軟體安全開發概論
104學習
規劃與管理防火牆
防火牆是企業網路安全的第一道防線，負責過濾不明或惡意流量，防止駭客入侵及資料外洩。這項技能能確保網路環境穩定、安全，減少資安風險。具備此能力的人能依公司需求設計適當規則，監控異常流量，並定期更新防火牆設定，以因應新興威脅，保障企業營運順暢。
提升你的實力，朝專業更進一步
精選課程
充實自己，讓能力持續成長
CompTIA Security＋國際網路資安認證班
CompTIA Security＋國際網路資安認證班
從實務出發－企業網路安全建置與技術展示| 資安線上課程
【2026/11/14開班】CISSP 資安系統專家認證
會上網的你，日常資安對策要注意
個人資料保護與資訊安全
企業資訊安全概念-從私有雲開始建構企業資安防護
【2026/12/1開班】Prisma Access SSE：雲端防護設定與部署 Palo Alto Prisma Access SSE: Configuration and Deployment (原代號EDU-318)
物聯網資訊安全實務｜本課程為線上課
精選證照
考取專業證照，讓能力被市場看見
ECSS 資安基本認證
ECSS這門課程主要是訓練防駭基本技能，針對網路分析內部和外部安全威脅，開發保護組織訊息的安全策略。課程中您將學習評估網路和網際網路安全問題，以及貫徹成功的安全策略和防火牆策略。另外您也將學習到面對即時的系統安全威脅，提供怎樣的對應方案。
Network security電腦網路安全
防火牆計畫與設計、建立安全政策/防火牆規劃策略、 封包過濾/運用代理伺服器與應用層次的防火牆/鑑定使用者、加密與防火牆/Choosing a Bastion Host選擇防衛主機/建立虛擬私人網路、建立您的防火牆/防火牆管理、系統安全性稽核。
Ethical hancking & Countermeasures駭客技術及解決對策
系統安全概念及解介、安全性威脅基本定義及種類/後門程式、木馬程式、病毒等主要的安全性威脅/Linux 系統介紹、密碼破解方式及馬程式、病毒等主要的安全性威脅/Linux 系統介紹、密碼破解方式及火牆及Honey Pot誘導陷阱、駭客入侵流程及機制/黑心駭客以及正派駭客的差異。
Computer hacking forensic investigation 駭客偵防技術
電腦偵防技術介紹/電腦作業系統及磁碟機的電腦偵防技術/版權、著作權及專利、 網路偵防技術介紹/網路偵防技術案例及舉證、數位證據/目前市面上的常見作業系統、Steganography 如何利用隱藏資訊/記錄檔分析技巧、電子郵件犯罪行為/電腦安全調查報告撰寫模式、電腦偵防技術的未來發。
EC-Council
IT Expert-網路資訊+網路規劃設計專業人員
IT Expert-網路資訊+網路規劃設計專業人員證照專為具備網路架構設計、管理與維護能力的專業人才設計，涵蓋網路通訊協定、路由交換技術、防火牆設定及安全管理等核心技能，能有效規劃企業網路環境並確保系統穩定運作，適合從事資訊系統規劃、網路工程及資安防護等相關工作，提升職場競爭力。
經濟部ITE資訊人員鑑定
NETPAW專業級
NETPAW專業級證照專為資訊安全領域設計，涵蓋網路攻防技術、資安管理與漏洞分析等核心能力，強調實務操作與理論知識並重，提升持證者在資安防護、滲透測試及威脅偵測等工作的專業競爭力，適合資訊安全工程師及相關從業人員取得，助力職涯發展及企業資安防護實務需求。
中華民國多媒體英語文教學會
CCSA NGX
CCSA NGX（Check Point Certified Security Administrator NGX）證照專注於檢查點防火牆及其相關安全產品的管理與配置，涵蓋防火牆策略設計、VPN設定、用戶身份管理及安全事件監控等技術。持有此證照代表具備企業網路安全基礎建置及維護能力，能有效防範外部攻擊與內部威脅，提升組織資安防護水平，適合網路安全管理、資訊安全工程師及系統管理員等職務。
Check Point
程式設計與軟體開發知識
網際網路是目前資訊領域最常碰到的學科，這領域包括：網路入門、通訊網路實務、全球資訊網、電子郵件與即時通訊、網誌/微網誌/Vlog－Facebook與Google+、網路資源活用、FTP檔案傳輸與P2P下載、Google搜尋祕技、網路安全的認識與防範、資訊倫理與網路著作權。
TIPCI臺灣國際專業認證學會
（已停考）ENSA 網路安全管理師認證
隨著資訊技術的普及，網路安全的議題發展也變得更重要。EC-Council的網路安全管理師認證課程 (ENSA) 將提供您在捍衛網路安全時所需的基本技能，藉由本課程學員將學習如何建構安全的網路環境，如制定網路安全政策、妥善的使用網路安全技術、防火牆、入侵偵測與防禦、加密等各式技術，透過理論與實務的相輔相成，提升企業網路的安全性。
尚未查核發照單位
精選貼文，掌握第一手知識
【免費資安講座來囉】想進入資安領域？從搞懂網路架構開始 |「Network+國際網路認證」線上研討會，參加抽好禮
⭐1小時聽懂！為什麼掌握網路架構對資安防護很重要 ?
