企業資安線上課程怎麼選？E-Learning 規劃建議
挑選企業資安線上課程，先看三件事：內容是否貼近台灣員工的實際情境、平台能否匯出完訓與測驗紀錄，以及能否和釣魚演練搭配。符合這三點的課程，才能同時滿足稽核佐證與真正改變員工行為兩個目的。
人資最常遇到的狀況是：老闆要求「今年全員上資安課」，供應商的型錄卻一家比一家長。這篇照實際導入順序，從確認對象與時數、挑選課程、運用政府免費資源、搭配演練到排出年度計畫，一步一步說明。需要顧問協助規劃整體課程，可以參考我們的 資安教育訓練服務。
資安線上課程和實體課程，怎麼分工？
線上課程適合「人人都要上、內容相對固定」的通識主題，實體課程適合「需要討論、需要決策」的主題。兩者不是二選一，比較好的做法是讓線上課承擔基本時數，實體課留給主管與資訊人員。
以 300 人、三個廠區的製造業為例，密碼、釣魚郵件、檔案分享這類通識內容，用 10 到 15 分鐘的資安線上課程分次完成，產線人員可以在交班空檔用手機上課；資安事件的通報流程、主管如何判斷是否對外說明，則適合辦一場實體或視訊研討。若員工對課程主題還沒有概念，可以先看 資安教育訓練 的整體規劃方式。
步驟一：先確認對象與時數
規劃資安線上課程的第一步，是列出受訓對象並確認有沒有法定時數。被核定資通安全責任等級的機關要符合分級辦法的最低時數；一般企業沒有法定時數，但仍需要能證明「有做」的紀錄。
依民國 115 年 1 月 7 日修正的資通安全責任等級分級辦法附表，A、B、C 級特定非公務機關的教育訓練要求分成三層：資通安全專職人員每人每年 12 小時以上的專業課程或職能訓練；其他資訊人員每二年 3 小時以上專業課程，並每年 3 小時以上通識；一般使用者及主管每人每年 3 小時以上通識教育訓練。
一般民營企業的依據則是個人資料保護法施行細則第 12 條，它把「認知宣導及教育訓練」列為個資安全維護措施之一。實務上，主管機關或客戶檢視時看的，是名單、時數與測驗紀錄是否完整。
步驟二：用 6 個標準挑選資安線上課程
挑選資安線上課程時，與其比課程數量，不如逐項確認下面 6 個標準。課程數量多卻沒有台灣情境、匯不出紀錄，最後還是要人資手動補資料。
| 標準 | 要確認什麼 | 為什麼重要 |
|---|---|---|
| 在地情境 | 是否以台灣常見的詐騙、釣魚與個資案例為例 | 員工看過類似情境，才會記得 |
| 課程長度 | 單元是否在 15 分鐘以內，可分次完成 | 產線、門市與業務人員很難一次上 3 小時 |
| 完訓紀錄 | 能否匯出名單、時數、完成日期與測驗分數 | 這是稽核與法定時數的佐證 |
| 語言 | 是否有繁體中文，以及外籍員工需要的語言版本 | 製造業常有越南、印尼籍員工 |
| 更新頻率 | 多久更新一次，是否涵蓋新型詐騙手法 | 攻擊手法每年都在變 |
| 學員資料 | 平台蒐集哪些員工資料、存放在哪裡 | 平台廠商受託處理員工個資 |
最後一項最常被忽略。線上平台會蒐集員工姓名、電子郵件與學習紀錄；依個資法第 4 條，受委託處理個資者在個資法適用範圍內視同委託機關，企業仍要在合約中約定資料範圍、保存期限與安全要求。
資安線上課程有免費的嗎？
有。數位發展部資通安全署在民國 115 年 2 月 2 日宣布，與經濟部中小及新創企業署、國家資通安全研究院推出中小企業資安教育訓練影片與「資安星際指南」，並放在中小企業網路大學校平台免費使用。
教育訓練影片分成 5 個章節：基本資安防護、網路安全管理、電子資料安全、個資概念與系統發展委外安全；資安星際指南則是 5 冊圖像化的入門手冊。資安署同年 3 月 31 日也提到，中小企業可以撥打免付費專線 0800-280-280 詢問資安問題，並參考 3 月 27 日公布的中小企業基本資安防護指引及自檢表。
資安署的免費資源適合當作起點，但通常無法匯出符合企業需求的完訓報表，也不會依公司的系統與政策調整內容。資源有限的企業，可以先用免費影片完成通識，再針對公司實際使用的系統補上內部規定的說明。
