查詢方案

SECURITY / SELF-ASSESSMENT

88 題企業網絡安全自評

按 11 個範疇，每次處理 8 題。可先完成熟悉的部分，再由相關同事確認其餘項目。

8811 個範疇 · 分段作答
答案不會傳送至伺服器。

如選擇儲存進度，答案會留在此瀏覽器；共用電腦請在完成後清除。本工具是 AL-Touch 的一般安全自評，並非 NIST 官方測試、稽核或法定合規判定。

已作答 0 / 88

SECTION 01 / 11

責任與風險管理

「已建立」應有實際執行及紀錄；不清楚請選「未確認」。選擇「不適用」的項目，仍應由負責人確認適用範圍。

01是否指定負責網絡安全決策的人員？
02是否記錄重要業務依賴哪些 IT 系統？
03是否維持並定期覆核風險清單？
04是否有經管理層批准的安全政策？
05是否為改善項目安排負責人及期限？
06是否為重大系統變更訂定批准程序？
07是否定期向管理層匯報安全問題？
08是否識別適用的合約、私隱及行業要求？

REFERENCE / COMPLETE CHECKLIST

完整題庫與改善方向

可先閱讀全部範疇，再安排相關同事作答。以下題目與上方自評相同，各範疇附有一般改善方向。

AL-Touch 編輯整理 · 更新：2026-10-21

01責任與風險管理

先列明責任人、重要業務及未處理風險，再訂定覆核日期。

  1. 是否指定負責網絡安全決策的人員？
  2. 是否記錄重要業務依賴哪些 IT 系統？
  3. 是否維持並定期覆核風險清單？
  4. 是否有經管理層批准的安全政策？
  5. 是否為改善項目安排負責人及期限？
  6. 是否為重大系統變更訂定批准程序？
  7. 是否定期向管理層匯報安全問題？
  8. 是否識別適用的合約、私隱及行業要求？
02設備與軟件資產

更新設備、軟件及對外服務清單，優先處理未知或停止支援的資產。

  1. 是否有公司電腦、伺服器及網絡設備清單？
  2. 是否記錄各設備的負責人及用途？
  3. 是否有重要軟件及版本清單？
  4. 是否識別已停止安全更新的系統？
  5. 是否盤點公司域名、網站及對外 IP？
  6. 是否有未經批准設備接入的處理程序？
  7. 是否核對軟件授權與安裝來源？
  8. 設備退役前，是否驗證資料已安全清除？
03帳戶與身份權限

優先保護管理員及遙距帳戶，收回閒置權限並覆核 MFA。

  1. 每位員工是否使用可追溯的個人帳戶？
  2. 管理員帳戶是否與日常工作帳戶分開？
  3. 管理員登入是否啟用多重身份驗證？
  4. 遙距及雲端登入是否啟用多重身份驗證？
  5. 是否按工作需要授予最低必要權限？
  6. 員工離職或轉職時，是否及時調整權限？
  7. 是否定期停用閒置及不明帳戶？
  8. 服務帳戶及金鑰是否有負責人與輪換安排？
04網絡與遙距連線

檢查對外管理介面、分段及防火牆規則，限制不必要的連線。

  1. 是否保存最新的網絡連線及分段圖？
  2. 防火牆規則是否定期覆核用途及負責人？
  3. 管理介面是否限制於可信網絡或受控連線？
  4. 訪客 Wi-Fi 是否與公司內部系統隔離？
  5. 重要伺服器是否與一般用戶網段適當分隔？
  6. 遙距支援連線是否需要批准及留有紀錄？
  7. 是否限制不必要的對外服務及連接埠？
  8. 是否監察網絡設備設定及異常連線？
05端點與漏洞修補

