漏洞资产化治理

第三方组件漏洞必须纳入资产台账管理，否则每一次安全扫描都是在打盲牌，真正出问题时连“影响范围”都说不清，不做台账管理的组织,通常会有类似遭遇：某天开发组长说某个开源库出了高危漏洞，建议升级，运维翻遍手里的清单，发现根本不知道这套系统里装了哪些组件、对应什么版本，最后只能全量排查，耗时一周，期间业务系统还得照常跑……