در گفت‌وگو با تیم‌های فناوری، یک جمله را زیاد می‌شنوم: «ابزار اسکن داریم، اما باز هم غافلگیر می‌شویم.» وقتی دقیق‌تر نگاه می‌کنیم، معمولاً یک اسکنر روی لپ‌تاپ یک نفر نصب است، اسکن هر چند ماه یک بار و بدون حساب کاربری اجرا می‌شود و خروجی آن گزارشی طولانی است که کسی فرصت خواندنش را ندارد.
مشکل در ابزار نیست؛ در فاصلهٔ میان «اسکنر» و «برنامهٔ مدیریت آسیب‌پذیری» است. گزارش State of Exploitation 2026 شرکت VulnCheck نشان می‌دهد حدود ۲۹ درصد آسیب‌پذیری‌هایی که در سال ۲۰۲۵ مورد بهره‌برداری قرار گرفتند، در همان روز انتشار CVE یا حتی پیش از آن هدف حمله بودند. با اسکن فصلی، چنین پنجره‌ای را نمی‌شود پوشش داد.
روند: نسبت به ماه گذشته وضع بهتر شده یا بدتر؟
مالکیت: رفع هر یافته با کدام تیم است و مهلتش کی تمام می‌شود؟
اولویت: از میان هزاران مورد، کدام‌ها همین هفته باید بسته شوند؟
پوشش: چه دارایی‌هایی هنوز هیچ‌وقت اسکن نشده‌اند؟
برای یک کارشناس یا مشاور، یک اسکنر تک‌کاربره کافی است.
اگر سایت‌ها و سرویس‌های رو به اینترنت هم با شماست، نسخه‌ای را انتخاب کنید که سطح بیرونی و وب را هم ببیند.
وقتی دارایی‌ها به چند صد می‌رسد و چند تیم مالک دارید، به پلتفرمی با چند اسکنر توزیع‌شده، نقش‌های جدا و داشبورد روند نیاز دارید.
برای اسکن یک حساب سرویس با حداقل دسترسی بسازید؛ اسکن بدون اعتبارنامه بخش بزرگی از مشکلات را نمی‌بیند.
برای هر گروه دارایی یک تیم مالک و مهلت رفع تعیین کنید.
دارایی‌های رو به اینترنت را جداگانه فهرست کنید؛ زیردامنه‌های فراموش‌شده نقطهٔ شروع بسیاری از نفوذها هستند.
مقایسهٔ کامل نسخه‌ها، جدول تصمیم و پنج اشتباه رایج خرید را در نسخهٔ کامل نوشته‌ام: Nessus Professional، Nessus Expert یا Tenable Security Center؟
— کاظم مرتضوی، مشاور مستقل امنیت شبکه
