資安事件變成公關危機：資訊公司被駭後 24 小時該做的 7 件事

資安類的企業危機常見一個狀況：技術團隊在機房裡搶救系統的時候，客戶、員工和記者已經在門外排隊了。資訊公司常見的誤區，是以為「系統修好再說」，結果系統還沒修好，信任就可能先受損。這篇文章用顧問的角度，把被駭、勒索軟體、資料外洩、服務因攻擊中斷這幾種情境的危機處理拆成七件事，順序可以依事件調整，建議逐一檢視是否已妥善處理。

本篇談資安事件整體危機處理；聲明稿寫法請看資安事件與個資外洩聲明。

若資安事件已擴大為公開質疑，可對照公關危機處理流程，安排查證、回應與補救。

第一件事：技術線與溝通線同時開

資安事件天生是兩條線。第一條是技術事件：IT 與資安團隊負責隔離、止血、鑑識、復原。第二條是溝通事件：決策與溝通團隊負責回答「誰在問、問什麼、我們現在能講到哪裡」。

建議兩條線同時啟動，避免等系統修好才開始溝通。更重要的是，兩邊要用同一份「已核定的事實」。常見的情況是，工程師在群組裡說「應該沒外洩」，業務就直接轉貼給客戶，等鑑識結果出來卻是相反，公司可能得再發一次更正。對外說法以那份核定版本為準，改動時也留下紀錄。

第一輪分工可搭配危機第一時間處理清單，確認處置與溝通同步啟動。

第二件事：事實盤點表，四欄乘三格

危機公關的第一份文件，建議先做事實盤點表、再寫聲明稿。表格可以直接畫成四欄：影響範圍、可能受影響的資料、是否已確認外洩、服務何時恢復。每一欄再切成三格：已確認、調查中、未知。

這張表的價值在於幫大家釐清資訊狀態。填進「已確認」的，適合作為對外說明的依據；填在「調查中」的，可以說明仍在調查；填在「未知」的，內部也盡量避免據此推論。這張表每更新一次，就是一個新的對外版本，建議所有發言人同步使用同一版。

第三件事：各對象要的東西不一樣

• B2B 客戶：他們要知道自己的系統與資料有沒有被波及，以及你什麼時候能給下一次更新。先通知、再個別溝通，盡量避免讓客戶從新聞看到自己可能受影響。
• 終端使用者：要知道帳號、密碼、個資有沒有風險，以及現在該做什麼，例如改密碼、留意詐騙訊息。
• 員工：要知道可以說什麼、哪些內容暫不適合說、客戶問起怎麼回。員工溝通常被忽略，也容易成為資訊外流的管道。
• 媒體：要一個固定窗口、一份可引用的說明，以及下一次更新的時間點。
• 主管機關：要的是依法應通報的內容，而非公關稿。
• 上市櫃公司的投資人：要知道事件是否影響營運與財務，以及公司是否依規定揭露。

通知順序可用利害關係人地圖逐項盤點，記錄窗口與更新時間。

第四件事：鑑識完成前，話可以講到這裡

這是整篇很關鍵的一條，資安事件容易在這一步從技術問題變成公關危機。在資安鑑識完成前，建議避免說「沒有資料外洩」或「風險已解除」。對外說明以已確認的事為主：哪些系統受影響、採取了什麼隔離措施、調查正在進行、下一次更新在什麼時候。

「目前沒有證據顯示資料外洩」和「沒有資料外洩」表達的確定程度不同。前者描述目前掌握的證據，後者則可能超出現有證據能支持的範圍。聲明稿的結構和用語，可參考這裡：資安事件與個資外洩聲明。

資訊尚未齊全時，可參考初步聲明架構，交代已知事實與下一次更新。

第五件事：法定通知與通報，先弄清楚自己適用哪些

以下幫大家整理相關條文（整理至 2026 年 11 月），法規可能更新，使用前請再確認最新版本與是否適用自己的產業，必要時請教律師。

個人資料保護法：通知當事人

現行個資法第 12 條規定，公務機關或非公務機關違反本法規定，致個人資料被竊取、洩漏、竄改或其他侵害者，應查明後以適當方式通知當事人（條文，修正前、目前仍有效的版本）。施行細則第 22 條進一步說明，「適當方式」是指即時以言詞、書面、電話、簡訊、電子郵件、傳真、電子文件或其他足以使當事人知悉或可得知悉的方式通知；需費過鉅時，得斟酌技術可行性及當事人隱私，改用網際網路、新聞媒體或其他適當公開方式；通知內容應包括個資被侵害的事實及已採取的因應措施（條文）。

