【11/16（一）開課｜台北３日實體班】ISO 27701:2025 隱私資訊管理系統主導稽核員轉換訓練課程
104學習
ISO27001文件
具備這項技能代表你能有效建立、維護及管理資訊安全管理系統相關文件，確保公司符合國際資安標準要求。這包括風險評估、控制措施、程序規範及持續改進紀錄，有助於防範資料外洩、提升資訊保護能力。對求職者來說，代表你具備系統化思考和細節控管能力，是資訊安全、風險管理或法遵相關職務的重要加分項。
提升你的實力，朝專業更進一步
精選課程
充實自己，讓能力持續成長
CompTIA Security＋國際網路資安認證班
CompTIA Security＋國際網路資安認證班
精選證照
考取專業證照，讓能力被市場看見
ISO 27001資訊安全管理系統主導稽核員
近年來，政府機關、學校單位、醫療機構、金融/電信/高科技產業均相當重視資訊安全管理系統(ISMS)，許多機關、企業欲導入ISO 27001資訊安全管理系統國際標準，內部必須有專人負責資安的稽核、教育訓練等工作，擁有本證照有助於溝通與實行相關步驟。
中華民國全國商業總會
ISO 27701個人資料隱私管理系統主導稽核員
ISO 27701個人資料隱私管理系統主導稽核員證照旨在培養具備評估及管理個人資料隱私風險能力的專業人才，熟悉ISO 27701標準要求，能有效執行隱私管理系統稽核，確保組織符合相關法規及隱私保護規範，提升資料保護水平，協助企業建立完善的個人資料隱私管理架構，並強化資訊安全與隱私治理能力。
中華民國全國商業總會
明逸資訊安全專業認證-資訊技術類
明逸資訊安全專業認證專注於提升資訊技術領域中的資安知識與實務能力，涵蓋網路安全、系統防護、資料加密及風險管理等核心技術，幫助持證人掌握最新的資安趨勢與防禦策略，強化企業資訊安全防護體系，適合資訊安全工程師、系統管理員及相關從業人員提升專業競爭力。
尚未查核發照單位
BS 10012個人資料管理系統主導稽核員
有鑑於個人資訊保護的重要性愈來愈重要，全球各國政府均立法規範確保個人資
料受到適當保護與運用, 在台灣, 立法院於2010 年4 月27 日三讀通過,並於5 月26日公布個人資料保護法。BSI 英國標準協會於2009年正式發佈BS 10012:2009 個人資訊管理系統（Personal Information Management System, PIMS），此國際標準具體說明對個人資訊管理系統的各項要求。個人資訊管理系統提供了一個架構，讓組織能維持和改善對資料保護法律及國際優良實務的遵循。
英國標準協會(BSi-British Standards Institution)
Security Automation Certification
Security Automation Certification證照專注於培養資訊安全自動化技術能力，涵蓋安全工具整合、威脅偵測自動化及事件回應流程優化。持證者具備設計並部署自動化安全解決方案的能力，能有效提升組織防禦效率與反應速度，適用於資安分析師、工程師及管理人員，助力企業強化資訊安全防護，降低人為錯誤風險。
HashiCorp
ISO 20000-1:2005主導稽核員
ISO20000 (IT Service Management–ITSM)國際標準為調查中組織之第一選擇。藉由標準之導入，組織之IT 部門(IT 服務提供者-IT Service Provider)除了可確保其所提供的服務符合營運之需求，並可確保在可行的預算下提昇系統或其服務的可靠性、可用性及服務品質。
係由IRCA機構認可(IRCA課程編號: A17452)，對於希望註冊為其IT服務管理系統體系下的主導稽核員之人士，本課程將符合其訓練要求！通過考試者，將由BSI英國標準協會台灣分公司授予「 ISO20000-1:2005 IT服務管理系統主導稽核員國際課程證照」
中華民國全國商業總會
精選貼文，掌握第一手知識
ISO/IEC 27001 主導稽核員備考｜標準要求與防護措施重點
ISO/IEC 27001 主導稽核員備考須分清管理要求、風險評鑑與控制措施。以薪資資料為例，理解資訊安全三要素、管理循環與適用性聲明，再用自編題檢查防護選擇。
本文目錄
本篇對應的官方考試範圍
必懂觀念
常見誤判
練習題與完整解析
備考檢查清單
本篇未涵蓋、需另外準備的範圍
官方來源與版本核對
本篇對應的官方考試範圍
對應 CQI 五範圍中的「管理系統概念」（6題），並支援「執行稽核」（14題）時對照管理要求與控制；本文為教學映射，不是官方逐題分布或配分。
CQI 五範圍為管理系統概念、稽核責任、規劃、執行及報告結案；本文僅涵蓋其中部分觀念。
必懂觀念
薪資被陌生人看到，是機密性受損；數字被竄改，是完整性受損；發薪日前平台當機，是可用性受損。三者幫助辨認要保護什麼。資訊安全管理系統（ISMS）讓保護工作持續運作，PDCA 依序規劃、執行、檢查、改善。教學上將第4～6章放規劃，第7～8章放執行，第9章檢查，第10章改善；第7章支援同時支撐全循環。
先訂比較尺度（風險判準），找可能事件（識別），看機會與後果（分析），再與判準比較（評估）；識別、分析、評估合稱風險評鑑。選擇離職停權及覆核，是風險處理；措施後剩餘的風險叫殘餘風險，須由風險負責人核准接受。離職當日停權是本案例公司的內規，不是所有公司統一期限。
