資通安全管理法：各單位因應之道
104學習
資安管理
確保企業資訊系統與資料安全，防止駭客入侵、資料外洩及內部濫用。透過風險評估、制定安全政策、監控網路異常行為，以及定期更新防護措施，保障營運不中斷。具備此能力能提升組織信任度，降低潛在損失，並符合法規要求，對維持企業競爭力與穩定發展至關重要。
提升你的實力，朝專業更進一步
精選課程
充實自己，讓能力持續成長
SSCP資安專業人員認證課程
SSCP資安專業人員認證課程
資安風險趨勢與防護因應
從實務出發－企業網路安全建置與技術展示| 資安線上課程
CompTIA Security＋國際網路資安認證班
CompTIA Security＋國際網路資安認證班
風險評估與管理
職場必學的資安威脅與防範
CompTIA SecAI＋國際AI資安認證班
精選證照
考取專業證照，讓能力被市場看見
資安管理人員金級認證(2022版)
ACSS (ACSI Certified Security Specialist) 為安碁資安職能認證證書。
安碁學苑股份有限公司
企業電子化資安管理維運師 (資安實務與技術)
電子化商業模式興起，改變了經濟行為，建立以網路為基礎的新商業模式。企業主積極投資企業電子化軟硬體，然職場人才供給與需求仍有一段差距。為解決專業人才不足的窘困，電腦技能基金會舉辦「企業電子化人才能力鑑定(EEC)」考試，遴聘專業領域委員，依據業界所需能力，命製各類試題予以評鑑及篩選，培育專才。
財團法人中華民國電腦技能基金會
GSOC
GSOC證照專注於資安事件的監控與管理，涵蓋威脅偵測、事件分析與回應策略，強調實務操作與風險評估能力，適合從事資安營運中心（SOC）工作的專業人士，提升對資安威脅的即時反應與事件處理效率，有助於保障企業資訊安全與維持系統穩定運行。
SANS Institute
個人資料安全管控師
個人資料安全管控師是負責保護個人資料安全的專業人員。他們需要了解個人資料保護法律法規，評估和管理企業的資料風險，設計和實施資料安全政策和程序，確保企業遵守相關法規和標準。
TIPCI臺灣國際專業認證學會
國際資訊管理師
資訊管理是一種基於網際網路的運算方式，通過這種方式，共享的軟硬體資源和資訊可以按需求提供給電腦各種終端和其他裝置，使用服務商提供的電腦基建作運算和資源。
這項證照專注於資訊安全管理，評估候選人對企業資訊系統的安全性和風險管理的能力。獲得IIM證照的專業人士通常擁有廣泛的知識和技能，能夠設計、建立和管理企業的資訊安全系統，保護組織的資訊資產免受各種內外部威脅。這項證照對於希望在資訊安全管理領域發展職業生涯的專業人士是一個有價值的資格
TIPCI臺灣國際專業認證學會
RSA／CI
RSA／CI證照專注於資訊安全管理與風險評估，培養專業人員具備識別、分析及應對企業資訊安全威脅的能力。持有此證照者能有效規劃資安策略，確保系統與資料的完整性與機密性，提升組織整體防護能力，適合從事資安分析師、風險管理及資安顧問等職務。
RSA Security
精選貼文，掌握第一手知識
我從 ISO 27001 資安管理體系學習與實戰體悟
我擔任的工作是資訊人員，負責公司資安架構的維護與管理，以及Helpdesk。
這陣子撥出時間投入資安管理與 ISO 27001 的學習，起初只是想建立更完整的資訊安全防護思維，但在真正系統化研讀並進行實務驗證後，才發現這不僅僅是一套規範，更是企業運作中極為關鍵的風險控管核心。
過去在面對資安政策或防護措施時，往往容易流於片段式的執行，或是停留在表面的規範配合。這次透過全盤梳理 ISO 27001 的條文精神與核心控管項目，我終於將原本零散的防護觀念串接起來，真正理解背後的風險評估邏輯，明白各項資安政策該如何落實到日常作業中。
在學習的過程中，最具價值的莫過於實務情境演練。透過模擬真實演練與風險判讀，我漸漸學會從整體架構的角度去評估潛在漏洞，並針對不同情境找出合規且有效的改善方案。這種將抽象規範轉化為實際解決方案的思考訓練，大大補足了我過往在實務操作上的盲點。
這次的學習不僅讓我順利釐清了許多過去模糊的資安概念，也為未來的職場應用打下了扎實的基礎。資安管理是一項持續優化的長跑，接下來我也會將這些經驗落實到實際工作中，持續推動更完善的防護機制。
🔗 詳全文：https://ucom.uuu.com.tw/web/Testimony/Article/12822
精選 AI寫企劃、看數據總是不能用？4種工作先排順序再交代，第一版就能討論
請AI寫企劃、做研究、看報表，結果常常看起來很完整，卻不能直接用？
問題多半不在AI的能力，而在我們只說「幫我寫」「幫我分析」，讓它自己猜目的和標準。
四種常見工作，可以共用同一個骨架：
1. 交代目的與標準：給誰看？看完要做什麼決定？
2. 排好先後步驟：先要中間產物，確認後再往下做
3. 要求附上依據：出處、算法、引用原文，讓你能驗收
套到四種工作，各有一個先後順序：
① 寫企劃｜架構先定，內容後補
先寫明讀者與目的，請AI只給三個主張和大綱；確認後才補內容，每個數據都附出處，查不到就標「待查證」。
② 做研究｜大題切小題，說法衝突並陳
先把大問題切成四到五個能用資料回答的小題；每題比對三種來源、標出年份；說法互相衝突時，請AI並列出來，由你判斷。
③ 看數據｜問題先行，數字在後
不要只丟報表說「幫我分析」，先寫成決策問題，例如「上季回購率下滑，是哪一群顧客流失」；講好期間、欄位和比較基準，只要兩三個關鍵發現，並附計算方式。
④ 審提案｜先找漏洞，後打分數
先逐條列漏洞並引用提案原文、分出輕重；再依事先講好的配分計分；最後請AI扮反方，提出最強的反對意見。
最常見的三個錯誤：
・一開口就要整篇成品，方向錯了只能整篇重寫
・AI給的數字沒查就直接用
・一邊挑毛病一邊打分數，分數被第一印象帶走
小練習：挑一件你這週要交的工作，寫下這兩句再交給AI——
「這份東西給＿＿看，看完要他＿＿。」
「先給我＿＿（大綱／小題清單／漏洞清單），我確認後再繼續。」
比較一下，和你平常的第一版差在哪裡。
想看完整的五分鐘影音說明，104學習免費課程「AI工作術」四堂已經上線，免費報名就能看：
第1堂｜5分鐘學會用AI寫企劃
https://nabi.104.com.tw/course/104nabi/57aed01b-9d82-4438-b09e-e2367abc0207
第2堂｜5分鐘學會用AI做研究
https://nabi.104.com.tw/course/104nabi/595a665d-07a3-461d-b37e-1f8158eca70d
第3堂｜5分鐘學會用AI看數據
https://nabi.104.com.tw/course/104nabi/0f3d424e-1658-49a2-851e-6c9fff296f43
第4堂｜5分鐘學會用AI審提案
https://nabi.104.com.tw/course/104nabi/19983d11-9e93-41ae-9924-46f8d6cd47dd
也歡迎在留言分享：這四種工作，你最常請AI幫忙哪一種？有沒有哪一次的第一版特別好用（或特別難用）？
使用提醒：AI可能出錯，重要數字請自行查證；上傳資料前先確認公司規定，並去除姓名、電話等個資。文中案例皆為假設情境。
[新聞]資安署發布中小企業基本資安防護指引 三大面向16項檢核協助產業防駭
數位發展部資通安全署近日發布「中小企業基本資安防護指引」，從帳號管理、設備與資料管理、資安意識培訓三個面向。
若要做到完整的資訊安全機制，企業往往需要花費大量的金錢，資安署公佈此項指引，算是挑選了資訊安全中較為重要、基礎的資安防護項目提供預算有限的中小企業參考。對於內部稽核來說此項指引可以讓剛IPO或規模較小的上市櫃公司作為評估資訊安全的基礎底線，此份PDF中亦包含基本資安防護自檢表。
原文網址：https://moda.gov.tw/ACS/press/news/press/19496
Notion原文連結：https://stevenwublog.notion.site/16-348f7f8f2828800ea511ed81defb43fb
【免費資安講座來囉】想進入資安領域？從搞懂網路架構開始 |「Network+國際網路認證」線上研討會，參加抽好禮
⭐1小時聽懂！為什麼掌握網路架構對資安防護很重要 ?
