CompTIA Security＋國際網路資安認證班
104學習
ISMS資訊安全管理系統
這項技能主要是幫助企業建立一套系統化的資訊安全管理架構，確保機密資料和系統資產受到有效保護。具備此能力的人能協助公司辨識風險、制定安全政策、實施控管措施，並持續監督與改善，降低資安事件發生的機率。在數位轉型與資安威脅日益嚴峻的環境下，掌握這項技能能提升企業競爭力，也增加自身在職場上的價值與職涯發展機會。
提升你的實力，朝專業更進一步
精選課程
充實自己，讓能力持續成長
CompTIA Security＋國際網路資安認證班
SSCP資安專業人員認證課程
SSCP資安專業人員認證課程
從實務出發－企業網路安全建置與技術展示| 資安線上課程
資安國際標準簡介
EC-Council CEH駭客技術專家認證課程
EC-Council CEH駭客技術專家認證課程
【11/16（一）開課｜台北３日實體班】ISO 27701:2025 隱私資訊管理系統主導稽核員轉換訓練課程
精選證照
考取專業證照，讓能力被市場看見
ISSMP
ISSMP（資訊安全管理專業人員）證照旨在培養具備資訊安全管理知識與實務能力的專業人才，涵蓋風險評估、資安政策制定、事件管理及法規遵循等核心領域，協助企業建立完善的資訊安全管理體系，提升整體資安防護水平，確保資訊資產安全與營運穩定。
International Information Systems Security Certification Consortium
CISM資訊安全經理人
CISM（Certified Information Systems Manager，資訊安全經理人），
該證照是由ISACA協會所規劃的專業資訊安全認證，也是國際公認最具權威的資訊安全經理人專業證照。該認證已吸引全球的資訊安全主管、網路安全人員、風險管理人員以及其他對資訊安全與控制有興趣的管理人員或顧問報考。
ISC2 國際資訊系統安全認證協會
CISA
CISA（資訊系統稽核師）證照專為資訊系統審核、控制及安全管理專業人士設計，涵蓋資訊系統審核流程、IT治理、系統與基礎設施生命週期管理、資訊資產保護及風險管理等核心能力。持有此證照代表具備評估企業資訊系統風險、確保系統合規及提升資訊安全的專業知識與實務經驗，廣受企業與政府機構青睞，適合從事資訊安全、風險管理及內部稽核等相關職務。
ISC2 國際資訊系統安全認證協會
CISSP
CISSP（Certified Information Systems Security Professional）是國際資安領域公認的專業認證，涵蓋資訊安全管理、風險評估、存取控制、加密技術等多項核心知識。持有此證照代表具備設計、實施及管理企業資安計畫的能力，適合資安專家、顧問及管理者，能有效提升職場競爭力及專業信譽。
International Information Systems Security Certification Consortium
ISSAP
ISSAP（Information Systems Security Architecture Professional）證照專注於資訊安全架構設計，強調企業整體安全策略與技術架構的整合能力。持有此證照者具備分析企業安全需求、設計安全系統架構及制定防護措施的專業技能，能有效保護組織資訊資產免受威脅，適合從事資安架構師或資安顧問等職務，提升職場競爭力。
International Information Systems Security Certification Consortium
國際資訊管理師
資訊管理是一種基於網際網路的運算方式，通過這種方式，共享的軟硬體資源和資訊可以按需求提供給電腦各種終端和其他裝置，使用服務商提供的電腦基建作運算和資源。
這項證照專注於資訊安全管理，評估候選人對企業資訊系統的安全性和風險管理的能力。獲得IIM證照的專業人士通常擁有廣泛的知識和技能，能夠設計、建立和管理企業的資訊安全系統，保護組織的資訊資產免受各種內外部威脅。這項證照對於希望在資訊安全管理領域發展職業生涯的專業人士是一個有價值的資格
TIPCI臺灣國際專業認證學會
精選貼文，掌握第一手知識
AI資安疫情蔓延全球，專家建議：7個面向建立企業資安防護網！
AI興起，正在快速改變資安攻防的遊戲規則，過去需要投入大量時間攻擊漏洞、測試的駭客工作因AI而降低門檻。企業和機關更應該主動積極的備戰，國家資通安全研究院的院長龔化中，建議企業或機關可從7個面向著手建立資安防護網、保護數位資產，千萬不要心存僥倖！
文／龔化中（國家資通安全研究院 院長）
本文導覽
AI資安攻擊，已經進入新的階段在AI時代，不要心存僥倖，就是最基本的防禦一、 減少暴露在外的攻擊面：少一個入口，就少一個風險二、注意供應鏈安全：避免病從口入三、建立多層防護：不要期待系統永遠不會被攻破四、降低洩密傷害：保護最重要的數位資產五、做好營運維持：最重要的是確保組織活得下去六、冷靜應變：不要把時間花在找戰犯七、即時通報與聯防：一起阻止災害蔓延面對AI資安疫情，現在就是備戰的時候
最近常常看到一些AI相關的趣聞，有人想用AI協助健身房報名手續，結果發現名額已經額滿，AI竟然想辦法駭進系統幫忙插隊；也有實驗結果發現，最先進的AI為了完成任務，竟然暗中突破原本設定的限制，甚至嘗試入侵其他系統來「偷看答案」。
這些新聞看起來很有趣，就像科幻電影裡才會發生的情節。但當這些能力開始被駭客利用，情況就不再只是科幻，已經逐漸變成一場真實的資安風暴。
AI資安攻擊，已經進入新的階段
AI正在快速改變資安攻防的遊戲規則，在過去駭客需要投入大量時間進行資訊蒐集、漏洞研究、程式撰寫與攻擊測試；而現今AI正逐漸降低這些複雜工作的門檻，讓攻擊者可以更快、更大量地尋找目標與弱點。更值得注意的是，攻擊能力正在快速普及；惟防禦能力的成熟需要時間。
AI已經可以協助攻擊者尋找暴露在網路上的系統、分析漏洞、撰寫攻擊程式，甚至協助突破一些原本需要高度專業能力才能完成的工作。另一方面，AI資安防禦工具仍在快速發展中，其穩定性、準確性以及實際部署經驗等，都還需要時間持續累積。
這就像一場新的數位疫情：威脅已經開始擴散，但我們的「疫苗」與防禦體系還在持續研發與強化。
我們預期，未來一段時間AI所帶來的資安威脅仍會持續升高，直到漏洞管理、防禦工具、資安治理與整體應變機制逐步成熟，威脅才可能逐步趨於穩定。因此，面對AI資安疫情不是消極等待風暴來臨，機關與企業都應該提前部署備戰，做好準備。
延伸閱讀：有內鬼！商業機密被竊怎麼辦？5個QA帶你認識「營業秘密法」
在AI時代，不要心存僥倖，就是最基本的防禦
我們有以下幾項建議，提供給各級機關與企業參考：
一、 減少暴露在外的攻擊面：少一個入口，就少一個風險
AI搜尋網路上的弱點，成本低、速度快，而且可以大規模自動化。因此防守方的第一個原則就是盡量減少暴露在外、可能被攻擊的入口，魔鬼藏在細節裡，過去一些工程人員認為「應該沒有人會注意」的小細節，在AI時代可能很快就會被發現，例如：
研發、測試人員使用的遠端伺服器或開發中網站。
資訊營運人員使用的跳板機或系統服務帳號。
已經停止使用，卻沒有真正下線的舊系統與服務。
暫時開放、之後卻忘記關閉的網路服務或帳號。
工程人員可能以為自己留下的小小後門沒有「人」知道，但現在AI找得到。因此，各級主管應要求做好系統、設備、服務與帳號的完整盤點，該關閉的關閉、該更新的更新、該限制存取的限制存取。
延伸閱讀：別當職場資安網的漏洞，維護機密、當心智慧型手機上的惡意連結
二、注意供應鏈安全：避免病從口入
一個組織就算本身資安治理良好，就像一個注重健康、經常運動的人，還是可能因為「吃進去」的東西有問題而生病。
很多駭客其實不需要自己花大量時間研究目標。當一個熱門產品或軟體被發現重大漏洞，攻擊者可以利用自動化工具迅速找出哪些組織正在使用它，接著發動攻擊。
