資安事件處理流程：偵測、分級、通報到復原
資安事件處理流程可以分成 6 個階段：事前準備、偵測與確認、事件分級、通報、圍堵與根除、復原與檢討。真正決定損失大小的，是事件發生前有沒有先把角色、分級標準與通報對象寫好，而不是事發當下臨時找人。
數位發展部資通安全署在民國 115 年 7 月發布的《資安事件應變處理行動指引》，就是以中小企業為對象，強調應變計畫要由管理階層審查核可。這篇依實際處理順序整理，最後附一頁式 Playbook。若希望把這套流程納入資訊安全管理制度並取得驗證，可以參考我們的 ISO 27001 驗證輔導。
資安事件是什麼？
資通安全管理法第 3 條將資通安全事件定義為：系統、服務或網路狀態經鑑別，顯示可能違反資通安全或保護措施失效，並影響資通系統機能運作的狀態。簡單說，只要系統被入侵、資料外洩或遭竄改、服務中斷，都屬於資安事件。
資安署指引列出中小企業最常遇到的 6 種情境：設備受感染異常、帳號被盜、網路釣魚、商業支付詐欺、勒索軟體攻擊，以及阻斷服務攻擊。例如員工電腦中了 惡意程式、財務收到假冒供應商的改帳戶通知，都應該啟動處理流程，不要等確定是「大事」才動。
資安事件處理流程 6 階段
資安事件處理流程的 6 個階段，對應資安署指引的四大階段：準備、偵測與應變處理、通報與外部溝通、復原與持續改善。下表整理每個階段要做的事：
| 階段 | 要做什麼 | 資安署四階段 |
|---|---|---|
| 1. 事前準備 | 盤點核心資產、編組應變小組、寫好 SOP 與備用溝通管道 | 準備 |
| 2. 偵測與確認 | 發現異常立即內部通報，排除誤報、釐清受影響範圍 | 偵測與應變處理 |
| 3. 事件分級 | 依既定標準判斷嚴重程度，決定由誰指揮 | 偵測與應變處理 |
| 4. 通報 | 依法規、契約與營運需要，通報主管機關、客戶與警方 | 通報與外部溝通 |
| 5. 圍堵與根除 | 斷網隔離、保全證據，找出入侵途徑並清除 | 偵測與應變處理、復原 |
| 6. 復原與檢討 | 安全驗證後恢復服務，完成結案報告與改善 | 復原與持續改善 |
第 5 階段有兩個最常犯的錯。第一，懷疑設備被感染時應該先拔網路線、關閉 Wi-Fi，但不要關機或重開機，資安署指引特別提醒，關機會讓記憶體中的跡證流失。第二，急著還原系統卻沒找出入侵途徑，攻擊者很可能從同一個漏洞再進來。
資安事件分級怎麼訂？
資安事件分級是依影響範圍與嚴重程度，決定處理優先順序與決策層級。公務機關與特定非公務機關適用《資通安全事件通報應變及演練辦法》的 4 級制，第 3、4 級為重大資通安全事件；一般企業沒有法定分級，可以參考同樣的邏輯自訂。
法定 4 級的判斷軸是「核心或非核心」「輕微或嚴重」「是否涉及關鍵基礎設施」：非核心資訊輕微外洩屬第 1 級，核心業務資訊或核心系統受到嚴重影響則往第 3 級以上走。一般企業可簡化為 3 級：
| 等級 | 判斷例子 | 誰指揮 | 陳報管理階層 |
|---|---|---|---|
| 低 | 單台電腦中毒已隔離、釣魚郵件無人點擊 | 資訊窗口 | 事後彙報 |
| 中 | 帳號被盜、非核心系統中斷、少量內部資料外洩 | 資訊主管 | 1 小時內 |
| 高 | 勒索軟體加密、核心系統停擺、個資或金流受影響 | 總經理或其授權主管 | 1 小時內，並啟動應變小組 |
表中 1 小時的時限，參考資安署指引附件的建議里程碑：發現異常 15 分鐘內內部通報，1 小時內陳報管理階層並啟動應變小組。指引也註明，這些是企業自訂的管理目標，可依業務衝擊分析調整。
資安事件通報對象與期限
要通報誰，取決於公司身分、事件是否涉及個資，以及契約約定。多數一般企業沒有資通安全管理法的通報義務，但涉及個資、上市櫃或受託業務時，仍有其他規定要遵守：
| 對象 | 什麼情況 | 期限或依據 |
|---|---|---|
| 中央目的事業主管機關 | 特定非公務機關（關鍵基礎設施提供者、公營事業等） | 知悉後 1 小時內通報；第 1、2 級 72 小時內、重大事件 36 小時內完成損害控制或復原；1 個月內提交調查報告 |
| 當事人與產業主管機關 | 個資被竊取、洩漏或竄改 | 個資法第 12 條查明後通知當事人；部分產業辦法要求 72 小時內通報 |
| 投資人 | 上市櫃公司系統遭入侵致無法營運，或個資、內部文件外洩 | 依證交所、櫃買中心規定發布重大訊息 |