🚩建立網路防護的前哨站
網路攻擊無所不在，企業因網路攻擊導致資料外洩、營運中斷的案例時有所聞，網路安全與資安韌性，仰賴網路與資安人才的專業職能。企業推動資訊安全主要是為了防範各種網路攻擊威脅，從部署防火牆、網路系統弱點、連接埠的安全性、虛擬網路的連線安全等種種網路安全佈建，一旦疏忽輕視，往往成為資安事件的導火線。
CompTIA Network+ 網路驗證課程提供網路基礎訓練，從基礎的 TCP/IP 架構、網路設備配置與連接埠規則、有線/無線網路技術與應用，到進階的網路故障排除技巧。掌握網路如何串接，有助於建構一個安全且穩定的網路環境，為資安防護打好基礎。
在完成Network+的認證課程培訓後，將奠定扎實的網路架構基礎，往後進修Security+時，將更能掌握資料安全與資料保護的核心概念，穩扎穩打的成為擁有網路與資安整合能力的資安工程師。
🍀🍀本次說明會特別邀請安碁學苑 陳成聰 專案處長，以及 CompTIA市場開發總監 Stanley Wong帶大家了解如何從Network+進入資訊安全產業，以及完成訓練後，有哪些豐富的職涯發展路徑🍀🍀
▲報名時間
即日起，至活動前兩天截止
▲講座時間 (擇一參加即可)
🔸第一場 2025年8月6日(三) 19:30 - 20:30
🔸第二場 2025年8月13日(三) 19:30 - 20:30
▲講座形式
線上進行，說明會連結與資訊，將於活動前兩天陸續發送至您的電子信箱。
🎁參加說明會，抽好禮
👉查看完整內容與報名 https://bit.ly/4mh9rc5
CISSP備考｜風險責任與資產保護情境題重點
CISSP（Certified Information Systems Security Professional）由 ISC2 發證。CISSP的Domain 1–2備考，重點是將營運影響、決策授權與資料生命週期連起來，分辨風險接受、委外責任與到期刪除的條件。
本文目錄
本篇對應的官方考試範圍
必懂觀念
常見誤判
練習題與完整解析
備考檢查清單
本篇未涵蓋、需另外準備的範圍
官方來源與版本核對
本篇對應的官方考試範圍
依ISC2 2024年4月版考綱，Domain 1 Security and Risk Management（16%）與Domain 2 Asset Security（10%）。重點映射安全目標、治理與倫理、風險處置，以及資料分類、角色、保留及銷毀。此為教學映射，非逐條完整覆蓋。
本系列依2024年4月版考綱；新版自2027年4月15日起適用，報名前請確認考試日適用版本。下列為教學整理，應依題目條件及授權判斷。
必懂觀念
考題中的技術問題仍須連回要保護的營運成果。機密性關注未授權揭露，完整性關注未授權竄改，可用性關注服務可取得；另須確認來源真實性與重要交易責任可追溯。零售會員外洩、點數遭改與結帳停擺可分別對應三種影響。
風險評估連結威脅、弱點與營運影響。資安團隊提出降低、避免、移轉或接受方案，由獲授權的風險擁有者決策；接受要記錄期限及追蹤。保險與委外只能移轉部分財務或合約風險，企業責任不會自動消失。
法令、契約、政策與倫理先構成決策邊界。主管願意承擔損失，不等於可以免除義務；ISC2倫理守則的教學重點是公共利益、誠實合法、勤勉勝任與維護專業。
資料擁有者決定分類與可用範圍，保管者依要求實作存取、備份與刪除。生命週期涵蓋蒐集、使用、分享、保存與銷毀，並考慮最小必要、所在地及保留義務；使用中、傳輸中與靜態資料都要保護。
加密保護資料內容，不能取代合法使用或到期處理。到期刪除須確認無調查保全或其他保留義務，涵蓋受管副本並驗證結果；任何換金鑰都不能直接視為完成密碼抹除。
常見誤判
把資安主管或開發主管一律當風險接受人：應先確認其授權與風險擁有者角色。
以委外或保險為由移除企業責任：忽略仍須承擔的義務與殘餘風險。
把加密等同刪除，或降分類規避到期處理：未遵守生命週期與保留規則。
練習題與完整解析
以下為自編教學題，非ISC2官方原題；用於練習題目條件與行動的對應。
Q2-01｜會員服務發現一項弱點，目前無入侵跡象，也沒有必須立即停機的規定。修補會延後上線，資安主管沒有接受此風險的授權。何者最適當？
甲 交由風險擁有者核定處置。
乙 讓雲端廠商代簽接受風險。
丙 先依排程上線下月再修補。
丁 由開發主管評估後同意上線。
答案是甲。依評估結果與替代方案交有權者核定，才能對營運後果負責。乙把企業責任推給供應商；丙未經授權就默認接受；丁看似有人把關，但開發主管負責技術處理，不是風險擁有者，無權替營運決定接受風險。若出現進行中的攻擊，則應依事件程序採必要控制，不能把等待主管決定當成固定答案。
Q2-02｜零售公司的備份含已到期會員紀錄，確認沒有調查保全或其他保留義務。公司政策要求期滿刪除，但系統只加密未刪除。下一步最適當的是什麼？
甲 延長保存直到下一次稽核。
乙 降低資料分類繼續保管。
丙 依保留規則執行驗證刪除。
丁 更換加密金鑰繼續保存。
答案是丙。保護資料也包含按規則終止保存，並確認副本處理結果。甲任意延長，乙用改分類迴避義務，丁雖改善金鑰保護，卻仍保留紀錄。若改用密碼抹除，必須確認方法符合政策、金鑰及所有副本確實受控；不能把任何換金鑰都當成刪除。
備考檢查清單
能區分三種安全目標與具體營運影響。
能說明誰提出方案、誰有權接受風險，以及何時改依事件程序行動。
能區分資料擁有者與保管者，列出全部受管副本的保留及刪除證據。
能逐項指出兩題干擾選項沒有處理的問題。
本篇未涵蓋、需另外準備的範圍
Domain 1仍需另備法規管轄、量化風險計算、供應鏈、人員安全、框架與教育訓練全部子目；Domain 2仍需資料角色細分、所在地、各保護技術及資產盤點方法。
本系列是短課概念整理，不取代完整考綱準備、實務經驗或資格審核，不保證通過，不宣稱可抵CPE或工作經驗。
官方來源與版本核對
考試與認證規則以ISC2官方公布為準。依2026-10-28查核紀錄，本系列採2024年4月版考綱；新版自2027年4月15日起適用，報名前確認考試日適用版本。
CISSP認證介紹
CISSP考綱與新版公告
CISSP工作經驗與抵免
ISC2報名入口
ISC2公開費用表
CAT規則
考後結果與重考政策
認證背書
會員政策與持續維護
ISC2倫理守則
更多 〈CISSP〉 推薦好文
