資安新手入門 04｜資安預算要花多少：先問出事一天損失多少

當有人建議你該做定期更新、加裝異地備份或找人固定顧系統時，你心裡冒出的第一個問題很實際：這筆錢要花多少才合理？

如果你去打聽同業花多少、或是上網查企業資安預算佔營收的比例，拿到的數字對你可能沒有幫助。一間靠紙本與電話接單的批發商，網站掛掉一整天只是少幾封詢問信；一間靠線上結帳與數位廣告導流的電商，網站掛掉一個下午，燒掉的就是整天的廣告費與再也不回頭的訂單。就算公司規模相當，能承受的停機代價也完全不同。英國國家網路安全中心（NCSC）在《資安十步：風險管理》（10 Steps to Cyber Security: Risk management）指南中開宗明義指出：資安風險管理的起點，是先想清楚你的組織在做什麼、最在乎什麼，讓資源集中在對業務真正重要的事情上。

這是資安新手入門的第四篇。繼〈資安新手入門 01｜資安公告出來了：怎麼知道自己的系統中不中〉談過怎麼問版本之後，這篇不談技術，只幫你算一筆帳：不從別人花多少推，從你出事一天損失多少反推。

為什麼看同業花多少，算不出你的數字

買保險的時候，保額看的是你名下那棟房子值多少錢、失火了重建要花多少，而不是看鄰居買哪一張保單。系統的資安與維運也是一樣。

在〈系統做好之後，每個月還要花多少錢：維護費的三種算法〉那篇，我們拆解過為什麼直接問一個月多少錢很難得到標準答案——因為背後有三個只有你自己知道的變數：

• 這套系統壞一天，你的業務會不會停：如果只是公司形象頁，掛一天不痛不癢；如果是客戶下單、門市結帳或工廠排程的系統，停一天就是實打實的損失。
• 你能等多久才有人處理：可以等下禮拜有空再修，跟必須在一個工作日內有人接手，對應的是完全不同的人力安排。
• 裡面的資料丟了能不能重來：程式碼丟了還能重寫，如果裡面裝的是累積好幾年的客戶名單與交易紀錄，丟了就沒有重來的選項。

把這三件事換成台幣，你的預算上限自然就浮出來了。

先算左邊那筆帳：系統出事一天，你要付哪三筆錢

〈沒有維護的隱藏成本：一次當機、一次外洩、一次改不動〉那篇提過，省下維護費不是真的省，而是把一筆可預測的小額支出，換成一筆不可預測的大額支出。你可以拿出一張紙，把系統停擺或出事一天的代價，拆成下面三筆自己算得出來的帳：

• 第一筆：看得到的營業與廣告損失。把公司平常一天的線上營業額寫下來；如果當天有投數位廣告，再加上白白燒掉的單日廣告預算。這是最保守的底線——還沒算進第一次打不開網站就直接離開、再也不回來的潛在客戶。
• 第二筆：內部同事空轉與事後補登的人事成本。如果這套系統是內部作業、叫貨、對帳或客服在用的，系統停擺的一天裡，有幾位同事被迫停工、改用紙本手抄，隔天還得花加倍的時間把資料一筆一筆補登回去？把受影響的人數乘上日薪，就是你當天白付的薪水。
• 第三筆：臨時找人救火的溢價與善後時間。平常沒有固定負責的人，出事那天臨時找外部工程師來看，對方得先花時間摸熟一套沒看過的系統，而且急件報價一定比例行工作高。如果是客戶資料外洩，還得加上你自己出面一通一通向客戶解釋、處理客訴與查明原因的時間。

把這三個數字加起來，就是你的單日事故成本。而且別忘了，在沒有人固定顧、也沒有現成備份的情況下，從發現問題、找到人、查出原因到完全修好，要花的時間可能不只一天。

再算右邊那筆帳：四步反推你的合理月預算

有了單日事故成本，你就不需要靠感覺猜預算了。照著下面四步，自己就能算出公司的合理區間：

這個算式的邏輯很單純：如〈沒有維護的隱藏成本：一次當機、一次外洩、一次改不動〉所說，把一次事故的總損失，除以你打算「先省下來」的月數，再拿這個數字去跟每個月的維護費比較。如果每個月的維護費比那個數字小得多，那這筆預算買的就不是開銷，而是把災難擋在門外的划算交易。

預算有限的時候，錢該先花在哪個順序

算完之後，如果你發現預算還是有限，沒辦法一次把所有防護做滿，不要平均砍預算，而是照出事時哪一樣最救命的順序來花：

• 第一順位：異地備份與還原演練。這是花費最低、卻能保命的底線。〈你的 AI 產品有備份嗎：資料庫與檔案的最低標準〉那篇寫得很清楚，只要每天自動備份、放在不同主機或服務商，就算發生最壞的勒索或毀損，你也不至於從零開始。
• 第二順位：定期安全更新與關掉多餘的門。把已知的漏洞補上、把沒在用的舊站與離職人員帳號關掉，讓自動掃描的攻擊程式進不來。
• 第三順位：基本存活與異常監控。如〈網站掛了，誰會先知道：小產品也需要的監控最小組合〉說的，確保網站掛掉或硬碟快滿時，顧系統的人會比你的客戶先收到通知。

在〈系統做好之後，每個月還要花多少錢：維護費的三種算法〉與〈月費裡「含」跟「不含」：怎麼看懂一份維護方案〉裡，我們把這三件事連同日常除錯放在同一份維護裡，原因正是因為這三樣缺了任何一樣，都不能算真正有人在顧系統。

算完之後

資安與維運預算不是一筆無底洞的技術費用，而是一道經營者的算術題。整理成三件事：

• 不要問別人花多少，先問自己的系統停一天少賺多少、空轉多少、救火要花多少。
• 把算出來的一次事故損失攤到每個月，跟固定的基本維護費比一比，就知道現在省下這筆錢到底划不划算。
• 每一分預算都要換到明確的責任：多久內回應、多久做一次安全更新、備份放哪裡，都要白紙黑字寫清楚。

恩梯科技是客製化開發出身的系統軟體公司，現在做的是 AI 系統的長期維護。如果你已經算完左邊那張表，想知道自己的系統每個月到底該花多少力氣顧、現在缺了哪幾塊，可以從一次系統健檢開始：看的是程式碼、資料庫、部署、資安四個面向，〈系統健檢到底在看什麼：程式碼、資料庫、部署、資安四個面向〉那篇寫了完整的檢查內容。預約系統健檢