最近前沿AI公司與資安研究團隊大量運用AI挖掘開源軟體與資訊系統漏洞，漏洞發現與揭露的速度正在加快。這對整體資安環境是一件好事，但也代表攻擊者取得這些資訊的速度同樣很快。
因此，組織不能只知道「我們用了很多套系統」，而必須真正知道我們到底用了哪些系統？哪些版本？由誰管理？出了漏洞之後誰負責處理？
更重要的是，要建立明確的更新與修補策略。因為更新本身也可能造成風險。如果沒有經過測試與規劃，匆忙更新可能讓原本正常的服務中斷。
因此，除了正常的更新流程之外，也應預先準備緊急隔離與網路阻擋措施。當重大漏洞發生時，可以先限制有風險的設備或服務，爭取時間進行安全、完整的修補。面對快速變化的漏洞環境，最重要的不是每一次都搶第一個更新，而是要有能力快速判斷、快速隔離、快速修復。
延伸閱讀：每天上班收發上百封e-mail，這5大電郵詐騙手法，你不可不知
三、建立多層防護：不要期待系統永遠不會被攻破
進入AI資安攻擊時代，我們不能再期待「系統絕對不會被入侵」，更務實的做法是假設某一層防禦終究可能被突破，然後讓下一層防禦接住它。
防火牆、身分驗證、端點防護、網路監控、異常行為偵測、資料保護，以及最後的事件應變，都應該形成多層防線，這裡最重要的其實是「時間」。
如果駭客花了五分鐘突破第一層防禦，而我們可以在三分鐘內發現異常並啟動應變，就有機會在他進入核心系統之前把攻擊阻斷，資安防禦不一定要做到滴水不漏，但一定要讓攻擊者很難一路暢通。同時，重要的資安能力也不要形成單一依賴。即使最可靠的供應商，也可能發生服務中斷、漏洞或遭受攻擊。
關鍵的防禦能力應該保留替代方案與自主應變能力，避免一個單點故障就讓整個組織失去防禦能力。
延伸閱讀：密碼用生日、常用平台用同一組密碼？這些帳號被盜的資安大地雷，你也犯了嗎？
四、降低洩密傷害：保護最重要的數位資產
有一句成語「懷璧其罪」。你最重要的機密，往往就是駭客最想要的東西。
因此，第一步不是想辦法把所有資料保護到百分之百，而是先問自己：這些資料真的需要保存嗎？不必要的個資、信用卡資訊、機密文件與其他敏感資料，能不保存就不要保存。
如果確實需要保存，就必須做好分級、權限控管與加密，讓資料即使被取得，也不容易直接被使用。
AI時代還出現了一個新的風險：員工為了工作方便，可能直接把公司內部資料交給AI工具處理。
一份內部文件、一段程式碼、一份客戶資料，看起來只是一次簡單的AI查詢，卻可能成為新的資料外洩管道。因此，組織在導入AI的同時，也必須建立清楚的AI使用規範：什麼資料可以交給AI？什麼資料絕對不能交出去？這已經是每一個機關與企業都必須面對的新課題。
延伸閱讀：51%常用密碼在1分鐘內就能被AI破解，5個提高「密碼管理」的必知QA
五、做好營運維持：最重要的是確保組織活得下去
資安事件發生後，真正造成巨大損失的，不一定是資料被偷走，而可能是整個組織無法正常運作。
因此，除了防禦之外，更重要的是「韌性」，要有確實可行的營運維持計畫，並且真正演練過。資訊系統的資料備份與還原、電力與外部網路的備援、人員工作的替代設備，以及關鍵業務的替代流程，都應該預先規劃，而不能只是「有備份」，還要確定真的還原得回來。
對企業而言，也要思考資安事件發生後的營運資金與替代供應商。
就像狡兔三窟，重要的服務不能只有一個出口。當外部服務突然中斷時，組織才有能力撐過最困難的幾天甚至幾週。
資安的最終目標，不只是防止被攻擊，而是即使被攻擊，組織仍然能夠繼續運作。
延伸閱讀：專家建議：保護在家工作的視訊環境，務必注意7個要點避免資安威脅
六、冷靜應變：不要把時間花在找戰犯
資安事件發生時，不論事前做了多少準備，都不可能保證完全不受影響。
這時候最重要的，不是第一時間追究「到底是誰的錯」，而是先把災情控制住。按照既定的事件應變計畫執行，迅速隔離、確認影響範圍、保全證據、恢復服務，再進一步檢討原因。
也就是說，應該把「改善制度」和「懲罰個人」清楚區分。只有讓第一線人員敢於通報，組織才有可能真正學習，也才有機會避免下一次更大的事故。
延伸閱讀：如何戰勝全球資安聞之色變的勒索病毒，有效避免辦公室資料被其綁架呢？
七、即時通報與聯防：一起阻止災害蔓延
新冠疫情期間，及早發現、即時通報與跨單位合作，是控制疫情的重要關鍵。AI資安疫情也是一樣。
當一家企業發現新的攻擊手法，如果能夠儘速通報，就有機會讓其他企業提前做好防護，避免同樣的攻擊在整個產業快速擴散。
這也是為什麼資安不能只是「各自顧好自己的事情」。
在AI時代，一家組織發現的攻擊手法，可能在幾個小時之內成為另一家組織的災難。因此，更快速的通報、更有效的情資共享，以及政府、企業與資安社群之間的聯防，會變得比過去更加重要。
國家資通安全研究院是台灣的「數位消防隊」，我們會持續強化情資分析、威脅研判與應變協助，盡力守護國家與人民的數位資產安全。
如果政府機關或關鍵基礎設施業者遭遇疑似AI輔助的攻擊，可以透過數位發展部資通安全署或主管機關進行通報；民間企業與組織也可以透過TWCERT/CC（台灣電腦網路危機處理暨協調中心）通報，我們將盡力提供必要的協助。
台灣電腦網路危機處理暨協調中心
延伸閱讀：APP潛藏資安危機，5大常見可疑程式、別讓它出現在你的手機裡！
面對AI資安疫情，現在就是備戰的時候
AI資安威脅已經不是未來式，而是現在進行式。我們不需要恐慌，但必須提高警覺。沒有人能保證自己的系統永遠不會被攻擊，也沒有人能預測下一個AI工具會把攻擊能力提升到什麼程度。
真正重要的是，在攻擊能力快速進化的今天，我們能不能更快盤點自己的弱點、更快發現異常、更快隔離風險、更快恢復營運，也更願意把自己發現的威脅告訴其他人。這場數位疫情不可能只靠一家機構解決。政府、企業與整個資安社群都必須一起提高防禦韌性，才能把每一次攻擊的傷害控制在最小範圍。
AI資安疫情已經開始。現在，就是備戰的時候。
（原文標題：AI資安疫情全球蔓延， 機關與企業如何迎戰？）
本文獲 國家資通安全研究院 同意授權於《104職場力》刊載
精選 Claude 該選 Haiku、Sonnet、Opus 還是 Fable？三個問題選對模型，額度用更久
同一個問題丟給 Claude，有時又快又好，有時卻等很久、還把額度用光？
問題往往不在你的提問，而是模型沒選對。
打開 Claude 的模型選單，會看到四個名字。可以把它們想成四種同事：
Haiku：反應最快的助理，適合快速摘要、擷取重點（免費版可用）
Sonnet：什麼都能接的主力，寫作、分析、程式都行（免費版可用）
Opus：擅長深度思考的資深顧問，適合複雜研究與推理（Pro 以上）
Fable：能自己規劃、自己檢查的專案負責人，適合從零做出完整成品（付費方案）
能力越強，回答越慢，也越吃使用額度。拿 Opus 或 Fable 去做 Haiku 就能完成的事，只是白白燒掉額度。
選之前，先問自己三個問題：
1. 這件事要想多深？
查詞、摘要新聞 → 輕的模型就夠；比較企劃、找數據矛盾 → 需要深度思考
2. 做錯的代價多大？
內部草稿 → 錯了改就好；要給主管決策、要對外發布 → 用更強的模型，也要更仔細檢查
3. 要它自己做多久？
一問一答 → Sonnet 就很夠；從粗略想法做到完整成品 → 交給 Fable
記住一個原則：先輕後重，不夠再升級。
Haiku → Sonnet → Opus → Fable
另外，選單裡還有一個「Effort（思考深度）」：整理會議紀錄時調低，回得快；審合約、找風險時調高，想得更完整。
最常見的三個錯誤：
・什麼都用最強的模型
・答案不好只會換模型，卻沒先把需求講清楚
・只看答案長短，不看有沒有抓到重點
小練習：下面三件工作，你會各選哪個模型？
① 回覆客戶的簡單詢問
② 分析半年銷售數據寫成報告