CISSP備考｜報考資格、測驗規則與認證維護重點
CISSP備考｜安全架構、網路與存取邊界重點
CISSP備考｜測試證據、事件復原與安全開發重點
【職安法新制上路】職場霸凌防治等3大修法重點盤點｜專區指引資源下載
《職業安全衛生法》修正條文及11部配套子法7月1日正式施行，修法首次建立職場霸凌防治法制，更同步強化源頭安全設計與承攬管理責任。勞動部同步釋出指引、Q&A與教育訓練資源，本文整理職安法新制3大修法重點，以及「職安法修法專區」及「職場霸凌防治專區」相關資源。
文／《104職場力》整理
本文目錄（點擊可快速前往）
職安法新制修法重點一、建立職場霸凌防治制度，保障勞工心理健康二、強化源頭防災，建置主動安全管理機制三、加強承攬管理，提升高風險作業安全職安法修法專區相關資源職場霸凌防治專區相關資源104人力銀行發布企業職場霸凌指引
《職業安全衛生法》（簡稱職安法）修正條文及11部配套子法，於7月1日起正式全面施行。勞動部指出，這是職安法自2013年修正以來最大幅度之制度革新，除首次建立職場霸凌防治法制外，更同步強化工程源頭安全設計、企業自主安全管理及承攬管理制度，象徵職業安全衛生政策正式由「事後處理」邁向「源頭預防」。
勞動部表示，過去職業安全衛生管理多偏重於事故發生後之監督檢查及裁罰，本次修法將安全思維全面前移，要求企業從規劃設計、風險評估到日常管理，主動辨識危害、落實預防措施，建立以風險管理為核心之安全文化。
為協助企業順利接軌新制度，勞動部同步完成11部配套子法、指引、Q&A、教育訓練教材及數位學習資源，提供企業及勞工遵循運用。
職安法新制修法重點
此次修法主要重點如下，並納於各相關子法：
一、建立職場霸凌防治制度，保障勞工心理健康
為保障勞工之心理健康與人格尊嚴，此次修法依職安法新增職場霸凌防治專章，特別訂定《職場霸凌防治措施準則》及《地方主管機關受理最高負責人職場霸凌事件申訴處理辦法》：
明定雇主防治義務：事業單位必須建立明確之職場霸凌預防、申訴、調查及處理機制。
增設外部申訴管道：若霸凌事件之行為人為事業單位「最高負責人」，受害者可直接向地方主管機關提起申訴，由公權力介入調查，提升調查程序的公正性與公信力，完善勞工權益保障。
圖片來源／勞動部
延伸閱讀：終極懶人包：職場霸凌新法7月上路，從制度、培訓到舉證，HR合規行動圖解主管下班傳LINE就算職場霸凌？勞動部揭「判斷標準」、不必然違規
二、強化源頭防災，建置主動安全管理機制
修法著重於在事故發生前即建立防護網，透過《工程安全設計及整體工程統合管理辦法》等配套制度，將安全思維前置：
設計階段納入安全考量：要求工程或機械設備在「規劃設計階段」，就必須進行風險評估，將製程與施工安全納入設計圖說，從根本消除潛在危害。
日常營運應落實風險管理：強化事業單位之職業安全衛生管理體系，要求企業將主動風險鑑別與控制融入日常營運。
圖片來源／勞動部
三、加強承攬管理，提升高風險作業安全
針對高風險營造工程或多級承攬之作業環境，此次修法進一步強化原事業單位(營造廠)的統合管理責任及各級承攬人之安全管理義務：
落實承攬管理責任：原事業單位不得以發(轉)包為由卸責，必須落實事前告知、巡視、協調及指揮等統合管理作為。
提升多級承攬安全性：明定各級承攬人之間的橫向聯繫與安全防護責任，避免因管理斷層或責任不清導致職災發生。
圖片來源／勞動部
勞動部提醒，各事業單位應儘速檢視並完善內部管理制度，積極落實相關法令規定；如有法令諮詢或輔導需求，可向各地勞動檢查機構或勞工主管機關洽詢。相關法規、Q&A及數位學習資源，已公布於職安署官網「職安法修法專區」及「職場霸凌防治專區」，歡迎企業及勞工多加利用。
職安法修法專區相關資源
新修職業安全衛生法專區新修職安法常見問答▶ 點擊前往▶ 點我下載
職場霸凌防治專區相關資源
勞動部職安署官網設有職場霸凌防治專區提供相關資訊，歡迎參考利用：
防治職場霸凌新法及配套措施簡報防治職場霸凌QA一次看▶ 點我下載▶ 點我下載職場霸凌常見問答-事業單位篇職場霸凌常見問答-勞工篇▶ 點擊下載▶ 點擊下載
104人力銀行發布企業職場霸凌指引
104人力銀行也製作發布企業職場霸凌指引，提醒企業注意即使部分行為未必立即構成職場霸凌，但仍可能成為高風險管理行為，建議企業應透過人資部門及內部教育訓練，整理常見爭議案例並提醒主管避免類似行為，降低未來申訴風險。
104 職場霸凌防治新法 企業實務指引
※ 104人資學院特別製作《職場霸凌防治新法 企業實務指引》，完成問卷即可下載運用
公關危機溝通順序檢核表-客戶關係管理與危機因應--中高階課程教材
公關危機溝通順序檢核表-客戶關係管理與危機因應--中高階課程教材
適用於突發客訴、重大錯誤、資料外洩疑慮、專案失控及組織內部重大事件。
危機處理即時檢核
事件等級僅供內部初步分類，實際標準應依組織制度調整。
初步事件等級
一般：影響範圍有限，可由現場負責人處理
重大：影響客戶、營運或跨部門，需要主管協調
緊急：涉及人身安全、重大資安或持續擴大的損失
第一步：確認安全與控制風險
先處理人員安全、服務中斷、損失擴大或持續發生的風險。
第二步：查證事實
確認已知事實、未知事項、影響範圍、發生時間與證據。
第三步：啟動通報與決策
依事件嚴重程度通知主管、相關部門及指定負責人。
第四步：辨識溝通對象
區分內部團隊、客戶、合作夥伴、管理階層及依法須通知的對象。
第五步：統一訊息並對外溝通
只發布已確認資訊，清楚說明正在採取的措施及下次更新時間。
第六步：持續更新與復盤
追蹤影響、補充新事實、保存紀錄並落實改善措施。
危機溝通順序：誰先知道？
順序 溝通對象 溝通目的
1 現場負責人、應變人員 控制風險、保護人員與資產
2 直屬主管、事件決策者 確認事件層級與資源需求
3 專責單位 依事件性質通知資安、法務、人資、公關或營運單位
4 受影響的內外部對象 提供必要、準確且適當的資訊
5 管理層及相關利害關係人 更新處理進度、影響與改善措施
以上是一般參考順序，不是僵化的單一路徑。
涉及立即人身危險、法定通報時限、重大個資事件或資安事件時，必須同步或優先執行適用的緊急通報與法定義務。
養生村營運管理制度總冊 ：安全保全與緊急應變管理手冊
養生村營運管理制度總冊
第五冊：安全保全與緊急應變管理手冊
（Security, Safety & Emergency Response Management Manual）