按風險安排修補，覆核防護覆蓋及失敗的更新。

  1. 公司電腦是否納入統一的端點防護管理？
  2. 是否會跟進防護工具停止運作的設備？
  3. 是否定期取得適用的安全更新資訊？
  4. 是否按風險及對外暴露程度安排修補？
  5. 重要更新是否有測試及回復安排？
  6. 是否核對更新成功，而不只核對已下發？
  7. 手提電腦及可攜設備是否使用磁碟加密？
  8. 是否限制一般用戶自行安裝高風險軟件？
06資料與私隱保護

釐清敏感資料的位置、存取及保留期限，收緊公開分享。

  1. 是否識別客戶、員工及業務敏感資料？
  2. 是否記錄敏感資料的儲存位置？
  3. 是否按資料敏感程度設定存取限制？
  4. 公開或外部分享連結是否定期覆核？
  5. 敏感資料傳輸是否採用合適的加密？
  6. 是否訂定資料保留及刪除安排？
  7. 是否限制敏感資料經 USB 或個人雲端外傳？
  8. 是否有處理個人資料查詢及事故的負責人？
07備份與營運復原

優先驗證關鍵系統可以還原，並保護備份帳戶及隔離副本。

  1. 是否列明需要備份的系統及資料？
  2. 是否訂定可接受的資料損失及停機時間？
  3. 是否監察備份失敗並安排跟進？
  4. 是否保留離線、不可變更或適當隔離的副本？
  5. 備份管理帳戶是否受到獨立保護？
  6. 是否定期實際測試檔案及系統還原？
  7. 是否驗證還原資料可用並符合時間目標？
  8. 是否有重要人員缺席時仍可使用的復原指引？
08雲端與供應商

覆核供應商存取、資料地區及責任分工，準備服務中斷或退出方案。

  1. 是否有企業使用的 SaaS 及雲端服務清單？
  2. 採購前是否評估供應商的安全安排？
  3. 是否清楚記錄供應商與企業的安全責任？
  4. 供應商遙距存取是否有期限及權限限制？
  5. 是否核對雲端資料儲存及處理地區？
  6. 是否定期檢查雲端分享與公開存取設定？
  7. 是否知道供應商發生事故時的聯絡方式？
  8. 是否有匯出資料或轉移服務的退出安排？
09AI 與智能體安全

盤點 AI 資料流與工具權限，先測試資料邊界及重要操作的人工批准。

  1. 是否知道員工使用哪些 AI 服務及智能體？
  2. 是否訂明哪些資料可以輸入 AI 工具？
  3. 是否核對模型、文件處理及外部 API 的資料流？
  4. 知識庫查詢是否依照員工原有權限？
  5. 智能體工具是否只獲授最低必要權限？
  6. 重要操作是否要求人工批准及可追溯紀錄？
  7. 是否測試提示注入及敏感資料輸出的風險？
  8. 是否有停用智能體、撤銷金鑰及回復操作的安排？
10監察與事故應變

釐清告警由誰處理，演練隔離、證據保存、通報及復原。

  1. 重要系統是否保存登入及管理操作日誌？
  2. 日誌時間是否同步並有適當保留期限？
  3. 是否指定人員處理安全告警及升級事件？
  4. 是否維持事故應變聯絡清單及替補人員？
  5. 是否有隔離受影響設備的操作指引？
  6. 是否知道如何保留日誌及其他事故證據？
  7. 是否按適用要求整理通報對象及期限？
  8. 是否曾演練事故處理並跟進改善項目？
11人員、實體及日常習慣

用簡短演練和明確通報渠道，補強人員、設備及付款核實流程。

  1. 員工是否接受與職務相關的網安培訓？
  2. 員工是否知道可疑電郵應向誰查詢？
  3. 付款或銀行資料變更是否經獨立渠道核實？
  4. 是否以演練檢查員工辨識及通報可疑訊息？
  5. 機房及重要設備是否限制實體存取？
  6. 設備遺失時是否有通報及停用安排？
  7. 是否要求離開座位時鎖定工作畫面？
  8. 是否定期檢討培訓、演練及日常操作的缺口？

參考安全管理方向：NIST Cybersecurity Framework ↗ · 返回 8 題快速自測