附錄 A 有93項控制：組織37、人員8、實體14、技術34。可用離職責任、郵件辨識訓練、機房門禁及活動日誌理解四類。ISO/IEC 27002:2022 提供控制指引，不能將其中全部建議直接當成強制要求。
公司列出選用哪些必要防護、為何選用及是否實施的文件，叫適用性聲明（SoA）；也要記排除附錄 A 控制的理由，自訂必要控制亦須納入。第4～10章管理要求不能藉 SoA 排除。 該資料為工作組教育說明，未經ISO／SC27正式背書，不視為新增標準或約束性解釋。
可照用的 SoA 範例：必要控制＝離職撤權（對照 A.5.18）；納入理由＝避免離職者繼續讀取薪資；實施狀態＝已實施，對應停權工單與日誌。若有附錄控制不適用，另逐項記排除理由；本例不代表整份 SoA，也沒有替其他控制預設排除理由。
常見誤判
把評估風險大小當成已選措施：評鑑與處理是不同活動。
把93項一律打勾：應先看必要控制、理由與狀態。
自訂控制不在附錄就漏記：必要控制仍列 SoA。
以 SoA 排除風險評鑑：管理要求仍須完整落實。
練習題與完整解析
以下為自編教學題，非官方原題；用於練習題目條件與行動的對應。
Q2-01｜薪資公司已比較離職帳號風險，決定加上停權覆核。這個決定屬於哪項活動？
甲 執行資訊安全風險識別。
乙 選擇資訊安全風險處理。
丙 進行資訊安全風險分析。
丁 建立資訊安全風險判準。
答案是乙。已決定增加覆核措施，是在選擇怎麼處理風險。甲的風險識別，是先找出可能出什麼事。丙的風險分析，是看發生機會與後果。丁的風險判準，是先訂比較的尺度。題目問的是選措施，所以落在風險處理。
Q2-02｜公司認定自訂下載限額是必要控制。哪種記錄方式最合適？
甲 因附錄沒有這項，聲明照原表列示。
乙 列入適用性聲明，寫明理由與狀態。
丙 列入適用性聲明，標成排除的控制。
丁 記在風險處理計畫，聲明照原表列示。
答案是乙。必要控制要列入適用性聲明，寫明納入理由與實施狀態。甲把附錄當成全部控制，漏了自訂的必要措施。丙把已採用措施寫成排除，記錄相反。丁的處理計畫可以記執行安排，但適用性聲明也要更新。
備考檢查清單
能各舉一例區分資訊安全三要素。
能從判準、識別、分析、評估走到風險處理。
能寫必要控制、理由、狀態及排除理由。
能說明殘餘風險由誰接受。
本篇未涵蓋、需另外準備的範圍
另外閱讀組織情境、領導與責任、支援、文件化資訊、績效評估、管理審查、內稽及持續改善的完整要求；四類控制需逐項準備，不能只記帳號例子。
本系列為短課，不取代認可訓練，不保證考過或取得 IRCA 註冊；需另依適用教材與標準完整準備。
官方來源與版本核對
依2026-10-29來源查核紀錄整理。ISO/IEC 27001:2022 含2024修正；ISO 19011 已出2026版，考試引用版次請向開課單位確認。以官方或開課單位最新公告為準。
標準27001：官方來源、官方來源、官方來源
標準27002：官方來源、官方來源
線上測驗及範圍：官方來源、官方來源、官方來源、官方來源
SoA與條文教學：官方來源、官方來源
核心條文及控制編號佐證：官方來源、官方來源
更多 〈ISO/IEC 27001 主導稽核員〉 推薦好文
ISO/IEC 27001 主導稽核員備考｜稽核員工作與取得途徑
ISO/IEC 27001 主導稽核員備考｜稽核流程與訪談取證重點
ISO/IEC 27001 主導稽核員備考｜不符合寫法與結案重點
精選 會計人注意！Copilot 接手對帳、分錄、差異分析，財務工作只剩什麼要自己做？
月底關帳前，你是不是又在 Excel 裡一筆一筆勾銀行對帳單、補應計分錄、寫「實際 vs 預算」差異說明？
10 月 29 日，微軟宣布 Copilot 加入一整組財會技能，對帳、分錄、差異分析都能先交給 AI 處理。
先看這個數字：
微軟 Excel 產品部門副總裁 Brian Jones 公布，會計技能只開放給一小批 Insider 測試 7 天，就有超過 8,000 人在 18,000 多段 Copilot 對話中，叫用了 44,000 多次。
用得最兇的，就是每天被關帳追著跑的財會人。
Copilot 這次能幫財會做什麼？三個重點：
1. 對帳
比對帳戶餘額與交易明細，找出差異，整理成調節項目給你審核。
2. 分錄
草擬應計、重分類、分攤、迴轉和週期性分錄，還會檢查必要欄位有沒有填、借貸有沒有平衡。
3. 差異分析
把實際數字和預算、計畫比較，找出主要影響因素，寫進報告，說明「改變了什麼、為什麼改變」。
另外也能接 QuickBooks、Xero、Zoho Books 等會計系統，以及 Dynamics 365 ERP 的資料。
先搞清楚你現在用得到哪些：
・Excel 裡的財務技能：已正式開放
・對帳、分錄這些會計技能：目前只在 Frontier 搶先體驗計畫裡，要公司 IT 有開通才看得到
・串接 ERP、外部會計系統：陸續推出中，可能另外需要授權或管理員設定
那財務工作還剩什麼要自己做？微軟官方自己寫得很清楚：建議、決策、核准和後續行動，控制權都留在財務人員手上。
換句話說，AI 做的是「草稿」，你負責的是「簽名」。這 5 件事，還是你的：
1. 判斷差異是不是真的有問題