管理定位：人員安全 × 社區防護 × 風險預防 × 緊急應變
文件基本資料
文件編號：SS-MAN-001
文件名稱：安全保全與緊急應變管理手冊
版本：Ver 1.0
制定單位：安全保全部／品質管理部
協辦單位：客服中心、健康照護中心、工程維護部、行政管理部
核准單位：營運管理處
文件修訂紀錄
版本 日期 修訂內容 制定人 核准人
1.0 ______ 首次制定
第五冊章節架構
章次 內容
第一章 安全管理組織與職責
第二章 安全管理政策與風險管理制度
第三章 保全勤務管理制度
第四章 門禁與出入管理制度
第五章 訪客安全管理制度
第六章 巡邏與安全巡查制度
第七章 監控中心管理制度
第八章 住民安全關懷制度
第九章 高風險住民安全管理
第十章 防失智走失管理制度
第十一章 消防安全管理制度
第十二章 災害應變管理制度
第十三章 停電停水應變制度
第十四章 醫療與意外事件應變制度
第十五章 治安事件處理制度
第十六章 危機事件指揮中心制度
第十七章 安全教育訓練制度
第十八章 安全稽核與績效管理
第十九章 風險分析與改善制度
第二十章 安全管理表單與紀錄文件
第一章安全管理組織與職責
1.1 制定目的
建立養生村完整安全管理制度，確保：
• 住民生命安全。
• 社區環境安全。
• 設施設備安全。
• 緊急事件快速處理。
透過：「預防為主、快速反應、跨部門協作」降低營運風險。
1.2 安全管理定位
安全保全部定位：「維護養生村人員、環境及營運安全之第一線防護單位。」
1.3 安全組織架構
營運管理處
│
安全管理主管
│
┌──────────────┐
│ │
保全勤務組 消防安全組
│ │
門禁/巡邏/監控 防災/演練/應變
1.4 人員職責
安全主管
負責：
• 安全政策制定。
• 重大事件指揮。
• 安全稽核。
• 風險改善。
保全人員
負責：
• 門禁管理。
• 巡邏。
• 異常發現。
• 緊急支援。
消防安全管理人員
負責：
• 消防設備管理。
• 防災演練。
• 消防教育。
第二章安全管理政策與風險管理制度
2.1 安全管理政策
採：六大安全原則
原則 內容
預防優先 提前降低風險
快速反應 縮短處理時間
生命第一 優先保障人員
通報透明 資訊正確傳遞
跨部門合作 整合資源
持續改善 降低再次發生
2.2 安全風險分類
類別 內容
人員風險 跌倒、走失、衝突
環境風險 滑倒、障礙物
設備風險 停電、故障
災害風險 火災、地震
治安風險 偷竊、闖入
2.3 風險管理流程
風險辨識 ↓
風險評估 ↓
預防措施 ↓
監控追蹤 ↓
改善
第三章保全勤務管理制度
3.1 勤務內容
包含：
• 門崗值勤。
• 巡邏。
• 監控。
• 異常處理。
• 緊急支援。
3.2 排班管理
要求：
• 24小時安全覆蓋。
• 崗位明確。
• 交接完整。
3.3 交接班制度
交接內容：
□ 異常事件
□ 設備狀況
□ 訪客資訊
□ 待追蹤事項
第四章門禁與出入管理制度
4.1 管理目的
確保：
• 人員身份確認。
• 非授權人員限制。
• 住民安全。
4.2 門禁分類
區域 管理方式
公共區域 開放管理
住宅區 授權進入
設備區 限制進入
機房 專人管理
4.3 門禁異常處理
發現異常 ↓
確認身份 ↓
限制進入 ↓
通知主管 ↓
紀錄
第五章訪客安全管理制度
5.1 訪客分類
包含：
• 家屬。
• 廠商。
• 維修人員。
• 參觀訪客。
5.2 訪客流程
訪客到達 ↓
身份確認 ↓
登記 ↓
通知被訪者 ↓
放行 ↓
離場確認
第六章
巡邏與安全巡查制度
6.1 巡邏範圍
包含：
• 住宅區。
• 公共設施。
• 停車場。
• 周界。
• 設備區。
6.2 巡查重點
確認：
□ 照明正常
□ 門窗安全
□ 消防通道暢通
□ 異常氣味
□ 可疑人員
第七章監控中心管理制度
7.1 監控功能
包含：
• CCTV監看。
• 異常發現。
• 事件回溯。
• 證據保存。
7.2 監控管理要求
• 權限控管。
• 禁止私自調閱。
• 影像保存管理。
• 定期設備檢查。
第八章
住民安全關懷制度
8.1 安全關懷目的
掌握：
• 生活狀態。
• 行動能力。
• 異常變化。
8.2 高風險關懷對象
包含：
• 獨居住民。
• 行動不便住民。
• 認知功能下降住民。
• 曾發生事故住民。
第九章高風險住民安全管理
9.1 風險評估項目
包含：
• 跌倒風險。
• 走失風險。
• 緊急聯絡資料。
• 夜間安全需求。
9.2 管理措施
包括：
• 定期關懷。
• 環境改善。
• 識別措施。
• 家屬溝通。
第十章
防失智走失管理制度
10.1 預防措施
包含：
• 住民資料建立。
• 高風險標記。
• 出入管理。
• 社區巡查。
10.2 走失事件處理流程
發現失聯 ↓
確認最後位置 ↓
啟動搜尋 ↓
通知主管 ↓
通知家屬 ↓
必要時通報警方 ↓
事件檢討
第十一章消防安全管理制度
11.1 消防管理範圍
設備：
• 火警警報系統。
• 灑水設備。
• 消防栓。
• 滅火器。
• 排煙設備。
11.2 消防管理要求
執行：
• 定期檢查。
• 設備測試。
• 消防演練。
第十二章災害應變管理制度
適用：
• 火災。
• 地震。
• 颱風。
• 淹水。
• 大型事故。
災害應變流程
事件發生 ↓
立即通報 ↓
啟動應變小組 ↓
人員疏散 ↓
救援處理 ↓
恢復營運 ↓
改善檢討
第十三章停電停水應變制度
停電處理
流程：
1. 確認範圍。
2. 啟動備援電力。
3. 通知相關單位。
4. 追蹤恢復。
停水處理
流程：
1. 確認原因。
2. 啟動備水措施。
3. 通知住民。
4. 完成修復。
第十四章醫療與意外事件應變制度
適用：
• 跌倒。
• 昏倒。
• 外傷。
• 突發疾病。
流程：
發現事件 ↓
安全評估 ↓
急救處理 ↓
通知健康中心 ↓
必要時送醫 ↓
事件紀錄
第十五章治安事件處理制度
事件：
• 偷竊。
• 闖入。
• 衝突。
• 威脅事件。
處理原則：
1. 保護人員安全。
2. 控制現場。
3. 通知主管。
4. 必要時聯繫警方。
5. 完成事件報告。
第十六章危機事件指揮中心制度
16.1 啟動條件
包含：
• 重大傷害。
• 大型災害。
• 長時間停電。
• 群體事件。
指揮架構
總指揮
