觀點投書：資安事件「不要關機」背後的管理警訊─行為才是真正的風險

115年7月31日，數位發展部資通安全署發布《資安事件應變處理行動指引》，作為《中小企業基本資安防護指引》的延伸，聚焦企業在資安防禦失效後，如何快速應變、降低損害並恢復營運。

翻開這份指引，最值得注意的並不是增加多少技術性要求，而是一句反覆出現、甚至違反一般人直覺的提醒：「不要關機」。

無論是設備疑似遭惡意程式感染、遭遇勒索軟體攻擊，或面對阻斷服務攻擊，指引均特別提醒，不應任意關閉電源或強制重新啟動系統。對多數員工而言，看到電腦異常的第一反應往往是「重開機試看看」，甚至直接拔掉電源，希望讓問題恢復正常。

然而，在資安事件現場，這個看似合理的處理方式，可能反而增加後續處理難度。因為儲存在記憶體中的揮發性數位跡證，可能因關機而消失，降低後續鑑識分析、攻擊溯源及資料復原的可能性。

主管機關特別花費篇幅提醒企業「不要關機」，其實傳達了一個重要訊息：資安事件發生時，企業最大的風險，往往不只是駭客攻擊手法有多複雜，而是組織是否具備將制度轉化為正確行動的應變能力。這也正是這份指引值得企業重新思考的核心價值—資安應變不能只是制度化、標準化，更重要的是讓制度真正轉化為員工面對事件時的正確行為。

過去企業推動資安管理，多半著重於制度建立，包括制定資安政策、建立事件應變程序、完成教育訓練，以及透過稽核確認相關文件是否完備。

這些工作當然重要，但企業經常忽略一個關鍵問題：制度存在，是否代表員工真的知道如何執行？

試想，一名行政人員深夜發現電腦突然跳出勒索訊息，所有檔案無法開啟，此時他的第一個動作會是什麼？

是立即依照應變程序通報、保留現場、避免破壞證據？

還是出於焦慮與恐慌，直接關機、刪除檔案、嘗試自行處理？

多數人在壓力情境下，做出的往往不是訓練手冊上的標準答案，而是最直覺的反應。因此，資安治理真正的挑戰，不只是建立制度，而是透過教育訓練、情境演練與日常管理，讓正確行為取代錯誤直覺。企業真正需要管理的，不只是資訊安全制度，更是制度在關鍵時刻能否轉化為員工正確的行為模式。

《資安事件應變處理行動指引》提出「應變里程碑建議時限」，例如發現異常後應於一定時間內完成內部通報，涉及金流詐欺事件時，更應把握黃金時間聯繫銀行進行相關處置。

但企業真正需要關注的，不只是十五分鐘或三十分鐘這些時間標準，而是第一分鐘發生了什麼。因為第一位發現異常的人，如果第一個動作錯誤，後續所有應變流程都可能受到影響，甚至使原本可控制的事件轉化為重大營運風險。

資安事件處理不像一般作業流程，可以等待逐步確認；在攻擊發生初期，每一個錯誤動作，都可能擴大損害範圍。因此，企業應重新思考資安應變成熟度的衡量方式：不只是「有沒有應變計畫」，而更應該是「發生事件時，員工能不能立即做對」。 （相關報導： 「EZ Way易利委」竟是私人公司！恐有資安疑慮？關務署長提3澄清：非強制使用 ｜ 更多文章 ）

《資安事件應變處理行動指引》明確要求，資安治理責任應由管理階層承擔，應變計畫也應經管理階層審查與核可。

然而，真正的管理當責，不應只是計畫書最後一頁的簽名。

資安事件涉及營運、財務、法務、資訊、人力及企業聲譽等多面向風險，管理階層必須確保組織具備真正的應變能力，而不是只有一份完整文件。更應將資安應變能力納入治理機制，透過定期教育訓練、情境演練與管理檢視，確認組織是否真正具備事件處理能力。

董事會與高階主管更應該問：「如果現在發生重大資安事件，我身邊的同仁知道第一步該做什麼嗎？能做對嗎?」這個問題看似簡單，卻比確認「是否已有資安應變計畫」更能反映企業真正的韌性水準。

在企業資安治理架構中，各營運單位作為第一道角色，應透過定期自行查核落實自我控制責任；但自行查核不應只確認制度是否存在，更應驗證控制措施是否真正有效運作。傳統資安自行查核多著重於文件審查，例如確認是否有應變程序、是否完成演練紀錄、是否建立相關權責分工。

然而，真正重要的是：當事件發生時，員工是否真的會依照程序行動？

因此，各營運單位定期資安自行查核可以進一步導入「行為驗證」思維，例如透過不預告模擬情境，觀察非資訊人員面對可疑郵件、異常畫面、勒索訊息或系統警告時的第一反應。檢視重點不應只是：「制度有沒有寫？」而應進一步確認：「員工是否能在關鍵時刻依制度正確執行？」

透過這類測試結果，企業也可以建立更具管理價值的衡量指標，例如：初步事件通報平均時間、資安演練情境錯誤行為發生率。讓資安治理從文件符合性，提升至營運韌性的管理。

在企業資安治理架構中，各營運單位作為第一道角色，應透過定期自行查核落實日常控制責任；第二道角色的資安、風險與法遵管理單位，應持續監督控制設計與執行情形；內部稽核作為第三道角色，則應從傳統制度符合性查核，提升至控制有效性與風險治理能力驗證。

《資安事件應變處理行動指引》提醒企業一件重要的事：

資安沒有絕對安全，防禦邊界終究可能被突破。

真正決定損害大小的，往往不是事件是否發生，而是事件發生後，組織能否快速做出正確反應。

主管機關反覆提醒「不要關機」、「不要刪除檔案」、「不要隱匿事件」，背後真正想傳達的，是企業必須降低錯誤第一反應造成的二次傷害。因此，多數企業下一階段需要提升的，不只是資安制度成熟度，更是組織成員面對事件時的安全行為成熟度。

當管理階層願意親自驗證企業真正的應變能力，當企業各單位的資安自行查核從文件符合性檢視走向控制有效性驗證，並真正關注員工是否能在事件發生時做出正確反應，資安韌性才能從紙上的制度，轉化為組織真正具備的風險治理能力。 （相關報導： 「EZ Way易利委」竟是私人公司！恐有資安疑慮？關務署長提3澄清：非強制使用 ｜ 更多文章 ）

＊作者為中正大學企業管理學系博士研究生​​