AI 找得出差異，但它不知道那筆款項是客戶慢付，還是有人做錯帳。追查原因、決定要不要調整，還是得靠你。
2. 審分錄、按核准
借貸平衡不代表科目對、金額對、期間對。每一張 AI 草擬的分錄，都要有人看過、負責。
3. 會計判斷
收入什麼時候認列、費用要不要資本化、估計值怎麼抓，這些要懂準則、懂公司狀況，AI 只能給參考。
4. 把數字講成故事
差異分析報告寫得再快，主管要問的是「下一季怎麼辦」。把數字翻譯成建議，才是 FP&A 的價值。
5. 守住內控與稽核軌跡
Excel 可以開啟稽核記錄，記下 Copilot 改了什麼、為什麼改。記得打開，查帳時才說得清楚。
最常見的三個錯誤：
・AI 對帳說「已平衡」就直接過，沒抽查明細
・把整份總帳丟給 AI，卻沒先確認自己有沒有權限、資料有沒有機密標籤
・只會叫 AI 做，自己不懂 Excel 公式和會計邏輯，AI 算錯也看不出來
小練習：下面三件事，你會交給 Copilot，還是自己來？
① 把 3 月銀行對帳單和帳上存款明細逐筆比對
② 決定一筆 50 萬的軟體支出要列費用還是資本化
③ 寫行銷費用超出預算 20% 的差異說明初稿
（參考答案：① 交給 Copilot，再抽查調節項目 ② 自己來，這是會計判斷 ③ 交給 Copilot 寫初稿，你補上原因和改善建議）
AI 越會做帳，越需要看得懂它在做什麼的人。
Excel 基本功打穩，才看得出 AI 的公式和報表哪裡怪怪的，推薦「【資料整理術】Excel資料整理分析入門」：
https://nabi.104.com.tw/course/tibame/41ff32a6-ef22-4da3-9045-8dc3d08ad238
想直接學 AI 搭配 Excel 寫公式、做報表，可以看「ChatGPT × Excel 最強整合術：AI幫你寫Excel公式，不會函數也能做出各種計算報表！」：
https://nabi.104.com.tw/course/cite/037a877a-da3c-4af6-ab5b-2007b9df6a7f
也歡迎留言分享：你們公司開始用 AI 做帳了嗎？你最想把哪一項財會工作交給 AI？
資料來源：
Microsoft Copilot Blog〈Microsoft Copilot for finance: Purpose-built for the way finance teams work〉
https://www.microsoft.com/en-us/copilot/blog/2026/10/29/microsoft-copilot-for-finance-purpose-built-for-the-way-finance-teams-work/
CFO Dive〈Microsoft expands Copilot reach in finance workflows〉
https://www.cfodive.com/news/microsoft-expands-copilot-reach-in-finance-workflows/873239/
（內容以 2026 年 11 月微軟官方說明為準。會計技能目前在 Frontier 搶先體驗階段，微軟尚未公布對帳與分錄的準確率，各功能需要的授權以公司 IT 與官方說明為準）
我從 ISO 27001 資安管理體系學習與實戰體悟
我擔任的工作是資訊人員，負責公司資安架構的維護與管理，以及Helpdesk。
這陣子撥出時間投入資安管理與 ISO 27001 的學習，起初只是想建立更完整的資訊安全防護思維，但在真正系統化研讀並進行實務驗證後，才發現這不僅僅是一套規範，更是企業運作中極為關鍵的風險控管核心。
過去在面對資安政策或防護措施時，往往容易流於片段式的執行，或是停留在表面的規範配合。這次透過全盤梳理 ISO 27001 的條文精神與核心控管項目，我終於將原本零散的防護觀念串接起來，真正理解背後的風險評估邏輯，明白各項資安政策該如何落實到日常作業中。
在學習的過程中，最具價值的莫過於實務情境演練。透過模擬真實演練與風險判讀，我漸漸學會從整體架構的角度去評估潛在漏洞，並針對不同情境找出合規且有效的改善方案。這種將抽象規範轉化為實際解決方案的思考訓練，大大補足了我過往在實務操作上的盲點。
這次的學習不僅讓我順利釐清了許多過去模糊的資安概念，也為未來的職場應用打下了扎實的基礎。資安管理是一項持續優化的長跑，接下來我也會將這些經驗落實到實際工作中，持續推動更完善的防護機制。
🔗 詳全文：https://ucom.uuu.com.tw/web/Testimony/Article/12822
AI資安疫情蔓延全球，專家建議：7個面向建立企業資安防護網！
AI興起，正在快速改變資安攻防的遊戲規則，過去需要投入大量時間攻擊漏洞、測試的駭客工作因AI而降低門檻。企業和機關更應該主動積極的備戰，國家資通安全研究院的院長龔化中，建議企業或機關可從7個面向著手建立資安防護網、保護數位資產，千萬不要心存僥倖！
文／龔化中（國家資通安全研究院 院長）
本文導覽
