第 二 題

測試階段的安全控制措施包含以下 2 項：

1. 源碼檢測 (SAST)：利用靜態應用程式安全測試工具掃描程式碼，在不執行的情況下找出潛在的安全漏洞及不安全的寫法。
2. 弱點掃描及滲透測試 (DAST/Penetration Testing)：在測試環境中透過弱點掃描工具與白帽駭客技術，模擬真實攻擊手法以驗證系統的防禦能力。

依據指引，開發階段（Secure Coding / Development）常見的安全控制措施包含以下5項：

1. 實作安全輸入驗證 (Input Validation)：對所有使用者輸入資料進行驗證與過濾，防範注入攻擊。
2. 實作安全的身分驗證及授權機制：確保適當的通行碼複雜度、會話(Session)管理及權限管控機制。

部署與維運階段的安全控制措施包含以下 3 項：

1. 系統與網路安全組態基準化 (Secure Configuration / Hardening)：移除系統與伺服器預設的非必要服務，並採行最低權限原則進行設定。
2. 定期修補與更新 (Patch Management)：持續監控作業系統及第三方應用程式元件的安全通報，並定期套用安全性修補程式。