一、資安長話短說
（一） 當遭受攻擊致組織難以運作時，怎麼辦？
         身為資安長的您，想像某天突然收到各部門主管慌亂地報告系統遭受網路攻擊，關鍵服務幾近停擺，面對鋪天蓋地的混亂，與來自內、外部的高度壓力，此時該如何應對？
         面對網路攻擊，機關容易產生「不惜代價儘快修復」或「立即追究責任」的直覺反應。然而在資訊不足及高度壓力的情況下，倉促決策反而可能增加復原的困難，為此，英國國家網路安全中心（National　Cyber　Security Centre，NCSC）於115年7月28日發布「遭網路攻擊該怎麼辦」應變指南，將復原作業劃分為三個核心階段：「立即行動」 ? 「復原與調查」 ? 「重建」，並列舉對應的應對措施，協助機關有序完成復原作業。
（二） 三個應對階段：解析英國應變指南背後的核心思維
1. 階段一：立即行動（最初幾個小時）—保持冷靜，穩住局勢
資安事件發生的最初階段，正是機關陷入極度混亂與充滿焦慮的情境，因此，一開始必須以冷靜及專業的態度，掌握「發生了什麼、影響多大、接下來誰負責，以及是否尋求外部支援」等相關資訊，阻止災情繼續擴大。
(1) 用「權責明確的指揮結構」取代「多頭決策的集體焦慮」：
當業務全面停擺，訊息混亂的狀況下，最怕變成「大家一起處理，卻沒人知道誰決定」的亂象。因此第一時間啟動既有的事件指揮機制，將職責適度指派，明確分配決策、技術處理、營運應變及公關溝通的責任邊界，避免各自為政，並確保訊息傳遞順暢，讓整體應變行動有條不紊地進行，阻止損害繼續擴大。
(2) 「關機」與「斷網」是多維度風險管理的決策權衡：
發現系統被駭，要選擇關機？還是斷網？往往是第一個面臨的決策，緊急關閉系統雖可快速中止正在執行的惡意活動，卻可能讓部分重要鑑識證據消失，也無法進行攻擊者入侵的根因分析，進而大幅提升後續再次受駭（Re-compromise）的風險；而中斷受駭系統的網路連線，可阻止攻擊者持續遠端控制受駭設備，也降低威脅擴散的風險，但可能無法中止系統內部已經被觸發、暗中執行的惡意程序。因此，身為資安長的您必須扮演「風險衡平者」角色，根據當下威脅擴散急迫性、營運影響與後續資安事件調查等相關因素，權衡評估該關機還是斷網，必要時亦可尋求外部網路事件應變專家協助判斷。
2. 階段二：復原與調查（最初幾天～幾週）—調配有限資源，確保最低可行營運
在最初的數小時緊急混亂被逐漸控制後，目標將轉向循序恢復關鍵的營運服務，必要時可搭配替代方案，讓機關恢復到「最低可行營運（Minimum Viable Operations, MVO）」狀態。
(1) 打破部門本位主義：以「業務需求」制定復原優先序
在復原階段，每個部門可能會強調自己的系統最重要、必須第一個復原，此時資安長需引領各業務部門打破部門藩籬限制，決定復原之業務優先序位必須以「關鍵業務存續需求」與「營運衝擊分析（BIA）」為導向，而非由 IT 技術視角，或僅由系統規模、系統相依性考量。另在有限的資源與時間下，透過暫時性的離線替代方案，讓機關迅速復原到最低可行營運狀態，避免業務徹底停擺。
(2) 復原工作避免急於求成，防範二次受駭風險：
在遭受網路攻擊後，機關往往面臨來自內、外部壓力，導致容易落入急於求成的情形。然而，若在未確認攻擊者入侵途徑已遭阻斷、且惡意活動已被完全根除前，貿然復原系統極可能導致二次資安事件的發生。其中目錄服務（AD）為各項應用服務之基礎架構，考量攻擊者可能早已潛伏掌控部分帳號或新增未授權的特權帳號，復原過程建議優先聚焦於重新建構可信任的身分驗證機制，以防範二次受駭風險。
(3) 疲勞倦怠的危機管理—別讓員工面臨崩潰臨界點：
網路攻擊復原作業不是百米衝刺競賽，而是一場考驗機關續航力的馬拉松，建議資安長應關注員工在高壓下的身心狀況，除與員工保持通暢、公開的溝通管道、照顧員工的心理狀態，及實施輪班制度外，當內部員工疲憊不堪或能力不足時，亦可透過臨時增援措施或尋求外部專業事件應變團隊協處，以緩解事件發生時員工的工作負荷，及避免影響復原作業。
3. 階段三：重建（未來幾個月內）—化危機為機關未來的防禦韌性
(1) 讓同仁休養生息，而非僅是重建系統：
員工是機關韌性的重要一環，重大資安事件後，第一線技術團隊往往已面臨嚴重的身心透支，「修復同仁」與重建系統同等重要，建議主動為同仁提供休養與調適機制，不僅是人本關懷，更是事件後防範關鍵資安人才流失、恢復士氣，進而確保機關穩健回歸常態營運的關鍵決策。
(2) 根因分析及分享經驗：
需從資安事件中發掘根因，及持續改善機關的資安弱點，並鼓勵分享經驗學習，且將經驗轉化為未來的資安防護與強化韌性計畫，但也要切忌在機關未完全復原穩定前就嘗試全面轉型，避免延緩業務復原的時程，並給早已疲憊的機關帶來二次負擔。