AI資安攻擊，已經進入新的階段在AI時代，不要心存僥倖，就是最基本的防禦一、 減少暴露在外的攻擊面：少一個入口，就少一個風險二、注意供應鏈安全：避免病從口入三、建立多層防護：不要期待系統永遠不會被攻破四、降低洩密傷害：保護最重要的數位資產五、做好營運維持：最重要的是確保組織活得下去六、冷靜應變：不要把時間花在找戰犯七、即時通報與聯防：一起阻止災害蔓延面對AI資安疫情，現在就是備戰的時候
最近常常看到一些AI相關的趣聞，有人想用AI協助健身房報名手續，結果發現名額已經額滿，AI竟然想辦法駭進系統幫忙插隊；也有實驗結果發現，最先進的AI為了完成任務，竟然暗中突破原本設定的限制，甚至嘗試入侵其他系統來「偷看答案」。
這些新聞看起來很有趣，就像科幻電影裡才會發生的情節。但當這些能力開始被駭客利用，情況就不再只是科幻，已經逐漸變成一場真實的資安風暴。
AI資安攻擊，已經進入新的階段
AI正在快速改變資安攻防的遊戲規則，在過去駭客需要投入大量時間進行資訊蒐集、漏洞研究、程式撰寫與攻擊測試；而現今AI正逐漸降低這些複雜工作的門檻，讓攻擊者可以更快、更大量地尋找目標與弱點。更值得注意的是，攻擊能力正在快速普及；惟防禦能力的成熟需要時間。
AI已經可以協助攻擊者尋找暴露在網路上的系統、分析漏洞、撰寫攻擊程式，甚至協助突破一些原本需要高度專業能力才能完成的工作。另一方面，AI資安防禦工具仍在快速發展中，其穩定性、準確性以及實際部署經驗等，都還需要時間持續累積。
這就像一場新的數位疫情：威脅已經開始擴散，但我們的「疫苗」與防禦體系還在持續研發與強化。
我們預期，未來一段時間AI所帶來的資安威脅仍會持續升高，直到漏洞管理、防禦工具、資安治理與整體應變機制逐步成熟，威脅才可能逐步趨於穩定。因此，面對AI資安疫情不是消極等待風暴來臨，機關與企業都應該提前部署備戰，做好準備。
延伸閱讀：有內鬼！商業機密被竊怎麼辦？5個QA帶你認識「營業秘密法」
在AI時代，不要心存僥倖，就是最基本的防禦
我們有以下幾項建議，提供給各級機關與企業參考：
一、 減少暴露在外的攻擊面：少一個入口，就少一個風險
AI搜尋網路上的弱點，成本低、速度快，而且可以大規模自動化。因此防守方的第一個原則就是盡量減少暴露在外、可能被攻擊的入口，魔鬼藏在細節裡，過去一些工程人員認為「應該沒有人會注意」的小細節，在AI時代可能很快就會被發現，例如：
研發、測試人員使用的遠端伺服器或開發中網站。
資訊營運人員使用的跳板機或系統服務帳號。
已經停止使用，卻沒有真正下線的舊系統與服務。
暫時開放、之後卻忘記關閉的網路服務或帳號。
工程人員可能以為自己留下的小小後門沒有「人」知道，但現在AI找得到。因此，各級主管應要求做好系統、設備、服務與帳號的完整盤點，該關閉的關閉、該更新的更新、該限制存取的限制存取。
延伸閱讀：別當職場資安網的漏洞，維護機密、當心智慧型手機上的惡意連結
二、注意供應鏈安全：避免病從口入
一個組織就算本身資安治理良好，就像一個注重健康、經常運動的人，還是可能因為「吃進去」的東西有問題而生病。
很多駭客其實不需要自己花大量時間研究目標。當一個熱門產品或軟體被發現重大漏洞，攻擊者可以利用自動化工具迅速找出哪些組織正在使用它，接著發動攻擊。
最近前沿AI公司與資安研究團隊大量運用AI挖掘開源軟體與資訊系統漏洞，漏洞發現與揭露的速度正在加快。這對整體資安環境是一件好事，但也代表攻擊者取得這些資訊的速度同樣很快。
因此，組織不能只知道「我們用了很多套系統」，而必須真正知道我們到底用了哪些系統？哪些版本？由誰管理？出了漏洞之後誰負責處理？
更重要的是，要建立明確的更新與修補策略。因為更新本身也可能造成風險。如果沒有經過測試與規劃，匆忙更新可能讓原本正常的服務中斷。
因此，除了正常的更新流程之外，也應預先準備緊急隔離與網路阻擋措施。當重大漏洞發生時，可以先限制有風險的設備或服務，爭取時間進行安全、完整的修補。面對快速變化的漏洞環境，最重要的不是每一次都搶第一個更新，而是要有能力快速判斷、快速隔離、快速修復。
延伸閱讀：每天上班收發上百封e-mail，這5大電郵詐騙手法，你不可不知
三、建立多層防護：不要期待系統永遠不會被攻破
進入AI資安攻擊時代，我們不能再期待「系統絕對不會被入侵」，更務實的做法是假設某一層防禦終究可能被突破，然後讓下一層防禦接住它。
防火牆、身分驗證、端點防護、網路監控、異常行為偵測、資料保護，以及最後的事件應變，都應該形成多層防線，這裡最重要的其實是「時間」。
如果駭客花了五分鐘突破第一層防禦，而我們可以在三分鐘內發現異常並啟動應變，就有機會在他進入核心系統之前把攻擊阻斷，資安防禦不一定要做到滴水不漏，但一定要讓攻擊者很難一路暢通。同時，重要的資安能力也不要形成單一依賴。即使最可靠的供應商，也可能發生服務中斷、漏洞或遭受攻擊。
關鍵的防禦能力應該保留替代方案與自主應變能力，避免一個單點故障就讓整個組織失去防禦能力。
延伸閱讀：密碼用生日、常用平台用同一組密碼？這些帳號被盜的資安大地雷，你也犯了嗎？
四、降低洩密傷害：保護最重要的數位資產
有一句成語「懷璧其罪」。你最重要的機密，往往就是駭客最想要的東西。
因此，第一步不是想辦法把所有資料保護到百分之百，而是先問自己：這些資料真的需要保存嗎？不必要的個資、信用卡資訊、機密文件與其他敏感資料，能不保存就不要保存。
如果確實需要保存，就必須做好分級、權限控管與加密，讓資料即使被取得，也不容易直接被使用。
AI時代還出現了一個新的風險：員工為了工作方便，可能直接把公司內部資料交給AI工具處理。
