企業發生資安事件怎麼處理？個資外洩聲明與鑽石六小時應變

先分清楚：技術團隊處理系統，決策團隊處理影響

系統無法登入、客服收到帳號異常反映、合作廠商告知可能遭入侵，甚至客戶已收到詐騙簡訊或信件時，最危險的不是第一時間還不知道原因，而是在找出肇因、保全證據前就刪除紀錄或各自回覆。資安事件未必等於個資已外洩；系統中斷也不等於遭駭，但都不宜只交給單一客服處理。

資安團隊要回答的是哪個系統異常、何時發現、哪些帳號或資料可能受影響、已完成哪些控制措施；決策團隊要回答的是哪些使用者、員工、客戶、合作方或主管機關需要知道，以及是否要調整服務、通知客戶或投入客服資源。工程師不應在鑑識完成前承諾沒有外洩；公關也不宜公開可能增加攻擊風險的技術細節。

不必有龐大資安部門，但要有可立刻啟動的危機小組

人少可以兼任，但不宜沒有主要負責人與核准窗口。總召決定事件層級、資源與服務取捨；資安或技術負責人隔離、控制存取並保全日誌；系統營運確認服務與替代方案；個資和法務窗口判斷通知、通報、保存與合約義務；客服和對外窗口則使用同一個核定版本。

雲端、金流、客服或資料處理由第三方支援時，供應商窗口也要在責任表內：誰提出技術事實、誰檢核合約責任、誰負責客戶溝通，以及何時更新資訊，都不宜等事件擴大才臨時決定。

• ✓事件總召／授權主管：指定決策節點與最終核准權，不把所有決定交由單一工程師承擔。
• ✓資安或技術負責人：保全日誌與鑑識線索，不在證據保全前覆寫、刪除或重建環境。
• ✓個資、法務與客服：依事實決定通知和協助，不用一篇公開貼文取代所有必要通知。
• ✓對外窗口與紀錄人：管理版本、時間線與決策紀錄，不讓聊天紀錄成為唯一事件檔案。

鑽石六小時：不是六小時內破案，而是建立第一輪可運作的回應

這六小時是把利害關係人、資料、保護措施與第一個正式版本接起來的工作節奏；必要通知、通報與專業程序要依個案並行，不必等到第六小時才開始。

• ✓0–1 小時：建立事件編號，記錄異常、發現、外部通報與曝光時間；指定總召與技術負責人，隔離需控制的帳號、權限、服務或連線，並保存日誌、告警與客服通報。
• ✓1–3 小時：比對系統、資料類別、帳號、服務、供應商與時間範圍；決定已核准的保護措施，例如重設密碼、限制存取、通知或替代服務。同時由法務或個資窗口確認：這次事件是否落入法定通知或通報範圍、從何時起算時限（以「知悉」為準）、有沒有委外廠商要一起通報，以及合約上的通知義務。
• ✓3–6 小時：總召確認影響、行動、資源與下個決策時間；客服、業務、合作方與內部主管取得同一份版本與生效時間。
• ✓每次更新：回到同一條時間線，清楚標記新確認事實、待鑑識事項、已採取行動與下一次更新時間。

用 CARE 寫第一輪資安回應

CARE 依序是 Compassion（同理）、Action（行動）、Responsibility（責任）與 Evidence（證據）。它要求企業先正視受影響者，再交代正在採取的行動與可查證資訊；不要求在事實不明時替尚未確認的責任下結論。

• ✓C｜同理：對收到不實簡訊或信件而感到不安的使用者致歉，說明已啟動技術和跨部門處理。
• ✓A｜行動：只寫已啟動的措施，例如限制相關帳號與存取權限、保全紀錄；提醒使用者只依官方管道行動，勿點擊可疑連結或提供帳密。
• ✓R｜責任：寫清楚由誰統籌，資安、法務與客服如何共同處理，以及企業會依查證結果完成應負的補救。
• ✓E｜證據：標示截至何時確認了什麼、哪些仍在鑑識、已完成哪些措施、協助管道與下一次更新時間。

第一則對外訊息前的六項檢查

第一輪聲明不必在一開始就把所有原因查清楚，但建議讓外界知道企業有沒有先照顧人、正在做什麼、由誰負責，以及什麼時間會再更新。

• ✓是否已保全足以支持這一版說法的日誌、告警與決策紀錄？
• ✓是否清楚區分系統異常、疑似未授權存取與已確認資料外洩？
• ✓公開內容是否會增加使用者、系統或供應商的風險？
• ✓這一版是否只寫已完成或已啟動的保護措施？
• ✓資安、個資、法務與決策者是否已核准？
• ✓使用者是否知道該從哪一個官方管道取得協助，以及何時更新？

資安危機處理的起點，是先讓技術事實和人都被照顧

資安事件不是只有伺服器、程式與日誌。使用者需要知道自己是否受影響、現在能做什麼；客服需要一個可以回答的版本；技術與法務需要不被公關壓縮的查證空間。

總部把 CARE 回應原則與鑽石六小時整理成平時可啟動的危機處理 SOP，才能在真正出事時先控制風險、保全證據、做出必要通知，並用可信的資訊持續與使用者溝通。本文提供溝通與管理架構，實際資安鑑識、個資通知、通報與法律責任，仍應依事件事實及專業意見判斷。

法規動態（更新：2026-10-12）

個人資料保護法第 12 條已於 2025 年 11 月 11 日修正公布，但施行日期由行政院另定，截至本文更新時尚未生效。修正後，企業知悉所保有的個資被竊取、竄改、毀損、滅失或洩漏時，除了應通知當事人，符合一定通報範圍的事故也要通報主管機關，並採取應變措施、保存紀錄；通知與通報的內容、方式、時限，將由主管機關另訂辦法。

個人資料保護委員會籌備處已在 2026 年 1 月 22 日預告「個人資料事故通知通報及應變辦法」草案，擬規定知悉後 72 小時內通知當事人，並對特定範圍的事故於 72 小時內通報。草案內容與施行日期都還可能調整，實際義務請以正式發布的條文為準。

在新規定施行前，現行第 12 條仍要求：違反本法致個資被竊取、洩漏、竄改或其他侵害時，應查明後以適當方式通知當事人。部分產業的目的事業主管機關另有通報規定，請一併確認。

來源：全國法規資料庫〈個人資料保護法〉（現行條文與修正條文）、公共政策網路參與平臺〈預告「個人資料事故通知通報及應變辦法」草案〉。