二、資安政策及宣導
各機關（構）應強化資安管理網通設備及物聯網設備對外連結
         為降低各機關（構）網通設備及物聯網（Internet of Things， IoT）設備因遭駭利用作為入侵管道之風險，數位發展部資通安全署建請各機關（構）辦理以下事項：
1.  須全面盤點資產清冊及指定管理權責，並應自網際網路側檢視自身對外可見情形。
2.  嚴禁將網通及IoT設備管理介面直接曝露於網際網路，應透過虛擬私人網路（Virtual Private Network，VPN）或採用零信任機制進行遠端存取。
3.  應落實最小開放原則，關閉不必要之服務及通訊埠，對必須開放之服務，應停用已知不安全或未加密之通訊協定（如Telnet、FTP、SNMP v1/v2c等），並改採用加密安全方案（如SSH、SFTP、SNMPv3等）。
4.  定期更新設備韌體並更換密碼為高強度，並訂定漏洞修補時程及管理帳 號建議啟用多因子驗證；另針對已終止支援、無法取得安全更新之設備應訂定汰換期程。
5.  採購網通及IoT設備時，應將資安要求（如設備具備安全更新機制及可停用遠端連線功能等）納入採購規範。
6.  針對 IoT 設備，建議置於獨立網段隔離，限制其對外連線行為。
7.  公務機關嚴禁下載、安裝或使用危害國家資通安全產品
上述落實作為及委外活動網站網域管理情形，將納入後續行政院資通安全稽核之稽核項目。

三、近期資安事件分享
設備交接未完整，漏洞管理未落實
         某機關因轄區遼闊，故多處設立監視器並建置監視系統，且於系統前端設置防火牆以提升安全防護能力。惟近期接獲資安警訊通知，發現有可疑連線行為，經確認防火牆遭駭客入侵並取得控制權，竄改最高管理者帳號與密碼，及利用該設備連線至機關內部網路，造成資安威脅。
         經追查發現，本案主要發生原因為設備交接程序及後續資產盤點未臻完善所致，本案於辦理業務移轉時，僅完成書面文件移交作業，但未同步確認設備的詳細狀況（例如現在使用版本、原廠維護狀態、設備使用年限及預計汰換時限等資訊），交接程序不完整。
         同時業務接手單位承接業務後，亦未落實資產盤點及持續追蹤設備維護與汰換狀況，以致未掌握該防火牆的使用年限和原廠支援狀況，導致設備在超過原廠支援期限（EOS）後仍持續使用，因持續未取得最新的官方安全性更新或修補程式，最終因出現漏洞而遭駭客入侵取得防火牆的管理權限，竄改了最高管理者帳號與密碼，進一步連線至機關內部網路，嚴重影響機關整體資通安全。
經驗學習（Lessons Learned）
         本案核心問題非單純在於設備過於老舊，而是在業務移轉後未掌握設備現況與落實生命週期管理，導致原本應作為資安第一道防線的設備長期處於資安防護盲區，形成破口。為避免類似情形再次發生，建議各機關應落實以下防護措施：
（一）設備交接確實做好資安體檢
1.  落實設備現況清查：機關進行組織調整或業務移轉時，除清點硬體數量及基本資料外，也應確認設備使用版本、更新及修補狀況、原廠支援期限（EOS／EOL）及維運合約等，全面掌握設備實際防護狀態。
2.  釐清維護權責與合約狀態：交接時應確認設備是否在原廠支援或維護合約效期內，並釐清後續維護責任與經費來源，視設備現況預先規劃汰換時程，避免設備移轉後出現管理責任不明或維護中斷的情形。
（二）IoT設備存取管理：
1.  避免管理介面直接暴露於網際網路：監視器、防火牆等IoT設備之管理介面，原則上不應直接開放網際網路進行遠端存取，以降低遭外部攻擊的風險。
2.  落實獨立網段隔離：應將IoT設備管理介面與資料傳輸網段進行實體或邏輯隔離，透過存取控制，一旦設備遭駭後，有效阻斷駭客進一步向機關內網進行橫向移動（Lateral Movement）的攻擊風險。
3.  強化遠端維運存取控制：若有管理需求，應以現場維護為優先，遠端連線則應以「原則禁止、例外允許」為原則。如必需開放遠端連線管理，應以「短天期」為限，權限為臨時性，用完即關閉，並採用零信任及來源IP白名單、異常行為監控管理等機制，以提升資安防護安全性。

資料來源：數位發展部資通安全署月報重點節錄