在印度，「VAPT」是安全測試的日常用語。客戶、合作夥伴、稽核人員與受監管的交易對手，常在簽訂合約、串接整合或核准上線之前要求提供「VAPT 報告」。這個用語結合了兩項工作：漏洞評估，廣泛找出已知弱點；滲透測試，深入檢驗這些弱點是否能被利用。本指南說明 VAPT 專案通常涵蓋的內容、如何合理確定範圍，以及在分享結果之前應檢查哪些事項。
服務簡介
漏洞評估（VA）部分涵蓋範圍廣。它結合自動化掃描與人工審查，在約定資產中找出缺少的修補程式、過時的元件、暴露的服務、薄弱的設定以及常見的 Web 問題。滲透測試（PT）部分則著重深度。測試人員針對選定目標（通常是 Web 應用程式、API 與行動應用程式）進行人工測試，驗證發現項目，並測試身分驗證、工作階段處理、角色之間的存取控制、資料外洩與業務邏輯。兩者結合，VA 提供涵蓋面，PT 則讓您確知哪些問題確實可被利用。VAPT 專案應以一份書面報告作結，報告記錄範圍、方法、依嚴重程度評等並附證據的發現項目、修復建議，以及在約定情況下修正後的複測結果。相關要求有時會提及 OWASP Top 10 或 OWASP 行動應用程式安全指引等框架；這些是測試人員關注內容的實用參考。
適用對象
VAPT 通常由以下各方提出或為其進行：
- SaaS、金融科技與電子商務團隊，其企業客戶在採購過程中要求提供近期的 VAPT 報告
- 正在與合作夥伴、銀行或金流服務商串接、而對方在整合前要求提供安全測試證據的企業
- 準備公開上線 Web 或行動應用程式的產品團隊
- 變更了代管、身分驗證或付款流程，希望取得獨立檢查的組織
有助釐清的問題
範圍明確的 VAPT 有助於釐清：
- 要求方實際希望測試哪些應用程式、API 與環境
- 相關要求是否指定某類稽核單位或資格，需要在選擇服務商之前加以確認
- 哪些發現項目是經驗證的風險，哪些只是掃描器的觀察結果
- 在能放心分享報告之前必須完成哪些修復
包含內容
- 向要求方取得書面的確切要求：資產、測試深度、報告格式以及對服務商的任何條件
- 列出目標：網域、應用程式 URL、API 基礎路徑、行動應用程式版本以及環境（預備環境或正式環境）
- 為每個使用者角色準備測試帳號，讓存取控制測試具有實際意義
- 確認書面授權、測試時段、指定聯絡人與停止條件
- 如代管、CDN 或 WAF 服務商的條款有所要求，事先通知對方
- 約定嚴重程度評等、報告格式以及證據的分享方式
- 預留修正發現項目的時間，並申請對約定問題進行複測
不包含內容
- 宣稱 VAPT 能使應用程式安全或合規
- 未對照具體要求進行核實，就宣稱某家服務商符合特定資格或入冊要求
- 未經擁有者許可測試第三方系統
- 關於某項具體規定要求的法律或監管建議
適用時機
當明確的交易對手提出要求、在重要上線之前，或在使用者登入、付款或存取資料的方式發生重大變更之後，請委託進行 VAPT。如果要求來自受監管的業務關係，請仔細閱讀相關要求：有些要求會指定經認可或入冊的稽核單位（在印度，部分監管機關與交易對手會提及 CERT-In 入冊稽核單位）、特定範圍或固定的測試週期。請先與要求方確認這些細節，因為與要求不符的報告可能需要重做。本文僅為一般資訊，不構成法律或監管建議。
我們的方法
以要求方的清單為起點，再加入對您業務風險最高的系統，即使沒有人問到這些系統。盡可能在與正式環境一致的預備環境中測試，如確需測試正式環境，請事先約定處理方式。我們的 Application Security Review 涵蓋 Web 應用程式與 API 測試，提供依嚴重程度分級的書面發現項目與修復建議；範圍更廣的多環境或網路範圍則透過我們的 Penetration Testing 服務處理。在這兩種情況下，範圍、授權與報告形式都會在工作開始前以書面方式確認。交付後，請先修正高風險與嚴重等級的發現項目，記錄對任何已接受風險的決定，並申請複測。接著分享執行摘要或修復狀態說明函，而非完整的技術報告，除非要求方確實需要這一層級的細節，並具備安全的接收方式。
常見問題
相關文章
立即開始
客戶或合作夥伴要求提供 VAPT 報告？
請告訴我們您收到的要求以及涉及的系統。我們將協助您確定能滿足該要求的範圍。
申請書面範圍說明