出事時誰做什麼：一份簡單的資安應變計畫

網站被入侵、信箱被盜用、勒索程式鎖住檔案，資安事件發生的當下，最常見的狀況是慌亂：不知道該先做什麼、該找誰、要不要通知客戶，大家各自憑直覺行動，有人急著刪檔案，有人忙著重開機，反而破壞了追查的線索。一份事先準備好的應變計畫，能讓這些關鍵的時刻有章可循。

應變計畫不需要很複雜

對中小企業來說，資安應變計畫不必是厚厚一本手冊，幾頁清楚的文件就夠了。重點是回答幾個問題：誰負責判斷與指揮？技術上該找誰協助？哪些步驟要先做、哪些不能做？需要通知哪些人、在什麼時間內通知？這些問題在平靜的時候很容易想清楚，在事件當下卻很難冷靜思考。

計畫中最重要的，往往是一份聯絡清單：內部負責人、網站與系統的維護廠商、主機商、網域與信箱的管理者，以及他們的聯絡方式與服務時間。出事時第一件要做的事，常常就是找到對的人。

也要事先確認重要帳號掌握在誰手上：主機、網域、雲端服務的管理帳號如果只有一個人知道，那個人剛好聯絡不上時，事情就會卡住。

計畫裡應該寫清楚的事

依照事件發生的順序，至少包含這幾個部分：

• 發現與通報：同仁發現異常時向誰通報，並強調通報不會被責怪，越早越好。
• 止血與保留證據：先隔離受影響的設備或暫停網站，同時保留紀錄與檔案，不要急著刪除。
• 對外溝通：是否需要通知客戶、合作夥伴或主管機關，由誰發言、口徑怎麼定。
• 復原與檢討：從可靠的備份復原、補上入侵的漏洞，事後檢討並更新計畫。

涉及個人資料外洩時，依法可能有通知當事人的義務，這部分最好事先和法務或顧問確認，寫進計畫裡，而不是事發後才臨時查詢。

應變計畫的價值，是讓最慌亂的時刻，也有人知道下一步該做什麼。

這對你的生意意味著什麼

資安事件的損害，很大一部分來自處理不當：錯過了止血的時機、破壞了證據、對外說明混亂，讓一次技術問題演變成信任危機。有計畫的企業，能更快恢復營運，也能向客戶展現負責任的態度。

計畫寫好之後，每年至少拿出來演練一次：模擬一個情境，大家照著走一遍，看看聯絡清單是否還正確、步驟是否可行。創智苑的資安服務可以協助你整理應變計畫與聯絡清單，並協助進行情境演練。