前期只做上线前的安全扫描是否足够？

你这个问题的一个关键点是外购系统，

一、在采购前必须考察厂商在安全方面的能力；

二、必须在合同上进行约束，发现安全问题厂商必须及时跟进处理；

三、上线前请第三方进行安全测试，是否满足上线要求以测试结果为准；

四、后续运维必须周期性安全检测，及时发现问题。

比较通用的系统，可以乌云查找一下，看看是否有人提交漏洞，个别系统安全性较差的或不重视安全的，乌云上报的也会多，一般不要采购这类公司的系统。