| 委託方 | 執行受託業務時發生事件 | 依契約約定通知 |
| 警察機關與銀行 | 涉及犯罪或詐騙匯款 | 報案；涉金流立即請銀行圈存並撥 165 |
| TWCERT/CC | 任何企業需要協助時 | 可自願線上通報 |
涉及個資的部分，應變步驟可以對照 個資外洩怎麼辦 的整理。商業支付詐欺要特別快，資安署指引稱攔阻匯款有「30 分鐘黃金時間」，成功率隨時間快速下降。
資安事件應變的角色與責任
資安事件應變至少需要三種角色：決策指揮者、技術處理人員、內外部聯絡人員。資安署指引建議預先編組「通報及應變小組」，事發時由管理階層依衝擊程度啟動，並指定單一對外發言窗口，避免不同人說法不一。
中小企業不必每個角色都有專人，但每個角色都要有人和代理人。常見分工是：總經理擔任決策者，資訊人員或委外 IT 廠商負責技術處理，行政或業務主管負責聯絡客戶，涉及個資時再加入法務或個資窗口。資安廠商與鑑識團隊的聯絡方式，要在事前就寫進名單。
一頁式資安事件應變 Playbook
這份清單把資安事件處理流程濃縮成 10 步。印出來，放在資訊人員與主管手邊。
- 發現異常：記下時間、現象與受影響系統，15 分鐘內通知資訊窗口。
- 先隔離：拔網路線、關閉 Wi-Fi，不要關機或重灌。
- 確認與分級：排除誤報，依分級表判斷等級。
- 陳報與啟動：中級以上 1 小時內陳報管理階層，啟動應變小組。
- 改用備用溝通：懷疑郵件或通訊軟體遭入侵時，改用事先準備的備用管道。
- 保全證據：保留日誌、記憶體與可疑檔案，必要時請外部鑑識。
- 通報：依前表確認要通報的對象與期限。
- 根除與復原：修補漏洞、重設密碼，從確認乾淨的備份還原，安全驗證後才恢復服務。
- 對外說明：由指定窗口發布，不臆測、不隱瞞。
- 結案：完成結案報告，陳報管理階層並追蹤改善事項。
資安事件演練與檢討
沒演練過的流程，多半派不上用場。資安署指引建議每年至少辦理一次營運持續計畫演練，並針對勒索軟體、資料外洩等高風險情境做情境演練，驗證通報、應變與復原程序是否有效。
事件結束後的檢討，重點是找出根本原因並改掉它，例如補強帳號管理、修訂規範或加強員工訓練。ISO 27001 附錄 A 的 5.24 到 5.28 與 6.8，也把事件管理的規劃、評估、應變、學習、蒐證與人員通報列為控制措施，已導入或準備導入的企業，可以直接把這份流程寫進制度文件。
還沒有應變流程的公司，這週可以先做哪三件事？
第一，寫下應變小組名單與代理人，包含資安廠商與鑑識團隊的聯絡方式。第二，訂出公司的分級表與通報對象，特別確認自己是否為特定非公務機關、是否上市櫃、合約中是否有通知條款。第三，準備一個不依賴公司郵件系統的備用溝通群組。這三件事做完，再挑一個情境做桌上演練。
想確認現有流程是否足夠，或需要協助撰寫應變程序，可以 先請顧問看一下現況。
資安事件處理流程常見問題
什麼算資安事件？
只要系統、服務或網路出現被入侵、資料外洩或竄改、服務中斷，或保護措施失效的狀態，都算資安事件。員工點了釣魚連結、帳號異常登入、電腦被加密勒索，都應啟動處理流程，再依影響程度分級。
要通報給誰？
特定非公務機關要在知悉後 1 小時內通報中央目的事業主管機關。通報單內容與四級事件的審核時限，可以參考資安事件通報的說明。一般企業則依情況通報：涉及個資要通知當事人並依產業規定通報，上市櫃要發布重大訊息，受託業務依契約通知委託方，涉及犯罪向警方報案，也可以向 TWCERT/CC 線上通報。
沒有資安人員怎麼辦？
先指定一位資訊窗口與代理人，並事先和委外 IT 或資安廠商約定緊急支援方式與聯絡電話。資安署指引也建議，非專業人員接獲通報時，先記錄來源、時間、經過與受影響系統，立即啟動外部專家支援。
參考資料
- 資安事件應變處理行動指引 – 四大階段、六大情境、檢核清單與建議時限。數位發展部資通安全署 · 民國 115 年 7 月
- 資通安全事件通報應變及演練辦法 – 事件分級與通報、應變時限。全國法規資料庫 · 民國 115 年 1 月 5 日修正
- 資通安全管理法 – 第 3 條資通安全事件定義。全國法規資料庫 · 民國 114 年 9 月 24 日修正
- NIST SP 800-61 Rev. 3 – 以 CSF 2.0 為架構的事件應變建議。NIST · 2025 年 4 月