另外要注意，個資法於民國 114 年 11 月 11 日修正公布，第 12 條等新修條文，施行日期由行政院定之，宜留意公布日與各條文施行日的差別。截至 2026 年 11 月 3 日，全國法規資料庫修正沿革與生效狀態仍將該次修法標示為「最後生效日期：未定」；頁尾資料整編截止日為民國 115 年 10 月 22 日。這不表示整部個資法未生效：前段所述現行第 12 條通知義務，與已公布、尚待施行的新第 12 條應分開判斷。事件發生時建議再核對最新施行命令及有效規範，避免以新修條文或子法草案直接取代現行義務。

資通安全管理法：只適用特定非公務機關

很多資訊公司一聽到「一小時通報」就慌了，先停一下。資通安全管理法的通報義務，適用對象是第 3 條第 6 款的「特定非公務機關」，也就是關鍵基礎設施提供者、公營事業、特定財團法人或受政府控制的事業、團體或機構（條文）。一般資訊公司未必在這個範圍內。

如果你是特定非公務機關，第 24 條要求訂定通報及應變機制，知悉資通安全事件時向中央目的事業主管機關通報，並提出調查、處理及改善報告（條文）。資通安全事件通報應變及演練辦法第 11 條規定，知悉後應於一小時內依指定方式通報（全國法規資料庫第 11 條）；第 13 條規定，知悉後須在時限內完成損害控制或復原作業（第一、二級事件 72 小時、重大事件 36 小時），完成後應於一個月內依中央目的事業主管機關指定的方式，送交調查、處理及改善報告（全國法規資料庫第 13 條）。同法第 33 條也提醒，事件涉及個資外洩時，應另依個資法辦理（條文）。

如果你承包政府機關或特定非公務機關的資訊系統建置、維運或資通服務，依資通安全管理法第 10 條及其施行細則第 7 條第 1 項第 5 款，委託方應要求受託者在知悉資通安全事件時立即通知委託機關，並說明採行的補救措施；這通常會寫進委外契約，請先翻出契約確認通知時限與窗口（資安法、施行細則第 7 條）。

上市櫃公司：重大訊息

揭露與投資人溝通的分工，可搭配上市櫃公司危機公關指南整理。

臺灣證券交易所「對有價證券上市公司重大訊息之查證暨公開處理程序」第 4 條第 1 項第 26 款，把發生資通安全事件等重大情事、造成公司重大損害或影響者列為重大訊息。第 6 條第 1 項規定，上市公司原則上應於事實發生日起次一營業日交易時間開始二小時前輸入，第 4 條第 1 項第 40 款另有例外；之前已發布新聞稿的，應同時輸入；發現媒體報導第 4 條第 1 項各款情事，或報導內容足以影響上市有價證券行情，或報導與事實不符時，應立即輸入說明，至遲不得逾發現後二小時（處理程序）。

上櫃公司適用櫃買中心「對有價證券上櫃公司重大訊息之查證暨公開處理程序」第 4 條第 1 項第 26 款，同樣將資通安全事件致公司重大損害或影響者列為重大訊息；申報時限須依同程序第 6 條第 1 項分款判斷。第 1 款的一般規則，是有第 4 條第 1 項各款情事者，於事實發生日起次一營業日交易時間開始二小時前輸入；但第 4 條第 1 項第 40 款為一般期限的例外，須於接獲櫃買中心通知後一小時內輸入；在一般期限前發布新聞稿者，應同時輸入。第 2 款則針對媒體報導：發現大眾傳播媒體報導有第 4 條第 1 項情事，或報導內容足以影響上櫃有價證券行情，或報導與事實不符時，應立即輸入重大訊息，至遲不得逾發現後二小時。另有記者會等情境須依第 3 款等規定辦理，不宜把媒體報導的兩小時規則套成所有資安事件的通則（櫃買中心官方宣導簡報、證券暨期貨法令判解查詢系統現行全文）。該全文標示 115 年 9 月 30 日版本，當次修正的是第 4 條，不代表第 6 條同日修正。櫃買中心的問答集進一步說明，重要資通系統、官方網站遭駭客攻擊或入侵，致無法營運或正常提供服務，或致個資、大量內部文件有外洩之虞，即屬重大損害或影響，應發布重大訊息，後續有重大變化時應即時更新或補充（問答集）。

再提醒一次：以上哪些義務適用在你身上，請律師依個案確認。

第六件事：贖金與攻擊者，交給律師和鑑識判斷

要不要付贖金、要不要公布攻擊者身分，這兩題通常建議先由律師與資安鑑識團隊依個案評估。溝通團隊的重點是維持對外說法一致，盡量避免發言人說「不與攻擊者接觸」，技術主管卻在社群上討論談判細節。