③ 從零規劃一套新人訓練
（參考答案：① Haiku ② 先用 Sonnet，要給主管決策就升 Opus ③ Fable）
想看完整五分鐘影音說明，104學習免費課程「5分鐘學會挑選Claude模式」已經上線，免費報名就能看：
https://nabi.104.com.tw/course/104nabi/47f0bb26-3b67-4f8c-80f4-39dd215c0d01
也歡迎在留言分享：你平常最常用哪個模型？有沒有拿兩個模型比較過同一件工作？
資料來源：
Claude Academy〈Choosing the right Claude model〉
https://academy.claude.com/tutorials/choosing-the-right-claude-model
（模型版本與方案以 2026 年 11 月官方說明為準：Haiku 5.5、Sonnet 5.5、Opus 5.5、Fable 5.1）
CISSP備考｜風險責任與資產保護情境題重點
CISSP（Certified Information Systems Security Professional）由 ISC2 發證。CISSP的Domain 1–2備考，重點是將營運影響、決策授權與資料生命週期連起來，分辨風險接受、委外責任與到期刪除的條件。
本文目錄
本篇對應的官方考試範圍
必懂觀念
常見誤判
練習題與完整解析
備考檢查清單
本篇未涵蓋、需另外準備的範圍
官方來源與版本核對
本篇對應的官方考試範圍
依ISC2 2024年4月版考綱，Domain 1 Security and Risk Management（16%）與Domain 2 Asset Security（10%）。重點映射安全目標、治理與倫理、風險處置，以及資料分類、角色、保留及銷毀。此為教學映射，非逐條完整覆蓋。
本系列依2024年4月版考綱；新版自2027年4月15日起適用，報名前請確認考試日適用版本。下列為教學整理，應依題目條件及授權判斷。
必懂觀念
考題中的技術問題仍須連回要保護的營運成果。機密性關注未授權揭露，完整性關注未授權竄改，可用性關注服務可取得；另須確認來源真實性與重要交易責任可追溯。零售會員外洩、點數遭改與結帳停擺可分別對應三種影響。
風險評估連結威脅、弱點與營運影響。資安團隊提出降低、避免、移轉或接受方案，由獲授權的風險擁有者決策；接受要記錄期限及追蹤。保險與委外只能移轉部分財務或合約風險，企業責任不會自動消失。
法令、契約、政策與倫理先構成決策邊界。主管願意承擔損失，不等於可以免除義務；ISC2倫理守則的教學重點是公共利益、誠實合法、勤勉勝任與維護專業。
資料擁有者決定分類與可用範圍，保管者依要求實作存取、備份與刪除。生命週期涵蓋蒐集、使用、分享、保存與銷毀，並考慮最小必要、所在地及保留義務；使用中、傳輸中與靜態資料都要保護。
加密保護資料內容，不能取代合法使用或到期處理。到期刪除須確認無調查保全或其他保留義務，涵蓋受管副本並驗證結果；任何換金鑰都不能直接視為完成密碼抹除。
常見誤判
把資安主管或開發主管一律當風險接受人：應先確認其授權與風險擁有者角色。
以委外或保險為由移除企業責任：忽略仍須承擔的義務與殘餘風險。
把加密等同刪除，或降分類規避到期處理：未遵守生命週期與保留規則。
練習題與完整解析
以下為自編教學題，非ISC2官方原題；用於練習題目條件與行動的對應。
Q2-01｜會員服務發現一項弱點，目前無入侵跡象，也沒有必須立即停機的規定。修補會延後上線，資安主管沒有接受此風險的授權。何者最適當？
甲 交由風險擁有者核定處置。
乙 讓雲端廠商代簽接受風險。
丙 先依排程上線下月再修補。
丁 由開發主管評估後同意上線。
答案是甲。依評估結果與替代方案交有權者核定，才能對營運後果負責。乙把企業責任推給供應商；丙未經授權就默認接受；丁看似有人把關，但開發主管負責技術處理，不是風險擁有者，無權替營運決定接受風險。若出現進行中的攻擊，則應依事件程序採必要控制，不能把等待主管決定當成固定答案。
Q2-02｜零售公司的備份含已到期會員紀錄，確認沒有調查保全或其他保留義務。公司政策要求期滿刪除，但系統只加密未刪除。下一步最適當的是什麼？
甲 延長保存直到下一次稽核。
乙 降低資料分類繼續保管。
丙 依保留規則執行驗證刪除。
丁 更換加密金鑰繼續保存。
答案是丙。保護資料也包含按規則終止保存，並確認副本處理結果。甲任意延長，乙用改分類迴避義務，丁雖改善金鑰保護，卻仍保留紀錄。若改用密碼抹除，必須確認方法符合政策、金鑰及所有副本確實受控；不能把任何換金鑰都當成刪除。
備考檢查清單
能區分三種安全目標與具體營運影響。
能說明誰提出方案、誰有權接受風險，以及何時改依事件程序行動。
能區分資料擁有者與保管者，列出全部受管副本的保留及刪除證據。
能逐項指出兩題干擾選項沒有處理的問題。
本篇未涵蓋、需另外準備的範圍
Domain 1仍需另備法規管轄、量化風險計算、供應鏈、人員安全、框架與教育訓練全部子目；Domain 2仍需資料角色細分、所在地、各保護技術及資產盤點方法。
本系列是短課概念整理，不取代完整考綱準備、實務經驗或資格審核，不保證通過，不宣稱可抵CPE或工作經驗。
官方來源與版本核對
考試與認證規則以ISC2官方公布為準。依2026-10-28查核紀錄，本系列採2024年4月版考綱；新版自2027年4月15日起適用，報名前確認考試日適用版本。
CISSP認證介紹
CISSP考綱與新版公告
CISSP工作經驗與抵免
ISC2報名入口
ISC2公開費用表
CAT規則
考後結果與重考政策
認證背書
會員政策與持續維護
ISC2倫理守則
更多 〈CISSP〉 推薦好文
CISSP備考｜報考資格、測驗規則與認證維護重點
CISSP備考｜安全架構、網路與存取邊界重點
CISSP備考｜測試證據、事件復原與安全開發重點
2025資訊長前瞻報告：平衡資安威脅與AI創新是企業成長關鍵
各國企業領導者為了從競爭激烈、變化快速的商業環境中脫穎而出，都竭盡全力尋找方法應對及解決。為深入了解全球科技業高層─特別是資訊長（CIO）在當前職場中的職責、挑戰和優先事項，《Experis 2025 CIO Outlook Study》針對全球1,393位科技領導者進行調查，結果顯示：企業必須在日益嚴峻的網路安全威脅和持續升起的AI創新浪潮之間找到微妙平衡，才能在未來的商業競爭中穩住腳步。
文／《104職場力》
本文導覽
網路安全是最大隱憂AI創新是驅動企業成長的雙面刃成功轉型的關鍵要素：人才與協作建立防護體系、培養人才是成功之道
網路安全是最大隱憂
隨著2024年網路犯罪的總成本將達到9.5兆美元，報告指出，網路安全成為全球科技領導者最關心的議題，有高達41%的CIO表示這是他們最大的焦慮源。因為企業面臨的挑戰不再僅是技術問題，而是牽涉到聲譽、營運乃至於生存。
調查還顯示，77%的企業計畫在2025年增加網路安全預算，這充分顯現企業對網路風險的重視。不過僅提高相關預算還不夠，報告強調，企業在面對網路威脅時缺乏統一的應對協議，員工對新安全技術的接受度也不高。
這代表企業不僅需要投入更多資源在安全技術上，還必須加強全員的資安意識、培養具備足夠技能的人才，並確保風險管理策略與網路安全防護之間的協調與平衡。
AI創新是驅動企業成長的雙面刃
在持續關注網路安全的同時，人工智慧的浪潮也正席捲各行各業。該報告也指出，AI將成為2025年技術投資的3大重點之一，其中67%的企業計畫增強對AI的投入，因為科技領導者普遍認為AI有助於提高日常生產力。
雖然策略上選擇增強投入，但CIO們對AI的態度逐漸趨向務實，從數據來看，僅有13%的參與者認為「提供AI解決方案是CIO最重要的任務」；多數受訪者認為AI仍處於初步階段，需進一步完善；另有33%的人表示，AI對企業的實際影響仍不清晰。
