資安新手入門 08｜一年一次還是每個月：資安該用什麼頻率檢查

我們公司去年底才請廠商做過一次資安檢查，今年應該不用再看了吧？這是很多經營者心裡的疑問。把資安檢查想成一年一度的員工健康檢查，做完拿到報告、放進抽屜，覺得接下來一整年都可以高枕無憂——直到某天網站突然打不開，或是收到主機欠費與漏洞通知，才驚覺半年來系統裡面早就變了樣。

反過來，如果你要求工程師每一件事都每天盯著看，沒過多久大家就會因為疲乏而流於形式。這是資安新手入門的第八篇（也是第一部先看懂你現在有什麼的收尾篇）。在〈資安新手入門 01｜資安公告出來了：怎麼知道自己的系統中不中〉確認過版本之後，這篇要幫你把資安與系統檢查定出合理的節奏：哪些事要每個月看、哪些每季或每年看一次就夠、哪些則是只要發生變動就得立刻做。

為什麼一年檢查一次擋不住平時的意外

公司裡的網站跟系統是活的：每天都有新的交易資料寫進資料庫、每個月都有雲端帳單與平台通知、每個禮拜都有新的軟體安全公告出來、時不時還有員工報到或離職。如果你一年才打開來看一次，等於把中間這段日子的風險全部交給運氣。

英國國家網路安全中心（NCSC）在《資安十步：資產管理》（10 Steps to Cyber Security: Asset management）指南中指出：隨著時間過去，系統環境會自然增長變化，組織必須持續維護並驗證資產清單的準確度，並在系統或資料不再需要時，立即停用相關帳號與憑證；而在《資安十步：弱點管理》（Vulnerability management）中也強調，弱點管理是一個貫穿系統生命週期的持續過程，必須隨時掌握新出現的威脅與失敗的更新，不能只靠單一時間點的檢查。

換句話說，好的資安節奏不是把所有事情塞在同一天做，而是依照事情變動的速度與出事的代價，拆成四種不同的頻率。

第一種頻率：每週到每個月要看的事（確認機器活著、備份有跑）

這一層是系統的呼吸與心跳。如果這幾件事停了，你可能幾天內就會遇到當機或資料遺失。在〈主機、監控、安全更新：這三件事自己做要花多少時間〉裡，我們把這些例行工作需要的時間攤開來算過：

• 每週看一次錯誤紀錄：把系統新出現的報錯挑出來、判斷要不要處理，花不到半小時，卻能在小問題變成大當機之前先攔下來。
• 每個月看主機資源與帳單通知：看硬碟空間、記憶體是不是快滿了，順便看雲端平台有沒有寄來異常費用或強制升級的通知。
• 每個月確認備份真的有產生：不是看當初有沒有設排程，而是進去看最新一個備份檔是不是在主機以外的地方、檔案大小正不正常。

第二種頻率：每一季要做一次的事（安全更新與試還原）

有些事情每個月做太頻繁、一年做一次又太久，最剛好的節奏是一季一次（遇到重大緊急漏洞則另外加開）：

• 例行安全性更新：把這段時間累積的語言、框架與套件安全修補，先在測試環境跑過一遍、確認不會弄壞現有功能，再更新上正式環境。
• 實際試還原一次備份：如〈你的 AI 產品有備份嗎：資料庫與檔案的最低標準〉提過的，沒試過還原的備份只能算希望。每一季挑一天，真的把備份倒回測試環境跑一次，確認真出事時資料救得回來。
• 巡檢一次目前留存的後台與廠商帳號：對一下現在還開著的管理員帳號，是不是每一個都還有在用。

第三種頻率：一年一次，或有變動時立刻做的事

把每個月跟每一季的基本功穩住之後，剩下兩類事情才用年度或事件觸發來管：

• 一年看一次的大盤點：檢視整套系統架構有沒有即將停止維護（End of Life）的舊版本要提前規劃升級、網域與憑證的自動續約信用卡有沒有過期、以及整體的系統健檢或深度檢測。
• 只要有變動就當天做的事（不能等月底或季底）：員工離職或調職的當天停用帳號、跟外包廠商結束合作的當天收回權限、收到高風險安全公告的當週核對版本。這些事如果等到年底大掃除才做，中間這段時間就是大門敞開的空窗期。

一張表對照：公司資安檢查的四種節奏

你可以把下面這張表直接印出來或貼給負責系統的同仁，確認你們家的檢查節奏有沒有漏掉哪一格：

把固定節奏交給制度，不要交給記憶力

看完這四種頻率，你就會明白為什麼單靠老闆偶爾想起來問一下沒有用——因為人忙起來難免會忘記，特別是每季試還原跟每週看紀錄這種平常看起來沒什麼成就感、不做也不會馬上爆炸的事。

如〈主機、監控、安全更新：這三件事自己做要花多少時間〉算過的，「三件事拆成六項例行工作」，包含「每週看錯誤紀錄：把新出現的錯誤挑出來、判斷哪些要處理，大約 30 分鐘」、「確認備份：備份有跑、檔案真的存在、放在主機以外的地方，大約 20 分鐘」、「每季試還原：真的還原一次，確認資料回得來，大約 2 小時」，加起來每個月大約要花掉 6 到 8 小時。如果你們公司沒有人能固定撥出這段時間，最誠實的做法就是把它交給專門負責長期維運的夥伴。

恩梯科技是客製化開發出身的系統軟體公司，現在做的是 AI 系統的長期維護。長期維護要顧的是：主機與監控每天有人看著，安全更新、異地備份與定期試還原都照著固定節奏走，不需要你記在自己的行事曆上。如果你想知道手上的系統現在最缺哪個頻率的檢查，可以從一次系統健檢開始：預約系統健檢