│
┌───────────┼───────────┐
醫療組 安全組 後勤組
│ │ │
健康中心 保全 工程/客服
第十七章安全教育訓練制度
必修課程
課程 頻率
消防訓練 每年
CPR/AED 每年
災害演練 每年
門禁管理 新人訓練
危機處理 年度複訓
第十八章安全稽核與績效管理
安全KPI
指標 目標
重大安全事故 0件
巡邏完成率 100%
消防演練完成率 100%
異常通報完成率 100%
安全改善完成率 ≥95%
第十九章風險分析與改善制度
採：
FMEA風險管理
風險 原因 預防
住民走失 認知退化 風險分級管理
火災 設備故障 消防檢查
陌生人進入 門禁漏洞 身份確認
跌倒事故 環境因素 安全巡查
CAPA改善流程
事件發生 ↓
原因分析 ↓
改善措施 ↓
效果確認 ↓
標準化
第二十章安全管理表單與紀錄文件
表單清單
編號 名稱
SS-F001 安全勤務交接表
SS-F002 巡邏紀錄表
SS-F003 訪客登記表
SS-F004 門禁異常紀錄
SS-F005 監控調閱申請表
SS-F006 住民安全評估表
SS-F007 走失事件報告表
SS-F008 消防設備檢查表
SS-F009 消防演練紀錄
SS-F010 災害應變紀錄
SS-F011 停電停水事件報告
SS-F012 治安事件報告
SS-F013 重大事故調查表
SS-F014 安全改善追蹤表
SS-F015 安全月報表
【職安衛乙種考試心得分享】 甲、乙、丙種 業務主管考照準備建議
職業安全衛生乙種 和乙級 你分得清楚嗎? 你知道乙種沒有題庫嗎?
乙種講義那麼厚、數字那麼多，我到底要讀什麼? 要讀嗎?
考取職業安全衛生乙類業務主管證照的主要原因是確保企業能夠有效地管理和實施職業安全衛生措施，以保護員工的健康和安全。這個證照對於企業來說具有以下幾個重要意義：
法律遵循：根據《職業安全衛生管理辦法》，特定規模的企業必須配置合格的職業安全衛生管理員，以確保符合相關法規和標準。
風險管理：合格的職業安全衛生管理員能夠評估和控制工作場所的潛在危險，減少工傷和職業病的發生，從而降低企業的法律和經濟風險。
員工保護：確保工作環境的安全和健康，有助於提高員工的工作滿意度和生產力，同時也提升企業的社會形象和聲譽。
【看更多就業服務乙級考試指南…】
人才學院 https://23dreamhome.vip/
就服乙級考什麼如何報名 : https://23dreamhome.vip/b/ps18P1KOLBN...
就服乙級如何準備讀書建議
https://23dreamhome.vip/b/DgYuZUUjCfh...
就服乙級歷屆試題與題庫https://23dreamhome.vip/blog/DA9ifu
就服乙級最新修法動態
https://23dreamhome.vip/blog/uhIbZX
~報名線上課程~
https://23dreamhome.vip/courses
職涯破框人才學院
https://www.youtube.com/channel/UCfX1pzLHwVqt5JYc192NGaw
噓～這個不能說！職場調查的「保密原則」與「透明度」平衡難題何解？
當我們討論職場中的「保密性」或「保密原則」時，通常是著重在員工對公司的保密責任，例如要求職員保護公司機密資訊，不得隨意洩露營運政策、商業模式等重要訊息。但你知道嗎？企業在處理內部投訴或職場爭議時，也必須遵守保密原則，尤其是涉及法律的案件更要格外小心。
文／《104職場力》
本文導覽
職場調查的保密性有多重要？走漏風聲當心全盤皆輸！為何職場調查要神神秘秘？說要保密，公司卻主動放消息？企業講究透明度的原因明明保密是最直接且最省力的方式，為什麼企業要背道而馳？矛盾對決！保密原則和透明度如何平衡？身為處理單位，HR們的難言之隱7個平衡保密性和透明度的策略
職場調查的保密性有多重要？走漏風聲當心全盤皆輸！
職場調查（Workplace Investigations）是指企業或組織對「涉及員工之間的糾紛、不當行為、違規行為或其他職場問題」進行系統性的調查和分析。例如：性騷擾投訴、歧視投訴、欺凌或霸凌、盜竊或不當行為，以及其他違反公司政策規定的案件。
這些職場調查通常由公司內部的專業人員或聘請外部專家執行，目的是為了確定事實、解決問題、維護企業和員工的權益。
為何職場調查要神神秘秘？
跟法律案件調查偵查不公開一樣，職場調查的保密性其實有多重考量：
保護相關人隱私
參與調查的員工，無論是投訴人、證人還是調查對象，一定都希望得到一定程度的隱私保護。畢竟如果被發現自已是當事人或「報馬仔」，可能會導致內部尷尬、聲譽損害或人際關係緊張，甚至吹哨者還可能被報復或無法保住飯碗，對企業而言也是一種損失。
得到真相
除了吹哨者，保密性同樣也是要保護關鍵證人或其他線索的提供者，只有當確認個人細節和陳述能獲得保密，才能營造安全的環境，讓協助調查的同仁願意參與過程並誠實以告。
維護調查的完整性
調查最怕打草驚蛇，如果未保密，過程中便走漏風聲，可能會影響證人的記憶、關鍵人的立場或讓加害者有提前破壞關鍵證據、想好應對說法等機會。因此保密有助於保持調查公正，並確保所有參與方提供真實、未經操縱或修改的陳述。
法律明文規定
在某些情況下，企業保密的原因很簡單，就是法律要求！特別是性騷擾、霸凌等申訴案，都有法律明文規定，要求企業應負保密義務。
正因為職場案件調查牽一髮動全身，若保密出現漏洞，不僅可能對當事人的聲譽和隱私構成威脅，還可能打壞整個團隊合作的氛圍和信任，公司也會需要承擔法律、財務和聲譽損失的風險。因此，保密是避免導致全盤皆輸的關鍵。
說要保密，公司卻主動放消息？企業講究透明度的原因
雖然所有人都知道保密的重要性，但人的天性就是好奇、想了解後續發展。你可能也遇過，當公司內部發生特殊事件時，同仁之間會私下交換情報，甚至會有同事到處打聽、傳播，最後變成眾說紛紜；而部分相關人比起完全保密，更傾向能一直追蹤案件進度；甚至有時候企業也會主動釋出一些消息，增加內部的透明度……
明明保密是最直接且最省力的方式，為什麼企業要背道而馳？
其實透明度是一種管理方式！有以下4個好處：
建立員工對企業的信任
員工需要相信他們關切的事項有被公司認真對待、公平處理。適當透漏調查過程及結果可以讓員工放心，相信公司會重視他們的意見，並採取客觀、不偏袒的處理方式。
