SSCP資安專業人員認證課程
104學習
資安內控
確保公司資訊系統安全，防止資料外洩與駭客攻擊，建立完善的風險管理機制與內部控制流程。透過制定政策、監控異常行為及定期稽核，降低資安風險，保障企業營運穩定與客戶信任。具備此技能能有效提升組織防護力，符合法規要求，避免法律責任與財務損失。
提升你的實力，朝專業更進一步
精選課程
充實自己，讓能力持續成長
SSCP資安專業人員認證課程
CompTIA SecAI＋國際AI資安認證班
CompTIA Security＋國際網路資安認證班
CompTIA Security＋國際網路資安認證班
EC-Council COASP AI資安專家認證課程
PMI-ACP 敏捷專案管理師認證暨實務課程
資安國際標準簡介
資通安全管理法：各單位因應之道
【2026/11/16開班】ISO/IEC 42001:2023 人工智慧管理系統主導稽核員課程
精選證照
考取專業證照，讓能力被市場看見
CISA
CISA（資訊系統稽核師）證照專為資訊系統審核、控制及安全管理專業人士設計，涵蓋資訊系統審核流程、IT治理、系統與基礎設施生命週期管理、資訊資產保護及風險管理等核心能力。持有此證照代表具備評估企業資訊系統風險、確保系統合規及提升資訊安全的專業知識與實務經驗，廣受企業與政府機構青睞，適合從事資訊安全、風險管理及內部稽核等相關職務。
ISC2 國際資訊系統安全認證協會
CCI
CCI證照為國際認可的資訊安全專業證照，涵蓋資安管理、風險評估、漏洞分析及防禦技術，適合資安相關從業人員提升專業能力。持有CCI證照代表具備系統性資安知識與實務經驗，有助於提升職場競爭力及晉升機會。此證照廣泛應用於企業資安防護、政府機關及金融機構，強化資訊安全防護體系，保障組織資訊資產安全。
Citrix
GSOC
GSOC證照專注於資安事件的監控與管理，涵蓋威脅偵測、事件分析與回應策略，強調實務操作與風險評估能力，適合從事資安營運中心（SOC）工作的專業人士，提升對資安威脅的即時反應與事件處理效率，有助於保障企業資訊安全與維持系統穩定運行。
SANS Institute
CISSP
CISSP（Certified Information Systems Security Professional）是國際資安領域公認的專業認證，涵蓋資訊安全管理、風險評估、存取控制、加密技術等多項核心知識。持有此證照代表具備設計、實施及管理企業資安計畫的能力，適合資安專家、顧問及管理者，能有效提升職場競爭力及專業信譽。
International Information Systems Security Certification Consortium
國際資訊管理師
資訊管理是一種基於網際網路的運算方式，通過這種方式，共享的軟硬體資源和資訊可以按需求提供給電腦各種終端和其他裝置，使用服務商提供的電腦基建作運算和資源。
這項證照專注於資訊安全管理，評估候選人對企業資訊系統的安全性和風險管理的能力。獲得IIM證照的專業人士通常擁有廣泛的知識和技能，能夠設計、建立和管理企業的資訊安全系統，保護組織的資訊資產免受各種內外部威脅。這項證照對於希望在資訊安全管理領域發展職業生涯的專業人士是一個有價值的資格
TIPCI臺灣國際專業認證學會
CCSPA
CCSPA（Certified Cyber Security Professional Associate）為資安專業助理認證，旨在培養具備基本資安知識與技能的人才，涵蓋資安基礎理論、風險管理、威脅偵測及防護措施，適合初階資安工作者及相關領域從業人員，提升職場競爭力及實務應用能力。
Check Point
精選貼文，掌握第一手知識
CISSP備考｜風險責任與資產保護情境題重點
CISSP（Certified Information Systems Security Professional）由 ISC2 發證。CISSP的Domain 1–2備考，重點是將營運影響、決策授權與資料生命週期連起來，分辨風險接受、委外責任與到期刪除的條件。
本文目錄
本篇對應的官方考試範圍
必懂觀念
常見誤判
練習題與完整解析
備考檢查清單
本篇未涵蓋、需另外準備的範圍
官方來源與版本核對
本篇對應的官方考試範圍
依ISC2 2024年4月版考綱，Domain 1 Security and Risk Management（16%）與Domain 2 Asset Security（10%）。重點映射安全目標、治理與倫理、風險處置，以及資料分類、角色、保留及銷毀。此為教學映射，非逐條完整覆蓋。
本系列依2024年4月版考綱；新版自2027年4月15日起適用，報名前請確認考試日適用版本。下列為教學整理，應依題目條件及授權判斷。
必懂觀念
考題中的技術問題仍須連回要保護的營運成果。機密性關注未授權揭露，完整性關注未授權竄改，可用性關注服務可取得；另須確認來源真實性與重要交易責任可追溯。零售會員外洩、點數遭改與結帳停擺可分別對應三種影響。
風險評估連結威脅、弱點與營運影響。資安團隊提出降低、避免、移轉或接受方案，由獲授權的風險擁有者決策；接受要記錄期限及追蹤。保險與委外只能移轉部分財務或合約風險，企業責任不會自動消失。
法令、契約、政策與倫理先構成決策邊界。主管願意承擔損失，不等於可以免除義務；ISC2倫理守則的教學重點是公共利益、誠實合法、勤勉勝任與維護專業。
資料擁有者決定分類與可用範圍，保管者依要求實作存取、備份與刪除。生命週期涵蓋蒐集、使用、分享、保存與銷毀，並考慮最小必要、所在地及保留義務；使用中、傳輸中與靜態資料都要保護。
加密保護資料內容，不能取代合法使用或到期處理。到期刪除須確認無調查保全或其他保留義務，涵蓋受管副本並驗證結果；任何換金鑰都不能直接視為完成密碼抹除。
常見誤判
把資安主管或開發主管一律當風險接受人：應先確認其授權與風險擁有者角色。