這樣的謹慎態度說明企業在接受AI創新時，除了重視其潛在價值，也同樣認知到限制。報告後續更提到，企業的關注應放在「如何將整體技術基礎建設與AI相結合，以便更好支持業務需求並實現快速的投資回報」。
延伸閱讀：AI時代主管四大考驗：「AI員工」效率高但有時不受控，如何管理人機協作？
成功轉型的關鍵要素：人才與協作
在面對網路安全威脅和AI創新的雙重挑戰時，人才短缺的問題就越發凸顯。調查發現，全球76%的IT雇主表示「難以找到所需的技術人才」，傳統大學教育也很難跟上瞬息萬變的技術需求；更糟的是，只有28%的企業會定期為IT人員提供最新技術的培訓。
為了解決人才問題，企業需要採取創新的策略，例如與人力資源部門緊密合作、開發多樣的招募管道，並考慮廣納那些有潛力且願意學習的非傳統IT人才。此外，企業還應重新設計IT職位，在其中融入AI相關技能，並提供硬技能和軟技能等全方面的培訓。
報告強調，許多CIO面臨的挑戰並非單一技術難題，還涉及跨部門合作。CIO普遍認為，與運營長（COO）的關係是企業未來成功的重要關鍵，但超過一半的IT領導者卻認為，高層管理團隊對CIO的角色缺乏足夠了解。因此，CIO需要更積極地與其他部門建立信任和合作，明確傳達IT的價值，並爭取重要利益相關者的支持。
延伸閱讀：企業人才培訓重點：把人才當作「人財」訓練專業能力
建立防護體系、培養人才是成功之道
《Experis 2025 CIO Outlook Study》結論點出：在日益複雜的網路安全環境和迅速發展的AI技術面前，企業不能再孤軍奮戰，要取得成功，關鍵在於建立高度韌性的安全防護體系，以務實的態度擁抱AI創新，並積極投資於人才培養與跨部門合作。只有那些能夠在網路安全和AI創新之間找到最佳平衡，並有效整合技術、人才和合作的企業，才能在2025年及未來的商業競爭中持續成長，贏得未來。報告中提出的行動建議，例如將網路安全視為全公司的議題、對AI保持實際期待，以及加強與人力資源部門的合作等，都指引著企業未來的方向，眼下正是企業重審技術戰略、積極應對挑戰、掌握機遇的關鍵時刻。
若企業希望在強化資安的同時優化人資管理流程，避免人事資料被盜取，選擇資安有保障的數位人資系統是企業提升資安韌性與管理效率的關鍵！104 HR Max人資系統通過 ISO 27001、BS 10012、ISO 29100及行動應用APP MAS標章等多重資安管理認證，並設有多層級權限控管、資料加密機制，以及定期弱點掃描等，協助企業安心進行人事、薪資等機密資料管理，讓內部系統風險與營運效率都能兼顧。👉了解更多【104 HR Max】介紹：https://104ha.com/1VReQ
延伸閱讀：
「生成式AI」將成新寵兒？公司導入前請先想好3件事：你是真的需要，還是跟風？
企業如何吸引與招募不同世代人才
企業轉型，為何7成都失敗？管理名師李吉仁：人才出問題，最大元凶是績效評估
我從 ISO 27001 資安管理體系學習與實戰體悟
我擔任的工作是資訊人員，負責公司資安架構的維護與管理，以及Helpdesk。
這陣子撥出時間投入資安管理與 ISO 27001 的學習，起初只是想建立更完整的資訊安全防護思維，但在真正系統化研讀並進行實務驗證後，才發現這不僅僅是一套規範，更是企業運作中極為關鍵的風險控管核心。
過去在面對資安政策或防護措施時，往往容易流於片段式的執行，或是停留在表面的規範配合。這次透過全盤梳理 ISO 27001 的條文精神與核心控管項目，我終於將原本零散的防護觀念串接起來，真正理解背後的風險評估邏輯，明白各項資安政策該如何落實到日常作業中。
在學習的過程中，最具價值的莫過於實務情境演練。透過模擬真實演練與風險判讀，我漸漸學會從整體架構的角度去評估潛在漏洞，並針對不同情境找出合規且有效的改善方案。這種將抽象規範轉化為實際解決方案的思考訓練，大大補足了我過往在實務操作上的盲點。
這次的學習不僅讓我順利釐清了許多過去模糊的資安概念，也為未來的職場應用打下了扎實的基礎。資安管理是一項持續優化的長跑，接下來我也會將這些經驗落實到實際工作中，持續推動更完善的防護機制。
🔗 詳全文：https://ucom.uuu.com.tw/web/Testimony/Article/12822
IBM示警 AI模型與AI應用已成為門檻低、商業價值高的駭客攻擊目標
2025-08-04 經濟日報記者簡永祥 由聯合新聞網授權轉載
IBM近日公布《2025數據洩漏成本報告》警示，目前企業應用AI的速度遠超過其建置AI安全與治理，然而許多企業為了讓AI應用快速上線而忽略AI安全與AI治理。缺乏監管的AI系統更容易遭受攻擊，且造成的企業損失更為重大。
今年的報告首次針對AI應用的安全防護、治理機制、與控制訪問狀況進行研究；儘管研究結果顯示曾出現AI相關安全漏洞的企業僅佔採訪樣本的 13%，AI應用已經成為門檻低、商業價值高的網路攻擊目標。
IBM安全和營運產品副總裁Suja Viswesan指出，報告結果顯示AI 應用與治理之間的斷層已經存在，駭客正伺機而動。企業的AI應用普遍缺少基本的存取控制，導致機敏資料遭洩漏、模型可以輕易被篡改。隨著AI技術更多、更深、更廣地融入企業流程，AI安全防護必須成為基礎與重心。不作為的代價不僅損失金錢，更將損害客戶的信任、企業的透明度與自主權。
報告也提出一份比較資料：企業若在其安全業務領域廣泛應用AI與自動化技術，其資料洩露損失平均減少190萬美元，處理數據洩漏事件的周期平均減少80天。
報告的關鍵發現包括以下內容：
AI時代的企業安全漏洞發生領域
AI治理政策：63%曾發生數據洩露的企業尚未建立AI治理政策或仍在規劃階段。已經制定AI治理政策的企業裡，僅有34%定期審查未受批准的AI工具。
「影子 AI」的代價：五分之一的企業曾因影子 AI現象（未經公司同意或監管的AI工具）導致數據洩露，僅 37% 的企業制定管理或偵測影子 AI 的政策。與較少出現影子AI的企業相比，發生率高的企業其平均數據洩露成本多出 67 萬美元。涉及影子AI的安全事件導致個人身份資訊 (65%) 和智慧財產權 (40%) 洩露的比率，遠超過全球平均值（分別為 53% 和 33%）。
由AI驅動的智慧型攻擊：16%的數據洩露事件涉及駭客使用AI工具；主要用於網路釣魚或發動深度偽造的網路攻擊。
數據洩漏的經濟損失：
數據洩漏成本：全球數據洩漏平均成本下降到 444萬美元，是近五年來首次下降；但美國企業的平均數據洩漏成本卻高達1022萬美元。
處理數據洩露的全球平均周期創新低：隨著更多企業執行內部漏洞檢查，讓全球處理數據洩露的平均周期縮短至 241天，較前一年減少17天。與被外部攻擊的洩漏事件相比，透過內部檢測發現漏洞的企業平均減少損失達90萬美元。
醫療照護業的數據洩露成本仍居首位。儘管醫療行業的資料洩露成本較2024年減少235萬美元，其742萬美元的平均損失仍在本次調查的所有行業中居首位。醫療業的安全漏洞識別與控制周期長達 279 天，比全球均值241天多五周以上。
更多企業抵制駭客勒索：企業拒絕支付贖金的比率增加，63%的機構選擇拒絕支付勒索贖金，2024年的比率為 59%。儘管有更多企業抵制勒索，敲詐及勒索軟體事件的平均成本仍居高不下 — 尤其是被駭客攻擊時，損失高達 508萬美元。
AI 風險攀升，但企業對投資AI安全措施的動能卻不足：計畫在經歷數據洩漏事件後增加安全投資的企業比率顯著下降，從 2024年的63%降至2025年的 49%。而在計畫追加投資AI安全的企業裡，建置以AI驅動的安全方案或服務的企業不到一半。
數據洩漏的「長尾效應」：營運中斷 、營運成本增加
幾乎所有受訪企業在數據洩露後都發生業務中斷。大多數企業報告回復平均耗時超過100天，可見業務中斷的嚴重程度。
