資訊安全是保護資訊與資訊系統，避免遭到未經授權的存取、使用、揭露、中斷、修改或破壞，目標是維持機密性、完整性與可用性，也就是資訊安全三要素。企業要保護的不只是電腦，還有帳號、客戶資料、合約與備份。數位發展部資通安全署提醒，中小企業常以為規模小就不是駭客目標，實際上釣魚郵件、詐騙訊息與勒索軟體都是常見攻擊；基本防護可從帳號管理、設備和資料管理、資安意識培訓三個面向開始，再逐步建立管理制度。
資訊安全的定義與保護範圍
美國國家標準與技術研究院（NIST）的術語表，把資訊安全定義為保護資訊與資訊系統免於未經授權的存取、使用、揭露、中斷、修改或破壞，以提供機密性、完整性與可用性。台灣資通安全管理法對「資通安全」的定義也相近：防止資通系統或資訊遭受未經授權的存取、使用、控制、洩漏、破壞、竄改、銷毀等情形，影響其機密性、完整性或可用性。
從定義來看，保護對象是資訊本身，雲端硬碟裡的報價單、員工手機裡的客戶名單、網站的會員資料都在範圍內。破壞也不一定來自駭客，誤刪檔案、權限設錯、硬碟故障，同樣會讓資料外洩、出錯或無法使用。
資訊安全三要素：機密性、完整性、可用性
| 要素 | 意思 | 被破壞的例子 | 對應做法 |
|---|---|---|---|
| 機密性 | 只有獲得授權的人能存取與揭露資訊 | 客戶名單外流、信箱被盜讀 | 權限控管、二階段驗證、加密 |
| 完整性 | 資訊不被不當修改或破壞，並能確認真實性 | 匯款帳號被竄改、網頁被植入惡意內容 | 變更紀錄、雙人核對、數位簽章 |
| 可用性 | 需要時能及時、可靠地取得與使用資訊 | 檔案被勒索軟體加密、系統停擺無法接單 | 備份與還原演練、更新與監控 |
英文簡稱 CIA，國際標準化組織介紹 ISO/IEC 27001 時也用這個稱呼。三者常需要取捨：權限收得越緊，機密性越高，但設計不當時，需要資料的人反而拿不到。可以先替資料分級，例如公開、內部、機密三級，再依等級決定誰能看、誰能改、備份做到什麼程度。
企業常見的資安風險
- 帳號與密碼：密碼太短、多個服務共用一組密碼、共用帳號或離職人員帳號未停用。帳號被盜後，攻擊者能以合法身分登入信箱與雲端服務。
- 網路釣魚與詐騙：攻擊者冒充可信任的對象，透過電子郵件或訊息誘騙員工交出帳密、點開惡意連結，或要求更改匯款帳號。資安署也提醒要防範用 AI 變造影像與聲音的深偽詐騙。
- 勒索軟體：加密裝置上的檔案，讓檔案與依賴它的系統無法使用；美國網路安全暨基礎設施安全局（CISA）指出，攻擊者也常威脅出售或公開竊得的資料。
- 程式漏洞：作業系統、應用程式、網站外掛或網路設備的弱點。資安署指出駭客會持續掃描網路，找出未更新軟體的漏洞入侵；網路攝影機等設備沿用預設密碼，也是常被忽略的入口。
- 備份失效：沒有備份、備份和正式資料放在一起同時被加密，或從未測試還原，出事時就無法復原。
資安署建議的三個防護面向
資安署的《中小企業基本資安防護指引》把基本防護分成三個面向，附件另有自檢表可逐項確認。
帳號管理
- 密碼要長、複雜且不重複使用，建議至少十五碼，可用密碼短語或密碼管理工具。
- 重要系統帳號啟用二階段驗證，定期移除不必要的帳號。
- 每人使用獨立帳號、禁止共用，只給完成工作所需的最低權限；離職當天註銷所有帳號，給協力廠商的臨時帳號設定到期自動關閉。
設備和資料管理
- 建立設備資產清冊，記錄型號、系統與維運負責人。
- 作業系統與應用程式開啟自動更新，安裝防毒軟體並更新病毒碼；物聯網設備啟用時立即修改預設密碼。
- 重要資料依三二一原則備份：三份備份資料、兩種不同儲存媒體、一份異地存放，且至少一份離線，並定期演練還原。
資安意識培訓與事件應變
