為什麼組織知道有漏洞，卻不願意揭露？

在 API Key 的串文裡，我寫到另一個讓我在意的問題：技術人員發現風險之後，組織是否有動機把它說清楚？

我們常把事件處理想成一條直線：發現、通報、修復、說明。但實際上，每一個環節都有不同的人承擔成本。如果發現問題的人先被追究為什麼惹出麻煩，通報管道就可能在下一次事件之前失去作用。

知道問題的人，不一定有權處理

以下是一個用來討論的假想情境。

某個服務的工程師發現，過大的憑證權限可能讓外洩造成嚴重損失。他能修程式，但沒有權限要求所有客戶更換 key，也不能代表公司發公告。客服擔心客訴，業務擔心續約，主管擔心外界認為產品不可靠。

每個部門都可能有可以理解的顧慮。然而，如果最後只有提出問題的人承擔立即可見的代價，組織就會鼓勵大家等待，甚至希望事情不要被看見。

這是我在原文裡批評的誘因問題。它不需要假設每個人都有惡意，也可能發生。

修補漏洞之後，使用者是否還需要撤銷憑證、檢查使用紀錄或處理其他影響？如果需要，使用者就必須取得足以行動的資訊。

我認為對外說明至少應該分開：已確認的事實、仍在調查的範圍、已完成的處置，以及使用者現在可以做什麼。尚未確定的部分可以明說，不必為了讓聲明看起來完整而過早下結論。

反過來，揭露也不等於把所有可被濫用的細節立即公開。什麼資訊需要先給受影響的人、什麼時候適合公開技術分析，需要按風險安排。

如果要改變這種局面，我會從權責開始問：誰負責接收通報？誰能批准緊急修復？需要哪些證據才能升級處理？技術、客服和管理層如何共享同一份事件紀錄？

對發現問題的工作給予合理評價，也很重要。把每次通報都當成某個人的失敗，容易讓未來的問題停留在私下抱怨；承認提早發現的價值，才可能讓組織更早知道自己正在承擔什麼。

本文整理的是我對組織誘因的看法。原串文提到的個別事件與法律責任，沒有在這裡作事實認定。法律通報義務應依事件、資料類型和適用法規另行確認。