觀點投書：通過稽核不等於安全─企業資安最容易誤解的事

自2025年底至2026年上半年，台灣企業與組織接連傳出資訊安全事件。從製造業上市櫃公司遭勒索軟體攻擊，到政黨CRM系統個資外洩，再到跨國零售體系7-ELEVEN加盟資料外洩，受害對象跨越製造業、零售通路與政治組織，顯示數位威脅深度滲透日常經濟活動與公共治理場域。

從技術層面看，這些事件的樣態各異，有的源自勒索軟體入侵，有的肇因於雲端環境遭未授權存取，有的則是客戶資料庫外洩。然而，若從經營管理角度觀察，這些事件呈現問題卻高度相似：投入持續增加，資安事件卻未見明顯減少。

國家資通安全研究院公布的近半年上市櫃公司資安事件重訊統計顯示，通信網路業與生技醫療業各占通報事件的16.1%，電子零組件業與汽車工業各占9.6%。這項統計以上市櫃公司資安事件重訊為母體，雖無法涵蓋所有企業與組織，卻足以說明數位威脅超越科技產業範疇，並成為各產業共同面對的經營課題。

值得注意的是，許多組織對資訊安全的觀念仍停留在「採購邏輯」。每當發生事件，最常見的做法是新增設備、導入新軟體、升級防護系統、添購監控平台，或要求員工參加更多教育訓練。這些措施當然有其必要性，但問題在於，資訊安全經常被視為資訊部門的技術工作，而非經營管理的一部分。

隨著主管機關持續提高資安要求，具一定規模的上市櫃公司已被要求設置資安長。然而在實務運作上，這項職務仍常由資訊主管或其他管理職兼任，不僅缺乏獨立預算與跨部門協調權限，也未建立直接向董事會報告的機制。在權責與資源未能到位的情況下，資安工作便容易流於設備採購、稽核應付與文件維護，而難以真正落實風險管理與治理功能。

問題在於，即使投入再多設備與資源，若連最基本的風險狀況都無法掌握，也難以建立真正的安全防護。例如，哪些資料屬於核心資產？誰擁有存取權限？哪些帳號具備系統管理功能？大量匯出資料是否會被及時發現？有哪些委外廠商可以連入重要系統？離職人員的帳號是否確實停用？這些看似基礎的管理問題，經常都是重大資安事件發生後，才會被拿出來檢視的盲點。

需要重新檢視的，還包括長期使用的績效衡量方式。教育訓練辦了多少場、證照拿了多少張、系統導入了多少套、稽核通過了多少次，向來是管理報告裡最容易呈現的成果。然而，資訊安全真正困難的地方，往往不是如何把數字做得漂亮，而是如何掌握那些無法輕易量化、卻足以造成重大損失的風險。

與此同時，資源配置失衡也是經常被忽略的問題。將大部分預算投入邊界防護與外部攻擊防禦，卻對內部權限管理、委外存取控制與資料使用監督投入有限。然而，多起國內外案例顯示，真正造成損害擴大的，不是高明的駭客技術，是長期存在卻未被正視的管理漏洞。

當資訊安全的核心逐漸從設備管理轉向風險管理時，組織對資安主管的期待也開始出現變化。近年來，部分金融機構在資安主管與風險管理職務的遴選上，開始重視具備金融犯罪調查、刑事偵查、法遵與內控經驗的人才。 （相關報導： 林瑞嘉觀點：雲端上的戰火與AI主權 ｜ 更多文章 ）

這並非意味技術能力的重要性下降，而是當代資訊安全事件經常與詐欺、洗錢、跨境犯罪及供應鏈問題相互交織，需要的不只是技術專業，更包括情資整合、異常行為分析、事件追查與跨機構協調能力。

現今的威脅態樣，經常涉及跨境詐欺、勒索集團、洗錢網絡、供應鏈滲透與內部人員風險。許多攻擊行為不只是單純的技術問題，而是結合資金流、資訊流與組織運作的複合型犯罪模式。從職能需求來看，這與國際間強調的威脅情資分析（Cyber Threat Intelligence）及威脅狩獵（Threat Hunting）高度相通，同樣都需要透過異常模式、行為軌跡與多源情資重建攻擊鏈，進而掌握事件全貌。

此外，當重大資安事件發生時，組織往往需要同時面對主管機關、司法機關、執法單位、外部鑑識團隊、保險公司及供應鏈夥伴。具備偵查與跨機關協調經驗的人員，通常更熟悉不同組織的運作模式與資訊需求，能協助建立更有效率的情資共享與聯防機制。從金融業近年持續推動聯防、情資分享與跨機構合作的發展方向來看，這類能力的重要性正持續提升。

從這個角度觀察，真正需要的資安長，未必是最會操作工具的人，而是最能理解組織弱點、整合資源、協調跨部門行動，並將安全工作轉化為經營決策的人。當資訊安全從技術管理議題演變為風險治理課題時，資安主管的角色也不再只是系統管理者，而是協助組織掌握風險、強化韌性的重要推動者。

當習慣以採購清單證明「我們很重視資安」時，真正的問題往往潛藏在權限設計、流程管理與組織文化之中；當董事會只關心今年買了多少系統，卻不問有哪些人掌握核心資料、哪些帳號擁有最高權限、哪些委外廠商得以接觸關鍵系統時，再多設備也無法帶來實質安全。

未來資訊安全的差距，不在於採購多少軟體或設備，也不在於通過多少次稽核，而在於是否真正掌握核心資產、重要權限與高風險人員。當資訊安全從稽核項目與採購清單，轉變為治理能力與經營議題，才有可能在愈發複雜的數位環境中建立真正的經營韌性。

＊作者為大專院校兼任教師（法律與資安領域）。​ （相關報導： 林瑞嘉觀點：雲端上的戰火與AI主權 ｜ 更多文章 ）