查询方案

SECURITY / SELF-ASSESSMENT

88 题企业网络安全自评

按 11 个范畴，每次处理 8 题。可先完成熟悉的部分，再由相关同事确认其余项目。

8811 个范畴 · 分段作答
答案不会传送至伺服器。

如选择储存进度，答案会留在此浏览器；共用电脑请在完成后清除。本工具是 AL-Touch 的一般安全自评，并非 NIST 官方测试、稽核或法定合规判定。

已作答 0 / 88

SECTION 01 / 11

责任与风险管理

「已建立」应有实际执行及纪录；不清楚请选「未确认」。选择「不适用」的项目，仍应由负责人确认适用范围。

01是否指定负责网络安全决策的人员？
02是否记录重要业务依赖哪些 IT 系统？
03是否维持并定期覆核风险清单？
04是否有经管理层批准的安全政策？
05是否为改善项目安排负责人及期限？
06是否为重大系统变更订定批准程序？
07是否定期向管理层汇报安全问题？
08是否识别适用的合约、私隐及行业要求？

REFERENCE / COMPLETE CHECKLIST

完整题库与改善方向

可先阅读全部范畴，再安排相关同事作答。以下题目与上方自评相同，各范畴附有一般改善方向。

AL-Touch 编辑整理 · 更新：2026-10-21

01责任与风险管理

先列明责任人、重要业务及未处理风险，再订定覆核日期。

  1. 是否指定负责网络安全决策的人员？
  2. 是否记录重要业务依赖哪些 IT 系统？
  3. 是否维持并定期覆核风险清单？
  4. 是否有经管理层批准的安全政策？
  5. 是否为改善项目安排负责人及期限？
  6. 是否为重大系统变更订定批准程序？
  7. 是否定期向管理层汇报安全问题？
  8. 是否识别适用的合约、私隐及行业要求？
02设备与软件资产

更新设备、软件及对外服务清单，优先处理未知或停止支持的资产。

  1. 是否有公司电脑、伺服器及网络设备清单？
  2. 是否记录各设备的负责人及用途？
  3. 是否有重要软件及版本清单？
  4. 是否识别已停止安全更新的系统？
  5. 是否盘点公司域名、网站及对外 IP？
  6. 是否有未经批准设备接入的处理程序？
  7. 是否核对软件授权与安装来源？
  8. 设备退役前，是否验证资料已安全清除？
03账户与身份权限

优先保护管理员及遥距账户，收回闲置权限并覆核 MFA。

  1. 每位员工是否使用可追溯的个人账户？
  2. 管理员账户是否与日常工作账户分开？
  3. 管理员登入是否启用多重身份验证？
  4. 遥距及云端登入是否启用多重身份验证？
  5. 是否按工作需要授予最低必要权限？
  6. 员工离职或转职时，是否及时调整权限？
  7. 是否定期停用闲置及不明账户？
  8. 服务账户及金钥是否有负责人与轮换安排？
04网络与遥距连线

检查对外管理介面、分段及防火墙规则，限制不必要的连线。

  1. 是否保存最新的网络连线及分段图？
  2. 防火墙规则是否定期覆核用途及负责人？
  3. 管理介面是否限制于可信网络或受控连线？
  4. 访客 Wi-Fi 是否与公司内部系统隔离？
  5. 重要伺服器是否与一般用户网段适当分隔？
  6. 遥距支持连线是否需要批准及留有纪录？
  7. 是否限制不必要的对外服务及连接埠？
  8. 是否监察网络设备设定及异常连线？
05端点与漏洞修补

按风险安排修补，覆核防护覆盖及失败的更新。

  1. 公司电脑是否纳入统一的端点防护管理？
  2. 是否会跟进防护工具停止运作的设备？
  3. 是否定期取得适用的安全更新资讯？
  4. 是否按风险及对外暴露程度安排修补？
  5. 重要更新是否有测试及回复安排？
  6. 是否核对更新成功，而不只核对已下发？
  7. 手提电脑及可携设备是否使用磁碟加密？
  8. 是否限制一般用户自行安装高风险软件？
06资料与私隐保护

厘清敏感资料的位置、存取及保留期限，收紧公开分享。

  1. 是否识别客户、员工及业务敏感资料？
  2. 是否记录敏感资料的储存位置？
  3. 是否按资料敏感程度设定存取限制？
  4. 公开或外部分享连结是否定期覆核？
  5. 敏感资料传输是否采用合适的加密？
  6. 是否订定资料保留及删除安排？
  7. 是否限制敏感资料经 USB 或个人云端外传？
  8. 是否有处理个人资料查询及事故的负责人？
07备份与营运复原

优先验证关键系统可以还原，并保护备份账户及隔离副本。

  1. 是否列明需要备份的系统及资料？
  2. 是否订定可接受的资料损失及停机时间？
  3. 是否监察备份失败并安排跟进？
  4. 是否保留离线、不可变更或适当隔离的副本？
  5. 备份管理账户是否受到独立保护？
  6. 是否定期实际测试档案及系统还原？
  7. 是否验证还原资料可用并符合时间目标？
  8. 是否有重要人员缺席时仍可使用的复原指引？
08云端与供应商

覆核供应商存取、资料地区及责任分工，准备服务中断或退出方案。

  1. 是否有企业使用的 SaaS 及云端服务清单？
  2. 采购前是否评估供应商的安全安排？
  3. 是否清楚记录供应商与企业的安全责任？
  4. 供应商遥距存取是否有期限及权限限制？
  5. 是否核对云端资料储存及处理地区？
  6. 是否定期检查云端分享与公开存取设定？
  7. 是否知道供应商发生事故时的联系方式？
  8. 是否有汇出资料或转移服务的退出安排？
09AI 与智能体安全

盘点 AI 资料流与工具权限，先测试资料边界及重要操作的人工批准。

  1. 是否知道员工使用哪些 AI 服务及智能体？
  2. 是否订明哪些资料可以输入 AI 工具？
  3. 是否核对模型、文件处理及外部 API 的资料流？
  4. 知识库查询是否依照员工原有权限？
  5. 智能体工具是否只获授最低必要权限？
  6. 重要操作是否要求人工批准及可追溯纪录？
  7. 是否测试提示注入及敏感资料输出的风险？
  8. 是否有停用智能体、撤销金钥及回复操作的安排？
10监察与事故应变

厘清告警由谁处理，演练隔离、证据保存、通报及复原。

  1. 重要系统是否保存登入及管理操作日志？
  2. 日志时间是否同步并有适当保留期限？
  3. 是否指定人员处理安全告警及升级事件？
  4. 是否维持事故应变联系清单及替补人员？
  5. 是否有隔离受影响设备的操作指引？
  6. 是否知道如何保留日志及其他事故证据？
  7. 是否按适用要求整理通报对象及期限？
  8. 是否曾演练事故处理并跟进改善项目？
11人员、实体及日常习惯

用简短演练和明确通报渠道，补强人员、设备及付款核实流程。

  1. 员工是否接受与职务相关的网安培训？
  2. 员工是否知道可疑电邮应向谁查询？
  3. 付款或银行资料变更是否经独立渠道核实？
  4. 是否以演练检查员工辨识及通报可疑讯息？
  5. 机房及重要设备是否限制实体存取？
  6. 设备遗失时是否有通报及停用安排？
  7. 是否要求离开座位时锁定工作画面？
  8. 是否定期检讨培训、演练及日常操作的缺口？

参考安全管理方向：NIST Cybersecurity Framework ↗ · 返回 8 题快速自测