中小企業資安從哪裡開始？先做的八件事與預算順序

中小企業資安的起點，不是買最貴的產品，而是先補上最常被攻擊者利用的基本功：管理者與遠端登入啟用多因素驗證、重要資料有隔離且測試過的備份、系統與設備定期更新、離職與閒置帳號回收、員工知道怎麼辨識釣魚信件。這些做法多半成本低、見效快，而且也是客戶問卷、保險核保與稽核最常檢查的項目。基本功做好，再決定是否花錢做弱點掃描、滲透測試或託管服務，預算才不會花在錯的地方。

本文列出八件優先事項與實作方式。建議搭配站內的企業資安導入檢查表逐項確認。

為什麼先做基本功

許多資安事故並非高深的技術攻擊，而是帳號密碼外洩後被直接登入、對外服務有長期未修補的漏洞、員工點了釣魚連結、備份也一起被加密。這些缺口用相對簡單的管理措施就能大幅降低風險。把有限的預算先投入這些項目，邊際效益通常最高。

八件優先事項

1. 盤點資產與資料

列出公司用到的電腦、伺服器、網路設備、雲端與 SaaS 服務、網站與網域，以及重要資料存放在哪裡。你無法保護自己不知道的東西。清單不用多複雜，一張試算表加負責人欄位即可，重點是定期更新。

2. 多因素驗證

對電子郵件、雲端管理後台、VPN、遠端桌面與財務系統等高價值帳號啟用多因素驗證。優先保護管理者帳號與對外可登入的服務。若員工人數少，成本通常只是使用內建功能或少量授權。

3. 備份與還原測試

遵循簡單原則：重要資料有多份、存放在不同位置、至少一份與日常網路隔離（離線或不可變更備份），並且每隔一段時間實際演練還原。許多企業的備份在需要時才發現無法還原，或遭勒索軟體連同備份一起加密。

4. 更新與修補

作業系統、瀏覽器、辦公軟體、路由器、防火牆、NAS 與對外網站套件，都要有人負責定期更新。已停止支援的軟體與設備應規劃汰換，或隔離使用。

5. 帳號與權限管理

每位員工使用自己的帳號，不共用密碼；依職務給予最小權限；離職與調職時，依流程回收帳號與存取權；定期盤點管理者帳號與外部廠商帳號。

6. 端點防護

員工電腦與伺服器要有防護軟體並保持更新，可視預算考慮 EDR。更重要的是有人看到告警並處理，詳見EDR、MDR 與 SOC 託管費用比較。

7. 員工意識

每年至少一次教育訓練，內容聚焦於釣魚信件、可疑連結、密碼管理與如何通報。可以搭配社交工程演練驗證成果。

8. 事件通報流程

寫下一頁紙的流程：發現異常要通知誰、怎麼隔離、聯絡誰協助、是否通知客戶與主管機關。事前沒有寫，事故發生時往往手忙腳亂。

預算順序怎麼排

範例（示意）：一家 25 人的貿易公司，第一階段補上多因素驗證與離線備份，外部費用示意約 30,000 元；第二階段做端點防護升級與一次教育訓練，示意約 80,000 元；第三階段對對外網站做弱點掃描，示意約 50,000 元。合計約 160,000 元。這些均為示意，實際取決於工具與報價。可用資安服務預算估算器代入自己的數字。

小預算也能做的低成本措施

• 使用公司層級的密碼管理工具，避免員工以相同密碼登入多個服務。
• 關閉不需要的遠端存取，必須對外開放的服務限制來源 IP。
• 啟用雲端服務內建的登入告警與異常活動通知。
• 禁用不必要的巨集與可執行附件，收緊郵件過濾。
• 把網路分段，訪客 Wi-Fi 與內部網路分開。
• 重要變更前先備份，並記錄變更內容。