🚩建立網路防護的前哨站
網路攻擊無所不在，企業因網路攻擊導致資料外洩、營運中斷的案例時有所聞，網路安全與資安韌性，仰賴網路與資安人才的專業職能。企業推動資訊安全主要是為了防範各種網路攻擊威脅，從部署防火牆、網路系統弱點、連接埠的安全性、虛擬網路的連線安全等種種網路安全佈建，一旦疏忽輕視，往往成為資安事件的導火線。
CompTIA Network+ 網路驗證課程提供網路基礎訓練，從基礎的 TCP/IP 架構、網路設備配置與連接埠規則、有線/無線網路技術與應用，到進階的網路故障排除技巧。掌握網路如何串接，有助於建構一個安全且穩定的網路環境，為資安防護打好基礎。
在完成Network+的認證課程培訓後，將奠定扎實的網路架構基礎，往後進修Security+時，將更能掌握資料安全與資料保護的核心概念，穩扎穩打的成為擁有網路與資安整合能力的資安工程師。
🍀🍀本次說明會特別邀請安碁學苑 陳成聰 專案處長，以及 CompTIA市場開發總監 Stanley Wong帶大家了解如何從Network+進入資訊安全產業，以及完成訓練後，有哪些豐富的職涯發展路徑🍀🍀
▲報名時間
即日起，至活動前兩天截止
▲講座時間 (擇一參加即可)
🔸第一場 2025年8月6日(三) 19:30 - 20:30
🔸第二場 2025年8月13日(三) 19:30 - 20:30
▲講座形式
線上進行，說明會連結與資訊，將於活動前兩天陸續發送至您的電子信箱。
🎁參加說明會，抽好禮
👉查看完整內容與報名 https://bit.ly/4mh9rc5
精選 AI寫企劃、看數據總是不能用？4種工作先排順序再交代，第一版就能討論
請AI寫企劃、做研究、看報表，結果常常看起來很完整，卻不能直接用？
問題多半不在AI的能力，而在我們只說「幫我寫」「幫我分析」，讓它自己猜目的和標準。
四種常見工作，可以共用同一個骨架：
1. 交代目的與標準：給誰看？看完要做什麼決定？
2. 排好先後步驟：先要中間產物，確認後再往下做
3. 要求附上依據：出處、算法、引用原文，讓你能驗收
套到四種工作，各有一個先後順序：
① 寫企劃｜架構先定，內容後補
先寫明讀者與目的，請AI只給三個主張和大綱；確認後才補內容，每個數據都附出處，查不到就標「待查證」。
② 做研究｜大題切小題，說法衝突並陳
先把大問題切成四到五個能用資料回答的小題；每題比對三種來源、標出年份；說法互相衝突時，請AI並列出來，由你判斷。
③ 看數據｜問題先行，數字在後
不要只丟報表說「幫我分析」，先寫成決策問題，例如「上季回購率下滑，是哪一群顧客流失」；講好期間、欄位和比較基準，只要兩三個關鍵發現，並附計算方式。
④ 審提案｜先找漏洞，後打分數
先逐條列漏洞並引用提案原文、分出輕重；再依事先講好的配分計分；最後請AI扮反方，提出最強的反對意見。
最常見的三個錯誤：
・一開口就要整篇成品，方向錯了只能整篇重寫
・AI給的數字沒查就直接用
・一邊挑毛病一邊打分數，分數被第一印象帶走
小練習：挑一件你這週要交的工作，寫下這兩句再交給AI——
「這份東西給＿＿看，看完要他＿＿。」
「先給我＿＿（大綱／小題清單／漏洞清單），我確認後再繼續。」
比較一下，和你平常的第一版差在哪裡。
想看完整的五分鐘影音說明，104學習免費課程「AI工作術」四堂已經上線，免費報名就能看：
第1堂｜5分鐘學會用AI寫企劃
https://nabi.104.com.tw/course/104nabi/57aed01b-9d82-4438-b09e-e2367abc0207
第2堂｜5分鐘學會用AI做研究
https://nabi.104.com.tw/course/104nabi/595a665d-07a3-461d-b37e-1f8158eca70d
第3堂｜5分鐘學會用AI看數據
https://nabi.104.com.tw/course/104nabi/0f3d424e-1658-49a2-851e-6c9fff296f43
第4堂｜5分鐘學會用AI審提案
https://nabi.104.com.tw/course/104nabi/19983d11-9e93-41ae-9924-46f8d6cd47dd
也歡迎在留言分享：這四種工作，你最常請AI幫忙哪一種？有沒有哪一次的第一版特別好用（或特別難用）？
使用提醒：AI可能出錯，重要數字請自行查證；上傳資料前先確認公司規定，並去除姓名、電話等個資。文中案例皆為假設情境。
AI資安疫情蔓延全球，專家建議：7個面向建立企業資安防護網！
AI興起，正在快速改變資安攻防的遊戲規則，過去需要投入大量時間攻擊漏洞、測試的駭客工作因AI而降低門檻。企業和機關更應該主動積極的備戰，國家資通安全研究院的院長龔化中，建議企業或機關可從7個面向著手建立資安防護網、保護數位資產，千萬不要心存僥倖！
文／龔化中（國家資通安全研究院 院長）
本文導覽
AI資安攻擊，已經進入新的階段在AI時代，不要心存僥倖，就是最基本的防禦一、 減少暴露在外的攻擊面：少一個入口，就少一個風險二、注意供應鏈安全：避免病從口入三、建立多層防護：不要期待系統永遠不會被攻破四、降低洩密傷害：保護最重要的數位資產五、做好營運維持：最重要的是確保組織活得下去六、冷靜應變：不要把時間花在找戰犯七、即時通報與聯防：一起阻止災害蔓延面對AI資安疫情，現在就是備戰的時候
最近常常看到一些AI相關的趣聞，有人想用AI協助健身房報名手續，結果發現名額已經額滿，AI竟然想辦法駭進系統幫忙插隊；也有實驗結果發現，最先進的AI為了完成任務，竟然暗中突破原本設定的限制，甚至嘗試入侵其他系統來「偷看答案」。
這些新聞看起來很有趣，就像科幻電影裡才會發生的情節。但當這些能力開始被駭客利用，情況就不再只是科幻，已經逐漸變成一場真實的資安風暴。
AI資安攻擊，已經進入新的階段
AI正在快速改變資安攻防的遊戲規則，在過去駭客需要投入大量時間進行資訊蒐集、漏洞研究、程式撰寫與攻擊測試；而現今AI正逐漸降低這些複雜工作的門檻，讓攻擊者可以更快、更大量地尋找目標與弱點。更值得注意的是，攻擊能力正在快速普及；惟防禦能力的成熟需要時間。
AI已經可以協助攻擊者尋找暴露在網路上的系統、分析漏洞、撰寫攻擊程式，甚至協助突破一些原本需要高度專業能力才能完成的工作。另一方面，AI資安防禦工具仍在快速發展中，其穩定性、準確性以及實際部署經驗等，都還需要時間持續累積。
這就像一場新的數位疫情：威脅已經開始擴散，但我們的「疫苗」與防禦體系還在持續研發與強化。
我們預期，未來一段時間AI所帶來的資安威脅仍會持續升高，直到漏洞管理、防禦工具、資安治理與整體應變機制逐步成熟，威脅才可能逐步趨於穩定。因此，面對AI資安疫情不是消極等待風暴來臨，機關與企業都應該提前部署備戰，做好準備。
延伸閱讀：有內鬼！商業機密被竊怎麼辦？5個QA帶你認識「營業秘密法」
在AI時代，不要心存僥倖，就是最基本的防禦
我們有以下幾項建議，提供給各級機關與企業參考：
一、 減少暴露在外的攻擊面：少一個入口，就少一個風險
AI搜尋網路上的弱點，成本低、速度快，而且可以大規模自動化。因此防守方的第一個原則就是盡量減少暴露在外、可能被攻擊的入口，魔鬼藏在細節裡，過去一些工程人員認為「應該沒有人會注意」的小細節，在AI時代可能很快就會被發現，例如：
