資安事件應變與數位鑑識費用：事前預備與事後處理流程

資安事件應變與數位鑑識的費用，通常依投入人天、受影響的主機與帳號數量、是否需要鑑識報告與現場支援計價，事故發生後才臨時找人，往往價格較高、反應也較慢。較划算的做法是事前就準備：寫好通報流程、簽訂預備服務（保留時數或框架合約）、確認保險通知條件，並演練至少一次。事件發生的第一時間，最重要的是保留證據、隔離受影響設備、避免盲目重開機或刪除檔案，並依既定流程聯絡內部負責人與外部協助者。

本文說明事件處理的標準步驟、費用結構與事前預備重點。金額皆為示意。

事件應變包含哪些工作

資安事件處理一般分為幾個階段：

1. 準備：建立流程、角色、聯絡名單、工具與演練。
2. 偵測與分析：確認是不是真的事件，判斷影響範圍與嚴重程度。
3. 圍堵：隔離受影響設備、停用可疑帳號、阻斷惡意連線，避免擴散。
4. 根除：移除惡意程式與後門，修補被利用的弱點。
5. 復原：從乾淨備份還原系統與資料，逐步恢復服務並加強監控。
6. 事後檢討：找出根本原因，改善流程與防護，更新紀錄。

數位鑑識是其中的重要環節，目的是在盡量不破壞證據的前提下，蒐集並分析磁碟、記憶體與日誌，重建攻擊時間軸，判斷被存取或外洩的資料。鑑識結果也常是向客戶、主管機關、保險公司與法院說明的依據。

費用怎麼算

範例（示意）：某公司疑似遭入侵，影響 10 台主機。假設應變與鑑識共投入 15 人天，每人天示意 12,000 至 20,000 元，人天費用為 180,000 至 300,000 元；另有報告與復原協助示意 50,000 元，總計 230,000 至 350,000 元，且尚未包含停機損失與法律費用。事故嚴重程度不同，費用可能高出許多，這僅是示意算式。

事前預備的價值

沒有預備的事故，往往會在下列地方多花錢與時間：不知道該找誰、尋找廠商與談合約耗費時間、內部不知道哪些資料重要、沒有可靠的備份、日誌被覆蓋、證據在慌亂中被破壞。事前預備可以做到：

• 一頁式通報流程：發現異常第一時間通知誰、怎麼隔離、誰負責對外溝通。
• 聯絡名單：內部負責人、資訊廠商、資安廠商、律師、保險經紀人、主管機關窗口。
• 備份與還原程序：定期測試，確保關鍵系統能在可接受時間內還原。
• 日誌保存：重要系統日誌保留足夠期間，且存放於另一位置，避免被攻擊者清除。
• 預備合約：與一家應變廠商談好報價單價、回應時間與保密條款。
• 桌上演練：每年模擬一次情境，檢視流程是否可行。

發生事件時的第一小時

1. 不要慌亂關機重灌；若可行，先斷開受影響設備的網路連線，但盡量保持電源，以保留記憶體證據，視情況與專業人員確認。
2. 記錄時間、發現經過與已採取的動作。
3. 通知內部負責人與管理層，啟動通報流程。
4. 聯絡事先約定的應變廠商，必要時通知保險公司（依保單條款通知期限）。
5. 變更受影響帳號的密碼並啟用多因素驗證，但要與調查人員協調順序，避免打草驚蛇。
6. 保留相關日誌與可疑檔案，不要自行清除。
7. 評估是否涉及個資，若是，依個資法與主管機關規範準備通知。

個資外洩的通報與溝通

若事故涉及個人資料，企業需了解自己的法定義務與所屬主管機關的要求，包括通知當事人、向主管機關通報的時限與方式，各行業規定不同。對外溝通要誠實、避免推測、不要過早保證，並以經過確認的事實為主。細節請參考資通安全管理法與個資法。

與資安保險的關係

許多資安保險含事件應變費用，但常有指定廠商、事先通知與同意的要求。若你有保單，請在預備流程中加入「聯絡保險公司」這一步，並確認保單涵蓋的服務內容。詳見資安保險保費與保障。

