老板的信息安全应变体检：五个问题看出公司跟不跟得上

第 1 讲谈过 PHP2Shell 漏洞这起事件；这一讲不再重讲，只问一件事：新闻出来的那天，你的公司动得起来吗？

（以下情境依常见状况改写，人名与公司为虚构。）曼谷近郊一家 60 人的塑料零件工厂，老板林志明早上看到漏洞新闻，立刻在群组问：「我们有没有事？」IT 阿宏是一人兼管电脑、网络与官网，他回：「我要问一下厂商。」官网厂商说：「我们查一下，下午回复。」ERP 厂商没人接电话。老板再问：「公司到底有几个系统对外开着？」没人答得出来。到了傍晚，一位大客户的采购先打电话来：「你们有没有受影响？」志明才发现，他连该说什么、由谁说，都没有人决定过。

为什么：卡住的不是技术，是没人知道谁该做、做到哪

根据 Rapid7 Q3 2026 威胁报告，高风险漏洞从公开到被攻击，平均 3 天；Q3 追踪到的攻击，71% 发生在公开后 7 天内。时间窗口很短，但中小企业慢下来，通常不是不会修，而是在「问谁、等谁、谁决定」之间耗掉了时间。

所以这是管理问题，不是技术问题。技术可以外包，但「谁负责、多久内做完、怎么对客户说」这些决定，只有老板能做。下面五个问题，就是一次不需要懂技术的体检。

五个问题

问题一：公司有哪些系统？谁维护？

为什么重要：不知道有什么，就无从检查。很多风险藏在被遗忘的角落，例如几年前外包做的活动网站、离职员工架的测试机、没人续约却还开着的云端帐号。

怎么做：请 IT 与各厂商一起列出一张表，每个系统至少写清楚：

• 名称与用途（官网、ERP、仓储、监视器、云端硬盘、电商平台……）
• 放在哪里（自家机房、主机商、云端服务）
• 是否对外开放（客户或外人能不能从网络连进来）
• 谁维护（内部谁、外包哪一家、联系窗口）

合格长什么样：老板问「有几个对外的系统」，当天就能拿出表格，而且每一列都有人名。

问题二：出事时谁拍板、谁动手？负责人休假呢？

为什么重要：漏洞新闻不挑上班日。没有指定的人，大家就会互相等。

怎么做：指定一位「拍板的人」（通常是老板或副总）、一位「动手的人」（IT 或厂商窗口），并且各自有代理人。把四个名字与手机号码写在同一张纸上。

合格长什么样：任何一位负责人休假或关机，另一个人自动接手，不需要再开会决定。

问题三：重大漏洞公布后，多久要盘点、多久要修？

为什么重要：没有时限，「晚点再说」就会变成「忘了」。「我们没被攻击过，不用定时限」是常见的误解，时限是在没事的时候订的，不是出事才订。

怎么做：把时间写成公司规定，数字由你自己决定。例如「公布后几小时内完成盘点、确认有没有受影响」「几天内完成修补或采取暂时防护」。建议先定得出来的时间，哪怕现在偏宽松，再逐次检讨、逐次缩短，不要为了好看订一个做不到的数字。

合格长什么样：这两个时间白纸黑字存在，IT 与厂商都签收过，演练时真的做得到。

问题四：谁对客户说、说什么、用什么语言、什么时候说？

为什么重要：客户最在意的，往往不是你有没有漏洞，而是你有没有掌握状况。林老板的客户先打电话来，就是因为公司没有先开口。

怎么做：事先决定对外发言人，准备好通知范本，并考虑客户的语言：泰国公司通常要有中文、泰文、英文三种版本。范本写清楚「发生什么事、我们检查了什么、目前采取什么措施、客户需要做什么、下次何时更新」。如果涉及个人数据外泄，依泰国个人数据保护法可能有通报义务，请向法律顾问确认。

合格长什么样：范本已经翻译并校对过，事发当天只需要填空，由发言人在约定时间内发出。

问题五：外包供应商有责任吗？

为什么重要：「交给外包就不用管」是最贵的误解。系统是厂商做的，但客户数据是你的，客户只会找你。

怎么做：翻出现有合约，看有没有写三件事：

1. 厂商发现漏洞或自己出事时，要通报你，并写明通报时限
2. 漏洞的修补时限与费用由谁负担
3. 出事时的联系窗口与代理人

合格长什么样：合约或补充备忘录里有这三项，而且厂商知道这些是你的要求。若现有合约没有，下次续约或报价时补上。

🔧 AI 动手做：一页漏洞应变卡

把上面五题的答案交给 AI，请它整理成一页可以贴在墙上的「漏洞应变卡」，并指出你还缺什么。把 [中括号] 换成你公司的实际情况再粘贴。

你是一位熟悉中小企业管理的信息安全应变顾问，请用简体中文，以不懂技术的老板能看懂的语言回答。

我的公司数据：
- 公司规模与产业：[例：60 人的塑料零件工厂，在泰国]
- 系统清单（名称、放在哪、是否对外、谁维护）：[例：官网／主机商／对外／外包甲；ERP／自家机房／不对外／外包乙；云端硬盘／云端服务／对外／IT 阿宏]
- 负责人与代理人：[拍板：谁、代理：谁；动手：谁、代理：谁；手机号码]
- 外包供应商与联系窗口：[厂商名称、窗口、合约是否写明漏洞通报与修补时限]
- 我们目前定得出来的时限：[例：公布后盘点多久、修补多久；若还没有，请写「尚未订」]
- 客户主要使用的语言：[例：中文、泰文、英文]

请产出一页「漏洞应变卡」，包含：
1. 系统清单表（字段：系统、位置、是否对外、维护者、备注）
2. 联系顺序（谁先接、找不到时换谁、何时通知老板）
3. 时限（盘点完成时限、修补或暂时防护时限；若我没提供，请建议我先订一个做得到的版本，并说明之后如何逐次缩短）
4. 客户通知范本，中文与泰文双语各一份，留空格让我填入日期、受影响范围、措施；不要写成已确定没有问题
5. 如果可能涉及个人数据外泄，请提醒我向法律顾问确认是否有通报义务，不要替我判断法规
6. 最后列出「还缺什么」：我没填或填得不清楚的项目，请逐一指出，并说明为什么重要

请不要编造我没提供的信息，不确定的地方请标示「待确认」。

本周就能做的一步：用一张纸，列出公司对外开放的系统，每一个写上一位维护的人名；列不出来的，就是这周要追问厂商的第一件事。

数据源：Rapid7《Q3 2026 威胁报告》（2026-10-21）Rapid7：2026 年第三季威胁报告