常見的起步錯誤

• 一開始就採購大型方案，卻沒有人能管理。
• 把資安全部交給資訊廠商，卻沒有內部窗口。
• 只做一次性專案，沒有持續維運。
• 預算花在工具，沒有留給修補與教育訓練。

詳細的採購陷阱請見資安報價單常見陷阱。

第一個九十天的行動計畫（示意）

如果你想把上面的八件事落實成行動，可以用九十天的節奏來安排，每兩週有一個明確的產出。

第一到兩週：指定資安窗口，完成資產與帳號盤點，列出所有使用中的雲端服務與管理者帳號，並確認誰有權限變更設定。

第三到四週：為郵件、雲端後台、遠端存取與財務系統啟用多因素驗證，並處理閒置與離職帳號。同時檢查備份現況，確認重要資料的備份位置與頻率。

第五到六週：實際測試一次備份還原，記錄所需時間與遇到的問題；建立更新排程，包括電腦、伺服器、網路設備與網站套件，並設定負責人。

第七到八週：評估端點防護現況，必要時升級；檢視郵件過濾設定，降低釣魚信的風險；規劃員工教育訓練的內容與時間。

第九到十週：舉辦教育訓練，並建立簡單的可疑信件通報方式；撰寫一頁式事件通報流程。

第十一到十二週：回顧前面成果，整理尚未完成的項目與原因；根據風險決定下一階段是否需要弱點掃描、滲透測試或其他服務，並開始準備需求說明書。

這個計畫的重點是節奏與完成標準，而不是追求完美。每完成一項，就在企業資安導入檢查表上勾選，並記錄證據，久而久之就能累積成可以向客戶與管理層說明的成果。

內部分工：沒有專職人員時怎麼運作

很多中小企業沒有專責的資安人員，但仍然可以透過清楚的分工，讓資安工作持續運作。

管理者負責設定方向與資源，核准預算，並在重大決策（例如是否支付贖金、是否通知客戶）時做決定。管理者本人也應該使用多因素驗證，並接受適當的教育訓練，因為管理者帳號通常是攻擊者的首要目標。

資安窗口可以由資訊人員、行政或財務主管兼任，負責追蹤資產清單、更新排程、帳號審查、教育訓練與廠商聯繫。這個角色不需要精通所有技術，但需要有時間與權限推動工作，並向管理者定期報告。

人資負責入離職流程中的帳號開通與回收，並在新進人員教育訓練中納入資安內容。

財務負責建立匯款與付款變更的確認程序，例如變更收款帳戶必須以另一個管道確認，降低商務郵件詐騙的風險。

外部維運廠商負責技術性的設定與維護，但要有書面的權限範圍與保密約定，並定期提交維運紀錄。

把這些角色寫成一頁簡單的責任表，並每年檢視一次，就能讓資安從個人的努力，變成組織的例行工作。

什麼時候該諮詢專業人士

當你不確定自己的風險大小、客戶要求提供檢測報告或證書、發現疑似入侵跡象，或準備簽訂較大金額的服務契約時，建議請合格的資安顧問協助評估。若涉及個資外洩，請同時諮詢熟悉個資法的律師。

常見問題

沒有 IT 人員怎麼辦？

可以指定一位內部窗口負責協調，並向外部維運廠商或顧問尋求協助，但要把責任與範圍寫進合約。

雲端服務就不用自己顧資安了嗎？

不是。雲端供應商負責基礎設施，但帳號、權限、設定與資料仍是企業的責任，這是常見的責任分擔模式。

資安預算要一次編足嗎？

不必。依階段分年度編列，但每階段要有完成標準，並預留修補費用。

先做滲透測試還是先補基本功？

通常先補基本功，否則測試報告只是證明你缺少最基本的防護，花費不太划算。

資料來源

• 數位發展部 — 資通安全政策與公告
• 台灣電腦網路危機處理暨協調中心 TWCERT/CC — 資安事件通報與防護資訊
• 經濟部 — 中小企業輔導資源