般使用者帳號分離（Separated），並使用不同的登入憑證（Login Credentials）。
d. 如有訪客（guest）帳號或任何未經驗證的帳號（non-authenticated accounts）應予預設停用（disabled）。
若是，即完成本項查核紀錄為【符合】；若否，則紀錄為【不符合】。
- EN：Based on 5.9.1, inspect the equipment and confirm:
a. the equipment can identify and authenticate all users on every accessible interface (OS or equipment), with no account, group or permission setting that the applicant has not explained or that cannot be traced to its technical documentation;
b. before login, no operating function on any accessible interface (OS or equipment) is usable;
c. at minimum, administrator accounts are separated from regular user accounts and use different login credentials;
d. any guest account or non-authenticated account is disabled by default.
If yes, this item is complete and recorded as [Compliant]; if not, record [Non-compliant].
- 交付物：帳號與群組清單、登入畫面截圖、系統帳號用途說明。／Deliverable: Account and group list, login screen screenshots, and description of system account purposes.
- 須呈現：各介面登入前不可操作；管理員與一般帳號分離且憑證不同；訪客及未驗證帳號為停用；系統與服務帳號之用途與權限範圍；實體介面保護措施。／Must show: no interface is operable before login; administrator and regular accounts are separate with different credentials; guest and non-authenticated accounts are disabled; purpose and scope of system and service accounts; physical protection of physical interfaces.
- Note1：申請者識別和認證可能是基於角色的或基於群組的（Role-Based or Group-Based），例如於部分設備介面中，允許多名使用者共用相同之身份識別。
- Note2：本項所稱帳號、群組或權限，包含使用者帳號及系統內建帳號。對於作業系統或設備正常運作所需之系統帳號、服務帳號或內建角色，申請者得以技術文件或合理說明方式揭露其用途與權限範圍，無須於使用者操作文件中逐一列示。
- Note3：設備的實體可存取介面，例如USB接口，應有實體保護措施，以避免未授權存取。
5.10 存取控制機制-權限管理（Access Control - Privilege Management）
官方代號：E187.00-RQ-00010-00 判定選項：符合／不符合
摘要：確認帳號管理支援權責分離與最小特權，API 與裝置使用者也受授權管理，且設備實際狀態與文件相符。
Summary: Confirm account management supports segregation of duties and least privilege, APIs and device users are also subject to authorization, and the actual equipment state matches the documentation.
查核依據文件：設備的安全指南或使用者文件（必須）、API相關技術文件（如需）
- 5.10.1 檢查待查核設備的安全指南或使用者文件，並查核其中是否說明帳號管理設定（Account Management Configuration），並至少應支援權責分離（Segregation of duties）與最小特權（Least privilege）原則。
若是，續查 5.10.2；若否，則紀錄為【不符合】。
- EN：Review the equipment security guide or user documentation and confirm that it describes the account management configuration and supports at least the principles of segregation of duties and least privilege.
If yes, continue to 5.10.2; if not, record [Non-compliant].
- 交付物：設備安全指南或使用者文件（帳號管理章節）。／Deliverable: Equipment security guide or user documentation (account management section).
- 須呈現：角色與權限層級對照；權責分離與最小特權之實作方式；高權限帳號僅配置於必要角色。／Must show: mapping of roles to privilege levels; how segregation of duties and least privilege are implemented; high-privilege accounts limited to necessary roles.
- Note1：可作為權責分離與最小特權原則之實作或說明方式者，包含但不限於：設備設定具不同權限層級之角色帳號、不同角色帳號之權限範圍具差異性、管理員或具高度權限之帳號僅配置於必要之角色，以及角色或帳號之設定具備可識別性等。
- Note2：其他帳號管理設定可能的內容包括(但不限於)：強化指南、設定說明、安全配置選項和建議設定等。
- 5.10.2 查核待查核設備是否支援應用程式介面（Application Programming Interface，API）或將裝置（Devices）視為使用者。
若是，則查核待查核設備能強制對 API 和裝置進行使用者授權管理，以紀錄相關作業歷程。
若是，續查 5.10.3；若不支援，則於查核文件中應予紀錄；若否，則紀錄為【不符合】。
- EN：Determine whether the equipment supports an Application Programming Interface (API) or treats devices as users.
If so, confirm the equipment enforces user authorization for APIs and devices so that the related activity is recorded.
If yes, continue to 5.10.3; if not supported, note this in the validation documents; if not, record [Non-compliant].
- 交付物：API 相關技術文件（規格、通訊方式、存取控制或授權機制說明）。／Deliverable: API technical documentation (specification, communication method, access control or authorization mechanism).
- 須呈現：API 與裝置使用者之授權方式；授權後之作業歷程紀錄；如不支援 API 之明確聲明。／Must show: how APIs and device users are authorized; activity records after authorization; or an explicit statement that no API is supported.
- Note3：如待查核設備具備應用程式介面（API）功能，查核人員應檢視申請者所提供之相關技術文件（例如 API 規格說明、通訊方式、存取控制或授權機制說明），以確認其設計符合本項要求。
- 5.10.3 依據 5.10.1 與 5.10.2 查核結果，實際檢查設備，確認設備實際狀態是否與設備的安全指南或使用者文件描述相符。
若是，即完成本項查核紀錄為【符合】；若否，則紀錄為【不符合】。
- EN：Based on 5.10.1 and 5.10.2, inspect the equipment and confirm that its actual state matches the description in the security guide or user documentation.
If yes, this item is complete and recorded as [Compliant]; if not, record [Non-compliant].
- 交付物：實機角色與權限設定截圖、API 授權實測紀錄。／Deliverable: Screenshots of actual role and permission settings, and API authorization test records.
- 須呈現：實際角色權限與文件描述一致；未授權之 API 或裝置請求被拒絕。／Must show: actual role permissions match the documentation; unauthorized API or device requests are rejected.