以委外或保險為由移除企業責任：忽略仍須承擔的義務與殘餘風險。
把加密等同刪除，或降分類規避到期處理：未遵守生命週期與保留規則。
練習題與完整解析
以下為自編教學題，非ISC2官方原題；用於練習題目條件與行動的對應。
Q2-01｜會員服務發現一項弱點，目前無入侵跡象，也沒有必須立即停機的規定。修補會延後上線，資安主管沒有接受此風險的授權。何者最適當？
甲 交由風險擁有者核定處置。
乙 讓雲端廠商代簽接受風險。
丙 先依排程上線下月再修補。
丁 由開發主管評估後同意上線。
答案是甲。依評估結果與替代方案交有權者核定，才能對營運後果負責。乙把企業責任推給供應商；丙未經授權就默認接受；丁看似有人把關，但開發主管負責技術處理，不是風險擁有者，無權替營運決定接受風險。若出現進行中的攻擊，則應依事件程序採必要控制，不能把等待主管決定當成固定答案。
Q2-02｜零售公司的備份含已到期會員紀錄，確認沒有調查保全或其他保留義務。公司政策要求期滿刪除，但系統只加密未刪除。下一步最適當的是什麼？
甲 延長保存直到下一次稽核。
乙 降低資料分類繼續保管。
丙 依保留規則執行驗證刪除。
丁 更換加密金鑰繼續保存。
答案是丙。保護資料也包含按規則終止保存，並確認副本處理結果。甲任意延長，乙用改分類迴避義務，丁雖改善金鑰保護，卻仍保留紀錄。若改用密碼抹除，必須確認方法符合政策、金鑰及所有副本確實受控；不能把任何換金鑰都當成刪除。
備考檢查清單
能區分三種安全目標與具體營運影響。
能說明誰提出方案、誰有權接受風險，以及何時改依事件程序行動。
能區分資料擁有者與保管者，列出全部受管副本的保留及刪除證據。
能逐項指出兩題干擾選項沒有處理的問題。
本篇未涵蓋、需另外準備的範圍
Domain 1仍需另備法規管轄、量化風險計算、供應鏈、人員安全、框架與教育訓練全部子目；Domain 2仍需資料角色細分、所在地、各保護技術及資產盤點方法。
本系列是短課概念整理，不取代完整考綱準備、實務經驗或資格審核，不保證通過，不宣稱可抵CPE或工作經驗。
官方來源與版本核對
考試與認證規則以ISC2官方公布為準。依2026-10-28查核紀錄，本系列採2024年4月版考綱；新版自2027年4月15日起適用，報名前確認考試日適用版本。
CISSP認證介紹
CISSP考綱與新版公告
CISSP工作經驗與抵免
ISC2報名入口
ISC2公開費用表
CAT規則
考後結果與重考政策
認證背書
會員政策與持續維護
ISC2倫理守則
更多 〈CISSP〉 推薦好文
CISSP備考｜報考資格、測驗規則與認證維護重點
CISSP備考｜安全架構、網路與存取邊界重點
CISSP備考｜測試證據、事件復原與安全開發重點
精選 AI寫企劃、看數據總是不能用？4種工作先排順序再交代，第一版就能討論
請AI寫企劃、做研究、看報表，結果常常看起來很完整，卻不能直接用？
問題多半不在AI的能力，而在我們只說「幫我寫」「幫我分析」，讓它自己猜目的和標準。
四種常見工作，可以共用同一個骨架：
1. 交代目的與標準：給誰看？看完要做什麼決定？
2. 排好先後步驟：先要中間產物，確認後再往下做
3. 要求附上依據：出處、算法、引用原文，讓你能驗收
套到四種工作，各有一個先後順序：
① 寫企劃｜架構先定，內容後補
先寫明讀者與目的，請AI只給三個主張和大綱；確認後才補內容，每個數據都附出處，查不到就標「待查證」。
② 做研究｜大題切小題，說法衝突並陳
先把大問題切成四到五個能用資料回答的小題；每題比對三種來源、標出年份；說法互相衝突時，請AI並列出來，由你判斷。
③ 看數據｜問題先行，數字在後
不要只丟報表說「幫我分析」，先寫成決策問題，例如「上季回購率下滑，是哪一群顧客流失」；講好期間、欄位和比較基準，只要兩三個關鍵發現，並附計算方式。
④ 審提案｜先找漏洞，後打分數
先逐條列漏洞並引用提案原文、分出輕重；再依事先講好的配分計分；最後請AI扮反方，提出最強的反對意見。
最常見的三個錯誤：
・一開口就要整篇成品，方向錯了只能整篇重寫
・AI給的數字沒查就直接用
・一邊挑毛病一邊打分數，分數被第一印象帶走
小練習：挑一件你這週要交的工作，寫下這兩句再交給AI——
「這份東西給＿＿看，看完要他＿＿。」
「先給我＿＿（大綱／小題清單／漏洞清單），我確認後再繼續。」
比較一下，和你平常的第一版差在哪裡。
想看完整的五分鐘影音說明，104學習免費課程「AI工作術」四堂已經上線，免費報名就能看：
第1堂｜5分鐘學會用AI寫企劃
https://nabi.104.com.tw/course/104nabi/57aed01b-9d82-4438-b09e-e2367abc0207
第2堂｜5分鐘學會用AI做研究
https://nabi.104.com.tw/course/104nabi/595a665d-07a3-461d-b37e-1f8158eca70d
第3堂｜5分鐘學會用AI看數據
https://nabi.104.com.tw/course/104nabi/0f3d424e-1658-49a2-851e-6c9fff296f43
第4堂｜5分鐘學會用AI審提案
https://nabi.104.com.tw/course/104nabi/19983d11-9e93-41ae-9924-46f8d6cd47dd
也歡迎在留言分享：這四種工作，你最常請AI幫忙哪一種？有沒有哪一次的第一版特別好用（或特別難用）？
使用提醒：AI可能出錯，重要數字請自行查證；上傳資料前先確認公司規定，並去除姓名、電話等個資。文中案例皆為假設情境。
CISSP 備考心得：如何在 180 分鐘內選出資安最佳解？恆逸課程實戰分享
恆逸開課時間查詢：https://www.uuu.com.tw/Course/Show/47/1
恆逸學員吳宗霖：