一份內部文件、一段程式碼、一份客戶資料，看起來只是一次簡單的AI查詢，卻可能成為新的資料外洩管道。因此，組織在導入AI的同時，也必須建立清楚的AI使用規範：什麼資料可以交給AI？什麼資料絕對不能交出去？這已經是每一個機關與企業都必須面對的新課題。
延伸閱讀：51%常用密碼在1分鐘內就能被AI破解，5個提高「密碼管理」的必知QA
五、做好營運維持：最重要的是確保組織活得下去
資安事件發生後，真正造成巨大損失的，不一定是資料被偷走，而可能是整個組織無法正常運作。
因此，除了防禦之外，更重要的是「韌性」，要有確實可行的營運維持計畫，並且真正演練過。資訊系統的資料備份與還原、電力與外部網路的備援、人員工作的替代設備，以及關鍵業務的替代流程，都應該預先規劃，而不能只是「有備份」，還要確定真的還原得回來。
對企業而言，也要思考資安事件發生後的營運資金與替代供應商。
就像狡兔三窟，重要的服務不能只有一個出口。當外部服務突然中斷時，組織才有能力撐過最困難的幾天甚至幾週。
資安的最終目標，不只是防止被攻擊，而是即使被攻擊，組織仍然能夠繼續運作。
延伸閱讀：專家建議：保護在家工作的視訊環境，務必注意7個要點避免資安威脅
六、冷靜應變：不要把時間花在找戰犯
資安事件發生時，不論事前做了多少準備，都不可能保證完全不受影響。
這時候最重要的，不是第一時間追究「到底是誰的錯」，而是先把災情控制住。按照既定的事件應變計畫執行，迅速隔離、確認影響範圍、保全證據、恢復服務，再進一步檢討原因。
也就是說，應該把「改善制度」和「懲罰個人」清楚區分。只有讓第一線人員敢於通報，組織才有可能真正學習，也才有機會避免下一次更大的事故。
延伸閱讀：如何戰勝全球資安聞之色變的勒索病毒，有效避免辦公室資料被其綁架呢？
七、即時通報與聯防：一起阻止災害蔓延
新冠疫情期間，及早發現、即時通報與跨單位合作，是控制疫情的重要關鍵。AI資安疫情也是一樣。
當一家企業發現新的攻擊手法，如果能夠儘速通報，就有機會讓其他企業提前做好防護，避免同樣的攻擊在整個產業快速擴散。
這也是為什麼資安不能只是「各自顧好自己的事情」。
在AI時代，一家組織發現的攻擊手法，可能在幾個小時之內成為另一家組織的災難。因此，更快速的通報、更有效的情資共享，以及政府、企業與資安社群之間的聯防，會變得比過去更加重要。
國家資通安全研究院是台灣的「數位消防隊」，我們會持續強化情資分析、威脅研判與應變協助，盡力守護國家與人民的數位資產安全。
如果政府機關或關鍵基礎設施業者遭遇疑似AI輔助的攻擊，可以透過數位發展部資通安全署或主管機關進行通報；民間企業與組織也可以透過TWCERT/CC（台灣電腦網路危機處理暨協調中心）通報，我們將盡力提供必要的協助。
台灣電腦網路危機處理暨協調中心
延伸閱讀：APP潛藏資安危機，5大常見可疑程式、別讓它出現在你的手機裡！
面對AI資安疫情，現在就是備戰的時候
AI資安威脅已經不是未來式，而是現在進行式。我們不需要恐慌，但必須提高警覺。沒有人能保證自己的系統永遠不會被攻擊，也沒有人能預測下一個AI工具會把攻擊能力提升到什麼程度。
真正重要的是，在攻擊能力快速進化的今天，我們能不能更快盤點自己的弱點、更快發現異常、更快隔離風險、更快恢復營運，也更願意把自己發現的威脅告訴其他人。這場數位疫情不可能只靠一家機構解決。政府、企業與整個資安社群都必須一起提高防禦韌性，才能把每一次攻擊的傷害控制在最小範圍。
AI資安疫情已經開始。現在，就是備戰的時候。
（原文標題：AI資安疫情全球蔓延， 機關與企業如何迎戰？）
本文獲 國家資通安全研究院 同意授權於《104職場力》刊載
2025資訊長前瞻報告：平衡資安威脅與AI創新是企業成長關鍵
各國企業領導者為了從競爭激烈、變化快速的商業環境中脫穎而出，都竭盡全力尋找方法應對及解決。為深入了解全球科技業高層─特別是資訊長（CIO）在當前職場中的職責、挑戰和優先事項，《Experis 2025 CIO Outlook Study》針對全球1,393位科技領導者進行調查，結果顯示：企業必須在日益嚴峻的網路安全威脅和持續升起的AI創新浪潮之間找到微妙平衡，才能在未來的商業競爭中穩住腳步。
文／《104職場力》
本文導覽
網路安全是最大隱憂AI創新是驅動企業成長的雙面刃成功轉型的關鍵要素：人才與協作建立防護體系、培養人才是成功之道
網路安全是最大隱憂
隨著2024年網路犯罪的總成本將達到9.5兆美元，報告指出，網路安全成為全球科技領導者最關心的議題，有高達41%的CIO表示這是他們最大的焦慮源。因為企業面臨的挑戰不再僅是技術問題，而是牽涉到聲譽、營運乃至於生存。
調查還顯示，77%的企業計畫在2025年增加網路安全預算，這充分顯現企業對網路風險的重視。不過僅提高相關預算還不夠，報告強調，企業在面對網路威脅時缺乏統一的應對協議，員工對新安全技術的接受度也不高。
這代表企業不僅需要投入更多資源在安全技術上，還必須加強全員的資安意識、培養具備足夠技能的人才，並確保風險管理策略與網路安全防護之間的協調與平衡。
AI創新是驅動企業成長的雙面刃
在持續關注網路安全的同時，人工智慧的浪潮也正席捲各行各業。該報告也指出，AI將成為2025年技術投資的3大重點之一，其中67%的企業計畫增強對AI的投入，因為科技領導者普遍認為AI有助於提高日常生產力。