研發、測試人員使用的遠端伺服器或開發中網站。
資訊營運人員使用的跳板機或系統服務帳號。
已經停止使用，卻沒有真正下線的舊系統與服務。
暫時開放、之後卻忘記關閉的網路服務或帳號。
工程人員可能以為自己留下的小小後門沒有「人」知道，但現在AI找得到。因此，各級主管應要求做好系統、設備、服務與帳號的完整盤點，該關閉的關閉、該更新的更新、該限制存取的限制存取。
延伸閱讀：別當職場資安網的漏洞，維護機密、當心智慧型手機上的惡意連結
二、注意供應鏈安全：避免病從口入
一個組織就算本身資安治理良好，就像一個注重健康、經常運動的人，還是可能因為「吃進去」的東西有問題而生病。
很多駭客其實不需要自己花大量時間研究目標。當一個熱門產品或軟體被發現重大漏洞，攻擊者可以利用自動化工具迅速找出哪些組織正在使用它，接著發動攻擊。
最近前沿AI公司與資安研究團隊大量運用AI挖掘開源軟體與資訊系統漏洞，漏洞發現與揭露的速度正在加快。這對整體資安環境是一件好事，但也代表攻擊者取得這些資訊的速度同樣很快。
因此，組織不能只知道「我們用了很多套系統」，而必須真正知道我們到底用了哪些系統？哪些版本？由誰管理？出了漏洞之後誰負責處理？
更重要的是，要建立明確的更新與修補策略。因為更新本身也可能造成風險。如果沒有經過測試與規劃，匆忙更新可能讓原本正常的服務中斷。
因此，除了正常的更新流程之外，也應預先準備緊急隔離與網路阻擋措施。當重大漏洞發生時，可以先限制有風險的設備或服務，爭取時間進行安全、完整的修補。面對快速變化的漏洞環境，最重要的不是每一次都搶第一個更新，而是要有能力快速判斷、快速隔離、快速修復。
延伸閱讀：每天上班收發上百封e-mail，這5大電郵詐騙手法，你不可不知
三、建立多層防護：不要期待系統永遠不會被攻破
進入AI資安攻擊時代，我們不能再期待「系統絕對不會被入侵」，更務實的做法是假設某一層防禦終究可能被突破，然後讓下一層防禦接住它。
防火牆、身分驗證、端點防護、網路監控、異常行為偵測、資料保護，以及最後的事件應變，都應該形成多層防線，這裡最重要的其實是「時間」。
如果駭客花了五分鐘突破第一層防禦，而我們可以在三分鐘內發現異常並啟動應變，就有機會在他進入核心系統之前把攻擊阻斷，資安防禦不一定要做到滴水不漏，但一定要讓攻擊者很難一路暢通。同時，重要的資安能力也不要形成單一依賴。即使最可靠的供應商，也可能發生服務中斷、漏洞或遭受攻擊。
關鍵的防禦能力應該保留替代方案與自主應變能力，避免一個單點故障就讓整個組織失去防禦能力。
延伸閱讀：密碼用生日、常用平台用同一組密碼？這些帳號被盜的資安大地雷，你也犯了嗎？
四、降低洩密傷害：保護最重要的數位資產
有一句成語「懷璧其罪」。你最重要的機密，往往就是駭客最想要的東西。
因此，第一步不是想辦法把所有資料保護到百分之百，而是先問自己：這些資料真的需要保存嗎？不必要的個資、信用卡資訊、機密文件與其他敏感資料，能不保存就不要保存。
如果確實需要保存，就必須做好分級、權限控管與加密，讓資料即使被取得，也不容易直接被使用。
AI時代還出現了一個新的風險：員工為了工作方便，可能直接把公司內部資料交給AI工具處理。
一份內部文件、一段程式碼、一份客戶資料，看起來只是一次簡單的AI查詢，卻可能成為新的資料外洩管道。因此，組織在導入AI的同時，也必須建立清楚的AI使用規範：什麼資料可以交給AI？什麼資料絕對不能交出去？這已經是每一個機關與企業都必須面對的新課題。
延伸閱讀：51%常用密碼在1分鐘內就能被AI破解，5個提高「密碼管理」的必知QA
五、做好營運維持：最重要的是確保組織活得下去
資安事件發生後，真正造成巨大損失的，不一定是資料被偷走，而可能是整個組織無法正常運作。
因此，除了防禦之外，更重要的是「韌性」，要有確實可行的營運維持計畫，並且真正演練過。資訊系統的資料備份與還原、電力與外部網路的備援、人員工作的替代設備，以及關鍵業務的替代流程，都應該預先規劃，而不能只是「有備份」，還要確定真的還原得回來。
對企業而言，也要思考資安事件發生後的營運資金與替代供應商。
就像狡兔三窟，重要的服務不能只有一個出口。當外部服務突然中斷時，組織才有能力撐過最困難的幾天甚至幾週。
資安的最終目標，不只是防止被攻擊，而是即使被攻擊，組織仍然能夠繼續運作。
延伸閱讀：專家建議：保護在家工作的視訊環境，務必注意7個要點避免資安威脅
六、冷靜應變：不要把時間花在找戰犯
資安事件發生時，不論事前做了多少準備，都不可能保證完全不受影響。
這時候最重要的，不是第一時間追究「到底是誰的錯」，而是先把災情控制住。按照既定的事件應變計畫執行，迅速隔離、確認影響範圍、保全證據、恢復服務，再進一步檢討原因。
也就是說，應該把「改善制度」和「懲罰個人」清楚區分。只有讓第一線人員敢於通報，組織才有可能真正學習，也才有機會避免下一次更大的事故。
延伸閱讀：如何戰勝全球資安聞之色變的勒索病毒，有效避免辦公室資料被其綁架呢？
七、即時通報與聯防：一起阻止災害蔓延
新冠疫情期間，及早發現、即時通報與跨單位合作，是控制疫情的重要關鍵。AI資安疫情也是一樣。
當一家企業發現新的攻擊手法，如果能夠儘速通報，就有機會讓其他企業提前做好防護，避免同樣的攻擊在整個產業快速擴散。
這也是為什麼資安不能只是「各自顧好自己的事情」。
在AI時代，一家組織發現的攻擊手法，可能在幾個小時之內成為另一家組織的災難。因此，更快速的通報、更有效的情資共享，以及政府、企業與資安社群之間的聯防，會變得比過去更加重要。
國家資通安全研究院是台灣的「數位消防隊」，我們會持續強化情資分析、威脅研判與應變協助，盡力守護國家與人民的數位資產安全。
如果政府機關或關鍵基礎設施業者遭遇疑似AI輔助的攻擊，可以透過數位發展部資通安全署或主管機關進行通報；民間企業與組織也可以透過TWCERT/CC（台灣電腦網路危機處理暨協調中心）通報，我們將盡力提供必要的協助。
台灣電腦網路危機處理暨協調中心
延伸閱讀：APP潛藏資安危機，5大常見可疑程式、別讓它出現在你的手機裡！
面對AI資安疫情，現在就是備戰的時候
AI資安威脅已經不是未來式，而是現在進行式。我們不需要恐慌，但必須提高警覺。沒有人能保證自己的系統永遠不會被攻擊，也沒有人能預測下一個AI工具會把攻擊能力提升到什麼程度。
真正重要的是，在攻擊能力快速進化的今天，我們能不能更快盤點自己的弱點、更快發現異常、更快隔離風險、更快恢復營運，也更願意把自己發現的威脅告訴其他人。這場數位疫情不可能只靠一家機構解決。政府、企業與整個資安社群都必須一起提高防禦韌性，才能把每一次攻擊的傷害控制在最小範圍。
AI資安疫情已經開始。現在，就是備戰的時候。
（原文標題：AI資安疫情全球蔓延， 機關與企業如何迎戰？）
本文獲 國家資通安全研究院 同意授權於《104職場力》刊載
113-1-I22 資訊安全防護實務 No.4
📜題目：
【題組 1】 情境如附圖所示。 Alex知道 WSL2雖然為開發人員提供了極大的便利，使他們能夠在 Windows上無縫地運行 Linux環境，但同時也帶來了新的安全挑戰。為了保護公司免受潛在的安全威脅， Alex開始著手制定一套綜合的安全管理措施。下列何項是針對WSL所提出提升資安的最佳做法？
(A) 經常使用 root 帳戶進行日常操作
