10:33am
（中央社記者趙敏雅台北20日電）數發部資安署開辦免費中小企業資安專家會客室服務，上線逾3個月，已有25家中小企業參與。資安署整理中小企業常見5大資安問題，其中，企業若導入代理式AI工具進行工作流程自動化，務必落實最小化授權、留存日誌，並設置人工審核機制把關。
資安署指出，許多中小企業常苦於資源與人力有限，陷入「想做資安，卻不知從何著手」的困境。為協助中小企業解決資安難題，資安署推出資安專家會客室服務，邀請具實務經驗的專家，以一對一方式提供諮詢，並給予客製化行動建議備忘錄，讓企業能夠執行。
資安署表示，資安專家會客室服務期間自6月至10月，提供超過100場次可預約服務時段；截至9月上旬，已有25家中小企業參與，累計預約32個場次，其中15家企業已完成專家諮詢輔導，其餘場次則視中小企業預約情形，陸續媒合辦理中。
資安署說明，申請企業約7成來自製造業與專業技術服務業，反映台灣作為全球供應鏈重要一環，中小企業面對國際客戶資安稽核，以及智慧財產權維護、數位轉型等需求，資安防護的重要性日益提高。
資安署表示，綜合會客室專家觀察，整理出中小企業5大資安問題與自保建議。首先，許多企業將資訊科技（IT）業務外包，卻疏於監督。專家建議，企業應指派專責窗口，定期審查委外廠商的維運報告，並明確劃分資安治理與IT維運職務，避免球員兼裁判的風險。
資安署指出，第2，備份安全措施不足，未隔離的備份容易在中毒時連同主機一起遭殃。專家呼籲，企業應定期進行還原測試，確保資料可用，並落實「3-2-1備份原則」，意即保留3份備份資料、使用2種不同儲存媒體、1份異地存放，且至少1份須為離線存放。
資安署提醒，第3，企業未落實帳號與權限管理，建議優先盤點核心系統與重要資訊資產，遵守最小授權原則，僅給予員工完成工作所需的最低權限，且須配發獨立帳號、嚴禁共用；員工離職當天務必立刻註銷所有系統帳號與權限。
資安署說明，第4，遠端連線防護脆弱，讓駭客有機會長驅直入。專家建議，嚴禁開放遠端桌面通訊協定（RDP）直接對外，遠端工作應透過虛擬私人網路（VPN）連線，並強制加入多因子鑑別或設定IP白名單；公司內部則應落實網段隔離（VLAN），防止威脅橫向擴散。
資安署指出，第5，輕忽AI新興工具風險。AI工具雖便利，卻也容易成為洩密管道，企業應儘速制定內部AI使用規範，嚴禁將公司機敏資料或系統程式原始碼上傳至外部AI工具。若導入代理式AI工具進行工作流程自動化，務必做到最小化授權、留存日誌，並設置人工審核機制進行最終把關。
資安署表示，未來將把第一線經驗升級為更全面、制度化的產業聯防，同時，已發布資安事件應變行動指引，協助企業快速處理資安事故，並與大專院校合作組成資安健檢團，將學生專業訓練成果帶進企業端，全面協助中小企業強化資安防護。（編輯：蘇志宗）1150920
