資安防護可以拆成八組逐項檢查：帳號與權限、裝置與更新、備份與還原、網站與主機、公司信箱、雲端服務、委外廠商，以及事件應變。檢查依據是資通安全署《中小企業基本資安防護指引》、美國國家標準與技術研究院（NIST）給小型企業的網路安全框架快速入門指南，以及美國網路安全暨基礎設施安全局（CISA）的建議。人力有限時，先完成多重要素驗證、更改預設密碼、自動更新與可還原的離線備份，再處理權限、信箱驗證與委外管理。
帳號與權限：多重要素驗證與離職帳號
- 所有提供多重要素驗證的帳號都已啟用，包括信箱、雲端服務、網站後台與網域註冊商。
- 每人一個帳號，不共用管理員帳號；權限只開到完成工作所需的範圍。
- 密碼至少十五碼，每個服務不重複使用。
- 人員離職當天停用所有系統帳號與權限。
判斷方式：從信箱與雲端服務的管理介面匯出使用者清單，和在職名單逐一比對。CISA 強烈建議採用能抵抗網路釣魚的多重要素驗證，例如 FIDO／WebAuthn 安全金鑰，同時也說明任何形式都比沒有好。離職處理上，Microsoft 365 把阻止登入列為移除前員工的首個步驟；Google Workspace 則提醒，要保留的郵件與雲端硬碟檔案必須在刪除帳號前先轉移。
裝置與軟體更新
- 有一份資產清冊，記錄電腦、手機與網路設備的型號、系統版本與負責人。
- 作業系統與應用程式開啟自動更新，已停止支援的系統列入汰換。
- 所有公司裝置安裝防毒軟體並維持更新。
- 路由器、網路攝影機等設備，安裝時已更改預設密碼。
- 員工離職時，能清除並封鎖其行動裝置上的公司資料。
判斷方式：用清冊逐台確認系統版本與更新狀態，找出沒人負責或已停止支援的設備。NIST 的快速入門指南把更改預設密碼、定期更新修補、安裝防毒軟體都列為優先項目；資安署指引則建議先建立一份簡易資產清冊，用試算表記錄即可。
資料備份與定期還原測試
- 重要資料依三二一原則備份：三份資料、兩種儲存媒體、一份異地，且至少一份離線。
- 備份有加密，存放位置和正式環境分開。
- 定期實際還原，確認檔案完整、系統能正常運作。
- 雲端服務裡的資料也納入盤點，確認方案的保存與還原功能。
判斷方式：不要只看排程顯示成功，要挑一份檔案或一個系統實際還原。CISA 建議重要資料保留離線、加密的備份，並定期測試可用性與完整性；NIST 也提醒，還原前先確認備份資料本身的完整性。雲端服務方面，微軟的雲端共享責任說明指出，不論哪種部署類型，資料、端點、帳戶與存取管理都由客戶負責。
網站與主機
- 網站核心程式、主題與外掛保持更新，不再使用的外掛已刪除。
- 網站後台使用強密碼並啟用多重要素驗證，管理區有額外的存取保護。
- 資料庫與網站檔案定期備份，保留多個時間點的版本。
- 憑證到期日、網域到期日與續約有人負責。
- 定期查看 Search Console 的「安全性問題」報告。
以 WordPress 為例，官方的強化說明建議保持核心與外掛更新、刪除不用的外掛、啟用多重要素驗證，並定期備份資料庫與整站快照。主機、FTP 與資料庫帳號也要列入帳號清冊。完整的檢查項目與被駭後的處理順序，可再對照一份網站安全檢測清單逐項確認。
公司信箱：寄件驗證與釣魚演練
- 網域已設定 SPF 與 DKIM，再加上 DMARC；SPF 只有一筆紀錄。
- 定期檢查信箱有沒有陌生的自動轉寄規則與過濾器。
- 每季至少一次資安意識宣導，內容涵蓋新型態的釣魚郵件。
- 匯款帳號變更一律用電話向對方確認。
- 員工知道可疑郵件要向誰回報。
Google 的說明指出，網域必須先啟用 SPF 或 DKIM 才能使用 DMARC；依 SPF 規範，一個網域不能有多筆 SPF 紀錄，多個寄信服務要合併在同一筆，寫法見SPF 設定與合併方式，政策收緊見DMARC 設定步驟。資安署的應變指引把過濾器與自動轉寄規則列為帳號被盜時要立即檢查的項目，平時也可以列入例行檢查。
雲端服務與委外廠商的權限
- 使用雲端服務前，已了解其安全性與可靠性。