(B) 保持 Windows和 Linux 子系統的定期更新
(C) 在 WSL2 中禁用防火牆和安全軟體
(D) 共用 Windows和 Linux子系統的系統管理者密碼
⚜️參考解答⚜️：
使用root進行日常操作無法於事件發生後進行"歸責"，選項(A)錯誤
定期更新為提升資安的常見做法，選項(B)保留
禁用防禦機制(防火牆和安全軟體)並非維持安全的作法，選項(C)錯誤
共用子系統的系統管理者密碼；風險與選項(A)相同，此選項錯誤
🎯答案應為(B)
113-1-I22 資訊安全防護實務 No.3
113-1-I22 資訊安全防護實務 No.3
📜題目：
關於在資訊安全中，威脅或攻擊具多種因素與手法的敘述，下列哪些正確？
(A) 基於地緣政治動機的威脅分類： 如政治意識形態；社會報復等台灣近期有發生製造業遭勒索加密案例 ，就屬於這類型態
(B) 內部威脅（ Insider threats）：這種威脅來自組織內部的人員，可能無意或故意地洩 漏敏感資訊，或損害系統及公司利益
(C) 零日攻擊（ Zero-day attacks）：這類攻擊利用尚未正式公開漏洞，在廠商還沒修補漏洞前，就被利用發動攻擊
(D) 惡意軟體（ Malware）：這包括了病毒、蠕蟲、特洛伊木馬、勒索軟體等，他們可以破壞系統，竊取數據，或無授權地使用系統資源
⚜️參考解答⚜️：
造成資訊安全的攻擊須具備以下要件："目的或動機"、"脆弱點"及"利用弱點的方法"
(A) 地緣政治是近幾年常見的攻擊威脅； (B) 內部威脅包括組織的內部同仁或具備內部存取能力的委外廠商；(C) Zero-Day Attack係為弱點在修補前，攻擊者利用此弱點進行攻擊；(D)Malware敘述包括題目所述
🎯 原始答案為(B)(C)(D)，經協助學員進行申訴並提供製造業遭勒索的佐證紀錄，修正答案為(A)(B)(C)(D)
Microsoft 365 安全三部曲：偵測、威脅防護與事件回應完全指南
本文深入解析 Microsoft 365 在安全防護中的三大支柱 — 偵測 (Monitoring)、防護 (Mitigation)、回應 (Response)。涵蓋即時監控機制、威脅控制策略，以及事件回應流程，協助企業構建全面而迅速的安全運維能力。
https://medium.com/@jason-kao-blog/m365基礎知識-part-5-偵測-防禦與回應-8a43d57d649a
用Codex操作Chrome瀏覽器，自動讀Gmail、寫Google Sheet教學！設「3層護欄」防AI亂點亂寄
想讓AI幫忙操作Chrome瀏覽器、讀Gmail、下載附件、寫進Google Sheet，又怕它亂點、亂寄信？作者以教師可能遇到的「自動批改作業信」為例，示範用Codex Chrome Extension設定白名單、二次確認與留痕log三層護欄，再一步步放手讓AI操作瀏覽器。本文節錄自《ChatGPT × Codex全攻略》。
文／曾慶良（阿亮老師）
本文目錄（點擊可快速前往）
動手做前準備清單全章流程地圖：4步由小到大動手實作：讓Codex操作你的Google Chrome動手操作3大禁區
編按：作者以「老師自動批改學生作業信」為範例，示範讓Codex讀取Gmail「作業繳交」標籤的來信、下載附件、產出評語，再逐列寫進Google Sheet。雖然示範情境在教學現場，但換個主題就能套用到職場，例如整理應徵者的履歷信、客戶詢價信或活動報名回覆；文中的白名單、二次確認、留痕log三層護欄，也適用於任何讓AI代操瀏覽器的工作。※本文以「Chrome Extension」模式操作，是由Codex直接在你的Chrome「已登入」的Gmail等分頁操作，不必處理OAuth、API token（這些憑證都不用辦），看得到它在做什麼。
動手做前準備清單
項目規格沒有怎麼辦Codex CLI + 桌面App已完成、能登入補安裝，Codex CLI 、桌面AppChrome Extension從Codex App Plugins內裝補安裝，Chrome extensionGmail帳號有「作業繳交」標籤、收得到信Gmail內建立一個Label「作業繳交」Google Sheet一張空白工作表，欄位先排好Drive內新建一張，命名「本學期_作業批改」
Google Sheet欄位先排好
第一列填入這6個欄位（順序很重要，等下Skill要按這個順序寫入）：
ABCDEF批改日期學生姓名作業主題AI評語字數建議評分
權限設「僅特定人員」或「限校內帳號（你的學校網域）可存取」，把你自己（和真的需要看的同事）逐一加進去。不必也不要用「擁有連結的任何人可檢視」，Codex用你登入的身分操作，本來就進得去，不需要開公開連結。
此表含學生個資（姓名＋評語），絕對不可以用「擁有連結的任何人可檢視/可編輯」公開連結分享。公開連結等於把全班個資丟到網路上任人抓取。務必設成「僅特定人員」或「限校內帳號」，並定期到「共用」設定檢查存取名單有沒有跑進不該有的人。
【補充】企業導入前置（用公司信箱、下載含個資附件前必看）
本章讓Codex操作你「已登入」的信箱、下載附件、寫進Sheet，放在公司環境要先過3關，別自己一個人默默開跑：
公司信箱須經IT /資安核准：使用Codex Extension操作公司Gmail / Workspace前，先問過IT或資安窗口，確認符合公司對第三方工具存取信箱的規範，否則別用個人身分擅自授權公司帳號。
先用測試帳號跑通：第一輪用一個測試信箱＋假資料把流程走順，確認護欄有效，再碰真實信箱。
附件含個資要確認合法性、用完清除：下載的.docx /客戶附件若含個資，先確認你有處理的合法依據（同意/業務必要），處理完就從~/Downloads/inbox-essays/之類暫存夾刪除，別長期堆在本機或同步到公開雲端夾。
全章流程地圖：4步由小到大
1 授權與護欄 Chrome Extension 範圍限定 + 二次確認
↓
2 寫 Skill auto-email-processor 四階段定義
↓
3 跑 1 封測試 盯著看，確認沒亂點
↓
4 放開跑全部 批次處理 + 失敗重試 + 總結報告
絕不可跳過步驟3，跑1封測試看看，這是整章最關鍵的安全閘門。沒看過第1封就放執行，等同把你的Gmail鑰匙交給陌生人。
動手實作：讓Codex操作你的Google Chrome
步驟1-A 授權與三層護欄
確認Codex桌面App已開啟、已登入
確認Chrome已裝Codex Extension
Chrome右上工具列點Codex圖示
看到「Chrome plugin connected」狀態 = 正常
Codex桌面App內的Plugins區也顯示「Chrome plugin connected」，兩邊都看得到 = OK
Codex從這裡開始就有能力「在你登入的Chrome內」做事。所以下一步馬上設範圍限制，沒設好就不要往下做。
步驟1-B 護欄1：範圍限定（白名單）
Codex Extension預設「進入新網站會問」。但更穩的做法是明確設一份白名單。在Codex對話開頭就先宣告：
本對話只允許操作 mail.google.com、docs.google.com、sheets.google.com。
