老闆的資安應變健檢：五個問題看出公司跟不跟得上

第 1 講談過 PHP2Shell 漏洞這起事件；這一講不再重講，只問一件事：新聞出來的那天，你的公司動得起來嗎？

（以下情境依常見狀況改寫，人名與公司為虛構。）曼谷近郊一家 60 人的塑膠零件工廠，老闆林志明早上看到漏洞新聞，立刻在群組問：「我們有沒有事？」IT 阿宏是一人兼管電腦、網路與官網，他回：「我要問一下廠商。」官網廠商說：「我們查一下，下午回覆。」ERP 廠商沒人接電話。老闆再問：「公司到底有幾個系統對外開著？」沒人答得出來。到了傍晚，一位大客戶的採購先打電話來：「你們有沒有受影響？」志明才發現，他連該說什麼、由誰說，都沒有人決定過。

為什麼：卡住的不是技術，是沒人知道誰該做、做到哪

根據 Rapid7 Q3 2026 威脅報告，高風險漏洞從公開到被攻擊，平均 3 天；Q3 追蹤到的攻擊，71% 發生在公開後 7 天內。時間窗口很短，但中小企業慢下來，通常不是不會修，而是在「問誰、等誰、誰決定」之間耗掉了時間。

所以這是管理問題，不是技術問題。技術可以外包，但「誰負責、多久內做完、怎麼對客戶說」這些決定，只有老闆能做。下面五個問題，就是一次不需要懂技術的健檢。

五個問題

問題一：公司有哪些系統？誰維護？

為什麼重要：不知道有什麼，就無從檢查。很多風險藏在被遺忘的角落，例如幾年前外包做的活動網站、離職員工架的測試機、沒人續約卻還開著的雲端帳號。

怎麼做：請 IT 與各廠商一起列出一張表，每個系統至少寫清楚：

• 名稱與用途（官網、ERP、倉儲、監視器、雲端硬碟、電商平台……）
• 放在哪裡（自家機房、主機商、雲端服務）
• 是否對外開放（客戶或外人能不能從網路連進來）
• 誰維護（內部誰、外包哪一家、聯絡窗口）

合格長什麼樣：老闆問「有幾個對外的系統」，當天就能拿出表格，而且每一列都有人名。

問題二：出事時誰拍板、誰動手？負責人休假呢？

為什麼重要：漏洞新聞不挑上班日。沒有指定的人，大家就會互相等。

怎麼做：指定一位「拍板的人」（通常是老闆或副總）、一位「動手的人」（IT 或廠商窗口），並且各自有代理人。把四個名字與手機號碼寫在同一張紙上。

合格長什麼樣：任何一位負責人休假或關機，另一個人自動接手，不需要再開會決定。

問題三：重大漏洞公布後，多久要盤點、多久要修？

為什麼重要：沒有時限，「晚點再說」就會變成「忘了」。「我們沒被攻擊過，不用定時限」是常見的誤解，時限是在沒事的時候訂的，不是出事才訂。

怎麼做：把時間寫成公司規定，數字由你自己決定。例如「公布後幾小時內完成盤點、確認有沒有受影響」「幾天內完成修補或採取暫時防護」。建議先定得出來的時間，哪怕現在偏寬鬆，再逐次檢討、逐次縮短，不要為了好看訂一個做不到的數字。

合格長什麼樣：這兩個時間白紙黑字存在，IT 與廠商都簽收過，演練時真的做得到。

問題四：誰對客戶說、說什麼、用什麼語言、什麼時候說？

為什麼重要：客戶最在意的，往往不是你有沒有漏洞，而是你有沒有掌握狀況。林老闆的客戶先打電話來，就是因為公司沒有先開口。

怎麼做：事先決定對外發言人，準備好通知範本，並考慮客戶的語言：泰國公司通常要有中文、泰文、英文三種版本。範本寫清楚「發生什麼事、我們檢查了什麼、目前採取什麼措施、客戶需要做什麼、下次何時更新」。如果涉及個人資料外洩，依泰國個人資料保護法可能有通報義務，請向法律顧問確認。

合格長什麼樣：範本已經翻譯並校對過，事發當天只需要填空，由發言人在約定時間內發出。

問題五：外包廠商有責任嗎？

為什麼重要：「交給外包就不用管」是最貴的誤解。系統是廠商做的，但客戶資料是你的，客戶只會找你。

怎麼做：翻出現有合約，看有沒有寫三件事：

1. 廠商發現漏洞或自己出事時，要通報你，並寫明通報時限
2. 漏洞的修補時限與費用由誰負擔
3. 出事時的聯絡窗口與代理人

合格長什麼樣：合約或補充備忘錄裡有這三項，而且廠商知道這些是你的要求。若現有合約沒有，下次續約或報價時補上。

🔧 AI 動手做：一頁漏洞應變卡

把上面五題的答案交給 AI，請它整理成一頁可以貼在牆上的「漏洞應變卡」，並指出你還缺什麼。把 [中括號] 換成你公司的實際情況再貼上。

你是一位熟悉中小企業管理的資安應變顧問，請用繁體中文，以不懂技術的老闆能看懂的語言回答。

我的公司資料：
- 公司規模與產業：[例：60 人的塑膠零件工廠，在泰國]
- 系統清單（名稱、放在哪、是否對外、誰維護）：[例：官網／主機商／對外／外包甲；ERP／自家機房／不對外／外包乙；雲端硬碟／雲端服務／對外／IT 阿宏]
- 負責人與代理人：[拍板：誰、代理：誰；動手：誰、代理：誰；手機號碼]
- 外包廠商與聯絡窗口：[廠商名稱、窗口、合約是否寫明漏洞通報與修補時限]
- 我們目前定得出來的時限：[例：公布後盤點多久、修補多久；若還沒有，請寫「尚未訂」]
- 客戶主要使用的語言：[例：中文、泰文、英文]

請產出一頁「漏洞應變卡」，包含：
1. 系統清冊表（欄位：系統、位置、是否對外、維護者、備註）
2. 聯絡順序（誰先接、找不到時換誰、何時通知老闆）
3. 時限（盤點完成時限、修補或暫時防護時限；若我沒提供，請建議我先訂一個做得到的版本，並說明之後如何逐次縮短）
4. 客戶通知範本，中文與泰文雙語各一份，留空格讓我填入日期、受影響範圍、措施；不要寫成已確定沒有問題
5. 如果可能涉及個人資料外洩，請提醒我向法律顧問確認是否有通報義務，不要替我判斷法規
6. 最後列出「還缺什麼」：我沒填或填得不清楚的項目，請逐一指出，並說明為什麼重要

請不要編造我沒提供的資訊，不確定的地方請標示「待確認」。

本週就能做的一步：用一張紙，列出公司對外開放的系統，每一個寫上一位維護的人名；列不出來的，就是這週要追問廠商的第一件事。

資料來源：Rapid7《Q3 2026 威脅報告》（2026-10-21）Rapid7：2026 年第三季威脅報告