- 雲端硬碟與文件的外部共用範圍已依需求設定。
- 委外廠商每位人員使用個人帳號，權限只開到合約範圍，臨時帳號設定到期自動關閉。
- 簽約前評估廠商的資安做法，合約寫明權限、資料歸還與事件通報。
- 第三方軟體要求的預設高權限，確認必要後才給。
Google Workspace 管理員可以控制使用者能否把檔案共用到機構外部；Microsoft 365 的 SharePoint 與 OneDrive 則有組織層級的分享設定，從「任何人」到「僅限您組織中的人員」分成四個等級。NIST 建議在簽約前評估供應商與第三方帶來的資安風險，CISA 也建議依供應商的重要性與權限訂出資安要求。委外合約的寫法，見文末相關主題的資訊委外文章。
事件應變與通報準備
- 指定通報窗口與代理人，寫成一頁式應變卡：發現異常、立即斷網、通報窗口、保留證據。
- 列好外部聯絡資訊：主機商、網路服務供應商、往來銀行與 TWCERT／CC。
- 管理階層知道誰有權決定停機、對外說明與通知客戶。
- 定期演練，確認流程與聯絡資訊仍然有效。
資安署《資安事件應變處理行動指引》建議事前編組通報及應變小組，並提醒發生事件時應斷網、不要關機，以免記憶體中的數位跡證流失；指引附件另有應變處理檢核清單、應變里程碑建議時限與公開聲明範本，可以改寫成公司版本。各類攻擊的徵兆可對照常見網路攻擊類型。
檢查順序與發現缺口後的處理
八組項目不必一次做完，可以依網路風險的影響程度分三輪進行：
| 順序 | 先處理的項目 | 依據 |
|---|---|---|
| 首輪 | 多重要素驗證、更改預設密碼、自動更新、防毒、可還原的備份 | NIST 快速入門指南列為優先項目 |
| 次輪 | 帳號與權限盤點、離職流程、信箱寄件驗證、網站更新 | 資安署指引的帳號與設備管理，寄件驗證另依 Google 說明與 SPF 規範 |
| 第三輪 | 雲端共用設定、委外權限與合約、應變演練 | NIST 框架的治理與回應功能 |
每個缺口寫成待辦：項目、負責人、完成期限與驗收方式，完成後在清單上註記日期。人員異動、更換廠商或導入新系統時，回頭重跑相關分組。需要更完整的管理制度時，再評估 ISO/IEC 27001 這類資訊安全管理系統標準。
常見問題
資安防護清單多久要檢查一次？
資安署建議資安意識宣導每季至少一次，其他項目可依變動頻率排定。帳號與權限在人員異動時立即處理，備份則要定期實際還原，不要等年度盤點才一起看。
多重要素驗證用簡訊驗證碼就夠了嗎？
比沒有好，但 CISA 指出簡訊與語音容易受到網路釣魚與 SIM 卡置換攻擊，建議只當後備選項。可行時改用 FIDO 安全金鑰，暫時做不到時可先用驗證器應用程式。
用了 Microsoft 365 或 Google Workspace，還需要自己備份嗎？
要先評估。微軟的雲端共享責任說明指出，資料、帳戶與存取管理始終由客戶負責。先確認方案內的保存與還原功能能否滿足需求，不足的部分再規劃額外備份。
廠商共用同一組管理員帳號，要怎麼改？
資安署指引建議禁止多人共用帳號。可以請廠商為每位工程師開立個人帳號、只給合約範圍內的權限，臨時帳號設定到期自動關閉，合作結束當天停用。
公司沒有資訊人員，誰來負責這份清單？
建議指定一位資安負責人統籌，各組項目再分給實際管理的人，例如財務負責匯款確認、網站窗口負責外掛更新。技術項目可以委外協助，但清單與決定權仍留在公司。
本文由京采數位科技整理。我們自 2005 年起提供官網設計、系統開發與 Google SEO 服務，實際案例可見成果與案例。
想直接討論你自己的網站狀況，或需要一份初步的搜尋機會評估？
相關主題
下一步
建議先用這八組清單做一次盤點，標出還沒完成的項目與負責人。網站與網域這兩組，京采的技術 SEO 與網站健檢服務可以協助檢查網站程式與外掛更新、憑證與主機設定，以及網域 DNS 的 SPF、DKIM、DMARC 紀錄是否正確，整理成修正清單；需要討論時歡迎與我們聯繫。