我目前任職於系統整合商，負責帶領技術團隊。我們不僅提供專業技術，更需符合客戶對資訊安全的合規要求及治理規範。
🎯 報考 CISSP 精進資安管理專業
近幾年政府帶頭喊出「資安即國安」，不僅推出各種治理規範，同時對於供應商的資格條件也提出日益嚴格的安全標準。為了更充分了解資安管理知識，我報名了 CISSP 課程，希望透過正規訓練提升學習成效並取得認證。
💡 專家引導 CISSP 融會貫通
我認為學習新知識，特別是廣泛應用型的知識，透過專家講師的傳授是最有效率的。非常感謝恆逸唐任威老師在授課過程中，將原本章節序列式的原廠教材，透過重點關聯整合的理解方式，讓 CISSP 八大知識領域得以融會貫通，大幅提升了學習效率。有別於自學，課程中老師會搭配近年實際發生的資安事件作為補充說明，讓我對課程中的理論有更深層的認識與理解。特別是在抽象的風險管理主題中，老師透過提問引導，刺激學員反覆思考，不只是從「What」的角度看資安要求，也能從「Why」的觀點理解資安治理。
⏱️ CISSP 考試觀念與時間管理
從事 IT 工作，考取認證可說是家常便飯，但 CISSP 考試有別於其他認證，其範圍廣且重觀念。就像「沒有絕對的安全」一樣，CISSP 所探討的問題不在於「絕對的對或錯」，而是要選出「最佳解」。除了扎實的學習與準備，應考當天更要讓身心保持在最佳狀態。需在 180 分鐘內處理至少 100 個燒腦的資安問題，非常消耗精神；且題目的問法與選項設計容易讓人陷入糾結，一不小心就會耗費太多時間。因此，時間控管至關重要，若到後期發現時間不足，心理壓力驟增，便難以仔細審題並選出正確選項。
🚀 CISSP 實務應用提升專業與職涯價值
CISSP 的課程內容相當務實，大部分皆能直接應用於工作場景。對理論的深入詳解讓安全控制得以落地實行，特別是在提供客戶技術服務時，彌補了傳統僅重視解決問題而忽略資安考量的不足。因應產業對供應商的資安要求，取得認證後，讓我具備參與更多指標性專案的資格。整體而言，投入心力完成這項頂級專業認證，不僅是個人專業領域的里程碑，在往後的職涯發展中，無論是對內管理或對外服務，我都能將資訊安全整合至各項工作目標，提升專業價值，讓我在 IT 領域擁有比他人更廣闊的視角。
索取課程優惠：https://www.uuu.com.tw/Forms/CourseInfoRequest?courseId=CISSP&mediaSrc=104
我從 ISO 27001 資安管理體系學習與實戰體悟
我擔任的工作是資訊人員，負責公司資安架構的維護與管理，以及Helpdesk。
這陣子撥出時間投入資安管理與 ISO 27001 的學習，起初只是想建立更完整的資訊安全防護思維，但在真正系統化研讀並進行實務驗證後，才發現這不僅僅是一套規範，更是企業運作中極為關鍵的風險控管核心。
過去在面對資安政策或防護措施時，往往容易流於片段式的執行，或是停留在表面的規範配合。這次透過全盤梳理 ISO 27001 的條文精神與核心控管項目，我終於將原本零散的防護觀念串接起來，真正理解背後的風險評估邏輯，明白各項資安政策該如何落實到日常作業中。
在學習的過程中，最具價值的莫過於實務情境演練。透過模擬真實演練與風險判讀，我漸漸學會從整體架構的角度去評估潛在漏洞，並針對不同情境找出合規且有效的改善方案。這種將抽象規範轉化為實際解決方案的思考訓練，大大補足了我過往在實務操作上的盲點。
這次的學習不僅讓我順利釐清了許多過去模糊的資安概念，也為未來的職場應用打下了扎實的基礎。資安管理是一項持續優化的長跑，接下來我也會將這些經驗落實到實際工作中，持續推動更完善的防護機制。
🔗 詳全文：https://ucom.uuu.com.tw/web/Testimony/Article/12822
Claude Code Subagent怎麼用？3分鐘建好第一個子代理，判斷何時該多Agent分工
一個任務想同時檢查安全性、效能和測試，只能一件一件問AI？本文說明Subagent（子代理）的分工模式，帶你用一個Markdown檔建立第一個官方Subagent，再用一張表判斷什麼任務適合多Agent協作。本文節錄自《Claude Code全攻略》。
文／曾慶良（阿亮老師）
本文目錄（點擊可快速前往）
什麼是Subagent？官方Subagent、自製Orchestrator差在哪？建立第一個官方Subagent：直接寫.claude/agents/檔案Subagent適用情境：什麼任務適合多Agent協作？【進階提示詞】讓Claude Code幫你建好Orchestrator
編按：本文收錄Subagent觀念與官方Subagent實作；以Python自製Orchestrator的逐步教學未收錄，文末附「進階實作提示詞」，可直接讓Claude Code幫你建好。
什麼是Subagent？官方Subagent、自製Orchestrator差在哪？
一般使用Claude Code的互動是一對一的：你問一個問題，Claude回答，然後再問下一個。
Subagent（子代理）改變了這個模式：
你的指令
↓
Orchestrator Agent（協調者）
├──> Subagent A：分析安全性
├──> Subagent B：分析效能
└──> Subagent C：分析測試覆蓋率
↓（三個同時執行）
Orchestrator 收集結果，合併報告
（圖／博碩出版《Claude Code全攻略》）
為什麼要用多Agent？
速度：3個任務同時跑，比依序執行快3倍
專注：每個Agent只做一件事，提示詞更精準
隔離：一個Agent失敗不影響其他Agent的結果
規模：一個人管不完的工作，交給Agent軍團
「Subagent」其實有兩種
在Claude Code的語境裡，「Subagent／子代理」這個詞指兩件不同的東西，別混在一起：