雖然策略上選擇增強投入，但CIO們對AI的態度逐漸趨向務實，從數據來看，僅有13%的參與者認為「提供AI解決方案是CIO最重要的任務」；多數受訪者認為AI仍處於初步階段，需進一步完善；另有33%的人表示，AI對企業的實際影響仍不清晰。
這樣的謹慎態度說明企業在接受AI創新時，除了重視其潛在價值，也同樣認知到限制。報告後續更提到，企業的關注應放在「如何將整體技術基礎建設與AI相結合，以便更好支持業務需求並實現快速的投資回報」。
延伸閱讀：AI時代主管四大考驗：「AI員工」效率高但有時不受控，如何管理人機協作？
成功轉型的關鍵要素：人才與協作
在面對網路安全威脅和AI創新的雙重挑戰時，人才短缺的問題就越發凸顯。調查發現，全球76%的IT雇主表示「難以找到所需的技術人才」，傳統大學教育也很難跟上瞬息萬變的技術需求；更糟的是，只有28%的企業會定期為IT人員提供最新技術的培訓。
為了解決人才問題，企業需要採取創新的策略，例如與人力資源部門緊密合作、開發多樣的招募管道，並考慮廣納那些有潛力且願意學習的非傳統IT人才。此外，企業還應重新設計IT職位，在其中融入AI相關技能，並提供硬技能和軟技能等全方面的培訓。
報告強調，許多CIO面臨的挑戰並非單一技術難題，還涉及跨部門合作。CIO普遍認為，與運營長（COO）的關係是企業未來成功的重要關鍵，但超過一半的IT領導者卻認為，高層管理團隊對CIO的角色缺乏足夠了解。因此，CIO需要更積極地與其他部門建立信任和合作，明確傳達IT的價值，並爭取重要利益相關者的支持。
延伸閱讀：企業人才培訓重點：把人才當作「人財」訓練專業能力
建立防護體系、培養人才是成功之道
《Experis 2025 CIO Outlook Study》結論點出：在日益複雜的網路安全環境和迅速發展的AI技術面前，企業不能再孤軍奮戰，要取得成功，關鍵在於建立高度韌性的安全防護體系，以務實的態度擁抱AI創新，並積極投資於人才培養與跨部門合作。只有那些能夠在網路安全和AI創新之間找到最佳平衡，並有效整合技術、人才和合作的企業，才能在2025年及未來的商業競爭中持續成長，贏得未來。報告中提出的行動建議，例如將網路安全視為全公司的議題、對AI保持實際期待，以及加強與人力資源部門的合作等，都指引著企業未來的方向，眼下正是企業重審技術戰略、積極應對挑戰、掌握機遇的關鍵時刻。
若企業希望在強化資安的同時優化人資管理流程，避免人事資料被盜取，選擇資安有保障的數位人資系統是企業提升資安韌性與管理效率的關鍵！104 HR Max人資系統通過 ISO 27001、BS 10012、ISO 29100及行動應用APP MAS標章等多重資安管理認證，並設有多層級權限控管、資料加密機制，以及定期弱點掃描等，協助企業安心進行人事、薪資等機密資料管理，讓內部系統風險與營運效率都能兼顧。👉了解更多【104 HR Max】介紹：https://104ha.com/1VReQ
延伸閱讀：
「生成式AI」將成新寵兒？公司導入前請先想好3件事：你是真的需要，還是跟風？
企業如何吸引與招募不同世代人才
企業轉型，為何7成都失敗？管理名師李吉仁：人才出問題，最大元凶是績效評估
IBM示警 AI模型與AI應用已成為門檻低、商業價值高的駭客攻擊目標
2025-08-04 經濟日報記者簡永祥 由聯合新聞網授權轉載
IBM近日公布《2025數據洩漏成本報告》警示，目前企業應用AI的速度遠超過其建置AI安全與治理，然而許多企業為了讓AI應用快速上線而忽略AI安全與AI治理。缺乏監管的AI系統更容易遭受攻擊，且造成的企業損失更為重大。
今年的報告首次針對AI應用的安全防護、治理機制、與控制訪問狀況進行研究；儘管研究結果顯示曾出現AI相關安全漏洞的企業僅佔採訪樣本的 13%，AI應用已經成為門檻低、商業價值高的網路攻擊目標。
IBM安全和營運產品副總裁Suja Viswesan指出，報告結果顯示AI 應用與治理之間的斷層已經存在，駭客正伺機而動。企業的AI應用普遍缺少基本的存取控制，導致機敏資料遭洩漏、模型可以輕易被篡改。隨著AI技術更多、更深、更廣地融入企業流程，AI安全防護必須成為基礎與重心。不作為的代價不僅損失金錢，更將損害客戶的信任、企業的透明度與自主權。
報告也提出一份比較資料：企業若在其安全業務領域廣泛應用AI與自動化技術，其資料洩露損失平均減少190萬美元，處理數據洩漏事件的周期平均減少80天。
報告的關鍵發現包括以下內容：
AI時代的企業安全漏洞發生領域
AI治理政策：63%曾發生數據洩露的企業尚未建立AI治理政策或仍在規劃階段。已經制定AI治理政策的企業裡，僅有34%定期審查未受批准的AI工具。
「影子 AI」的代價：五分之一的企業曾因影子 AI現象（未經公司同意或監管的AI工具）導致數據洩露，僅 37% 的企業制定管理或偵測影子 AI 的政策。與較少出現影子AI的企業相比，發生率高的企業其平均數據洩露成本多出 67 萬美元。涉及影子AI的安全事件導致個人身份資訊 (65%) 和智慧財產權 (40%) 洩露的比率，遠超過全球平均值（分別為 53% 和 33%）。
由AI驅動的智慧型攻擊：16%的數據洩露事件涉及駭客使用AI工具；主要用於網路釣魚或發動深度偽造的網路攻擊。