任何其他網域請拒絕並回報給我。
明確列出允許與禁止的清單：
# 允許 Codex 操作的網域白名單
mail.google.com # Gmail
docs.google.com # Google Sheet / Docs
sheets.google.com # Google Sheet（舊網域別名）
# 禁止：其它一律不行
✗ bank.example.com # 銀行
✗ pay.example.com # 支付
✗ facebook.com / x.com # 社群媒體
這是用文字下的範圍限制，搭配Extension預設的「進新網站問一次」雙重防護。
步驟1-C 護欄2：二次確認
在Codex對話開頭就先指定下面五類動作必須先暫停問你，得到「OK」才能繼續：
刪除任何信件 → 必須問
寄出任何信件 → 必須問
移動信件到垃圾桶 → 必須問
修改Sheet既有列（非新增）→ 必須問
修改Gmail filter / forwarding設定 → 必須問
「標記為已讀」、「加標籤」、「下載附件到自己電腦」、「在Sheet新增一列」這幾項算可逆操作，不需要每次都問。
步驟1-D 護欄3：留痕log
叫Codex把它做的每一步寫成log，方便事後抽查：
請建立一個 ~/codex-logs/email-processor.log
每次處理一封信，寫一行 JSON：
{"ts":"2026-05-17T10:00:00Z","subject":"...","sender":"...","action":"已批改寫入Sheet","ok":true}
失敗時 ok:false，多寫 reason 欄位。
請在每次跑完 Skill 後自動 append。
跑完一輪後，cat ~/codex-logs/email-processor.log（Windows PowerShell：Get-Content $HOME\codex-logs\email-processor.log）看得到N行JSON，每行對應一封信。
動手操作3大原則
範圍限定：只開放特定網域，其餘一律拒絕
二次確認：刪/寄/改既有資料必須先問
留痕：每次操作寫log，可事後追查
三個都做到了，才往下進步驟2寫Skill。
步驟2-A 寫auto-email-processor Skill
macOS / Linux（或在Git Bash執行）：
mkdir -p ~/.agents/skills/auto-email-processor
cd ~/.agents/skills/auto-email-processor
touch SKILL.md
Windows PowerShell寫法（同一件事的PowerShell寫法）：
New-Item -ItemType Directory -Force $HOME\.agents\skills\auto-email-processor
Set-Location $HOME\.agents\skills\auto-email-processor
if (-not (Test-Path SKILL.md)) { New-Item -ItemType File SKILL.md }
如果Windows使用者希望直接沿用Bash指令，可以在~/.agents/skills/的上層資料夾右鍵 → Open Git Bash Here，就能在Git Bash內原樣執行mkdir -p、touch。兩個方式擇一即可，不必兩邊都跑。
為什麼用Skill而不是直接打prompt？Skill寫一次、用很久。下次要批改只要說「跑auto-email-processor」，不必再貼整段流程描述。
2026新功能NEW：Record & Replay（錄一次、重播多次）
Skill有3種建立法：
手寫SKILL.md（本節做的）
對話中請Codex幫你生
Record & Replay，你手動把一連串網頁操作（點「作業繳交」標籤 → 過濾未讀 → 下載.docx）錄製一遍，Codex會把它存成可重播的Skill。像Gmail這種步驟固定、重複性高的流程特別適合這種方式，錄完再回頭微調SKILL.md補上護欄。搭配always-allow（總是允許）：把重播時重複跳出來的權限請求（例如每次都問「可以操作mail.google.com嗎」）設為「總是允許」，就不會一直被打斷，但只對白名單網域開always-allow，刪/寄/改既有資料這類敏感動作仍維持二次確認。
步驟2-B SKILL.md開頭：frontmatter與Scope
SKILL.md一定要以YAML frontmatter開頭（name、description是必要欄位，觸發詞寫進description，Codex才會自動觸發）：
---
name: auto-email-processor
description: 讀 Gmail「作業繳交」標籤內的未讀信，抓 .docx 附件，套 essay-feedback Skill 批改，寫回 Google Sheet「本學期_作業批改」。觸發詞：批次批改、處理交作業信、跑 email processor。
---
# auto-email-processor
## Scope
- 允許網域：mail.google.com、docs.google.com、sheets.google.com
- 禁止：其它任何網域
- 允許動作：讀信、下載附件、加標籤、Sheet 新增列
- 禁止動作：刪信、寄信、修改 Sheet 既有列
Skill的「身分證」段落，讓Codex知道「我可以做什麼、不能做什麼」。
步驟2-C 中段：四階段Steps
## Steps
### Phase 1 讀
1. 開新分頁到 https://mail.google.com
2. 點左側「作業繳交」標籤
3. 加「is:unread」過濾條件
4. 列出信件主旨與寄件者，不要點開
### Phase 2 分（過濾）
對每封信，符合所有三條件才處理：
- 寄件者是學生（你的學校網域，例：@school.edu.tw）
- 主旨含「作業」或「homework」
- 有 .docx 附件
### Phase 3 處（批改）
1. 下載 .docx 到 ~/Downloads/inbox-essays/
2. 從寄件者名 / 主旨解析學生姓名與作業主題
3. 呼叫 essay-feedback Skill 批改
4. 把回傳的「評語/ 字數/ 評分」記下來
### Phase 4 記
1. 開 Google Sheet「本學期_作業批改」
2. 新增一列：日期 / 姓名 / 主題 / 評語 / 字數 / 評分
3. 回 Gmail 標該信「已讀」+ 加「已批改」標籤
4. 寫一行 log 到 ~/codex-logs/email-processor.log
【補充】Phase 3那句「呼叫essay-feedback Skill」是哪來的？
這支批改Skill在「多檔案批次處理」篇建立過，該章resources/essay-feedback/有現成檔案，只要將其複製到~/.agents/skills/essay-feedback/就能被本章觸發。還沒建也能先跑通流程，把Phase 3第3步暫時換成這3行替代做法：