官方Subagent自製Orchestrator本體.claude/agents/*.md 定義檔（YAML frontmatter + system prompt）你自己寫的Python腳本執行方式在互動session內，由主Agent自動委派或你明確指名用 claude --print 開多個獨立進程平行呼叫上下文每個Subagent有獨立context，結果回傳主對話每個進程完全獨立，由腳本收集輸出適合重複使用的專職角色（審查員、測試員、文件寫手）大量平行任務、CI/CD整合、跨專案批次處理
官方Subagent是Claude Code內建、最正規的子代理機制（下文會帶你從零建立）；自製Orchestrator則是當你需要一次派遣大量Agent、或把Claude塞進自動化管線時用。
建立第一個官方Subagent：直接寫.claude/agents/檔案
若走「Python orchestrator + --print CLI」的程式化路線，可以一次派遣大量Agent平行工作。但你的第一個Subagent不應該寫Python——官方Subagent只是一個Markdown檔案，3分鐘就能建好。
舊版備註：舊版Claude Code曾提供 /agents 互動式精靈（7步驟引導建立Agent），該精靈已於v2.1.198（2026-07-01）移除。現在的做法是直接建立定義檔，反而更快、更透明；細節以官方文件為準。
官方Subagent的本體是一個放在以下位置的Markdown檔案：
位置範圍適合場景.claude/agents/（專案根目錄下）只有目前專案能用跟專案綁定的Agent（如Flask app的API tester）~/.claude/agents/所有專案都能用跨專案通用的Agent（如「程式碼審查員」）
第一次練習建議放專案級，玩壞了不會影響其他專案。
建立資料夾與定義檔
# Windows PowerShell（在專案根目錄下）
New-Item -ItemType Directory -Force .claude\agents
notepad .claude\agents\security-reviewer.md
# macOS / Linux（在專案根目錄下）
mkdir -p .claude/agents
nano .claude/agents/security-reviewer.md
（圖／博碩出版《Claude Code全攻略》）
security-reviewer.md 完整內容（可直接貼）
---
name: security-reviewer
description: 安全性審查專家。當使用者要求檢查安全漏洞、SQL injection、硬編碼密碼、eval/exec 濫用、輸入驗證問題時使用此 agent。
tools: Read, Grep, Glob
model: sonnet
---
你是一位資安專家，專門審查 Python 程式碼的安全性。
分析範圍：
- 注入攻擊（eval、exec、shell injection、SQL injection）
- 敏感資料處理（明文密碼、硬編碼金鑰、個資）
- 不安全的函式使用
- 缺少輸入驗證
輸出格式：Markdown 報告，每個問題標注嚴重度（🔴嚴重/🟠中等/🟡輕微）、檔案與大約行數、問題描述、具體修正建議。
只報告確定的問題，不要猜測。
（圖／博碩出版《Claude Code全攻略》）
frontmatter欄位說明：
欄位作用填寫要點nameAgent的識別名稱小寫加連字號，如 security-reviewerdescription決定觸發時機主Agent根據這段描述判斷「什麼時候該委派給它」，把使用情境寫清楚tools允許使用的工具最小權限原則：安全性審查只需要讀（Read、Grep、Glob），不給Write/Edit/Bashmodel使用的模型sonnet（平衡，推薦）/ opus（最強）/ haiku（最快最省）/ inherit（跟主Agent相同）
模型怎麼選：安全性審查建議sonnet（對應目前的claude-sonnet-5）——haiku（claude-haiku-4-5）太簡略容易漏掉細節；opus（claude-opus-4-8）或旗艦fable-5留給真正需要深度推理的任務，這類審查用不到。
觸發你的Subagent
存檔後重新啟動Claude Code（讓它重新讀取agents資料夾；是否需要重啟以實際版本為準），有兩種觸發方式：
自動委派：你的要求符合description描述時，主Agent自動把工作交給它
明確指名：直接說「用security-reviewer幫我審查calculator.py」
這裡拿calculator.py當練習對象，裡面故意留了eval()、shell=True等資安問題。你也可以換成手邊任何一支.py。
[模擬]觸發該Agent的對話：
> 用 security-reviewer 幫我審查 calculator.py
● security-reviewer(審查 calculator.py 的安全性)
完成
發現 2 個問題：
嚴重：calculate_from_string 使用 eval() 執行未驗證輸入
存在任意程式碼注入風險，建議改用 ast.literal_eval()
中等：run_calculator_script 以 subprocess.run(..., shell=True) 執行外部指令
若 script_path 來源可控則有 shell injection 風險，建議改為 shell=False 並拆成清單
（圖／博碩出版《Claude Code全攻略》）
官方Subagent vs.自製Orchestrator：什麼時候用哪個？
