稽核結果說明
關鍵提要 (Cues)
稽核涵蓋範圍
51 項資安控制
(分為 8 大類別)
整體符合度
58.8% 合規
最高風險熱區
身分驗證
& 端點防護
& 端點防護
分析詳情與圖表 (Notes)
51項資安控制項目分佈
51
總項
符合 (OK) : 30 項
不符合 (NG) : 20 項
不適用 (NA) : 1 項
四大高危險 (NG)
- 全體 User 無 MFA / 弱密碼
- 無集中式端點偵測 (EDR)
- DB02 測試環境無備份
- 預設管理員帳號未停用
基礎建設現況 (OK)
OS Patch、防火牆規則、網路區段隔離 (VLAN)、日誌監控等基礎防護狀況良好。
不適用項目 (NA)
NA 1項: 目前無使用Open Source/Shareware，無需處理。
總結與行動方針 (Summary)
本次稽核顯示生產環境基礎架構防護已具備一定水準，但 帳密管理與端點防護仍存在嚴重缺口。
建議優先執行：(1) 全面導入 MFA；(2) 部署 EDR；(3) 完成 DB02 備份設定並執行 DR 演練。
風險矩陣分析
LV. 5 極度危險
立刻行動 (< 7 天)
🩸 魔王 1：門戶洞開 (無 MFA/弱密碼)
衝擊分數：25 分。攻擊者取得帳密即可如入無人之境，直接控制系統。
🩸 魔王 2：盲目防禦 (無 EDR)
衝擊分數：20 分。面對勒索軟體與進階威脅，系統毫無預警與行為阻斷能力。
LV. 4 高度風險
優先處理 (< 30 天)
- WAN 管理介面暴露 (16分)： 外網可直達管理後台。
- 預設管理員帳號 (15分)： 駭客最 internal 愛爆破的目標名稱。
- WAF 未部署 (12分)： 缺乏防護網頁層級攻擊(如 SQLi) 的盾牌。
- DB02 備份缺失 (12分)： 若遭勒索或誤刪，資料將永久遺失。
- DR 演練未執行 (12分)： 遇到災難時，無人能保證系統能依約定時間復原。
ISO 31000:2018 風險矩陣分佈 (5x5)
極高風險 (20-25)
高度風險 (10-19)
中度風險 (5-9)
低度風險 (1-4)
兵棋推演：如果駭客今天發動攻擊...
Phase 1：突破邊界 (Initial Access)
利用弱點： 暴露在外網的 WAN 管理介面 + 缺乏 MFA 保護的帳號。
駭客透過掃描發現 PMIS 系統，利用字典檔暴力破解。因為沒有「密碼複雜度要求」與「帳號鎖定機制」，駭客輕易猜出某員工的弱密碼，並順利登入 (無 MFA 阻擋)。
Phase 2：內部擴散 (Lateral Movement)
利用弱點： 過度開放的 RDP 權限 + 未停用的預設 Administrator 帳號 + 無 EDR 監控。
進入內網後，駭客發現伺服器 RDP 開放範圍過廣，且管理者帳號仍叫 `Administrator`。駭客提權後橫向移動。由於只有傳統防毒，駭客的惡意腳本行為完全沒有被攔截 (EDR 缺失)。
Phase 3：致命打擊 (Impact & Data Loss)
利用弱點： DB02 無備份 + 從未驗證的 DR 演練。
駭客針對所有伺服器部署勒索軟體加密檔案。雖然 DB01 有備份，但因為從未做過 DR 演練，IT 團隊手忙腳亂，復原時間遠超預期。更慘的是，DB02 (測試環境) 上的資料因為「待設定」長達兩年，資料遭到徹底加密且完全無法復原。
修補方案與預算選項對照
| 方案比較 | 方案 A：急救止血 (僅執行 P1 項目) |
方案 B：標準防護 (執行 P1 + P2 項目) |
方案 C：全面合規 (含 P3 委外項目) |
|---|---|---|---|
| 主要行動內容 |
|
|
|
| 解決風險比例 |
解決 2 項「極高」 以及 1 項「高」 (預設帳號) |
解決 3 項「高」 (WAN、WAF、DB02) |
解決 1 項「高」 (DR演練) 及 3 項「中」 |
| 預估費用 (新台幣) |
約 27 萬 (內部人力) + 1.2萬/年 (軟體) |
約 35.5 萬 + WAF 報價 + 1.2萬/年 |
約 184 萬 (含委外) + WAF 報價 + 8.4萬/年 |
風險項目評分明細
| 風險項目 | 可能性 (L) |
衝擊 (I) |
分數 (L×I) |
等級 | 建議對策 |
|---|---|---|---|---|---|
| 無 MFA / 帳密管理 | 5 | 5 | 25 | Extreme 極高 | (A.5.17/A.8.5) 立即啟用 MFA，強制密碼複雜度與帳號鎖定 |
| 無集中式 EDR | 4 | 5 | 20 | Extreme 極高 | (A.8.7) 部署 EDR，啟用行為分析與告警 |
| WAN 管理介面暴露 | 4 | 4 | 16 | High 高 | (A.8.20) 關閉 WAN 側管理埠，僅允許內部 IP |
| 管理員預設帳號 | 3 | 5 | 15 | High 高 | (A.8.2) 更名並停用 Administrator/root 預設帳號 |
| WAF 未部署 | 3 | 4 | 12 | High 高 | (A.8.23) 部署 WAF，完整設定 HTTP 安全標頭 |
| DB02 備份待設定 | 3 | 4 | 12 | High 高 | (A.8.13) 立即設定備份排程或正式文件化棄用 |
| DR 演練未執行 | 3 | 4 | 12 | High 高 | (A.5.30) 規劃並執行年度 DR 演練，驗證 RTO/RPO |
| RDP 開放範圍過廣 | 2 | 4 | 8 | Medium 中 | (A.8.2) 限縮 RDP 存取至管理跳板機 IP |
| 無 SBOM 清單 | 3 | 3 | 9 | Medium 中 | (A.8.8) 建立軟體物料清單，執行授權合規查核 |
| 滲透測試未執行 | 2 | 4 | 8 | Medium 中 | (A.8.20) 規劃委外滲透測試（最高報價方案 A 36 萬起） |
投資報酬率 (ROI) 決策分析
基準風險指標
不投資的代價 (事件預估損失)
NT$ 500萬 ~ 2,000萬
單次資安事件估算損失（包含業務中斷與無形聲譽受損）。
三階段方案 ROI 比較
方案 A：急救止血
(僅執行 P1 項目)
預估建置成本
NT$ 28.2 萬 /首年
- 涵蓋 MFA、密碼政策、EDR 部署。
- 立即解決 2 項「極高」等級威脅。
- ROI 最高：
只要成功阻擋一次帳密外洩，即可規避 500 萬損失，當年立刻回本。
方案 B：標準防護
(執行 P1 + P2 項目)
預估建置成本
NT$ 36.7 萬 + WAF
- 包含方案 A 所有防禦項目。
- 補齊 DB02 備份機制與 RDP 內網連線限縮。
- C/P 值首選：
有效填補所有基礎架構漏洞，第一年即接近損益平衡。
方案 C：全面合規
(含 P3 委外項目)
預估建置成本
NT$ 184.4 萬 + 軟體
- 包含方案 B 所有防禦項目。
- 完整執行委外滲透測試、弱點掃描與 DR 災備演練。
- 法規遵循：
成本雖高，但符合最高稽核要求，三年內規避一次重大攻擊即達正報酬。