用Codex內建能力讀出.docx純文字內容
請Codex直接寫一段150字評語、估算字數、給A / B / C建議評分
把這三個值當成回傳結果往Phase 4傳（先能寫進Sheet，之後再換成正式的essay-feedback）
步驟2-D 末段：Rules護欄
## Rules
### MUST（必須）
- MUST 敏感操作前停下來問我（刪信、寄信、改既有列）
- MUST 處理失敗的信維持「未讀」、加標籤「需人工處理」
- MUST 每處理一封寫 log
- MUST 全程操作我這個帳號，不可切到別人的 Gmail
### NEVER（絕不）
- NEVER 自動回信給學生
- NEVER 跨網域操作（白名單以外）
- NEVER 刪除任何信件
- NEVER 修改 Sheet 既有列（只能 append）
## Tools
- Codex Chrome Extension（Gmail / Sheet 操作）
- Codex 內建 .docx 解析
- essay-feedback Skill（subagent 呼叫，來源見第三篇 CH19）
Skill寫完存檔。Codex下次看到觸發詞會自動讀SKILL.md。
準備測試素材：先讓信箱有東西可讀
Skill寫好了，但如果「作業繳交」標籤裡一封信都沒有，步驟3的測試就沒東西可跑。動手前先花3分鐘，自己造1～2封測試信，讓自動化有真實素材可讀。這步驟做完，跑步驟3才有意義。
準備1～2份.docx測試檔：隨手開Word（或Google Docs →下載為.docx）打一段假作文，存成例如：測試作文_王小明.docx。想更真實就做兩份、換個學生名。
自己寄給自己：在Gmail點「撰寫」，收件者填你自己的Gmail，主旨故意帶關鍵字（例：第八單元作文 作業繳交 王小明，一定要含「作業」讓Phase 2過濾條件吃得到），把剛才的.docx當附件夾進去，寄出。寄1～2封。
建一個標籤：Gmail左側sidebar往下拉找到「建立新標籤」，命名為作業繳交（就用這章Skill要讀的標籤名，別另取，不然Skill讀不到）。若動手前清單那步已經建過，這步跳過。
手動把測試信貼上該標籤：回收件匣，勾選剛剛那1～2封自寄信 → 點上方「標籤」圖示（或右鍵）→ 勾「作業繳交」。現在這個標籤底下就有真實的未讀作業信可供Codex練習了。
【提醒】用「自寄信」當測試素材最安全就算Codex跑歪了、標錯標籤，動到的也只是你自己建立的虛假信件，不會影響到學生真正交的作業。等步驟3測試通過，再放真實信件進來。
步驟3-A 跑1封測試（最關鍵的一步）
進Codex：
codex
輸入：
請執行 auto-email-processor Skill，但這次只處理 1 封測試：
1. 開 Gmail
2. 找到「作業繳交」標籤內第一封符合條件的未讀信
3. 完整跑完 Phase 1-4
4. 跑完後回報你做了什麼（步驟列表、最後 Sheet 寫了哪一列）
整個過程請在我面前跑、不要靜默。
每動一步先告訴我「我準備做 X」，等我說 OK 才執行。
【提醒】請全程盯著螢幕看！不要去泡咖啡、不要切到別的視窗。第一次跑就是要確認「它真的有照規矩來」。
步驟3-B 盯著看的時候要確認什麼？
Codex跑的時候，眼睛確認這6件事：
Codex開的是正確的Gmail標籤（不是收件匣全部）
它沒有點開不該點的信（例如沒有.docx的、或寄件者不是學生的）
下載.docx時沒覆蓋你既有檔案
批改完Sheet新增一列（不是修改既有列）
信件標為「已讀」+ 加「已批改」標籤，沒刪除、沒進垃圾桶
log檔有一行新紀錄
任何一項不對 → 立刻按Esc中止（在CLI內跑則按Ctrl + C）、修SKILL.md、再跑一次測試，不要現在就往步驟4前進。
步驟3-C 第一次跑常見的「走偏」
Q1：Codex點到收件匣不是「作業繳交」標籤
回答：Gmail介面更新時，標籤位置會變動。SKILL.md改成「在左側sidebar用文字找『作業繳交』再點」，不要靠固定位置。
Q2：把作文老師個人信也當成作業處理
回答：Phase 2過濾條件不夠嚴。再加「主旨必須有作業/homework」「附件必須是.docx」雙條件。
Q3：Sheet寫到錯的工作表（同一活頁簿有多張表）
回答：Skill補上「先點底部tab確認是『本學期_作業批改』再寫」。
Q4：標完「已批改」標籤後又標「重要」
回答：Codex在學Gmail介面，可能誤點。Rules補：「只加『已批改』標籤，其他不准動」。
步驟4-A 測試OK了，跑全部未讀
同一個Codex對話內輸入：
很好，剛才測試正確。現在請執行 auto-email-processor Skill
處理「作業繳交」標籤內所有未讀信。
需求：
1. 並行數：1（順序處理，方便我看）
2. 失敗自動重試 1 次
3. 重試仍失敗的信：加標籤「需人工處理」，跳過，繼續下一封
4. 全部跑完給總結報告：成功 N 封 / 需人工 N 封 / 失敗 N 封
5. 列出需人工的信件主旨與寄件者，方便我之後處理
開始。
「並行數1」會比較慢，但安全。等你跑過3-5次都OK再考慮加到2-3並行。
步驟4-B 預期看到的總結報告
✅ auto-email-processor 處理完成
成功批改：23 封
需人工處理：2 封
- 「期中作文.docx 附件損壞」 / 小明 <ming@...>
- 「忘記附檔」 / 阿花 <hua@...>
失敗：0 封
Google Sheet 已新增 23 列
Gmail 標記已讀 + 標籤「已批改」：23 封
標籤「需人工處理」：2 封
log 寫入 ~/codex-logs/email-processor.log：25 行
數字加總 = 標籤內未讀信總數 = Sheet新增 + Gmail標記 = log行數，四個數字對得起來就是完成。
步驟4-C 抽查Sheet內容是否正確
打開「本學期_作業批改」工作表
隨機挑3列，對應到原信件
檢查欄位：日期、姓名、主題、評語、字數、評分都對
檢查AI評語有沒有亂寫（這部分是essay-feedback Skill的責任，但這次順便抽查）
Gmail內隨便開一封看是否標籤「已批改」+「已讀」
看log檔最後幾行有ok:true
6項都對 = 整套流程信任度 +1。下次可以放心多並行、少盯著。
動手操作3大禁區
把這3個禁令寫在便條紙貼在螢幕上：
不操作金融帳戶：銀行、支付、券商、加密貨幣交易所，一律白名單外。不論看起來多簡單的「查餘額」也不行，因為AI沒辦法分辨「查」和「轉」之間只差一個按鈕。
不自動寄信給真人：草稿可以、儲存可以，但按下「寄出」這個動作絕對是你自己按。AI寄錯信沒辦法收回，後果你扛。
不超範圍：Skill寫了什麼就只做什麼。不要在同一個Codex對話「順便叫它做別的事」，授權邊界會模糊掉。要做別的就開新對話、重新設權限。
節錄自：博碩文化《ChatGPT × Codex全攻略：從零基礎到自動化，打造你的AI Agent工作流》／曾慶良（阿亮老師） 著
行動電源或鋰電池起火怎麼辦？原因、預防、火災應變解析