你的目標推薦方式第一次建Subagent練手.claude/agents/定義檔（本文示範）重複呼叫同一個專職Agent.claude/agents/定義檔即可一次平行派遣3+ 個AgentPython orchestrator整合進CI/CD pipelinePython orchestrator跨專案複用同一套Agent定義檔放~/.claude/agents/
結論：先用定義檔把「一個Agent一個職責」的概念跑通；自製Orchestrator是進階用法，學會了能應付更大規模的協作場景。
Subagent適用情境：什麼任務適合多Agent協作？
不是所有工作都適合Subagent架構。這張表幫你判斷：
情境建議架構原因分析一個檔案的bug單一Agent任務小，不值得overhead同時分析多個面向（安全/效能/測試）Multi-Agent面向獨立，可平行處理50個檔案，每個需要翻譯Multi-Agent大量獨立子任務寫一個複雜的功能，步驟有依賴單一Agent步驟有前後依賴，無法平行每天掃描新增的PR定時Orchestrator結合Routines定時執行跨語言文件翻譯（10種語言同時）Multi-Agent（10個）語言翻譯互相獨立
核心原則：任務之間沒有依賴關係、可以獨立完成，才值得用Multi-Agent。
【進階提示詞】讓Claude Code幫你建好Orchestrator
複製以下提示詞，直接貼進Claude Code開始操作。提示詞裡的檔名／路徑是示意，請換成你自己專案裡實際存在的。
開始前，請先確認兩件事：
系統已裝Python 3——Orchestrator是Python腳本。先驗證 python --version（沒反應試 py --version）。
claude指令在PATH裡——腳本會呼叫claude。先在終端機直接打 claude --version，確認叫得動。
Step 1：建立Orchestrator腳本
請幫我建立 orchestrator.py，能夠同時啟動 3 個子 Agent 分別執行：安全性掃描（偵測硬編碼密碼和 SQL injection）、效能分析（統計函式長度和巢狀層數）、測試覆蓋率報告。完成後合併三份報告輸出總結。
Step 2：執行並驗證結果
請執行 orchestrator.py，等待所有子 Agent 完成後，顯示最終整合報告，並標出最需要優先修正的問題。
節錄自：博碩文化《Claude Code全攻略：從一句話到部署上線，打造你的AI Agent開發團隊》／曾慶良（阿亮老師） 著
推薦閱讀：
Claude Code越聊越笨？4個指令管好「上下文」，用量60%就該主動壓縮
商務Email好難回？用Claude Skill建回信SOP，4大類型自動判斷
「Skill」和「提示詞」差在哪？6大差異與SKILL.md寫法一次看
AI資安疫情蔓延全球，專家建議：7個面向建立企業資安防護網！
AI興起，正在快速改變資安攻防的遊戲規則，過去需要投入大量時間攻擊漏洞、測試的駭客工作因AI而降低門檻。企業和機關更應該主動積極的備戰，國家資通安全研究院的院長龔化中，建議企業或機關可從7個面向著手建立資安防護網、保護數位資產，千萬不要心存僥倖！
文／龔化中（國家資通安全研究院 院長）
本文導覽
AI資安攻擊，已經進入新的階段在AI時代，不要心存僥倖，就是最基本的防禦一、 減少暴露在外的攻擊面：少一個入口，就少一個風險二、注意供應鏈安全：避免病從口入三、建立多層防護：不要期待系統永遠不會被攻破四、降低洩密傷害：保護最重要的數位資產五、做好營運維持：最重要的是確保組織活得下去六、冷靜應變：不要把時間花在找戰犯七、即時通報與聯防：一起阻止災害蔓延面對AI資安疫情，現在就是備戰的時候
最近常常看到一些AI相關的趣聞，有人想用AI協助健身房報名手續，結果發現名額已經額滿，AI竟然想辦法駭進系統幫忙插隊；也有實驗結果發現，最先進的AI為了完成任務，竟然暗中突破原本設定的限制，甚至嘗試入侵其他系統來「偷看答案」。
這些新聞看起來很有趣，就像科幻電影裡才會發生的情節。但當這些能力開始被駭客利用，情況就不再只是科幻，已經逐漸變成一場真實的資安風暴。
AI資安攻擊，已經進入新的階段
AI正在快速改變資安攻防的遊戲規則，在過去駭客需要投入大量時間進行資訊蒐集、漏洞研究、程式撰寫與攻擊測試；而現今AI正逐漸降低這些複雜工作的門檻，讓攻擊者可以更快、更大量地尋找目標與弱點。更值得注意的是，攻擊能力正在快速普及；惟防禦能力的成熟需要時間。
AI已經可以協助攻擊者尋找暴露在網路上的系統、分析漏洞、撰寫攻擊程式，甚至協助突破一些原本需要高度專業能力才能完成的工作。另一方面，AI資安防禦工具仍在快速發展中，其穩定性、準確性以及實際部署經驗等，都還需要時間持續累積。
這就像一場新的數位疫情：威脅已經開始擴散，但我們的「疫苗」與防禦體系還在持續研發與強化。
我們預期，未來一段時間AI所帶來的資安威脅仍會持續升高，直到漏洞管理、防禦工具、資安治理與整體應變機制逐步成熟，威脅才可能逐步趨於穩定。因此，面對AI資安疫情不是消極等待風暴來臨，機關與企業都應該提前部署備戰，做好準備。
延伸閱讀：有內鬼！商業機密被竊怎麼辦？5個QA帶你認識「營業秘密法」
在AI時代，不要心存僥倖，就是最基本的防禦
我們有以下幾項建議，提供給各級機關與企業參考：
一、 減少暴露在外的攻擊面：少一個入口，就少一個風險
AI搜尋網路上的弱點，成本低、速度快，而且可以大規模自動化。因此防守方的第一個原則就是盡量減少暴露在外、可能被攻擊的入口，魔鬼藏在細節裡，過去一些工程人員認為「應該沒有人會注意」的小細節，在AI時代可能很快就會被發現，例如：
研發、測試人員使用的遠端伺服器或開發中網站。
資訊營運人員使用的跳板機或系統服務帳號。
已經停止使用，卻沒有真正下線的舊系統與服務。
