資安新手入門 07｜照理說應該沒問題：技術回答裡的四種模糊說法

每次問工程師或合作廠商：我們的備份還原得回來嗎？昨天那個安全漏洞跟我們有沒有關係？離職同事的權限都關掉了嗎？如果你收到的回答開頭是——照理說沒問題、應該有跑、理論上不會中、正常來說已經關了——這時候先別急著點頭說好，然後把對話結束。

因為這四個詞同時出現或單獨出現時，翻譯成白話文只有一個意思：他現在是憑印象或邏輯推論回答你，他還沒有打開系統親眼看過。這是資安新手入門的第七篇。在〈資安新手入門 01｜資安公告出來了：怎麼知道自己的系統中不中〉與〈不懂技術的老闆，怎麼判斷工程師講的是不是真的〉裡，我們都提過一個核心原則：你不需要自己懂技術，但需要聽得出對方給的是推論還是事實。

為什麼技術人員回答問題時喜歡加這四個詞

先替工程師說句公道話：講出這四個詞的人，不見得是在敷衍你或騙你。在軟體系統裡，從當初設定好了到今天還在正常運作之間，中間隔著無數個可能悄悄改變的環節——主機硬碟滿了、外掛自動更新失敗、憑證過期了、或是某次改版不小心把設定蓋掉了。

正如英國國家網路安全中心（NCSC）在《資安十步：弱點管理》（10 Steps to Cyber Security: Vulnerability management）指南中所提醒的：組織不能只仰賴自動更新或既有設定，還必須持續監控更新狀態、主動了解更新在什麼情況下會失敗（例如儲存空間不足、版本落差過大、或是需要手動重啟才會生效），並在更新策略中寫清楚誰負責執行、誰負責檢查確認。

當你突然在會議上或訊息裡丟出一個問題，對方手邊沒有打開後台與紀錄檔，他腦中浮現的是當初是這樣設計的，於是脫口而出照理說沒問題。這是一句誠實反映我記憶中是這樣的話，但拿記憶當成現況，正是許多資安意外發生的起點。

拆解四種模糊說法：他心裡想的 vs. 實際上可能發生的

把這四個詞拆開來看，每一個背後都藏著一種常見的盲點：

• 第一種：應該（應該有備份、應該沒受影響）——這代表他憑的是幾個月前的記憶。當初上線時確實有設排程，但他今天沒有去看最後一個備份檔是哪一天產生的。如果不久前硬碟空間滿了導致備份每天失敗，他記憶裡的應該有，在今天就是完全沒有。
• 第二種：理論上（理論上外面連不進來、理論上這個漏洞打不到我們）——這代表他講的是教科書或架構圖上的設計，而不是線上的真實狀態。架構圖上畫著資料庫不對外開放，但說不定前陣子為了趕修一個緊急錯誤，有人暫時把防火牆規則打開測試，修完卻忘了關回去。
• 第三種：正常來說（正常來說系統會自動更新、正常來說會跳通知）——這代表他假設所有外部條件都處於完美狀態。但資安出事的時候，偏偏就是不正常的時候：收通知的信箱早就被塞爆、發通知的機器人金鑰過期、或是自動更新因為相容性問題卡在半路。
• 第四種：照理說（照理說廠商那邊會處理、照理說離職就登不進去了）——這代表他在用常理猜測別人的動作，沒有人真的去核對過權限清單或合約條款。你以為廠商照理說會看，廠商以為你們自己會看，中間那塊就變成了沒有人管的空地。

一張表把模糊推論換成查證事實

聽到這四個詞的時候，不需要質疑對方的專業，也不必當場氣氛僵掉。你可以照著〈不懂技術的老闆，怎麼判斷工程師講的是不是真的〉提到的原則（「你不必記得每一題背後的道理，只要記得好答案裡有三樣東西：具體的人、具體的時間、具體的退路」），溫和地把問題從當初怎麼設的拉回現在實際長怎樣：

給對方時間去查，但不要接受沒查的答案

很多時候技術人員會用模糊詞回答，是因為老闆在對話裡表現出現在立刻就要聽到沒問題的壓力。當你急著要一個安心的答案，對方最快能給你的就是應該沒事。

想改掉這個習慣，最有效的方法是把馬上回答跟去查清楚拆開。下次聽到這四個詞，你可以直接說：不用現在馬上憑印象回我，給你一點時間去後台看一眼，確認完再把現在的版號或截圖傳給我就好。當對方知道你要看的是今天打開系統查到的結果，那些模糊的推論自然就會變成具體的時間、數字與紀錄。

恩梯科技是客製化開發出身的系統軟體公司，現在做的是 AI 系統的長期維護。在〈不懂技術的老闆，怎麼判斷工程師講的是不是真的〉裡我們寫過：「健檢結論只有三種：可以直接接手、先整理再接手、建議重做比較省，不會給你模稜兩可的答案。」長期維護要顧的是：出事多久內有人回應、安全更新多久做一次，都該在合約裡寫清楚。如果你受夠了每次問系統狀況都只能聽到「應該沒問題」，可以從一次系統健檢開始。預約系統健檢