數據洩露的影響不僅止於漏洞控制：近半數企業表示計畫因洩露事件提高商品或服務的價格，其中近三分之一的企業漲價幅度達 15% 或更高。
這份報告由IBM主持與分析、Ponemon Institute 執行訪問；資料來自於2024年3月至2025年2月全球600家發生過數據洩露的企業。
延伸閱讀：
2025資訊長前瞻報告：平衡資安威脅與AI創新是企業成長關鍵
資安人才搶手！工作5年成長1.5倍 薪資中位數5.3萬增12%| 104玩數據
暗網也招手！經驗20年的資安「神級新鮮人」如何成為白帽駭客？
有內鬼！商業機密被竊怎麼辦？5個QA帶你認識「營業秘密法」
美國博通在台子公司驚傳洩密！近年有多起震驚產業界的「竊取商業機密」案件，受害產業遍及科技業、旅遊業，面對這些「商業間諜」，公司該如何自保「營業秘密」呢？什麼是「營業秘密3要件」？哪些資訊受《營業秘密法》的保護？如果要設下「防火牆」又有哪些注意事項？《104職場力》綜合新聞事件、法條以及專業律師見解，為您一次解答有關「營業秘密法」的常見問題！
更新時間：2026/05/25
文／《104職場力》小編
本文導覽
「營業秘密」3要件是什麼？公司該如何管理／保護「營業秘密」？哪些資訊不受《營業秘密法》的保護？哪些行為，就是侵害公司的「營業秘密」？「營業秘密」受侵害時，可以請求哪些損害賠償？侵害「營業秘密」有哪些刑責？
【時事案例】博通在台子公司驚傳洩密，工程師遭違反《營業秘密法》起訴！根據多家媒體證實報導：美國博通公司（Broadcom Inc.）的在台子子公司：台灣安華高科技公司（Avago Technologies Taiwan），日前一位前任職於應用工程師及半導體方案部門區域業務工程師的李男，因涉嫌在職期間非法重製公司內部資料並於外部講座中洩漏，透過公務筆記型電腦，未經授權登入客戶訂單分析資訊系統，非法重製並下載包括客戶訂單、財務預測、產品研發進程、客戶名單及營運資訊等屬於公司機密的資料。而且於自2024年1月15日至2025年3月13日期間，多次以「博通專家」或「AVgo專家」名義接受外部邀請，接受多達85場講座，並獲得講座費共計約新台幣295萬8000元，經地檢署深入偵辦後，認定李男的行為已違反《營業秘密法》等相關規定，予以起訴。
過去也曾發生多起產業界的「機密竊取」事件，包括「護國神山」台積電爆發2奈米技術的間諜案、聯電、聯發科和宏達電也曾遭「內鬼」攻擊，此外有鋰電池大廠遭竊價值達近20億元的商業機密、工程師為解決債務問題，竟趁值夜班時盜走近萬的IC半導體晶片，不法獲利達60萬元，還曾有旅遊公司的副總監涉嫌盜入前東家的後系統後台盜取營業秘密而遭起訴。
這些「商業間諜」的行為似乎層出不窮，到底公司該怎麼做才能讓自己的「營業秘密」被保護？公司內哪些資訊屬於「營業秘密」？若與在職／離職員工簽署契約保障公司權益，又有哪些地方需要注意？
《104職場力》綜合新聞事件、法條以及專業律師見解，為您一次解答有關《營業秘密法》的常見問題！
「營業秘密」3要件是什麼？
一般提到「營業秘密」，指的是滿足「營業秘密3要件」的狀況。
3大要件分別為：
秘密性：可以細分為「商業性營業秘密」及「技術性營業秘密」兩種類型
商業性營業秘密：一般指業務、銷售上的資訊，如：客戶名單、成本結構、經銷據點、交易底價、商品定價、人事管理、進貨成本等與經營相關的資訊。
技術性營業秘密：一般指特定產業的研發、創新技術，包括方法、製程、配方、技術等等。
經濟性：可產出經濟利益或商業價值的資訊，通常以兩個條件來判斷該資訊是否具「經濟價值」
事業單位已投注一定時間、人力、成本才獲得的資訊，可獨立存在（類似自家的獨家數據庫）。
可為事業單位帶來有形的收益，甚至取得市場的領導地位（市佔率、研發能力、業界評價）等競爭優勢。
受到合理保護：這部分是指事業單位在主觀上對該資訊存有「保護」的意願，客觀上也針對保密做出積極應對措施，一般常見的是和員工簽署保密條款、競業禁止條款，或是在文件、產品、資訊上註明「機密」、「限閱」，並於內部列管。常見的保密措施如下：
實際隔離法：如存放於保險箱、設定密碼鎖、封緘文書、備有門禁與警報系統。
形式簽署保密：於文件上加註「密件」、「機密」、「限閱」等字樣，或簽署保密協議。
接觸管制：直接限定特定人員、部門、執掌者才有權限可觸碰接觸該「營業秘密」。
若是以我國《營業秘密法》的定義來說，在第2條中有揭示什麼指「營業秘密」：「係指方法、技術、製程、配方、程式、設計或其他可用於生產、銷售或經營之資訊，而符合下列要件者」
非一般涉及該類資訊之人所知者。
因其秘密性而具有實際或潛在之經濟價值者。
所有人已採取合理之保密措施者。
因此結合起來，只要是對企業而言「具秘密性」，有實際（或潛在）「經濟價值」，而且已經「採取合理保密措施」的項目，都可以被視為「營業秘密」的一部分。
舉例來說：像專利技術、獨家製程、獨家配方、設計商品，這些只要符合3要件，都可被認定為事業單位的「營業秘密」。
公司該如何管理／保護「營業秘密」？
如前所述，公司在設定「合理保護」時，可以透過幾種方式來保護自家的「營業秘密」。一般常見的營業保護措施除了上文提及的「實際隔離法」、「形式簽署保密」、「接觸管制」之外，最常見的是以下幾種作法：
與員工簽訂保密條款、競業禁止條款公司可在聘僱員工時，即和員工簽下「保密條款」，一般會在勞動契約、委任契約等聘僱契約中，加上「保密義務」及「智慧財產權歸屬」、「禁止勸誘」及「離職時移交刪除資訊」條款。當員工離職時，也可以透過與勞工約定約定離職後「競業禁止條款」，約束知悉、取得雇主營業秘密的員工，離職後的相當期間內，不得至競爭對手處任職。
將「營業秘密」分級別各別保存現今有些企業會採取「分散架構」保存營業秘密。意即將關鍵的營業秘密分割成數個部分，分別交由各別部門、人員職掌，單一員工僅知部分片段資訊，如要拼湊出完整的營業秘密需要曠時費日的集合散落在公司各部門的內容。又或者會制定不同強度、等級的管理規則和存取限制，限制權限不足的員工造訪權，搭配系統認證系統、密碼等，嚴格控管碰觸資料者的存取狀況。
加強公司內部的「資訊安全」管理在現今的潮流下，多數工作者的「資安意識」都比過去更好，事業單位也多會建置公司內的防火牆、防毒軟體，加強宣導資安觀念，甚至禁止員工使用外部電腦（或隨身碟、硬碟）存取資料。針對離職員工，目前也有企業會訂定「離職移交」的相關規定，當中會包括離職員工應將自身掌握的資訊如實交接移交給指定窗口，並將個人電子設備當中所有資訊予以刪除、避免資訊外流。
延伸閱讀：公司營業秘密不外流 人資三招應戰
哪些資訊不受《營業秘密法》的保護？
雖然《營業秘密法》對企業的營業機密有一定的保護，但是其實「與商業競爭無關的秘密」和「事關非法的秘密」都不屬於營業秘密法的適用範圍，這一點還是要請事業單位多加留意。
以下舉例不受保護的內容如：
與商業競爭無關的秘密：如公司成員的私生活（感情糾紛、賭博等違法事件）、政治立場、軍事機密（受其他法律保障）。
事關非法的秘密：機密本身是違法的項目，即失去保護（如公司逃漏稅的管道、內線交易、採用非法方式營利、不合法的原料製作產品等等）
哪些行為，就是侵害公司的「營業秘密」？
《營業秘密法》第10條的說明，有以下情形發生時，就算是侵害了公司的「營業秘密」：
常見的行為包括：
以不正當方法取得「營業秘密」者。
知悉或因重大過失而不知其為前款之「營業秘密」，而取得、使用或洩漏者。
取得「營業秘密」後，知悉或因重大過失而不知其為第一款之營業秘密，而使用或洩漏者。
因法律行為取得「營業秘密」，而以不正當方法使用或洩漏者。
依法令有守「營業秘密」之義務，而使用或無故洩漏者。
整體來說，所謂的「不正當方法」指竊盜、詐欺、脅迫、賄賂、擅自重製、違反保密義務、引誘他人違反其保密義務或其他類似方法。