事後檢討與投資回收

事故之後，企業往往會願意投入更多預算。此時建議做根因分析，把投資放在最能降低同類事故的措施。可用站內的資安投資回收情境試算，推演不同措施在情境假設下的打平年數，但要記住這只是溝通用的情境，不是預測。

預備合約與演練的具體做法

要讓事件應變真正有效，事前準備可以拆成幾個具體任務。

第一，建立事件分級：把事件分為輕微、中等與嚴重，各自對應的通報對象與時限。例如單一員工收到釣魚信但未點擊，只需記錄；若帳號被盜用或主機疑似感染，則需啟動調查；若涉及大量個資或系統停擺，則啟動最高等級流程並通知管理層與外部專業人員。

第二，指定角色：事件指揮人負責決策與對內對外溝通，技術負責人負責調查與復原，紀錄人負責記錄時間與行動，法務或人資窗口負責法律與員工事項。小公司可以一人兼任，但要明確寫出誰補位。

第三，準備離線工具包：包括聯絡名單的紙本或離線版本、網路架構圖、重要帳號的緊急存取方式、備份位置與還原步驟。攻擊發生時，電子郵件與雲端文件可能無法使用，沒有離線資料會很被動。

第四，進行桌上演練：每年選一個情境，例如「財務人員的電腦被勒索」，讓與會者依流程逐步說明自己會做什麼，記錄卡關與不清楚的地方，並在一個月內修正流程。演練不必花很多錢，一場一到兩小時的會議就能發現許多問題。

第五，與廠商談好條件：預備合約應寫清楚回應時間、費率、保密條款、可提供的服務範圍，以及事故發生時如何啟動。若有資安保險，也要確認廠商是否在保險公司的名單內或需要事先同意。

這些準備本身的成本很低，卻能大幅縮短事故發生時的反應時間，也讓後續的鑑識與通報更有依據。

事故後的復原與學習

事件處理並不是在系統恢復運作時就結束，後續的復原與學習，決定了同樣的事情會不會再發生。

首先是復原的順序。不要急著把所有系統一次恢復，而是依業務重要性分批，先恢復最關鍵的服務，並在恢復前確認弱點已修補、受影響帳號已重設、備份來源是乾淨的。若沒有確認根因就匆忙上線，攻擊者可能再度進入。

其次是加強監控。事故後的一段時間內，建議提高日誌與告警的關注程度，留意是否有殘留的後門或同一手法的再次嘗試。

第三是事後檢討會。邀集相關人員，依時間軸回顧：何時發現、如何判斷、做了哪些決定、哪些環節順利、哪些卡關。討論的重點是流程與系統，而不是追究個人責任，這樣才能讓大家敢於說出真實情況。

第四是更新文件與預算。把學到的教訓寫進通報流程、備份策略與教育訓練教材，並依檢討結果提出下一階段的改善計畫與預算。事故之後管理層通常較願意支持資安投入，這是爭取資源的機會，但要用具體的改善項目與成本說明，而不是情緒性的訴求。

最後，若事故涉及客戶或合作夥伴，也要評估後續的溝通與信任修復，包含說明改善措施與提供必要的協助。

什麼時候該諮詢專業人士

只要有疑似入侵、勒索、個資外洩或內部人員惡意行為，都應盡快聯絡有經驗的資安應變專業人員；若涉及刑事或民事責任，請同時諮詢律師。TWCERT/CC 也提供通報與協助資訊。

常見問題

沒有預備合約，事故時還找得到人嗎？

找得到，但可能價格較高、等待較久。事前簽訂預備或框架合約通常較有利。

鑑識報告一定要做嗎？

不一定，視需要而定。若需要向客戶、保險公司、主管機關或法院說明，鑑識報告很有價值。

事故後能不能自己先重灌？

重灌會破壞證據並可能讓根因無法確認，應先與專業人員討論後再處理。

預備演練要怎麼做？

用一個假設情境（例如電腦遭勒索），讓相關人員按照流程討論每一步會怎麼做，記錄卡關之處並改善。

資料來源

• 台灣電腦網路危機處理暨協調中心 TWCERT/CC — 資安事件通報與協處資訊
• 數位發展部 — 資通安全政策與通報規範
• 全國法規資料庫 — 個人資料保護法等法規