資安事件的真相：部分事件的問題，不只在攻擊技術，也在交接沒做好

提到資安事件，不少人第一個想到的是高手駭客。

但仔細看近期的案例，真相常常沒那麼戲劇化。

數位發展部資通安全署在 2026/09/18 發布的《資通安全網路月報（115 年 8 月）》中，揭露一起機關事件：一台已經超過原廠支援期限（EOS）的防火牆，遭攻擊者入侵。資安署指出，業務接手單位承接業務後，未落實資產盤點及持續追蹤設備維護與汰換狀況，以致未掌握該防火牆的使用年限和原廠支援狀況。問題不只是設備老舊，也在接手之後，沒有人盤點、追蹤這台設備。

一台沒人盤點、追蹤的設備，就可能成為破口。

資產盤點，是把公司有哪些設備、系統與帳號，分別由誰負責、用到什麼時候，列成一張清單並定期更新。

01 / 課程導覽我們同意資安日的倡議：資安要從日常做起

2026/09/21 國家防災日，台灣數位信任協會發起首屆「台灣資安日」，並與資安署、調查局、刑事警察局及多家企業與產業組織合作（據 iThome 2026/09/21 報導），希望把實體防災的觀念延伸到數位環境。

我們很同意，也想替企業補上一句：資安的防線，不在機房，在每一次交接、每一個帳號、每一份被貼進工具裡的資料。

02 / 課程導覽以為「我們很小，不會被盯上」

資安署 2026/07/27 發布的新聞稿指出，2026 年截至 7 月 22 日，另有至少 5 家企業公開揭露曾遭勒索病毒攻擊，產業橫跨造紙、生技製造、半導體設備及電子零組件。攻擊的對象不只是科技大廠。

對中小企業來說，一次資安事件的代價常常是：

• 系統停擺，訂單出不去、帳收不回來。
• 客戶資料外洩，要花很長時間修補信任。
• 事後才發現，連「我們有哪些重要資料、放在哪裡」都說不清楚。

03 / 課程導覽有證書、有設備，不代表有在管

另一個值得參考的例子在韓國：據 iThome 2026/09/24 資安週報，韓國近年有多家已取得 ISMS／ISMS-P 認證的企業，仍接連爆發重大資安與外洩事故。韓國政府因此推動認證制度改革，從偏重書面與特定時間點的查核，轉向更持續地檢視企業實際運作，強化現場審查與認證後的管理。

這提醒我們兩件事：

• 設備不等於管理：防火牆買了，但沒人記得它什麼時候過保、交接給了誰。
• 證書不等於做到：文件寫好了，但現場的人不知道自己要做什麼。

04 / 課程導覽三步，把資安從 IT 拉回管理

第一步｜盤點資產：知道自己守的是什麼（制度面）

先盤點公司有哪些重要資訊：客戶資料、研發資料、營運系統，放在哪裡、誰能存取、哪些設備快過原廠支援期限。ISO/IEC 27001 的核心就是「風險導向」：先盤點資產、評估風險，再選擇合適的控制措施，而不是盲目堆疊資安工具。現行 2022 版把控制措施整理成組織面、人員面、實體面、技術面 4 大類、93 項，企業可以從這四個角度檢查自己的缺口。

第二步｜訂清規則：讓每個人知道哪些能做、哪些不能（人員面）

資安規則不能只有 IT 懂。帳號與密碼、權限、備份、供應商、離職交接，都需要人資、採購、行政一起參與。

現在還要多一件事：AI 的使用規則。同仁把客戶名單、報價、合約貼進 AI 工具，可能就是一次資料外流。主管要替團隊訂清楚：哪些工作可以用 AI、哪些資料不能放進去、產出由誰確認。

第三步｜通報與檢討：出事時知道找誰，事後會變好（持續改善）

發現異常時，誰要通報、通報給誰、第一步做什麼，平常就要說好。事件與稽核結果要拿到管理會議上檢討，調整下一輪的做法，這就是 ISO 27001 的持續改善循環（計畫 → 執行 → 檢查 → 行動）。

05 / 課程導覽第一個行動｜這週先列一張「交接清單」

不用一次導入整套制度。這週先做一件事：

把公司的網路設備、系統帳號、雲端服務列出來，每一項寫下三欄：誰負責、什麼時候到期、上一次誰交接給誰。

寫不出來的那幾格，就是最需要先補的地方。

如果你是人資或行政承辦，也可以從「離職交接」開始：同仁離職時，帳號有沒有停用、權限有沒有收回、手上的資料交給了誰。

如果你是主管，這週也可以在部門會議問一句：我們把哪些資料貼進 AI 工具？哪些不能放，說清楚了嗎？

06 / 課程導覽本期課程組合｜制度＋人的規則

資安要落地，制度和人都要到位。這次的組合，一邊是管理系統，一邊是主管帶團隊的規則：

1. 盤點與制度｜ISO 輔導：ISO/IEC 27001 資訊安全管理系統：從資產盤點、風險評估到控制措施與內部稽核，建立全公司的資安管理。證書由獨立的驗證機構核發，達美協助的是制度建置、教育訓練與驗證前準備。
2. 人的規則｜AI 與數位工作力 04：AI 主管管理力：主管學會運用 AI 協助管理工作，並為團隊訂出使用 AI 的規則：哪些工作可以用、哪些資料不能放、誰負責確認。

課程可以規劃成企業內訓，內訓可評估企業人力資源提升計畫（大人提）或小型企業人力提升計畫（小人提），補助資格與金額以主管機關最新公告為準。