暫時開放、之後卻忘記關閉的網路服務或帳號。
工程人員可能以為自己留下的小小後門沒有「人」知道，但現在AI找得到。因此，各級主管應要求做好系統、設備、服務與帳號的完整盤點，該關閉的關閉、該更新的更新、該限制存取的限制存取。
延伸閱讀：別當職場資安網的漏洞，維護機密、當心智慧型手機上的惡意連結
二、注意供應鏈安全：避免病從口入
一個組織就算本身資安治理良好，就像一個注重健康、經常運動的人，還是可能因為「吃進去」的東西有問題而生病。
很多駭客其實不需要自己花大量時間研究目標。當一個熱門產品或軟體被發現重大漏洞，攻擊者可以利用自動化工具迅速找出哪些組織正在使用它，接著發動攻擊。
最近前沿AI公司與資安研究團隊大量運用AI挖掘開源軟體與資訊系統漏洞，漏洞發現與揭露的速度正在加快。這對整體資安環境是一件好事，但也代表攻擊者取得這些資訊的速度同樣很快。
因此，組織不能只知道「我們用了很多套系統」，而必須真正知道我們到底用了哪些系統？哪些版本？由誰管理？出了漏洞之後誰負責處理？
更重要的是，要建立明確的更新與修補策略。因為更新本身也可能造成風險。如果沒有經過測試與規劃，匆忙更新可能讓原本正常的服務中斷。
因此，除了正常的更新流程之外，也應預先準備緊急隔離與網路阻擋措施。當重大漏洞發生時，可以先限制有風險的設備或服務，爭取時間進行安全、完整的修補。面對快速變化的漏洞環境，最重要的不是每一次都搶第一個更新，而是要有能力快速判斷、快速隔離、快速修復。
延伸閱讀：每天上班收發上百封e-mail，這5大電郵詐騙手法，你不可不知
三、建立多層防護：不要期待系統永遠不會被攻破
進入AI資安攻擊時代，我們不能再期待「系統絕對不會被入侵」，更務實的做法是假設某一層防禦終究可能被突破，然後讓下一層防禦接住它。
防火牆、身分驗證、端點防護、網路監控、異常行為偵測、資料保護，以及最後的事件應變，都應該形成多層防線，這裡最重要的其實是「時間」。
如果駭客花了五分鐘突破第一層防禦，而我們可以在三分鐘內發現異常並啟動應變，就有機會在他進入核心系統之前把攻擊阻斷，資安防禦不一定要做到滴水不漏，但一定要讓攻擊者很難一路暢通。同時，重要的資安能力也不要形成單一依賴。即使最可靠的供應商，也可能發生服務中斷、漏洞或遭受攻擊。
關鍵的防禦能力應該保留替代方案與自主應變能力，避免一個單點故障就讓整個組織失去防禦能力。
延伸閱讀：密碼用生日、常用平台用同一組密碼？這些帳號被盜的資安大地雷，你也犯了嗎？
四、降低洩密傷害：保護最重要的數位資產
有一句成語「懷璧其罪」。你最重要的機密，往往就是駭客最想要的東西。
因此，第一步不是想辦法把所有資料保護到百分之百，而是先問自己：這些資料真的需要保存嗎？不必要的個資、信用卡資訊、機密文件與其他敏感資料，能不保存就不要保存。
如果確實需要保存，就必須做好分級、權限控管與加密，讓資料即使被取得，也不容易直接被使用。
AI時代還出現了一個新的風險：員工為了工作方便，可能直接把公司內部資料交給AI工具處理。
一份內部文件、一段程式碼、一份客戶資料，看起來只是一次簡單的AI查詢，卻可能成為新的資料外洩管道。因此，組織在導入AI的同時，也必須建立清楚的AI使用規範：什麼資料可以交給AI？什麼資料絕對不能交出去？這已經是每一個機關與企業都必須面對的新課題。
延伸閱讀：51%常用密碼在1分鐘內就能被AI破解，5個提高「密碼管理」的必知QA
五、做好營運維持：最重要的是確保組織活得下去
資安事件發生後，真正造成巨大損失的，不一定是資料被偷走，而可能是整個組織無法正常運作。
因此，除了防禦之外，更重要的是「韌性」，要有確實可行的營運維持計畫，並且真正演練過。資訊系統的資料備份與還原、電力與外部網路的備援、人員工作的替代設備，以及關鍵業務的替代流程，都應該預先規劃，而不能只是「有備份」，還要確定真的還原得回來。
對企業而言，也要思考資安事件發生後的營運資金與替代供應商。
就像狡兔三窟，重要的服務不能只有一個出口。當外部服務突然中斷時，組織才有能力撐過最困難的幾天甚至幾週。
資安的最終目標，不只是防止被攻擊，而是即使被攻擊，組織仍然能夠繼續運作。
延伸閱讀：專家建議：保護在家工作的視訊環境，務必注意7個要點避免資安威脅
六、冷靜應變：不要把時間花在找戰犯
資安事件發生時，不論事前做了多少準備，都不可能保證完全不受影響。
這時候最重要的，不是第一時間追究「到底是誰的錯」，而是先把災情控制住。按照既定的事件應變計畫執行，迅速隔離、確認影響範圍、保全證據、恢復服務，再進一步檢討原因。
也就是說，應該把「改善制度」和「懲罰個人」清楚區分。只有讓第一線人員敢於通報，組織才有可能真正學習，也才有機會避免下一次更大的事故。
延伸閱讀：如何戰勝全球資安聞之色變的勒索病毒，有效避免辦公室資料被其綁架呢？
七、即時通報與聯防：一起阻止災害蔓延
新冠疫情期間，及早發現、即時通報與跨單位合作，是控制疫情的重要關鍵。AI資安疫情也是一樣。
當一家企業發現新的攻擊手法，如果能夠儘速通報，就有機會讓其他企業提前做好防護，避免同樣的攻擊在整個產業快速擴散。
這也是為什麼資安不能只是「各自顧好自己的事情」。
在AI時代，一家組織發現的攻擊手法，可能在幾個小時之內成為另一家組織的災難。因此，更快速的通報、更有效的情資共享，以及政府、企業與資安社群之間的聯防，會變得比過去更加重要。
國家資通安全研究院是台灣的「數位消防隊」，我們會持續強化情資分析、威脅研判與應變協助，盡力守護國家與人民的數位資產安全。
如果政府機關或關鍵基礎設施業者遭遇疑似AI輔助的攻擊，可以透過數位發展部資通安全署或主管機關進行通報；民間企業與組織也可以透過TWCERT/CC（台灣電腦網路危機處理暨協調中心）通報，我們將盡力提供必要的協助。
台灣電腦網路危機處理暨協調中心
延伸閱讀：APP潛藏資安危機，5大常見可疑程式、別讓它出現在你的手機裡！
