觀點投書：政策失衡恐釀風險，每家中小企業僅分得10.5元資安資源

台灣共有167.4萬家中小企業，占全體企業98%以上，提供超過916萬個就業機會，是支撐國內經濟的重要基盤。然而，中央政府目前投入於中小企業資安治理的經費極為有限。依據國家資通安全研究院2025年度預算書，「NICS 台灣資安計畫」是唯一專門協助中小企業與民間組織的項目，且並非政府經常性撥款，而是依2025年預算書由Google資助1750萬元。換算後，平均每家中小企業僅能分配約10.5元，顯示民間資安能量的培育仍缺乏穩定且制度化的支撐。

2025年資通安全管理法修正，明確要求政府協助特定非公務機關處置重大資安事件，並強化治理責任，但現行配套與資源配置仍遠不足以支撐法律所要求的量能。國家資通安全研究院年度總預算約6.18億元，正式員額約230人，肩負政府資安專案、重大事件應變、技術研發與人才培育等多項任務，並營運台灣電腦網路危機處理暨協調中心，向逾2000家會員提供情資與事件支援。但在如此龐大的國安性任務下，中小企業仍只能依賴一項來自捐助來源的不穩定計畫，治理落差相當明顯。

依據Coveware2025年第二季報告顯示，全球64%的勒索軟體攻擊發生於員工數介於11至1000人的企業，正是台灣大多數中小企業所在的規模區間。企業規模雖小，但風險暴露並不低，一旦遭到攻擊，往往引發營運中斷與供應鏈外溢效應。

美國國家標準與技術研究院於2024年發布《資通安全框架2.0》，首次將治理列為核心功能，要求企業無論規模大小，都必須將資安納入管理決策流程。新加坡網路安全局以補助方式，使中小企業能以相對低廉成本參與雲端資安共享服務。歐盟CYSSME計畫提供最高約20000歐元的資安補助，並搭配技術支援。美國中小企業的典型資安投入則需數千美元起跳。與國際相比，台灣每家中小企業僅有10.5的資安投入，無論從規模、效益或風險管理需求來看，都顯然無法應付現實環境。

值得注意的是，政府已在國家層級投入資安建設，例如第七期國家資安方案規模達八十八億元，主要聚焦於政府端與關鍵基礎設施強化，並非直接面向產業端。然而，中小企業是供應鏈中最普遍的節點，若沒有專屬策略，其脆弱性將持續成為整體產業韌性的破口。企業普遍欠缺專責人力與內控制度，若無外部支援與長期培力機制，難以自行建立足以抵禦高頻攻擊的防護能力。

中小企業並不是資安治理的邊陲族群，而是最需要優先投入的治理核心。其數量龐大、風險集中且外溢效應強烈，一旦受攻擊，衝擊往往超出企業本身，甚至可能形成產業鏈的連鎖性影響。資安已成為現代經濟活動不可或缺的基礎條件，而非企業營運的附屬選項。

在全球威脅快速升高的情況下，象徵性預算與零散措施已不足以維持國家產業的韌性。若期待台灣企業能在高度連動的供應鏈環境中維持競爭力，政府需要提出明確、具系統性且具有長期預算支撐的中小企業資安策略，使防護網真正具備結構性的承載能力，避免讓整體經濟體系暴露於不成比例的風險之中。台灣需在國家資安戰略脈絡下，完整補上中小企業的防護缺口，才能真正提升整體產業的韌性與安全。

＊作者為大專院校兼任教師（法律與資安領域） （相關報導： 夏珍專欄：電鍋雨傘小紅書VS.爐碴詐騙陳水扁 ｜ 更多文章 ）