定期宣導新型態的釣魚郵件、AI 詐騙與商務詐騙案例，提醒員工不要用公司信箱註冊外部服務；要求改匯款帳號的信件，可規定一律用事先留存的電話等管道向對方確認。資安署也建議製作一頁式「資安事件應變卡」，流程是發現異常、立即斷網、通報窗口、保留證據，並可加入台灣電腦網路危機處理暨協調中心（TWCERT/CC）取得情資，發生事件時尋求協助。
建立資訊安全管理制度
基本防護做到後，要讓資安持續運作，而不是出事才處理。常被參考的架構有兩個：NIST 網路安全框架適用各種規模與產業，以治理、識別、保護、偵測、回應、復原六項功能整理資安要達成的成果，可用來檢查自己是否只做了保護，卻沒有偵測與復原的安排；ISO/IEC 27001 則是資訊安全管理系統（ISMS）的國際標準，透過風險管理流程維持三要素。
中小企業可以從小規模開始：指定資安負責人，列出資訊資產與負責人，評估哪些資料外洩或停擺的影響較大，訂出帳號、備份、更新與通報規則，並定期檢討。使用雲端服務前，也要先了解其安全性與可靠性。
網站資安：官網也是資訊資產
官網與電商網站存有會員、訂單與表單資料，被植入惡意內容時，訪客與搜尋引擎都看得到。網站的重點同樣是帳號權限、程式與外掛更新、備份還原，再加上憑證與表單檢查；網站後台、主機與網域註冊商的帳號，也要列入帳號清冊並啟用二階段驗證。完整項目可參考網站安全檢測清單。公司網域也要設定寄件驗證，SPF 等紀錄有助於防止他人利用網域寄送惡意郵件，政策設定見DMARC 的設定與政策收緊。
資安相關法規的基本概念
- 資通安全管理法：適用於公務機關與特定非公務機關，後者包括關鍵基礎設施提供者、公營事業、特定財團法人等。適用機關委外建置或維運資通系統時，要選任適當的受託者並監督其資安管理機制，承接委外案的廠商可能被要求配合。
- 個人資料保護法：保有個資檔案的非公務機關，要採取安全維護措施，防止個資被竊取、竄改、毀損、滅失或洩漏，個資外洩時對通知當事人也有規定。部分修正條文的施行日期由行政院另定。
以上只做概念整理，實際義務請以全國法規資料庫、主管機關公告或專業法律意見為準。
常見問題
公司只有幾個人，也需要做資訊安全嗎？
需要。資安署指出中小企業反而容易成為目標。人力有限時，可以先用指引附件的自檢表逐項確認，優先處理密碼、二階段驗證、自動更新與離線備份。
密碼需要定期更換嗎？
NIST 的數位身分指引規定，驗證方不得要求使用者定期更換密碼，但有證據顯示密碼遭入侵時必須強制變更。企業可據此把密碼政策的重點放在長度、不重複與二階段驗證。
用了雲端服務，資安就由服務商負責嗎？
不是。微軟的雲端共同責任說明指出，不論哪種雲端服務，資料、存取服務的裝置、使用者帳號與存取管理，始終由客戶自己負責。
三要素要怎麼排優先順序？
依資料性質判斷。客戶個資、合約重在機密性，訂單與帳務重在完整性，官網與接單系統重在可用性。先找出停擺或外洩影響大的資料，再決定投入的順序。
資訊安全一定要取得認證嗎？
要看所屬產業的主管機關規定，以及客戶或合約的要求。沒有這類要求時，可以先落實基本防護與管理規則，之後有需要再評估導入完整的管理系統。
本文由京采數位科技整理。我們自 2005 年起提供官網設計、系統開發與 Google SEO 服務，實際案例可見成果與案例。
想直接討論你自己的網站狀況，或需要一份初步的搜尋機會評估？
相關主題
下一步
建議先用資安署的自檢表盤點帳號、設備與備份現況，列出負責人與待改項目。官網與網域這一段，京采的技術 SEO 與網站健檢服務可以協助檢查網站更新、憑證、Search Console 的「安全性問題」報告與網域 DNS 寄件驗證設定，並整理修正清單；想先了解現況，歡迎與我們聯繫。