面對AI資安疫情，現在就是備戰的時候
AI資安威脅已經不是未來式，而是現在進行式。我們不需要恐慌，但必須提高警覺。沒有人能保證自己的系統永遠不會被攻擊，也沒有人能預測下一個AI工具會把攻擊能力提升到什麼程度。
真正重要的是，在攻擊能力快速進化的今天，我們能不能更快盤點自己的弱點、更快發現異常、更快隔離風險、更快恢復營運，也更願意把自己發現的威脅告訴其他人。這場數位疫情不可能只靠一家機構解決。政府、企業與整個資安社群都必須一起提高防禦韌性，才能把每一次攻擊的傷害控制在最小範圍。
AI資安疫情已經開始。現在，就是備戰的時候。
（原文標題：AI資安疫情全球蔓延， 機關與企業如何迎戰？）
本文獲 國家資通安全研究院 同意授權於《104職場力》刊載
春節後的職涯思考：為什麼越來越多人關注 APICS 國際證照？
春節後的職涯思考：為什麼越來越多人關注 APICS 國際證照？
每年春節過後，都是許多上班族重新思考職涯方向的重要時點。今年開工後，我們觀察到明顯增加的 APICS 證照課程查詢量。
這樣的現象並不意外。
在企業營運目標日益嚴格、供應鏈環境高度變動、AI 技術快速導入的背景下，專業能力是否具備「國際標準」與「系統化架構」，成為職場競爭力的關鍵差異。
為什麼是 APICS？
APICS（現為 ASCM）國際證照，是全球供應鏈與營運管理領域最具代表性的專業認證體系，涵蓋：
CPIM：生產與庫存管理（強化營運與內部流程管理能力）
CSCP：供應鏈策略與整合（提升端到端整合視野）
CLTD：物流與運輸管理
CTSC：供應鏈永續與轉型管理
其核心價值並不僅止於考取證照，而在於建立：
系統化知識架構
跨部門整合思維
數據化決策能力
風險管理與營運優化能力
這些能力，正是企業在數位轉型與AI應用時最需要的人才特質。
AI 時代下，專業升級更顯重要
AI 能夠提升效率、優化流程，但無法取代高階判斷、策略規劃與整合管理能力。
真正具有競爭力的專業人才，是能夠運用工具、整合資源並做出決策的人。
與其擔心被改變，不如提升自己成為改變的一部分。
2026 APICS 證照培訓規劃
DTSCM 已完成 2026 年度 APICS（CPIM / CSCP / CLTD / CTSC）證照培訓規劃，協助不同產業與職涯階段的專業人士，選擇最適合的證照進修路徑。
更多課程資訊，歡迎參閱：
🌐 www.dt-scm.com
📞 課程諮詢專線：0988-319-777 吳經理
新的一年，為自己的專業履歷增加一項國際標準。
讓職涯發展，不再只是期待，而是規劃。
資料生命週期管理與企業架構策略規劃書：從業務戰略到技術執行的整合路徑
企業架構（EA）的戰略角色與領域協作
在當今數位轉型的浪潮中，即使是中小型組織，其資訊技術結構的複雜性也已超越單一人員所能掌握的範疇。企業架構（Enterprise Architecture, EA）並非單純的技術圖譜，而是一種組件元素的組織化安排，其核心目的在於優化整體系統的功能、性能、可行性、成本以及美學（Function, Performance, Feasibility, Cost, and Aesthetics）。對於管理層而言，跨領域的架構協作是實現數據驅動決策的唯一基石，它確保了業務流程與技術支撐能保持戰略對齊。
AI招募隱患！從個資違法到AI幻覺，HR必知的3大安全陷阱
當AI Agent開始自動化篩選履歷、甚至代發郵件，HR的效率看似翻倍，背後卻潛藏法律與資安的地雷。104人資長江錦樺深入剖析AI招募的三大隱患：從複製性別偏見的「AI幻覺」，到觸犯個資法跨境傳輸的違規風險，甚至是內部通訊被駭的資安危機。在科技浪潮下，HR 的角色已從傳統的「人際橋樑」進化為「人與AI的守門員」。本文將教你如何在享受AI自動化便利的同時，確保招募流程的專業與安全。
文／江錦樺（104資訊科技 人資長 Sherry）
本文目錄：轉職換跑道如何抉擇？（點擊可快速前往）
偏見歧視隱憂資料蒐集違規資安外洩危機HR使用AI的兩點建議
在HR領域，AI應用在招募的討論不少。
Sherry陸續也看到有人用AI Agent（如 Claude 或 OpenClaw）直接操控瀏覽器後，自動登入人力銀行掃描分析履歷，推薦及寄送適合人才給用人主管。
AI 篩選人才越來越普遍，但背後風險也愈來愈多。
今天來跟大家分享三大隱患。
延伸閱讀：HR用AI分析履歷可能觸法？如何應對AI履歷找到對的人？解析招募AI應用隱性地雷
偏見歧視隱憂
AI 學舊資料訓練， 如果企業過去錄取名單存在特定傾向， 如：男性居多，則AI可能就會複製性別偏見。
AI也可能因資料理解限制或模型偏誤，對非典型職涯產生錯誤判讀，或產生「幻覺」，將求職者沒有的技能無中生有， 亦有可能導致面試到錯誤人選。
資料蒐集違規
求職者履歷表上滿滿個資， 原先僅授權在人力銀行平台上「特定目的」使用， 而非授權到其他平台應用。
若又是大陸的AI平台， 則可能已違勞動部依據《個資法》第21條規定 「禁止人力仲介業將當事人個資傳輸至大陸地區」。
除違反個資的風險，亦可能違反人力銀行平台使用條款，例如「不得將人才查詢系統帳號、 密碼提供予第三方使用」及 「禁止轉載或利用履歷資料進行特定目的外利用」。
資安外洩危機
若使用不當AI工具 （如免費版或未簽署資料保護協議），可能存在資料被留存或不當使用之風險。
若 AI Agent 能自動寄發郵件，則可能賦予了它「讀取與發送公司信件」的權限。一旦AI遭到駭客，可能就會透過此Agent注入提示詞，來竊取公司內部通訊紀錄。
延伸閱讀：HR用AI篩履歷有觸法風險嗎？解析企業招募的AI隱性地雷
HR使用AI的兩點建議
那要如何避免以上風險呢？Sherry建議：
資料脫敏處理 使用AI時，應將資料去識別化， 最好採用企業級AI才不會有資料被拿去訓練的風險。
AI定位為輔助，不論是人選推薦及錄取的決策， 仍取決與HR、主管。