侵害營業秘密的行為除了「不正當手段取得營業秘密」、「洩露營業秘密」這兩個常見的違法事項之外，最容易讓人忽略的其實是「依法其實應守營業秘密之人，應使用（或無故）洩露」，換言之如果你是理應保守公司營業秘密的人，但你卻做出不利於公司的洩露之舉，也是侵害「營業秘密」的情形。
「營業秘密」受侵害時，可以請求哪些損害賠償？
《營業秘密法》第13條規定，當確定「營業秘密」受侵害時，被害人可以提出下列各款規定當中擇一請求：
依《民法》第216條之規定請求。但被害人不能證明其損害時，得以其使用時依通常情形可得預期之利益，減除被侵害後使用同一營業秘密所得利益之差額，為其所受損害。
請求侵害人因侵害行為所得之利益。但侵害人不能證明其成本或必要費用時，以其侵害行為所得之全部收入，為其所得利益。
如果侵害行為實屬故意，法院甚至得因被害人之請求，依侵害情節，酌定損害額以上之賠償（但不得超過已證明損害額之三倍）。
侵害「營業秘密」有哪些刑責？
根據《營業秘密法》的規範，意圖為自己或第三人不法之利益，或損害營業秘密所有人之利益將依第13-1條處「處五年以下有期徒刑或拘役，得併科新臺幣100萬元以上1000萬元以下罰金」，而且依第13-3條的說明，此罪屬於須告訴乃論，公務員或曾任公務員之人，因職務知悉或持有他人之營業秘密，而故意犯前二條之罪者，加重其刑至二分之一。
其中所謂「損害營業秘密所有人利益」的行為包括：
以竊取、侵占、詐術、脅迫、擅自重製或其他不正方法而取得營業秘密，或取得後進而使用、洩漏者。
知悉或持有營業秘密，未經授權或逾越授權範圍而重製、使用或洩漏該營業秘密者。
持有營業秘密，經營業秘密所有人告知應刪除、銷毀後，不為刪除、銷毀或隱匿該營業秘密者。
明知他人知悉或持有之營業秘密有前三款所定情形，而取得、使用或洩漏者。
請特別注意，即便未犯罪成功、僅是未遂犯，依照《營業秘密法》第13-1條的規定，依然會同等受罰。
當科罰金時，如犯罪行為人所得之利益超過罰金最多額，得於所得利益之三倍範圍內酌量加重。
此外，若意圖在外國、大陸地區、香港或澳門使用，而犯前條「損害營業秘密所有人利益」之罪者，「處一年以上十年以下有期徒刑，得併科新臺幣300元以上5000萬元以下之罰金」。
更多【營業秘密】的觀點
保障營業秘密，和員工簽署「保密協議」就夠了嗎？｜法律小教室
面試中展示作品集的侵權風險——你的前公司同意嗎？
「競業禁止條款」該怎麼設計才合法有效？律師：須符合5大要件，建議明訂合理補償金
分享前東家的文件也算洩密嗎？律師：視情節而定，但「保密義務」不會因離職而消滅
ISO/IEC 27001 主導稽核員備考｜標準要求與防護措施重點
ISO/IEC 27001 主導稽核員備考須分清管理要求、風險評鑑與控制措施。以薪資資料為例，理解資訊安全三要素、管理循環與適用性聲明，再用自編題檢查防護選擇。
本文目錄
本篇對應的官方考試範圍
必懂觀念
常見誤判
練習題與完整解析
備考檢查清單
本篇未涵蓋、需另外準備的範圍
官方來源與版本核對
本篇對應的官方考試範圍
對應 CQI 五範圍中的「管理系統概念」（6題），並支援「執行稽核」（14題）時對照管理要求與控制；本文為教學映射，不是官方逐題分布或配分。
CQI 五範圍為管理系統概念、稽核責任、規劃、執行及報告結案；本文僅涵蓋其中部分觀念。
必懂觀念
薪資被陌生人看到，是機密性受損；數字被竄改，是完整性受損；發薪日前平台當機，是可用性受損。三者幫助辨認要保護什麼。資訊安全管理系統（ISMS）讓保護工作持續運作，PDCA 依序規劃、執行、檢查、改善。教學上將第4～6章放規劃，第7～8章放執行，第9章檢查，第10章改善；第7章支援同時支撐全循環。
先訂比較尺度（風險判準），找可能事件（識別），看機會與後果（分析），再與判準比較（評估）；識別、分析、評估合稱風險評鑑。選擇離職停權及覆核，是風險處理；措施後剩餘的風險叫殘餘風險，須由風險負責人核准接受。離職當日停權是本案例公司的內規，不是所有公司統一期限。
附錄 A 有93項控制：組織37、人員8、實體14、技術34。可用離職責任、郵件辨識訓練、機房門禁及活動日誌理解四類。ISO/IEC 27002:2022 提供控制指引，不能將其中全部建議直接當成強制要求。
公司列出選用哪些必要防護、為何選用及是否實施的文件，叫適用性聲明（SoA）；也要記排除附錄 A 控制的理由，自訂必要控制亦須納入。第4～10章管理要求不能藉 SoA 排除。 該資料為工作組教育說明，未經ISO／SC27正式背書，不視為新增標準或約束性解釋。
可照用的 SoA 範例：必要控制＝離職撤權（對照 A.5.18）；納入理由＝避免離職者繼續讀取薪資；實施狀態＝已實施，對應停權工單與日誌。若有附錄控制不適用，另逐項記排除理由；本例不代表整份 SoA，也沒有替其他控制預設排除理由。
常見誤判
把評估風險大小當成已選措施：評鑑與處理是不同活動。
把93項一律打勾：應先看必要控制、理由與狀態。
自訂控制不在附錄就漏記：必要控制仍列 SoA。
以 SoA 排除風險評鑑：管理要求仍須完整落實。
練習題與完整解析
以下為自編教學題，非官方原題；用於練習題目條件與行動的對應。
Q2-01｜薪資公司已比較離職帳號風險，決定加上停權覆核。這個決定屬於哪項活動？
甲 執行資訊安全風險識別。
乙 選擇資訊安全風險處理。
丙 進行資訊安全風險分析。
丁 建立資訊安全風險判準。
答案是乙。已決定增加覆核措施，是在選擇怎麼處理風險。甲的風險識別，是先找出可能出什麼事。丙的風險分析，是看發生機會與後果。丁的風險判準，是先訂比較的尺度。題目問的是選措施，所以落在風險處理。
Q2-02｜公司認定自訂下載限額是必要控制。哪種記錄方式最合適？
甲 因附錄沒有這項，聲明照原表列示。
乙 列入適用性聲明，寫明理由與狀態。
丙 列入適用性聲明，標成排除的控制。
丁 記在風險處理計畫，聲明照原表列示。
答案是乙。必要控制要列入適用性聲明，寫明納入理由與實施狀態。甲把附錄當成全部控制，漏了自訂的必要措施。丙把已採用措施寫成排除，記錄相反。丁的處理計畫可以記執行安排，但適用性聲明也要更新。
備考檢查清單
能各舉一例區分資訊安全三要素。
能從判準、識別、分析、評估走到風險處理。
能寫必要控制、理由、狀態及排除理由。
能說明殘餘風險由誰接受。
本篇未涵蓋、需另外準備的範圍
另外閱讀組織情境、領導與責任、支援、文件化資訊、績效評估、管理審查、內稽及持續改善的完整要求；四類控制需逐項準備，不能只記帳號例子。
本系列為短課，不取代認可訓練，不保證考過或取得 IRCA 註冊；需另依適用教材與標準完整準備。
官方來源與版本核對
依2026-10-29來源查核紀錄整理。ISO/IEC 27001:2022 含2024修正；ISO 19011 已出2026版，考試引用版次請向開課單位確認。以官方或開課單位最新公告為準。
標準27001：官方來源、官方來源、官方來源
標準27002：官方來源、官方來源
線上測驗及範圍：官方來源、官方來源、官方來源、官方來源
SoA與條文教學：官方來源、官方來源
核心條文及控制編號佐證：官方來源、官方來源
更多 〈ISO/IEC 27001 主導稽核員〉 推薦好文
ISO/IEC 27001 主導稽核員備考｜稽核員工作與取得途徑
ISO/IEC 27001 主導稽核員備考｜稽核流程與訪談取證重點
ISO/IEC 27001 主導稽核員備考｜不符合寫法與結案重點
Who Are the Leading OT Security Vendors in 2026? Top 5 Provi
Who Are the Leading OT Security Vendors? An Objective Guide to Industrial Cybersecurity.