近來多起行動電源起火與爆炸事件頻傳，引發民眾高度關注。鋰電池為何頻繁成為火災源頭？又該如何正確預防與處理？本篇彙整消防局等官方單位的資訊，全面解析鋰電池起火的成因、預防要點及應變步驟，協助大家有效降低風險、守護安全。
文／《104職場力》
本文導覽
為什麼行動電源、鋰電池會起火？從「熱失控」說起如何預防鋰電池起火？生活必知安全小知識萬一行動電源真的起火了怎麼辦？記住保命5步驟！職場上如何預防鋰電池起火？
為什麼行動電源、鋰電池會起火？從「熱失控」說起
鋰電池因為有容量大、體積小且可重複充電的特性，常被廣泛應用於行動電源及各類可攜式電子產品，成為現代生活中不可或缺的能源配件。
至於近期鋰電池起火意外頻傳是什麼原因造成？根據台北市消防局的說法，原因多與鋰電池內部的化學反應失衡有關，這類反應會導致電池本體在短時間內不斷升溫、產生並釋放大量熱能，最終可能引燃周遭物品。專家把這類現象稱作「熱失控」，是鋰電池最嚴重的潛在風險之一。
行動電源起火的原因多半與電池損害或不當保存有關，例如以下3種狀況：
產品使用了劣質、未經認證的鋰電池。
過度充放電、短路，或使用非專用充電器導致電池受到損傷。
受外力撞擊、變形，或暴露在高溫、陽光直曬射等極端環境中，導致電池結構損害。
這些因素都可能引發鋰電池起火，不可不慎。
鋰電池起火有多危險？
鋰電池起火會產生大量的熱能、煙霧及有毒氣體，甚至可能會引發爆炸，對人和環境的傷害性都不容小覷。
更棘手的是，鋰電池的「熱失控」特性，不僅會讓火勢難以撲滅，滅火後也還有復燃的可能，增加處理的難度。
如何預防鋰電池起火？生活必知安全小知識
為了降低鋰電池引發火災的風險，我們參考多個縣市消防局提供的建議，整理出以下實用的鋰電池安全使用指南，適用於日常生活與工作環境：
1. 購買與使用鋰電池前的注意事項
購買產品時務必認明經濟部標準檢驗局核可的「商品檢驗標章（BSMI）」。
使用原廠或認證合格的充電設備，切勿過度充電，避免電池過熱或短路。
依照產品說明正確操作，如發現膨脹、異味、過熱等異常狀況應立即停止使用。
2. 鋰電池充電時的注意事項
避免在密閉空間、陽光直射或高溫環境中充電，例如車內、窗邊等地。
請遠離易燃物如床鋪、沙發、窗簾等區域充電，降低延燒風險。
切勿在睡眠中或長時間無人看管的情況下充電，務必有使用者在場監控。
避免同時連接多個高耗電設備使延長線過度負載，建議一個插座僅供一台設備充電。
充電時保持空間通風與整潔，減少堆疊與壓迫設備的情況。
3. 保存與報廢的注意事項
避免摩擦、敲擊或撞擊產品，也應避免與硬幣、鑰匙等金屬物放在一起，以防短路。
切勿自行拆解、重組鋰電池或內含鋰電池的產品，以免造成電池破裂或漏液。
報廢處理須依正確程序進行，可先將廢電池浸泡於1/1000鹽水中至無氣泡產生，並於正負極貼上絕緣膠帶，最後交由清潔隊或合法回收單位處理，切勿任意丟棄。
上述原則不僅適用於行動電源與手機，也廣泛適用於其他內建鋰電池的產品，如電動滑板車、電動自行車、掃地機器人等。只要日常多一分警覺與小心，就能大幅降低火災風險，守護自己與他人的安全。
萬一行動電源真的起火了怎麼辦？記住保命5步驟！
意外常在瞬間發生，當行動電源或其他鋰電池產品出現異常甚至起火時，請保持冷靜，並依下列步驟迅速應對：
1. 大聲示警，提醒他人
若身邊還有其他人，請立刻大聲呼喊示警，提醒大家提高警覺、協助應變或及時撤離現場。
2. 若在充電中，立即斷電
當鋰電池產品在充電狀態下出現異常發熱或冒煙等狀況，請第一時間拔除插頭或關閉電源，以防情況惡化。
3. 火勢尚小時，可滅火或降溫處理
若火勢不大，在確保自身安全無虞的前提下，可嘗試透過3種方式滅火：
使用乾粉滅火器或室內消防設備進行初步滅火。
將起火裝置移至空曠處、遠離可燃物。
將鋰電池泡入水中降溫，可有效防止持續燃燒或復燃。
4. 火勢失控時，立即撥打 119
若火勢擴大或無法控制，請儘速撥打119，由消防專業人員處理，切勿勉強自行撲救。
5. 優先避難，遠離有毒煙霧
如情況危急，請立即帶領現場人員撤離，特別是遠離密閉空間或煙霧濃厚處，以免吸入有毒氣體造成二次傷害。
鋰電池起火不能潑水是真的嗎？官方這樣說
網路上對於「鋰電池起火是否可以潑水」有不同看法，有些資訊甚至指出「潑水可能引發爆炸」，對此台北市政府消防局提供了專業解釋，並將處理方式依「可充電」及「不可充電」做出區隔，說明如下：
種類「可充電」鋰離子電池「不可充電」鋰金屬電池特性可充電重複使用一次性，不可充電重複使用成分電解液金屬鋰滅火方式可用水滅，使用水可大量降溫遇水會起反應，因此建議使用金屬滅火器
因此，除鈕扣型等一次性鋰金屬電池外，如行動電源這類可重複充電的鋰電池產品，在起火時是可以使用水潑灑或泡水來降溫滅火的，不僅安全，還有助於防止熱失控造成的復燃風險。
職場上如何預防鋰電池起火？
鋰電池起火事故不只是居家風險，其實我們每天在辦公室使用的筆電、行動電源、無線耳機、甚至公司提供的電動代步工具，都可能因為電池老化、充電不當而引發危險。員工也應該將「鋰電池安全巡查」視為例行事務的一環，例如主動做到以下幾件事：
建議定期檢查自己辦公的電池設備是否老化、破損：像是筆電電池有無膨脹、外殼是否破損、行動電源是否異常發燙，發現異狀應立即停止使用並通報。
充電位置要安全：避免在紙堆、文件旁、椅墊上或沒人注意的地方充電，特別是下班後不應讓設備持續插著電。
留意公司是否有安全規範與標示：若公司有設置電動車或充電站，也要遵守操作流程，不亂接插座。
參加防災訓練別混過去：了解鋰電池萬一起火時該怎麼應對、如何通報與協助撤離，關鍵時刻真的能救人一命。
常見的鋰電池體積雖小，但火災風險卻真實存在，從自己能做的事開始，就是保護自己、也保護整個辦公室的第一步。
延伸閱讀：
帶行動電源上飛機要注意什麼？2025行充飛機規範│Wh怎換算
【火災逃生】公司起火怎麼辦？火場預防、避難守則懶人包！8NG行為恐致命
除濕機「1功能故障」恐釀火災 台電籲2重點必檢查：安全又衛生
113-1-I22 資訊安全防護實務 No.2
113-1-I22 資訊安全防護實務 No.2
📜題目：
關於弱點掃描，下列敘述何者錯誤？
(A) 網路弱點掃描用在尋找網路環境中的脆弱點，舉凡開放的通訊埠及所代表之服務，其服務是否透過未經加密的進行傳輸，或服務未更新漏洞
(B) 應用程式弱點掃描主要針對特定應用程式（尤其是網頁伺服器及其資料庫）的程式及應用環境（例如： Apache版本漏洞），但主要是尋如 SQL注入、跨站腳本、敏感目錄外洩…等可被攻擊之漏洞
(C) 主機弱點掃描用在檢查個別主機的脆弱點，例如主機效能負載對外服務能力，或是識別主機防毒系統是否更新
(D) 常見工具，有 OWASP ZAP, OpenVAS, Nessus…等
⚜️參考解答⚜️：
弱點掃描包括主機、網頁、程式原始碼及應用程式等弱點掃描，常見的做法是透過自動化的工具方式並引用相對應的弱點資料庫(如：CVE、OWASP Top 10...等)發現其脆弱點。
(A) (B) 敘述皆正確，(D) OWASP ZAP為網頁掃描工具、OpenVAS及Nessus皆為主機弱點掃描工具。
(C)的前半段敘述正確，惟標的的負仔情況、特定軟體更新情況敘述皆不正確
因此，答案為(C)
網管注意：你的主機正曝露在外？
《別等危機發生才防堵：定期弱掃如同企業 IT 的定期健檢》