Sherry身為HR的信念之一「成為人與人之間的橋樑」， 而今AI盛行，我相信HR也能扮演好「人與AI之間的橋樑」。
（原文標題：AI招募熱潮背後：HR 必知的風險）
最新 APICS CPIM 供應鏈計劃及庫存管理師國際專業證照開課訊息
🎯 最後機會！5月21日 APICS CPIM 證照課程正式開課！
掌握供應鏈專業，迎戰全球挑戰！
CPIM 國際證照 是你邁向 SCM 領域專業的黃金門票！
📘 什麼是 CPIM？
APICS CPIM（Certified in Planning and Inventory Management）是全球最權威的供應鏈與庫存管理認證，超過10萬名專業人士認可！
課程重點包括：
🔹策略與需求管理
🔹主生產排程與S&OP
🔹MRP／產能／庫存控制
🔹持續改善與風險管理
📈 為什麼選擇 CPIM？
✅ 增強專業職能與國際競爭力
✅ 提升營運效率與決策品質
✅ 適用製造、物流、零售、IT 等各行各業
👥 誰適合參加？
✔ SCM／物流／生管／採購人員
✔ 想晉升專業經理人或轉職者
✔ 儲備幹部與企業主管
🎓 課程資訊（V8.2 單科考試更高效）：
📅 時間：2025/5/21 – 8/25，每週一、三 20:00–22:00（確定開課）
👨🏫 講師：APICS 頂級 Master Instructor David Tsai 親授
📚 使用最新版 APICS 正版學習系統，提供完善備考與輔導支援
🚀 加入全球供應鏈專家行列，讓 CPIM 助你職涯升級！
📩 報名資訊／了解更多
☎ 吳經理：0988-319-777
🌐 www.dt-scm.com
AI如何改變我們工作關係和對公司的信任感
原標題：AI如何改變我們工作關係和信任感
隨著人工智能逐漸成為職場核心的一部分，企業與員工之間的關係動態也面臨前所未有的挑戰與轉型。透過一項2021年的研究，我們將探討AI對職場心理契約——員工對公司的期望和認知——的各種影響，包括員工在工作投入和信任感上的變化。文章深入分析了異化型合約現象，此現象描述了因為AI引入而出現的人際疏離感，以及它潛在引發的不安和生產力下降。透過了解這些動態，公司可以有效地維護人性化職場環境，並促進積極且協作的人力資本管理策略。在這樣急速革新的環境中，企業如何抓住機遇管理風險，是所有人極需思考的重要課題。
文： 小婉家族研究生 周郁恩 | 工商心理實驗室
進入現今的人工智能（AI）時代，人們好奇：這會怎麼影響我們的工作？是否什麼都變成機器人代打，或是我們與公司的關係會有何變化？2021年一項研究就針對這個題目，分析AI進入職場將如何影響員工的心理契約，工作投入和信任感。
什麼是心理契約？
「心理契約」指員工對公司的期望與互動關係，這種契約不是開發在經濟交易上，而是一種無形的理解和感受。一般分為兩種：
1.交易型契約：以薪資和工時為主，此層關係較淺，員工大多是為了收入而工作。
2.關係型契約：帶有社會與情感結合，員工和公司間有更深的依靠和長期成長合作，這層次的關係會提升工作滿意度和公司成效。
AI採用對工作關係的影響
研究發現在AI未介入時，心理契約能顯著提升員工的工作投入和對公司的信任。但一旦公司引入AI技術，這種正面影響會明顯下降。
研究更提出了一種新型心理契約，稱為異化型合約（Alienational Contract）。這種合約是因為AI引入而引發的關係變化，員工與公司關係浮光略影，而人際交流大量削減。例如零時數合約或工作全面由AI技術管理，員工不再有興趣或成就感。
多堂免費大師講座，提升你的職場思維與視野 >>
AI引入的隱憂
1.工作不安感：AI對較低技術之工作造成威脅，讓員工感到未來不可預測。
2.信任關係弱化：AI技術成為主要操控力量後，員工和公司之間的信任關係會大打折扣。
3.工作投入降低：員工對工作的熱情會因不確定性而降低，進而影響效能。
公司如何應對AI採用
為了在引入AI技術時保持員工的體驗和投入，公司可以措取以下措施：
1.加強內部溝通和培訓：使員工了解AI如何輔助工作，清楚未來發展。
2.保持人性化的工作環境：即使AI介入，仍要確保人與人之間的交流與合作。
3.提供生活指導和導向：為感到工作壓力或迷惘的員工提供更多支援與資源。
人工智能採用有助於提升公司效率，但也對員工工作投入和信任關係造成影響。公司應在導入AI技術同時，認真考量對員工心理和社會關係的影響，避免異化型合約的擴散，將經濟效率與社會負責完美帶結。
小婉家族研究生:N
參考資料：
Braganza, A., Chen, W., Canhoto, A., & Sap, S. (2021). Productive employment and decent work: The impact of AI adoption on psychological contracts, job engagement and employee trust. Journal of Business Research, 131, 485–494. https://doi.org/10.1016/j.jbusres.2020.08.018
看更多來自工商心理實驗室的好文 >>
在職場中你容易被情緒勒索嗎？這五大人格特質最易受影響
職場八卦：氣質性嫉妒與組織認同的交織
能者多勞？還是忍著過勞？ 小心引發工作倦怠
Z世代安靜離職消失了嗎？不，它進化成「怨恨缺勤」
學習時間管理就能提升效率？探索你的「時間特質」找到關鍵
超過5000+的HR都報名過的104人資學程！七大主題課程幫你系統化學習 >>
最划算的全方位教育訓練方案！免費申請全課程試閱 >>
訂閱人資市集電子報獲得專家工作分享及產業新知 >>
加入104人資市集官方line獲得最新優惠及活動資訊 >>
有任何收穫或想分享的，都來和大家一起聊聊吧！