鼓勵參與、提升反映管道的價值
當員工發現反映真的有用時，溝通管道自然而然就建立起來。適度的資訊透明會讓員工感覺自己是公司決策／改進的一部分，因而更願意分享，對HR和雇主來說，不僅能排除不良的人員與風氣，也更能貼近內部真實狀況。
有利於培養組織文化
針對案件調查，企業最終若落實獎懲相關人員、還當事人一個公道或事實，員工會知道「公司玩真的」，之後不管企業要推行何種文化（例如誠實、正直），都會更有說服力，員工乖乖遵守的意願也會提升。
扼殺謠言、猜測和恐慌
如果事件完全沒人知情，相關人等又少，那麼完全保密沒什麼問題；最怕的是大家都在關注卻無從得知結局，這時候可能會出現捕風捉影的情況。員工可能會自行詮釋上級的行為反應， 一個人一種版本，最後的下場就是越傳越誇張，間接影響相關人的聲譽，也會引發不安。不過一旦有「內部正式發布的消息」，某種程度上有助於控制情勢，雖然無法完全根除大家的臆測，但至少不會讓傷害無邊際擴散。
這便是保持透明度對於管理的幾種益處。從前面的保密重要性到本段的透明度益處，都在「理論」階段，接下來我們來討論實際面的處理方式。
矛盾對決！保密原則和透明度如何平衡？
當事件發生，真的需要進行職場調查時，HR或處理人員實務上會面對哪些困難和挑戰？
身為處理單位，HR們的難言之隱
第一名絕對是要同時保持機密性和透明度：尺度怎麼抓才不算洩密，或被大家推敲出來？講太少有講又跟沒講一樣，真的好難。
法規的了解與實務應用：雖然法規明擺在那裡，但每個事件狀況不同，如何應用才不會不小心觸法，這對是令人頭疼的其中一個選項。
處理時間有限的壓力：調查要保持低調，但如果涉及人員多，光是蒐集資訊就要老半天，集結大家開會協調、決策也勞心勞力，如果還有上層或法規的期限壓力，其實相當高壓。
上層處理態度不一致：如果有統一作法還不至於糾結，最怕A高層想多開放點資訊、B高層不想，員工對透明度的期待值還跟管理職不同，把HR們夾在中間裡外不是人。
相關人的後續行動：主線還沒處理完，當事人就急著開分支？有時候主事件後續會衍生更多風波，根本防不勝防。
大量的機制、計畫要安排：就算沒有節外生枝，HR通常也會需要根據調查結果制定適當的後續行動計劃，確保問題得到解決並預防未來類似問題再度發生。
7個平衡保密性和透明度的策略
HR們想必覺得自己處理這類案件時像走鋼索，老是提心吊膽的，不過想讓事件和平落幕，不妨參考以下這7點建議：
1. 處理前，先溝通當事人明確的期望
在調查開始前，與所有相關人等討論保密與透明度的期望值，一方面解釋保密的重要性，並統整可分享和不可分享的資訊。先把話說清楚，降低期望不一或過度透露的風險。
2. 確保調查流程清晰、照著規矩來
制定一個正式、一致的調查流程，或參考專家處理的SOP，先了解組織該如何處理調查，包含將採取哪些步驟、需要找誰參與其中，把範圍羅列出來，減少不必要的約談就多一分保密度。
3. 定期向投訴人和相關方更新資訊
透明度並不意味著提供每個細節，當事人在意的是有沒有進行？進行到什麼程度？結果是什麼？那就提供相關訊息，例如：目前已經進入調查階段、正在討論分析、結果是投訴成立……等，對外也可以比照相同模式辦理。
4. 盡可能保持匿名
除了直接相關人及其直屬主管，為了提升保密性，在跟核心人員以外的對象報告調查進度時，可以採用匿名陳述或使用一般術語。這可以在不透露參與方身分的情況下分享資訊又不踩到紅線。
5. 根據案件類型調整溝通模式
不同性質的案件，保密程度的規範一定有所不同。例如，性騷擾的調查可能需要比針對政策違規或績效問題的調查更嚴格，這部分可以統一對上下級誠實以告，讓大家知道透明度調整的依據是什麼。
7. 培訓相關知識
不論是針對保密原則或是案件後續的宣導，透過培訓讓大家有深切了解，會遠比只是布達來得更有效果。
以上是職場調查保密與透明度的相關資訊，雖然不容易，但為了能幫助企業順利解決管理上的問題，這類規範有其必要性，希望能幫助大家營造出一個健康、公平的工作環境。
參考資料來源：Balancing Confidentiality and Transparency During Workplace Investigations
延伸閱讀
員工涉「性騷擾」屬實，雇主就可以直接合法解僱了嗎？
萬一主管對員工有性騷擾行為，公司要背負什麼法律責任？｜法律小教室
如果對我性騷擾的是老闆，還要走完「雇主立即糾正及補救措施」的內部流程嗎？｜法律小教室
面對職場性騷擾！公司要有哪些SOP？
ISO/IEC 27001 主導稽核員備考｜標準要求與防護措施重點
ISO/IEC 27001 主導稽核員備考須分清管理要求、風險評鑑與控制措施。以薪資資料為例，理解資訊安全三要素、管理循環與適用性聲明，再用自編題檢查防護選擇。
本文目錄
本篇對應的官方考試範圍
必懂觀念
常見誤判
練習題與完整解析
備考檢查清單
本篇未涵蓋、需另外準備的範圍
官方來源與版本核對
本篇對應的官方考試範圍
對應 CQI 五範圍中的「管理系統概念」（6題），並支援「執行稽核」（14題）時對照管理要求與控制；本文為教學映射，不是官方逐題分布或配分。
CQI 五範圍為管理系統概念、稽核責任、規劃、執行及報告結案；本文僅涵蓋其中部分觀念。
必懂觀念
薪資被陌生人看到，是機密性受損；數字被竄改，是完整性受損；發薪日前平台當機，是可用性受損。三者幫助辨認要保護什麼。資訊安全管理系統（ISMS）讓保護工作持續運作，PDCA 依序規劃、執行、檢查、改善。教學上將第4～6章放規劃，第7～8章放執行，第9章檢查，第10章改善；第7章支援同時支撐全循環。
先訂比較尺度（風險判準），找可能事件（識別），看機會與後果（分析），再與判準比較（評估）；識別、分析、評估合稱風險評鑑。選擇離職停權及覆核，是風險處理；措施後剩餘的風險叫殘餘風險，須由風險負責人核准接受。離職當日停權是本案例公司的內規，不是所有公司統一期限。
附錄 A 有93項控制：組織37、人員8、實體14、技術34。可用離職責任、郵件辨識訓練、機房門禁及活動日誌理解四類。ISO/IEC 27002:2022 提供控制指引，不能將其中全部建議直接當成強制要求。
公司列出選用哪些必要防護、為何選用及是否實施的文件，叫適用性聲明（SoA）；也要記排除附錄 A 控制的理由，自訂必要控制亦須納入。第4～10章管理要求不能藉 SoA 排除。 該資料為工作組教育說明，未經ISO／SC27正式背書，不視為新增標準或約束性解釋。