步驟三：搭配社交工程演練
資安線上課程教的是「知道」，演練驗證的是「做到」。把課程和演練排在一起，先上釣魚郵件課程，一到兩個月後寄出模擬信，再讓點擊的人補上一堂短課，效果會比單獨上課明顯。
演練的設計方式與合法界線，可以參考 社交工程 的說明。課程內容也要跟著演練結果調整：如果多數人點擊的是偽裝成物流通知的郵件，下一季的課程就該加入辨識 釣魚網站 的練習，而不是重播去年的影片。
步驟四：排出年度資安線上課程計畫
年度計畫的重點，是把時數拆成小單元分散在一年中，並固定新進員工、演練後補課與事件後加強三個觸發點。下表可以直接套用，時數依公司是否有法定要求調整。
| 時間點 | 對象 | 線上課程內容 | 負責人 |
|---|---|---|---|
| 到職 1 個月內 | 新進員工 | 公司資安政策、密碼與帳號、釣魚郵件辨識 | 人資 |
| 每季 1 次 | 全體員工 | 15 至 45 分鐘短課加測驗，全年累計至少 3 小時 | 人資與資訊部門 |
| 演練後 2 週內 | 演練中點擊連結的員工 | 補課與小測驗 | 資訊部門 |
| 每年 | 資訊人員 | 專業課程，依法定時數或職務需要安排 | 資訊主管 |
| 每年 | 主管 | 資安事件通報與決策，可搭配實體研討 | 人資與資安負責人 |
| 發生事件或新型詐騙後 | 相關部門 | 事件說明與防範重點的短課 | 資安負責人 |
各步驟最常出錯的地方
步驟一最常見的錯，是把外包人員、派遣人員排除在名單外，他們一樣有公司帳號。步驟二常見的錯，是買了平台卻沒確認報表格式，年底才發現匯不出每人時數。
步驟三的問題通常出在溝通：演練前沒有告知主管，點擊的員工被公開點名，之後大家對課程與演練都產生反感。補課應該是學習機會，不是懲罰。步驟四則常在第二年失速，同一批影片重複播放，完訓率逐年下降；每年至少更新一半的單元，是讓課程維持效果的最低門檻。
導入資安線上課程前，先確認哪三件事？
開始採購之前，先確認三件事：受訓名單是否完整（含外包與派遣）、公司是否屬於有法定時數的特定非公務機關，以及完訓紀錄要交給誰、用什麼格式。這三點清楚了，挑課程與排計畫都會快很多。
想依公司的人數、據點與法規需求規劃課程與演練，可以參考我們的 資安教育訓練服務，或 預約一次免費諮詢。
資安線上課程常見問題
線上課程算法規時數嗎？
可以。資通安全責任等級分級辦法附表規定的是對象與時數，沒有限定實體或線上形式。採用線上課程時，應保留完成時數、日期、測驗分數與學員名單等紀錄。資通安全專職人員的職能訓練證書，則以主管機關公告的取得方式為準。
要選中文還是英文課程？
以員工最熟悉的語言為準。台灣員工選繁體中文課程，理解與完訓率通常最好；外籍員工較多的工廠，應準備其母語版本，例如越南文或印尼文。跨國企業的英文課程可以沿用，但最好補上台灣情境的案例與公司內部的通報方式。
免費的資安線上課程夠用嗎？
用來建立基礎觀念夠用，例如資安署放在中小企業網路大學校的教育訓練影片。若需要依角色派課、匯出完訓報表、搭配釣魚演練或符合客戶稽核，免費資源通常不足，需要商用平台或顧問協助設計。
參考資料
- 資通安全責任等級分級辦法 – 附表規定各等級資通安全教育訓練時數。全國法規資料庫 · 民國 115 年 1 月 7 日修正
- 個人資料保護法施行細則 – 第 12 條安全維護措施包括認知宣導及教育訓練。全國法規資料庫
- 數發部資安署攜手經濟部中企署與資安院 打造中小企業資安防護體系 – 中小企業資安教育訓練影片與資安星際指南。數位發展部資通安全署 · 民國 115 年 2 月 2 日
- 資安署力挺中小企業資安升級 三大策略強化數位防護力 – 中小企業網路大學校免費資源、0800-280-280 專線與自檢表。數位發展部資通安全署 · 民國 115 年 3 月 31 日