As industrial organizations across North America and Europe accelerate digital transformation, the convergence of Information Technology (IT) and Operational Technology (OT) has reshaped the global threat landscape. Once air-gapped industrial control systems (ICS), SCADA networks, and production lines are now increasingly connected to enterprise clouds and supply chain ecosystems. Alongside tightening regulatory mandates—such as the European Union's NIS2 Directive, the Cyber Resilience Act (CRA), and TSA/CISA guidelines in the United States—securing cyber-physical systems (CPS) has become a board-level priority.
However, traditional IT security solutions cannot simply be copied and pasted onto the factory floor. Industrial environments prioritize availability and operational continuity over everything else, and often rely on unpatchable legacy assets running decades-old operating systems.
Evaluating who the leading OT security vendors are requires looking closely at how different providers approach visibility, threat detection, and inline prevention. Below is an objective comparison of the seven most prominent OT security vendors serving the US and European markets today.
1. Claroty https://claroty.com/
Overview: Headquartered in New York with a strong footprint across EMEA, Claroty is widely recognized for its comprehensive Cyber-Physical Systems (CPS) protection platform. Following its strategic expansion into healthcare and commercial IoT, Claroty focuses heavily on exposure management and asset visibility.
2. TXOne Networks https://www.txone.com/
Overview: Operating as a premier OT security vendor across the United States, Europe, and APAC, TXOne Networks distinguishes itself through an OT-native Zero Trust philosophy. Rather than relying solely on passive network alerts that still require manual IT intervention, TXOne builds solutions engineered from the ground up to actively block threats at the device and network level without disrupting ongoing production.
3. Dragos https://www.dragos.com/
Overview: Founded by former US intelligence community specialists, Dragos is a major player in the North American and global critical infrastructure space, known primarily for its deep ICS threat intelligence and incident response services.
4. Nozomi Networks
Overview: With roots in Switzerland and headquarters in San Francisco, Nozomi Networks has built a strong presence across European and American industrial enterprises, emphasizing AI-powered visibility across OT, IoT, and smart devices. Key Technology & Products: Nozomi's Guardian sensors passively monitor network traffic to map assets and identify anomalous behavior, while their SaaS platform, Vantage, aggregates telemetry across globally distributed sites. They also offer Arc, an endpoint sensor designed to increase visibility into host-level activities.Market Positioning: Well-suited for highly distributed operations such as renewable energy grids, mining, and logistics networks looking for scalable, cloud-managed visibility.
5. Fortinet https://www.fortinet.com/
Overview: While historically an enterprise IT networking giant, Fortinet has invested heavily in its OT practice, becoming one of the leading network-centric OT security vendors across EMEA and the Americas. Key Technology & Products: Fortinet extends its Security Fabric to the industrial floor through ruggedized FortiGate next-generation firewalls, FortiSwitch industrial ethernet switches, and FortiNAC for network access control. Their FortiGuard OT Security Service provides industrial-specific signatures for virtual patching and protocol inspection. Market Positioning: Best for organizations that prioritize network perimeter segmentation and prefer consolidating IT and OT vendor relationships under a single networking brand.
職場AI管理 恐侵害勞工隱私
2025-04-21 聯合報記者葉冠妤、楊惠琪、李柏澔 由聯合新聞網授權轉載
不少企業透過側錄軟體、生物特徵識別、大數據分析等AI技術與科技設備監控員工工作績效，有侵害勞工隱私疑慮。台灣勞工陣線秘書長孫友聯指出，AI監控涉及勞工人格權與個人資料保護，影響層面廣泛，呼籲政府研擬適當的保障措施。