可照用的 SoA 範例：必要控制＝離職撤權（對照 A.5.18）；納入理由＝避免離職者繼續讀取薪資；實施狀態＝已實施，對應停權工單與日誌。若有附錄控制不適用，另逐項記排除理由；本例不代表整份 SoA，也沒有替其他控制預設排除理由。
常見誤判
把評估風險大小當成已選措施：評鑑與處理是不同活動。
把93項一律打勾：應先看必要控制、理由與狀態。
自訂控制不在附錄就漏記：必要控制仍列 SoA。
以 SoA 排除風險評鑑：管理要求仍須完整落實。
練習題與完整解析
以下為自編教學題，非官方原題；用於練習題目條件與行動的對應。
Q2-01｜薪資公司已比較離職帳號風險，決定加上停權覆核。這個決定屬於哪項活動？
甲 執行資訊安全風險識別。
乙 選擇資訊安全風險處理。
丙 進行資訊安全風險分析。
丁 建立資訊安全風險判準。
答案是乙。已決定增加覆核措施，是在選擇怎麼處理風險。甲的風險識別，是先找出可能出什麼事。丙的風險分析，是看發生機會與後果。丁的風險判準，是先訂比較的尺度。題目問的是選措施，所以落在風險處理。
Q2-02｜公司認定自訂下載限額是必要控制。哪種記錄方式最合適？
甲 因附錄沒有這項，聲明照原表列示。
乙 列入適用性聲明，寫明理由與狀態。
丙 列入適用性聲明，標成排除的控制。
丁 記在風險處理計畫，聲明照原表列示。
答案是乙。必要控制要列入適用性聲明，寫明納入理由與實施狀態。甲把附錄當成全部控制，漏了自訂的必要措施。丙把已採用措施寫成排除，記錄相反。丁的處理計畫可以記執行安排，但適用性聲明也要更新。
備考檢查清單
能各舉一例區分資訊安全三要素。
能從判準、識別、分析、評估走到風險處理。
能寫必要控制、理由、狀態及排除理由。
能說明殘餘風險由誰接受。
本篇未涵蓋、需另外準備的範圍
另外閱讀組織情境、領導與責任、支援、文件化資訊、績效評估、管理審查、內稽及持續改善的完整要求；四類控制需逐項準備，不能只記帳號例子。
本系列為短課，不取代認可訓練，不保證考過或取得 IRCA 註冊；需另依適用教材與標準完整準備。
官方來源與版本核對
依2026-10-29來源查核紀錄整理。ISO/IEC 27001:2022 含2024修正；ISO 19011 已出2026版，考試引用版次請向開課單位確認。以官方或開課單位最新公告為準。
標準27001：官方來源、官方來源、官方來源
標準27002：官方來源、官方來源
線上測驗及範圍：官方來源、官方來源、官方來源、官方來源
SoA與條文教學：官方來源、官方來源
核心條文及控制編號佐證：官方來源、官方來源
更多 〈ISO/IEC 27001 主導稽核員〉 推薦好文
ISO/IEC 27001 主導稽核員備考｜稽核員工作與取得途徑
ISO/IEC 27001 主導稽核員備考｜稽核流程與訪談取證重點
ISO/IEC 27001 主導稽核員備考｜不符合寫法與結案重點
AI資安疫情蔓延全球，專家建議：7個面向建立企業資安防護網！
AI興起，正在快速改變資安攻防的遊戲規則，過去需要投入大量時間攻擊漏洞、測試的駭客工作因AI而降低門檻。企業和機關更應該主動積極的備戰，國家資通安全研究院的院長龔化中，建議企業或機關可從7個面向著手建立資安防護網、保護數位資產，千萬不要心存僥倖！
文／龔化中（國家資通安全研究院 院長）
本文導覽
AI資安攻擊，已經進入新的階段在AI時代，不要心存僥倖，就是最基本的防禦一、 減少暴露在外的攻擊面：少一個入口，就少一個風險二、注意供應鏈安全：避免病從口入三、建立多層防護：不要期待系統永遠不會被攻破四、降低洩密傷害：保護最重要的數位資產五、做好營運維持：最重要的是確保組織活得下去六、冷靜應變：不要把時間花在找戰犯七、即時通報與聯防：一起阻止災害蔓延面對AI資安疫情，現在就是備戰的時候
最近常常看到一些AI相關的趣聞，有人想用AI協助健身房報名手續，結果發現名額已經額滿，AI竟然想辦法駭進系統幫忙插隊；也有實驗結果發現，最先進的AI為了完成任務，竟然暗中突破原本設定的限制，甚至嘗試入侵其他系統來「偷看答案」。
這些新聞看起來很有趣，就像科幻電影裡才會發生的情節。但當這些能力開始被駭客利用，情況就不再只是科幻，已經逐漸變成一場真實的資安風暴。
AI資安攻擊，已經進入新的階段
AI正在快速改變資安攻防的遊戲規則，在過去駭客需要投入大量時間進行資訊蒐集、漏洞研究、程式撰寫與攻擊測試；而現今AI正逐漸降低這些複雜工作的門檻，讓攻擊者可以更快、更大量地尋找目標與弱點。更值得注意的是，攻擊能力正在快速普及；惟防禦能力的成熟需要時間。
AI已經可以協助攻擊者尋找暴露在網路上的系統、分析漏洞、撰寫攻擊程式，甚至協助突破一些原本需要高度專業能力才能完成的工作。另一方面，AI資安防禦工具仍在快速發展中，其穩定性、準確性以及實際部署經驗等，都還需要時間持續累積。
這就像一場新的數位疫情：威脅已經開始擴散，但我們的「疫苗」與防禦體系還在持續研發與強化。
我們預期，未來一段時間AI所帶來的資安威脅仍會持續升高，直到漏洞管理、防禦工具、資安治理與整體應變機制逐步成熟，威脅才可能逐步趨於穩定。因此，面對AI資安疫情不是消極等待風暴來臨，機關與企業都應該提前部署備戰，做好準備。
延伸閱讀：有內鬼！商業機密被竊怎麼辦？5個QA帶你認識「營業秘密法」
在AI時代，不要心存僥倖，就是最基本的防禦
我們有以下幾項建議，提供給各級機關與企業參考：
一、 減少暴露在外的攻擊面：少一個入口，就少一個風險
AI搜尋網路上的弱點，成本低、速度快，而且可以大規模自動化。因此防守方的第一個原則就是盡量減少暴露在外、可能被攻擊的入口，魔鬼藏在細節裡，過去一些工程人員認為「應該沒有人會注意」的小細節，在AI時代可能很快就會被發現，例如：
研發、測試人員使用的遠端伺服器或開發中網站。
資訊營運人員使用的跳板機或系統服務帳號。
已經停止使用，卻沒有真正下線的舊系統與服務。
暫時開放、之後卻忘記關閉的網路服務或帳號。
工程人員可能以為自己留下的小小後門沒有「人」知道，但現在AI找得到。因此，各級主管應要求做好系統、設備、服務與帳號的完整盤點，該關閉的關閉、該更新的更新、該限制存取的限制存取。
延伸閱讀：別當職場資安網的漏洞，維護機密、當心智慧型手機上的惡意連結