隨著網路攻擊手法不斷翻新，若企業總是抱持著「等遇到問題再處理」的被動心態，往往在遭受攻擊時，就已經造成難以挽回的商譽受損與財務重創。要翻轉這種挨打的劣勢，企業的資安思維必須從被動防堵走向「主動式防禦」。
這就像是「與其等身體生病才看醫生，不如定期做健康檢查」。定期執行弱點掃描，正是找出企業IT架構中隱形破口關鍵。透過系統化的漏洞偵測，全面檢視作業系統、內部主機、網路設備與應用程式的健康狀態，讓潛在風險無所遁形。
《打破免費工具迷思：缺乏更新的漏洞庫反成 IT 負擔》
許多科技小白在規劃初期，會嘗試使用市面上的開源或免費弱掃工具，認為這樣能幫企業節省成本。但從專業顧問的角度來看，這類工具通常缺乏持續更新的漏洞資料庫，且容易產生大量的誤報。就如同使用過期的健檢設備，檢查結果不精準，反而大幅增加了 IT 人員事後人工比對與篩選的負擔，甚至可能漏掉關鍵漏洞。因此，規劃完整的弱掃機制，並定期針對企業的內外部資產執行檢測，才能在駭客發動勒索攻擊前，搶先一步完成漏洞修補。
《如何選擇弱點掃描服務廠商？》
通常對於許多用戶與企業最頭疼的不是沒有進行弱點掃描，而是弱點掃描工具與種類實在太多，不知道該從何下手。跑完報告，又會因為沒有專業的資安人員能解讀與修復。此時，不妨直接IT委外給專業的弱點掃描廠商。
數位通國際 擁有25年的資料中心維運與雲端導入實戰經驗及成功案例，並與眾多國內外知名資安廠商合作。同時通過BSI ISO 27001、27011資訊安全驗證以及ISO 27017& ISO 27018雲端服務安全管理認證，能針對企業現有的環境進行資安檢測，7×24即時技術支援監控，保護企業資訊環境。透過 數位通國際 弱點掃描服務，從網站、系統、伺服器、API到雲端架構，檢測漏洞風險，降低營運中斷風險，成為捍衛您企業營運安全最堅實的戰略夥伴。
◆ 了解數位通國際 弱點掃描：https://easpnet.pse.is/9udhgn
◆ 立即預約：https://easpnet.pse.is/9udg3a
----------------
《相關文章》
◆ 你的企業環境安全嗎? 定期資安檢測增強防護 https://easpnet.pse.is/9udhf4
◆ 資訊安全是什麼？5大風險必知 https://easpnet.pse.is/9udhj4
◆ 中勒索病毒怎麼辦? 五步驟應片與防範 https://easpnet.pse.is/9udhhh
ISO/IEC 27001 主導稽核員備考｜標準要求與防護措施重點
ISO/IEC 27001 主導稽核員備考須分清管理要求、風險評鑑與控制措施。以薪資資料為例，理解資訊安全三要素、管理循環與適用性聲明，再用自編題檢查防護選擇。
本文目錄
本篇對應的官方考試範圍
必懂觀念
常見誤判
練習題與完整解析
備考檢查清單
本篇未涵蓋、需另外準備的範圍
官方來源與版本核對
本篇對應的官方考試範圍
對應 CQI 五範圍中的「管理系統概念」（6題），並支援「執行稽核」（14題）時對照管理要求與控制；本文為教學映射，不是官方逐題分布或配分。
CQI 五範圍為管理系統概念、稽核責任、規劃、執行及報告結案；本文僅涵蓋其中部分觀念。
必懂觀念
薪資被陌生人看到，是機密性受損；數字被竄改，是完整性受損；發薪日前平台當機，是可用性受損。三者幫助辨認要保護什麼。資訊安全管理系統（ISMS）讓保護工作持續運作，PDCA 依序規劃、執行、檢查、改善。教學上將第4～6章放規劃，第7～8章放執行，第9章檢查，第10章改善；第7章支援同時支撐全循環。
先訂比較尺度（風險判準），找可能事件（識別），看機會與後果（分析），再與判準比較（評估）；識別、分析、評估合稱風險評鑑。選擇離職停權及覆核，是風險處理；措施後剩餘的風險叫殘餘風險，須由風險負責人核准接受。離職當日停權是本案例公司的內規，不是所有公司統一期限。
附錄 A 有93項控制：組織37、人員8、實體14、技術34。可用離職責任、郵件辨識訓練、機房門禁及活動日誌理解四類。ISO/IEC 27002:2022 提供控制指引，不能將其中全部建議直接當成強制要求。
公司列出選用哪些必要防護、為何選用及是否實施的文件，叫適用性聲明（SoA）；也要記排除附錄 A 控制的理由，自訂必要控制亦須納入。第4～10章管理要求不能藉 SoA 排除。 該資料為工作組教育說明，未經ISO／SC27正式背書，不視為新增標準或約束性解釋。
可照用的 SoA 範例：必要控制＝離職撤權（對照 A.5.18）；納入理由＝避免離職者繼續讀取薪資；實施狀態＝已實施，對應停權工單與日誌。若有附錄控制不適用，另逐項記排除理由；本例不代表整份 SoA，也沒有替其他控制預設排除理由。
常見誤判
把評估風險大小當成已選措施：評鑑與處理是不同活動。
把93項一律打勾：應先看必要控制、理由與狀態。
自訂控制不在附錄就漏記：必要控制仍列 SoA。
以 SoA 排除風險評鑑：管理要求仍須完整落實。
練習題與完整解析
以下為自編教學題，非官方原題；用於練習題目條件與行動的對應。
Q2-01｜薪資公司已比較離職帳號風險，決定加上停權覆核。這個決定屬於哪項活動？
甲 執行資訊安全風險識別。
乙 選擇資訊安全風險處理。
丙 進行資訊安全風險分析。
丁 建立資訊安全風險判準。
答案是乙。已決定增加覆核措施，是在選擇怎麼處理風險。甲的風險識別，是先找出可能出什麼事。丙的風險分析，是看發生機會與後果。丁的風險判準，是先訂比較的尺度。題目問的是選措施，所以落在風險處理。
Q2-02｜公司認定自訂下載限額是必要控制。哪種記錄方式最合適？
甲 因附錄沒有這項，聲明照原表列示。
乙 列入適用性聲明，寫明理由與狀態。
丙 列入適用性聲明，標成排除的控制。
丁 記在風險處理計畫，聲明照原表列示。
答案是乙。必要控制要列入適用性聲明，寫明納入理由與實施狀態。甲把附錄當成全部控制，漏了自訂的必要措施。丙把已採用措施寫成排除，記錄相反。丁的處理計畫可以記執行安排，但適用性聲明也要更新。
備考檢查清單
能各舉一例區分資訊安全三要素。
能從判準、識別、分析、評估走到風險處理。
能寫必要控制、理由、狀態及排除理由。
能說明殘餘風險由誰接受。
本篇未涵蓋、需另外準備的範圍
另外閱讀組織情境、領導與責任、支援、文件化資訊、績效評估、管理審查、內稽及持續改善的完整要求；四類控制需逐項準備，不能只記帳號例子。
本系列為短課，不取代認可訓練，不保證考過或取得 IRCA 註冊；需另依適用教材與標準完整準備。
官方來源與版本核對
依2026-10-29來源查核紀錄整理。ISO/IEC 27001:2022 含2024修正；ISO 19011 已出2026版，考試引用版次請向開課單位確認。以官方或開課單位最新公告為準。
標準27001：官方來源、官方來源、官方來源
標準27002：官方來源、官方來源
線上測驗及範圍：官方來源、官方來源、官方來源、官方來源
SoA與條文教學：官方來源、官方來源
核心條文及控制編號佐證：官方來源、官方來源
更多 〈ISO/IEC 27001 主導稽核員〉 推薦好文
ISO/IEC 27001 主導稽核員備考｜稽核員工作與取得途徑
ISO/IEC 27001 主導稽核員備考｜稽核流程與訪談取證重點
ISO/IEC 27001 主導稽核員備考｜不符合寫法與結案重點
有任何收穫或想分享的，都來和大家一起聊聊吧！