延伸閱讀：台灣產業AI化大調查 反映產業從概念認知到實際應用的落差
企業常用遠端監控技術「即時追蹤員工電腦螢幕與鍵盤活動」，計算員工每天投入工作的時間與生產力。陽明交通大學科技法律學院副教授邱羽凡舉例，疫情期間，許多企業安排員工遠距工作，企業再透過連線程式監控員工螢幕、鍵盤或感應員工待在電腦前時間：也有企業監控公司電腦通訊軟體。
她說，人工智慧科技導入職場管理，最大問題是員工可能事前不知雇主導入哪些科技，或不清楚雇主如何運用在搜集資訊、績效判斷上，資訊的不透明可能導致職場處置不公，若因此遭到懲戒，員工無從檢驗雇主說法的真實性，沒有救濟管道。
邱羽凡說，歐洲很重視隱私權，明文規定雇主搜集員工資訊有事前告知義務，並禁止搜集員工私人對話、個人情緒資料與工作無關資訊，員工也有權要求雇主揭露怎麼運用AI，因可能攸關工作考績，遊戲規則就要講清楚，讓員工知悉。
全國產業總工會理事長戴國榮表示，數位轉型的推動難免伴隨隱私侵犯、人權受損等負面影響，甚至可能引發道德風險。政府在推動AI與數位技術發展的同時，應同步規畫完善法律配套，確保相關應用在保障勞工與社會權益前提下進行。
科技業2萬人失業後的生存啟示：掌握「情報力」，是當今最頂級的職場保險
近期包括META、微軟等美國科技巨頭「再度」宣佈裁員消息，總人數甚至近逼兩萬人，「AI取代人力」的市場趨勢再度震撼各界。在此背景下，2026年的求職者，若只會「被動等職缺」，極可能陷入供需雙減的泥淖。本文將揭示：為何在混亂時代，「情報判讀力」才是你比AI更具優勢的職業防線。
文／《104職場力》
本文導覽
美國科技巨頭「裁員風暴」再起？關注「Breaking News」，竟能幫助你殺出職場血路？1. 投收「燒預算」的領域：職缺通常藏在企業的戰略重心裡2. 避開「大象轉身」的競爭：在新興小公司找尋決策者藍海3. 把新聞變案源：如何在「突發需求」中卡位核心舞台？4. 丟掉「領錢辦事」的心態：好奇心是唯一的抗淘汰藥物改變與衝擊並非僅限科技業，每個人都要做好準備
AI興起後，改變著全世界的職場風貌。不僅誕生了全新的職位、工作技能，也造成不少的人力市場衝擊。
根據美國《CNBC》等多家媒體的報導，美國科技巨頭META和微軟不約而同的在近期展開「新一波的科技業裁員」行動，由於受衝擊的人數預估總數在2萬人以上，而且發生在目前產業發展相對穩定的科技業（而且就是那些正在讓AI擴大更多影響力的巨頭企業），因此引發人們對於「人工智慧持續取代人力」的新一波勞動力危機感。
美國有專家指出：在這個浪潮下，如何順勢透過「掌握情報、抓住趨勢」來挖掘隱藏的工作機會，未來也會是求職者很重要的一個技能，甚至有可能因此創造出新的職涯機會。
美國科技巨頭「裁員風暴」再起？
過去一年內因為科技巨頭們的「人工智慧軍備競賽」邁入新紀元，除了出現許多新職缺外，同時也讓這些試圖想要取得市場主導權的巨頭企業「做出選擇」，裁減數千個工作崗位，而科技業的裁員現象似乎不增反減。
報導指出，META宣佈未來將再裁員10%，潛在裁員約8000名員工，同時也將取消原本公司預計填補的6000個空缺職位的計畫。而微軟則是被證實將啟動創立51年以來，第一次的「自願離職計畫」，公司內符合計畫條件的人選約有7%的員工，若根據微軟在美國擁有的12.5萬名員工換算，那也是將近8800人的數目。
在此之前，美國科技巨頭當中「裁員力道最大」的公司，當屬亞馬遜。亞馬遜自去年10月起至今已裁員至少3萬人，約佔其企業和技術員工總數的10%，同時持續仍在公司內部進行小規模的裁員計畫。另外像甲骨文公司也在3月宣佈，因加大內部「AI力」的投入，將裁員數千人，該公司目前正致力於與其他企業競爭在「人工智慧基礎建設」的優勢，與此同時自身企業也不斷「瘦身」，根據TD Cowen分析師在今年1月份的報告中指出，裁減2～3萬的工作機會將為甲骨文創造80億至100億美元的額外現金流。
企業的精實，往往建立在對原有勞動力的冷酷替代之上。
報導指出，這些科技巨頭大舉裁員並不是單純的「撙節開支」，相反的在已曝光的公開資訊中，包括Google、微軟、Meta、亞馬遜等公司今年預計就會投入近7000億美元用於人工智慧的基礎建設施建設。
因此就有美國專家指出：「這代表的是根本性的結構轉變，而非暫時的市場調整，我們正在見證的是每個在工作組織、執行方式上產生『永久性變革』的開端。」
延伸閱讀：「初階工作」恐被AI取代？當科技巨頭高層都這麼說，我們該如何應對？
關注「Breaking News」，竟能幫助你殺出職場血路？
在《Forbes》上有專欄的美國高階主管教練 Caroline Ceniza-Levine 指出，在這種時代背景下，求職者和工作者想要殺出一條職場血路，密切「關注趨勢和重大新聞」，反而會是更容易幫助自己找到工作的好方法。
她在最新的專欄文章指出掌握時事能創造工作機會的4大理由：
1. 投收「燒預算」的領域：職缺通常藏在企業的戰略重心裡
確實，你無法否認在2026年這個當下，「人工智慧」、「AI技能」會是影響招募的重大因素，它也許正在取代人力，但從另一個角度來看、也是求才需求最多的領域，不少企業都在尋找「精通人工智慧」的員工。
因此如果你知道這項趨勢、理解產業界欠缺的是哪種人才、哪些技能，將能讓你在求職競爭中創造更多的優勢，譬如擁有人工智慧技能／實際操作經驗，將可以獲選加入那些因人工智慧而成長的新興公司，或是科技巨頭中的重大計畫。
延伸閱讀：有AI技能平均薪資提高47%！求職履歷該放上的3張AI證照
2. 避開「大象轉身」的競爭：在新興小公司找尋決策者藍海
如果你能比其他人更早發現某個正萌芽、準備蓬勃發展的產業或公司，你面臨的競爭會小得多，進入該專業的門檻也會稍微降低，因為市場上大多數的求職者還未湧入，他們並不像你那麼密切觀察時事，不知道這些產業和公司正面臨哪些問題、想要解決哪些難題、需要哪些技能的人才。
Caroline Ceniza-Levine 以美國舉例，每年有成千上萬的高材生、從全世界湧入想要擠進美國「七大巨頭」、「500強企業」的公司當中，掛上他們夢寐以求的識別證，而他們不會千里迢迢跑來加入名不見經傳、規模較小的新興公司。但是在這些規模較小的公司當中，你更容易遇到高階領導者和決策者，進入這些公司的門檻、面對的競爭者也相對不那麼激烈。
這就是你的職涯「機會點」。
延伸閱讀：求轉職選大企業還是小公司好？過來人帶你看懂「大小」差在哪
3. 把新聞變案源：如何在「突發需求」中卡位核心舞台？
一位出色的財務顧問，光看重點新聞就知道去哪裡開發客戶，譬如戰爭、地緣政治，美國期中選舉等新聞趨勢，會對哪些產業造成衝擊、哪些客戶會特別需要財務上的協助，這些都是有助於拓展諮詢方案，或推出公司的新服務。
換言之，一名出色的工作者，可以透過「即時、重訊、焦點、趨勢」快速找到自己的工作舞台。
也許之前那些潛在客戶對你的工作技能、提案並不感興趣，但這些「突發新聞」很可能改變他們的想法，因為需求發生了變化，而這時候你能夠適時提出的幫助將變得無比重要。
在新的時代當中，如何在「對的時間」給出對的銷售方案、工作技能、人際活動，將決定事情最終的成功率，請務必確保自己的核心技能、工作技能是符合當今市場，最好的情況是「讓所有重大的資訊、新聞」都跟你的專業是相關的。
延伸閱讀：2026職場洞察│AI素養成必備！把握企業3痛點 有望漲薪30%
4. 丟掉「領錢辦事」的心態：好奇心是唯一的抗淘汰藥物
時時關注重大新聞，優勢是當你發現新的技術或技能出現時，人們會基於「擔心自己被淘汰」而不斷努力學習、關注產業動態，期望自己能「保持在人才市場上的競爭力」。
當你愈能保持好奇心、避免安於現狀，就愈能讓自己避免被市場淘汰。
專家指出：當前市場上不容許工作者對產業、職業或公司的發展漠不關心，表現出一副「反正我就是領錢辦事」的態度，這或許會是一個警訊，若不是胸有成竹有財務自由的計畫、或是自己有打算更換工作／產業，就極有可能成為這波人才浪潮下的犧牲品。
延伸閱讀：萬事問AI時代，如何才能不被淘汰？專家：關鍵在於「追問思維」
改變與衝擊並非僅限科技業，每個人都要做好準備
根據美國求職網站《Glassdoor》最新發布的員工信心指數報告中指出，科技業的信心年減幅最大，比起去年同期下降了6.8%，而面臨「AI人力衝擊」的科技工作並不僅限於科技業，美國NIKE日前也宣佈新一輪的裁員計畫，約有1400名員工受到影響。
因此在這時代的工作者都要清楚知道，千萬不要覺得AI衝擊「距離自己很遙遠」。
不過雖然「密切關注時事」很重要，專家也同時提醒，這只是在這個時代保持競爭力的「其中一個方法」，最根本的還是得優化自己的職場技能、更新自己的履歷，讓自己看起來是企業亟需網羅的人才，並為面試作好充份準備。特別是這個新聞資訊瞬息萬變的時代，如果每次聽到新消息、發生新事件就不斷被轉移注意力，或是重新調整自己想要投身的專精領域，很有可能會長期處於「混亂且分散」的求職狀態。
延伸閱讀：AI時代「職場基礎技能」貶值，履歷還剩下什麼？
最終，面對全球性的AI與裁員浪潮，我們需要的可能不只是「聰明的選擇」，而是「清醒的覺悟」。唯有保持對產業的熱情、對資訊的敏銳判讀，如此才能不只是這波浪潮下的犧牲品，而是能持續「定義自我價值」的職涯創造者。
本文參考《CNBC》、《Forbes》、《Glassdoor》相關報導，經整理改寫。
有任何收穫或想分享的，都來和大家一起聊聊吧！