二、注意供應鏈安全：避免病從口入
一個組織就算本身資安治理良好，就像一個注重健康、經常運動的人，還是可能因為「吃進去」的東西有問題而生病。
很多駭客其實不需要自己花大量時間研究目標。當一個熱門產品或軟體被發現重大漏洞，攻擊者可以利用自動化工具迅速找出哪些組織正在使用它，接著發動攻擊。
最近前沿AI公司與資安研究團隊大量運用AI挖掘開源軟體與資訊系統漏洞，漏洞發現與揭露的速度正在加快。這對整體資安環境是一件好事，但也代表攻擊者取得這些資訊的速度同樣很快。
因此，組織不能只知道「我們用了很多套系統」，而必須真正知道我們到底用了哪些系統？哪些版本？由誰管理？出了漏洞之後誰負責處理？
更重要的是，要建立明確的更新與修補策略。因為更新本身也可能造成風險。如果沒有經過測試與規劃，匆忙更新可能讓原本正常的服務中斷。
因此，除了正常的更新流程之外，也應預先準備緊急隔離與網路阻擋措施。當重大漏洞發生時，可以先限制有風險的設備或服務，爭取時間進行安全、完整的修補。面對快速變化的漏洞環境，最重要的不是每一次都搶第一個更新，而是要有能力快速判斷、快速隔離、快速修復。
延伸閱讀：每天上班收發上百封e-mail，這5大電郵詐騙手法，你不可不知
三、建立多層防護：不要期待系統永遠不會被攻破
進入AI資安攻擊時代，我們不能再期待「系統絕對不會被入侵」，更務實的做法是假設某一層防禦終究可能被突破，然後讓下一層防禦接住它。
防火牆、身分驗證、端點防護、網路監控、異常行為偵測、資料保護，以及最後的事件應變，都應該形成多層防線，這裡最重要的其實是「時間」。
如果駭客花了五分鐘突破第一層防禦，而我們可以在三分鐘內發現異常並啟動應變，就有機會在他進入核心系統之前把攻擊阻斷，資安防禦不一定要做到滴水不漏，但一定要讓攻擊者很難一路暢通。同時，重要的資安能力也不要形成單一依賴。即使最可靠的供應商，也可能發生服務中斷、漏洞或遭受攻擊。
關鍵的防禦能力應該保留替代方案與自主應變能力，避免一個單點故障就讓整個組織失去防禦能力。
延伸閱讀：密碼用生日、常用平台用同一組密碼？這些帳號被盜的資安大地雷，你也犯了嗎？
四、降低洩密傷害：保護最重要的數位資產
有一句成語「懷璧其罪」。你最重要的機密，往往就是駭客最想要的東西。
因此，第一步不是想辦法把所有資料保護到百分之百，而是先問自己：這些資料真的需要保存嗎？不必要的個資、信用卡資訊、機密文件與其他敏感資料，能不保存就不要保存。
如果確實需要保存，就必須做好分級、權限控管與加密，讓資料即使被取得，也不容易直接被使用。
AI時代還出現了一個新的風險：員工為了工作方便，可能直接把公司內部資料交給AI工具處理。
一份內部文件、一段程式碼、一份客戶資料，看起來只是一次簡單的AI查詢，卻可能成為新的資料外洩管道。因此，組織在導入AI的同時，也必須建立清楚的AI使用規範：什麼資料可以交給AI？什麼資料絕對不能交出去？這已經是每一個機關與企業都必須面對的新課題。
延伸閱讀：51%常用密碼在1分鐘內就能被AI破解，5個提高「密碼管理」的必知QA
五、做好營運維持：最重要的是確保組織活得下去
資安事件發生後，真正造成巨大損失的，不一定是資料被偷走，而可能是整個組織無法正常運作。
因此，除了防禦之外，更重要的是「韌性」，要有確實可行的營運維持計畫，並且真正演練過。資訊系統的資料備份與還原、電力與外部網路的備援、人員工作的替代設備，以及關鍵業務的替代流程，都應該預先規劃，而不能只是「有備份」，還要確定真的還原得回來。
對企業而言，也要思考資安事件發生後的營運資金與替代供應商。
就像狡兔三窟，重要的服務不能只有一個出口。當外部服務突然中斷時，組織才有能力撐過最困難的幾天甚至幾週。
資安的最終目標，不只是防止被攻擊，而是即使被攻擊，組織仍然能夠繼續運作。
延伸閱讀：專家建議：保護在家工作的視訊環境，務必注意7個要點避免資安威脅
六、冷靜應變：不要把時間花在找戰犯
資安事件發生時，不論事前做了多少準備，都不可能保證完全不受影響。
這時候最重要的，不是第一時間追究「到底是誰的錯」，而是先把災情控制住。按照既定的事件應變計畫執行，迅速隔離、確認影響範圍、保全證據、恢復服務，再進一步檢討原因。
也就是說，應該把「改善制度」和「懲罰個人」清楚區分。只有讓第一線人員敢於通報，組織才有可能真正學習，也才有機會避免下一次更大的事故。
延伸閱讀：如何戰勝全球資安聞之色變的勒索病毒，有效避免辦公室資料被其綁架呢？
七、即時通報與聯防：一起阻止災害蔓延
新冠疫情期間，及早發現、即時通報與跨單位合作，是控制疫情的重要關鍵。AI資安疫情也是一樣。
當一家企業發現新的攻擊手法，如果能夠儘速通報，就有機會讓其他企業提前做好防護，避免同樣的攻擊在整個產業快速擴散。
這也是為什麼資安不能只是「各自顧好自己的事情」。
在AI時代，一家組織發現的攻擊手法，可能在幾個小時之內成為另一家組織的災難。因此，更快速的通報、更有效的情資共享，以及政府、企業與資安社群之間的聯防，會變得比過去更加重要。
國家資通安全研究院是台灣的「數位消防隊」，我們會持續強化情資分析、威脅研判與應變協助，盡力守護國家與人民的數位資產安全。
如果政府機關或關鍵基礎設施業者遭遇疑似AI輔助的攻擊，可以透過數位發展部資通安全署或主管機關進行通報；民間企業與組織也可以透過TWCERT/CC（台灣電腦網路危機處理暨協調中心）通報，我們將盡力提供必要的協助。
台灣電腦網路危機處理暨協調中心
延伸閱讀：APP潛藏資安危機，5大常見可疑程式、別讓它出現在你的手機裡！
面對AI資安疫情，現在就是備戰的時候
AI資安威脅已經不是未來式，而是現在進行式。我們不需要恐慌，但必須提高警覺。沒有人能保證自己的系統永遠不會被攻擊，也沒有人能預測下一個AI工具會把攻擊能力提升到什麼程度。
真正重要的是，在攻擊能力快速進化的今天，我們能不能更快盤點自己的弱點、更快發現異常、更快隔離風險、更快恢復營運，也更願意把自己發現的威脅告訴其他人。這場數位疫情不可能只靠一家機構解決。政府、企業與整個資安社群都必須一起提高防禦韌性，才能把每一次攻擊的傷害控制在最小範圍。
AI資安疫情已經開始。現在，就是備戰的時候。
（原文標題：AI資安疫情全球蔓延， 機關與企業如何迎戰？）
本文獲 國家資通安全研究院 同意授權於《104職場力》刊載
有任何收穫或想分享的，都來和大家一起聊聊吧！