數據洩漏的經濟損失：
數據洩漏成本：全球數據洩漏平均成本下降到 444萬美元，是近五年來首次下降；但美國企業的平均數據洩漏成本卻高達1022萬美元。
處理數據洩露的全球平均周期創新低：隨著更多企業執行內部漏洞檢查，讓全球處理數據洩露的平均周期縮短至 241天，較前一年減少17天。與被外部攻擊的洩漏事件相比，透過內部檢測發現漏洞的企業平均減少損失達90萬美元。
醫療照護業的數據洩露成本仍居首位。儘管醫療行業的資料洩露成本較2024年減少235萬美元，其742萬美元的平均損失仍在本次調查的所有行業中居首位。醫療業的安全漏洞識別與控制周期長達 279 天，比全球均值241天多五周以上。
更多企業抵制駭客勒索：企業拒絕支付贖金的比率增加，63%的機構選擇拒絕支付勒索贖金，2024年的比率為 59%。儘管有更多企業抵制勒索，敲詐及勒索軟體事件的平均成本仍居高不下 — 尤其是被駭客攻擊時，損失高達 508萬美元。
AI 風險攀升，但企業對投資AI安全措施的動能卻不足：計畫在經歷數據洩漏事件後增加安全投資的企業比率顯著下降，從 2024年的63%降至2025年的 49%。而在計畫追加投資AI安全的企業裡，建置以AI驅動的安全方案或服務的企業不到一半。
數據洩漏的「長尾效應」：營運中斷 、營運成本增加
幾乎所有受訪企業在數據洩露後都發生業務中斷。大多數企業報告回復平均耗時超過100天，可見業務中斷的嚴重程度。
數據洩露的影響不僅止於漏洞控制：近半數企業表示計畫因洩露事件提高商品或服務的價格，其中近三分之一的企業漲價幅度達 15% 或更高。
這份報告由IBM主持與分析、Ponemon Institute 執行訪問；資料來自於2024年3月至2025年2月全球600家發生過數據洩露的企業。
延伸閱讀：
2025資訊長前瞻報告：平衡資安威脅與AI創新是企業成長關鍵
資安人才搶手！工作5年成長1.5倍 薪資中位數5.3萬增12%| 104玩數據
暗網也招手！經驗20年的資安「神級新鮮人」如何成為白帽駭客？
職場AI管理 恐侵害勞工隱私
2025-04-21 聯合報記者葉冠妤、楊惠琪、李柏澔 由聯合新聞網授權轉載
不少企業透過側錄軟體、生物特徵識別、大數據分析等AI技術與科技設備監控員工工作績效，有侵害勞工隱私疑慮。台灣勞工陣線秘書長孫友聯指出，AI監控涉及勞工人格權與個人資料保護，影響層面廣泛，呼籲政府研擬適當的保障措施。
延伸閱讀：台灣產業AI化大調查 反映產業從概念認知到實際應用的落差
企業常用遠端監控技術「即時追蹤員工電腦螢幕與鍵盤活動」，計算員工每天投入工作的時間與生產力。陽明交通大學科技法律學院副教授邱羽凡舉例，疫情期間，許多企業安排員工遠距工作，企業再透過連線程式監控員工螢幕、鍵盤或感應員工待在電腦前時間：也有企業監控公司電腦通訊軟體。
她說，人工智慧科技導入職場管理，最大問題是員工可能事前不知雇主導入哪些科技，或不清楚雇主如何運用在搜集資訊、績效判斷上，資訊的不透明可能導致職場處置不公，若因此遭到懲戒，員工無從檢驗雇主說法的真實性，沒有救濟管道。
邱羽凡說，歐洲很重視隱私權，明文規定雇主搜集員工資訊有事前告知義務，並禁止搜集員工私人對話、個人情緒資料與工作無關資訊，員工也有權要求雇主揭露怎麼運用AI，因可能攸關工作考績，遊戲規則就要講清楚，讓員工知悉。
全國產業總工會理事長戴國榮表示，數位轉型的推動難免伴隨隱私侵犯、人權受損等負面影響，甚至可能引發道德風險。政府在推動AI與數位技術發展的同時，應同步規畫完善法律配套，確保相關應用在保障勞工與社會權益前提下進行。
ISO 10002 顧客抱怨管理系統建構步驟
ISO 10002 顧客抱怨管理系統建構步驟
確實導入客訴管理系統，意義就是要在不管何時、不論何種投訴、要由誰來因應處理，企業都可以保證絕對能讓客訴得到最完善的處置，而且必須常態性地維持這樣的因應處理，並確立具有提升的機制。因此，ISO 10002系統建構步驟可依企業現有程序的整頓情形、企業所處的環境及資源，以及想要強化的部分等靈活地變更應用。
ISO 10002為基準的建構步驟：
1.整頓體制：就是為了實現企業所需的機能，將各個部門、各個階層的功能（責任與權限）都明確定義，畫分出全體組織的架構。
2.分析流程現況及評估風險：將既有的步驟加以改良，以期符合標準規範。先調查既有的客訴處理程序（步驟），並從視覺化的流程圖展開。再藉由分析、評估流程圖，找出阻礙標準的問題點及風險，再研討風險管理對策。
3.置入監測機制：建立客訴受理時的報告程序，記錄受理客訴及應對過程的情形，並進行客訴處理結果的滿意度調查及記錄管理系統的活動結果。
4.客訴資訊共享、研討分析方法：將記錄下來的客訴資訊，在企業內部共享，並由合適的部門來建置調查及分析的程序。
5.書面系統建立：將管理系統運作上必要的章程類別、樣式類別等書面系統整頓好。
6. 植入控制點：實施內部稽核及管理控制活動。
7. 內外部的宣達：該步驟雖不是必要的程序，當建構完成後，為了讓企業上下對此有所警戒，要實施宣達處理符合的程序。
ISO 10002：2018 客訴管理系統-服務行銷品質管理教材
ISO 10002 顧客抱怨管理系統建構步驟
