觀點投書：駭客只是引爆點，真正決定企業損失大小的是治理能力

金管會近日傳出，已將勒索軟體攻擊與供應鏈攻擊正式納入銀行業「重大資安事件」通報範疇，並要求業者30分鐘之內向金管會通報。這項調整透露一個訊號:監理焦點已從「是否做好防禦」，轉向「能否快速應變」。業界人士更點出供應鏈攻擊因外觀近似合法更新或登入，往往更難防範，卻可能造成跨機構的連鎖衝擊。新型態威脅的殺傷力，早已不限於單一機構，而是牽動整個產業生態系的系統性風險。這不只是金融監理規則的技術性調整，更意味著台灣企業的資安治理思維，正從「防禦導向」走向「韌性導向」。

金融業身處高度監理環境，尚且必須以分鐘為單位錙銖必較，那麼佔台灣企業家數絕大多數、卻普遍缺乏專職資安人力的中小企業，又該如何自處?這正是數位發展部資通安全署今年7月31日發布「資安事件應變處理行動指引」所要回應的命題。

多年來，不少企業一談資安，直覺反應就是加購防火牆、升級端點防護、導入更貴的偵測設備。這些投資當然有其必要，但也造就一種盲點:企業把幾乎所有資源都押在「如何不被打中」，卻很少認真演練「打中之後該怎麼辦」。真正拖垮企業的，往往不是攻擊本身，而是攻擊發生後的管理失序—第一線人員不知道該通報誰、主管遲遲拿不定主意、IT、法務與公關各自等待指示，黃金應變時間就在部門之間相互觀望中悄悄流失。

資安署這份指引的價值，正在於補上這塊長期被忽略的拼圖。它將應變程序拆解為準備、偵測與應變處理、通報與外部溝通、復原與持續改善四階段，並針對設備受感染異常、帳號被盜、網路釣魚、商業支付詐欺、勒索軟體攻擊與阻斷服務攻擊六類最常見情境，提供非技術人員也能照做的具體步驟。

其中一項細節最值得玩味:指引反覆提醒「不要立即關機」。無論是設備疑似中毒，或是勒索軟體已經開始加密檔案，直覺反應往往是趕快拔電源、重開機。但這個直覺恰恰是錯的—記憶體中的揮發性數位跡證，可能因斷電而永久消失，連帶增加後續鑑識、溯源乃至部分案例中解密工作的難度。這種違反直覺卻攸關成敗的知識，若不是靠系統性指引預先教育，幾乎注定會在慌亂中被用錯。

指引也附上檢核清單與建議時限:發現異常後15分鐘內完成內部通報，涉及金流事件則有30分鐘黃金時間可聯繫銀行圈存並撥打165反詐騙專線。這樣的時間感，與金融監理趨嚴的節奏隱然呼應，說明「即時應變」正逐漸成為衡量任何規模企業資安成熟度的共通尺規，不再是金融業的專利。

指引特別提醒經營決策階層一件容易被迴避的事:資安應變計畫如果只由IT或資安部門自行擬定、沒有經過管理階層正式審查與核可，一旦事件真的爆發，往往形同廢紙。更現實的是，面對重大事件選擇隱匿不報，在如今的監理環境下，只會換來更嚴厲的行政處罰與更深的商譽傷害。依法通報、坦誠溝通，才是保住企業資產與信任的正辦。

從金融業的分鐘級通報要求，到中小企業的六大情境應變指引，兩者傳遞的訊息其實是同一件事:資安治理的下一個戰場，不在於能否完全杜絕攻擊，而在於攻擊發生的當下，能不能以最快速度、最正確的步驟，把損害鎖進可承受的範圍。如果企業仍把資安視為資訊部門的技術任務，而不是董事會必須親自扛起的治理責任，再昂貴的防火牆，也擋不住下一次重大事件重演。資安治理的競爭，終究比的不是誰永遠不被攻破，而是誰能最快止血、最快恢復、最快把信任找回來。 （相關報導： 觀點投書：資安事件「不要關機」背後的管理警訊─行為才是真正的風險 ｜ 更多文章 ）

＊作者為國立中正大學企業管理學系博士研究生​