中小企業網路攻擊防範：不買新產品的順序清單

小公司常覺得資安是大企業的事：我們資料不值錢，沒有人會來打。實際上許多攻擊並非針對特定公司，而是自動化地掃描弱點與試探帳號，誰有漏洞就打誰，公司大小不是條件。中小企業缺的不是被注意，是缺少人手把基本功做完。

這篇文章不推薦任何產品，只給一份依「投入少、降風險多」排序的清單。國際機關的指引方向一致：美國 CISA 的入門建議把辨識釣魚、強密碼與密碼管理工具、多因素驗證、更新軟體列為四項基本行動。以下把它們展開成可執行的順序。本站不做資安測試，引用原則見我們如何評比。

先弄清楚你在防什麼

三個最常見的入口：一是帳號密碼被盜或外洩，二是員工被騙點開惡意連結與附件，三是系統與設備有已知漏洞卻沒更新。它們不需要高深技術，對應的防線也不需要高價設備。清單的順序就是依這三個入口排的。

第一步：所有重要帳號啟用多因素驗證

多因素驗證的意思是：就算密碼被偷，攻擊者還缺第二個關卡。先從最重要的帳號開始：公司信箱、雲端硬碟、網路銀行、網域與主機的管理帳號、社群與廣告帳號。

• 優先用驗證器應用程式或實體安全金鑰，簡訊碼次之，總比沒有好。
• 管理員帳號一定要開，而且要與日常帳號分開，避免用管理員身分收信和上網。
• 多因素驗證的備援碼要印出或存到保險箱，並記下由誰保管，否則換手機時整間公司可能被鎖在門外。
• 強度上，CISA 建議優先採用能抵抗釣魚的驗證方式，例如 FIDO 與 WebAuthn（據美國 CISA CPG 2.0 2025 年指引） 。

第二步：備份，而且要實際還原一次

備份是勒索攻擊時的最後防線，但多數人的備份沒有經過驗證。CISA 為中小企業推薦 3-2-1 原則：三份重要檔案的副本，存在兩種不同的儲存媒介，其中一份放在異地（據美國 CISA 中小企業備份指引指引） 。

實務上要做到：

1. 至少一份備份離線，或使用一般帳號無法刪除、改寫的儲存空間，否則勒索軟體會連備份一起加密。
2. 每年至少做一次完整還原演練；CISA 的績效目標寫明測試備份與還原的頻率不應少於每年一次（據美國 CISA CPG 2.0 2025 年指引） 。
3. 記下還原需要多久。老闆要知道「停擺幾天」，而不是「有備份」。

第三步：讓更新自動發生

已知漏洞被攻擊，是最不該發生的事，因為修補程式早已存在。做法很簡單：作業系統、瀏覽器、辦公軟體、路由器與網路設備的自動更新一律開啟；已經停止支援的舊系統，要換掉或隔離到不連外網的環境；每個月固定一天，檢查是否有設備漏更。

網路設備是最常被忘記的一項：辦公室的路由器、防火牆與網路儲存設備，往往幾年沒更新過韌體。這類設備直接面對網際網路，一旦有漏洞被公開，就會成為第一個被掃描到的目標。如果你不確定設備的型號與版本，這本身就是要先解決的問題：列一張清單，寫下每台設備的型號、負責人與最近一次更新日期。

第四步：釣魚信與員工習慣

員工不是弱點，是最容易被針對的入口。訓練的目標不是要他們永不犯錯，而是縮短從點錯到通報的時間。

• 教三個徵兆：急迫感、要求輸入密碼或轉帳、寄件人與網域對不上。
• 設立一個明確的回報方式，並公開表揚回報的人，而不是責備點錯的人。
• 涉及匯款、變更收款帳號的要求，一律用電話回撥原本已知的號碼確認。

CISA 的績效目標對此要求至少每年一次的資安訓練，涵蓋辨識社交工程與基本網路衛生（據美國 CISA CPG 2.0 2025 年指引） 。小公司可以更頻繁，每次十分鐘就好。

第五步：權限最小化與離職流程

不是每個人都需要看到全部資料。財務資料只給財務，管理權限只給少數人，這樣即使某位員工的帳號被盜，攻擊者能碰到的範圍也有限。離職與轉調當天就撤銷帳號、收回裝置，共用帳號改成個人帳號。密碼管理工具可以避免員工把密碼寫在便利貼或重複使用。

第六步：寫好一頁應變單

事發時最缺的是時間與冷靜。用一頁紙寫下：誰有決定權、誰聯絡資訊廠商、備份放在哪裡、如何通報。台灣企業可以通報 TWCERT/CC，該中心提供免費諮詢與分析，並協助轉介專業廠商與執法單位。勒索事件的處理邏輯可參考勒索軟體簡史。

遠端辦公與外部廠商

遠端辦公把辦公室的邊界拉到每個人家裡。基本要求是：公司資料只放在受管理的雲端服務，不要傳到私人信箱；筆電開啟磁碟加密，遺失時資料不會外流；在咖啡廳等公共網路處理公司事務時，才需要 VPN 保護連線。外部廠商，例如網站代管、記帳軟體與行銷代理商，也都持有你的帳號或客戶資料，合作前問一句「你們怎麼保護我的資料」，並在合約結束時撤銷他們的權限。

一個月的實施節奏

不必一次做完。一種可行的排法：第一週完成多因素驗證；第二週建立備份並做第一次還原；第三週開啟自動更新並清點設備；第四週辦一次十分鐘的釣魚說明，並寫出應變單。做完之後每季複查一次，把「有沒有新員工、新設備、新服務沒納入」當成固定議程。

優先順序總表

什麼可以晚一點買

前六項做完，再考慮集中管理的端點防護、電子郵件過濾、日誌與監控服務。它們有用，但沒有前六項的基礎，買了也只是多一個沒人看的警報。VPN 也是同樣道理：它適合遠端辦公，但無法取代帳號防護與更新。