中小企業資安：沒有資安人員也能做的六件事

小公司談資安，最常見的兩種反應是「我們這麼小，不會有人要」和「太複雜，等有預算再說」。兩種都讓事情停在原地。實際上，大多數入侵靠的是被重複使用的密碼、沒更新的系統和一封看起來正常的信，防範這些的方法便宜、可以自己做。這篇依「風險降低多少、需要花多少力氣」的比值排出順序，讓你知道下一個下午該做什麼。評估依據見本站的評比方法：我們不自行做攻防測試，只引用具名機構的公開指引。

先看順序：風險降低與投入力氣

下表把六項控制放在一起。「力氣」是指一位沒有資安背景的管理者需要的時間量級，不是預算。

第一件：所有帳號都開多因素驗證

多因素驗證（MFA）的價值在於：即使密碼被偷，攻擊者還缺第二道關卡。它應該排第一，因為多數小公司的核心資產都在幾個帳號裡：信箱、雲端硬碟、網路銀行、網域與主機管理、社群帳號。

依序處理：

1. 列出公司所有雲端服務與登入入口，包含沒人記得誰申請過的。
2. 先開信箱與網域註冊商，這兩個帳號被拿下等於整間公司的重設密碼權限都被拿走。
3. 再開財務、雲端儲存、客戶管理與通訊軟體的管理員帳號。
4. 驗證方式優先選驗證器 App 或實體安全金鑰，簡訊碼是最後選項而非不能用。
5. 印出或安全保存備用復原碼，不要只存在同一支手機裡。

取捨很現實：員工換手機時要重新綁定，需要一個固定的處理流程。這個麻煩比帳號被盜小得多。

第二件：備份，而且真的還原過

備份有兩個常見失敗：從來沒還原過，發現時已經壞了；和原系統放在一起，勒索軟體一起加密。CISA 的跨產業績效目標建議備份要與來源系統分開存放，並至少每年定期測試還原一次。對沒有專人維運的公司，我們建議每季做一次。

實際做法：

1. 決定什麼必須留：會計資料、客戶資料、合約、原始檔，而不是整台電腦。
2. 留至少兩份、放在不同地方，其中一份要無法被日常帳號直接改寫或刪除。
3. 開啟自動備份，別靠人記得。
4. 每季挑一份檔案，實際還原到另一台電腦並打開，記下花了多久。
5. 把「還原需要多久」寫進事件計畫，這個時間就是你能承受的停擺長度。

第三件：更新與淘汰老舊系統

多數被利用的漏洞是已有修補的漏洞。小公司的作法不必複雜：作業系統、瀏覽器、辦公軟體、路由器韌體都開自動更新；每季檢查一次有沒有裝置已不再獲得原廠更新，如果有，就排入汰換，或至少讓它離開公司主網路。

路由器與網路設備最容易被遺忘。預設管理密碼要改，遠端管理功能若用不到就關掉。若公司需要讓員工從外面連回內部資源，考慮的是有專人維護的遠端存取方案，而不是隨手開一個對外的埠；VPN 的角色見後面一節。

第四件：離職、轉調與閒置帳號

前員工帳號是最容易被輕忽的入口。做法是把停權寫成離職清單的一行：

1. 離職當天停用信箱與單一登入帳號，收回設備。
2. 更換該員工知道的共用密碼，並轉交其負責的雲端服務管理權。
3. 檢查該員工建立的自動轉寄規則與外部分享連結。
4. 每半年對照人事名單與帳號清單，找出沒有人負責的帳號。

共用帳號要盡量減少。一組大家都知道的密碼，離職時就是一次全公司換密碼。

第五件：釣魚意識，重點在回報而不是不上當

沒有人能永遠不點錯。所以目標不是零點擊，而是點到之後有人立刻通報。每季做一次簡短說明，內容聚焦三種：偽造付款通知、假冒主管要求緊急匯款、要求登入的假網頁。

要立下的規則只有兩條：涉及匯款或變更收款帳號，一律用另一個管道向對方電話確認；收到可疑信件，先通報而不是自己判斷。通報的人不能被責備，否則下次沒人說。

第六件：一頁事件計畫

事發時最缺的是決定權和電話號碼。一頁紙就夠，內容如下表。

把這張紙印出來放在辦公室，也存在雲端以外的地方，因為事發時你可能登不進雲端。

VPN 在這份清單的位置

VPN 常被當作資安的入口。它解決的是另一個問題：在公用網路上加密流量、或連回公司內部網路。它擋不住釣魚，也保護不了被盜的密碼。如果你想理解它能與不能做什麼，先讀什麼是 VPN，需要挑選時看如何選擇 VPN。前六項做完之後，它才是值得考慮的第七項。

這份清單不適合誰

若公司處理大量醫療、金融或個人敏感資料，或客戶合約要求特定稽核與認證，這份清單只是起點，你需要專業顧問與正式的資安管理制度。另外，不要把它當成一次性專案：每季挑一天重新檢查帳號、備份與更新，才是它真正發揮作用的方式。