確實導入客訴管理系統，意義就是要在不管何時、不論何種投訴、要由誰來因應處理，企業都可以保證絕對能讓客訴得到最完善的處置，而且必須常態性地維持這樣的因應處理，並確立具有提升的機制。因此，ISO 10002系統建構步驟可依企業現有程序的整頓情形、企業所處的環境及資源，以及想要強化的部分等靈活地變更應用。
ISO 10002為基準的建構步驟：
1.整頓體制：就是為了實現企業所需的機能，將各個部門、各個階層的功能（責任與權限）都明確定義，畫分出全體組織的架構。
2.分析流程現況及評估風險：將既有的步驟加以改良，以期符合標準規範。先調查既有的客訴處理程序（步驟），並從視覺化的流程圖展開。再藉由分析、評估流程圖，找出阻礙標準的問題點及風險，再研討風險管理對策。
3.置入監測機制：建立客訴受理時的報告程序，記錄受理客訴及應對過程的情形，並進行客訴處理結果的滿意度調查及記錄管理系統的活動結果。
4.客訴資訊共享、研討分析方法：將記錄下來的客訴資訊，在企業內部共享，並由合適的部門來建置調查及分析的程序。
5.書面系統建立：將管理系統運作上必要的章程類別、樣式類別等書面系統整頓好。
6. 植入控制點：實施內部稽核及管理控制活動。
7. 內外部的宣達：該步驟雖不是必要的程序，當建構完成後，為了讓企業上下對此有所警戒，要實施宣達處理符合的程序。
ISO 10002：2018 客訴管理系統-服務行銷品質管理教材
AI決定誰錄取、誰被裁？職場指引10月擬公布 施宣輝：光靠自律恐不足
2026-10-06 經濟日報記者王郁倫 由聯合新聞網授權轉載
企業營運跟工作流程大量導入AI，帶來全新挑戰，台灣玉山科技協會理事長施宣輝指出，企業對資安的危機意識偏低，隨AI助力駭客攻擊擴大，未來應比照金融業規範，呼籲政府應透過法令或財務罰則，促使企業更重視資安課題。
安碁資訊（6690）董事長施宣輝今年接任玉山科技協會理事長，上任後就宣布將推動3大重要科技議題，包括人工智慧與資訊安全，雲端運算及太空科技，6日率先舉辦「2026 年 AI × Cyber Security 企業營運韌性論壇」，邀數位發展部政務次長侯宜秀及長庚大學資管系教授、台灣醫學設計學會理事長許建隆演說。
AI的發展速度超出預期，施宣輝指出，1968年曾有科幻電影《2001太空漫遊》探討AI電腦自主決策，但今年產業實務上已經發生，OpenAI在7月想做頂尖AI模型的駭客能力測試，他們在封閉安全測試中，發現AI模型為達成任務自行尋找「零日漏洞（Zero-day vulnerability）」跳出沙盒，連接Hugging Face平台執行超過1.7萬次未經授權的指令行動，凸顯AI Agent為了完成任務不擇手段。
但AI不只是在攻擊方失控，在防守方也有展現優勢，Anthropic於2026年4月推動Project Growing，提供頂尖模型給Google、Microsoft、AWS等業者，成功找出存在27年的作業系統漏洞及上萬個危險漏洞。川普近期也邀請科技巨頭包括Google、Meta、OpenAI、NVIDIA黃仁勳、Elon Musk等簽署「AI 憲法」性質的自律協議。
施宣輝表示，現在科技進展到已經不需要討論AI是否會失控？而是該思考，當AI失控時，「我們是不是已經準備好」？施宣輝表示，期望先推動產業界更注意更重視AI時代的資安議題，目前業界還不夠意識到AI的危險性，因為AI的殺傷力還沒有廣被看見，大家警覺度不夠。
施宣輝指出，AI時代資安的管理光靠道德約束缺乏罰則恐仍不足，且在分散式AI基礎設施下，誰能掌握關鍵「拔插頭」的權力，值得深思，企業AI治理光靠自主也不夠，需要有法規規範。
施宣輝指出，多數企業抱持「投資資安就像買保險、覺得自己不會中」的僥倖心態。施宣輝強調AI時代駭客攻擊力無限，思維必須轉變為「一定會中，重點是多久能復原、傷害能限縮多小」（防護如打疫苗），他建議應比照現在對金融業、電商業資安的規範做上市櫃公司重訊通報，或是比照ESG/碳費揭露機制，透過連結法令跟財務罰則，才能促使製造業與電商業重視資安。
宏碁集團也擁抱AI，施宣輝表示，現在員工希望公司統一購買Token，為此安碁透過API Gateway / Filter進行脫敏與資安過濾，避免員工誤傳機密，但中小企業多缺乏資源建置。
AI應用擴大，雲端廠商(CSP)因應金融/醫療資料在地化法規，紛紛建置更多AI算力中心，安碁的宏碁雲架構eDC機房需求也很大。
世界經濟論壇《2026全球風險報告》已將「AI 的負面結果」列為未來十年上升最快的風險。除傳統IT威脅外，AI系統本身已成為駭客新的攻擊目標。如何建立從治理、防禦到員工意識的完整資安韌性，已成為企業重要課題。
數發部次長侯宜秀在論壇中表示，數發部與勞動部跨部會協作進行風險評估與指引制定，預計將於10月正式公告「工作場所/職場 AI 的使用指引」，這將對企業的人力資源（HR）管理與職場治理產生重大影響。
愈來愈多企業在招聘人才時，啟用AI協助篩選適合人才，也有許多HR用AI協助考評，侯宜秀指出，將列出企業在招募篩選運用AI時的注意事項，如在職場中使用AI進行員工監控或安全性防護時，應注意哪些規範，若在資遣或離職名單選擇中運用AI，也必須遵守相關的操作界限與規範，不過目前該指引定位為上位指導方向與原則性指引，暫不具強制性罰則，期盼引導企業將其落實至內部公司治理政策中。
有任何收穫或想分享的，都來和大家一起聊聊吧！