第七件事：什麼時候找律師、什麼時候找鑑識

建議第一時間就請律師參與，避免等到有人提告才處理。原因有三：判斷通知與通報義務、審核對外文字、決定證據如何保全。資安鑑識團隊也宜在當天啟動，因為鑑識結果決定了你哪一格可以從「調查中」移到「已確認」。缺少鑑識結果，溝通團隊可能很難提供超出「正在調查」的進一步說明。

公開案例：台積電 2018 年電腦病毒事件的溝通做法

官方資料的整理在這裡：台積電 2018 案例的公開資料整理。

依照台積電 2018 年 8 月 5 日的新聞稿，公司於 8 月 3 日傍晚受電腦病毒感染，影響臺灣廠區部分電腦系統及廠房機台；感染範圍已控制，預計 8 月 6 日前所有受影響機台恢復正常；多數客戶已收到通知，並將在接下來幾天與個別客戶溝通細部資訊；原因是新機台安裝軟體過程中的操作失誤，病毒在新機台連接內部網路時擴散；資料完整性和機密資訊未受影響（新聞稿）。8 月 6 日向美國 SEC 申報的 Form 6-K 補充：新機台連網前未先隔離並確認無病毒，主要電腦系統（含生產資訊與客戶資料）未受影響，並於當天在證交所召開記者會（Form 6-K）。2018 年報則記載，所有受影響機台已於 8 月 6 日恢復正常，相關損失列入當季營業成本（年報第 232 頁）。

依公開資料，可看溝通做法上三件值得資訊公司參考的事：第一，把「營運影響」和「資料影響」分開講，受影響的是機台與部分系統，資料與機密資訊另外說明；第二，先向多數客戶通知事件，再與個別客戶溝通細節；第三，事後在年報揭露結果。另外注意，8 月 5 日的預估和年報的事後結果是不同時間點的資訊，對外更新時要標明時間。

最常見的錯誤

• 先否認再更正：鑑識還沒完成就說「沒有外洩」，之後被迫改口，容易重傷信任。
• 技術主管直接對外：沒經過核定的事實就上媒體或社群，容易替公司多開一條戰線。
• 客戶從新聞得知：B2B 客戶除了在意事件本身，也可能很在意「你為什麼不先告訴我」。
• 員工沒拿到說法：員工面對客戶詢問容易自行猜測，猜錯的版本可能變成新聞。
• 只做一次聲明：事件在變、事實在變，沒有下一次更新時間，外界容易自行猜測。

事後檢討：資安承諾宜寫做得到的

事件結束後的檢討報告和對外聲明，建議避免寫下自己做不到的事。「導入 XX 機制」「完成 XX 稽核」這類可驗證的承諾可以寫；「不會再發生」這類難以承諾的話，不宜寫。因為下一次事件發生時，這句話很可能被原封不動翻出來。

如果你的團隊還沒有一套能在當天啟動的流程，課程「危機公關炎上對策即戰篇」把事實盤點表、對象盤點與聲明結構整套交給你：危機公關炎上對策即戰篇。已經炎上的，可以先到 CrisisPR 填事件分析表單；很急的，直接加 LINE 官方帳號。

常見問題

Q1：資訊公司被駭，第一時間該先做什麼？

建議同時啟動技術線與溝通線，並用同一份已核定的事實作為所有對外說法的來源。溝通線先完成事實盤點表（影響範圍、可能受影響的資料、是否已確認外洩、服務何時恢復，各分已確認／調查中／未知），再依對象分別通知。

Q2：資通安全管理法的「一小時內通報」每家資訊公司都適用嗎？

未必適用。資通安全管理法第 24 條的通報義務，對象是第 3 條第 6 款定義的「特定非公務機關」，即關鍵基礎設施提供者、公營事業、特定財團法人或受政府控制的事業、團體或機構。屬於這類機關者，依資通安全事件通報應變及演練辦法第 11 條，應於知悉後一小時內通報；並依第 13 條，在完成損害控制或復原作業後一個月內，送交調查、處理及改善報告。一般資訊公司是否適用，請律師依個案確認（全國法規資料庫條文）。

Q3：還沒確認有沒有資料外洩，可以先對外說明嗎？

可以，建議以已確認的事為主，例如哪些系統受影響、採取了哪些措施、正在調查、下一次更新時間。在鑑識完成前，先別說「沒有資料外洩」或「風險已解除」。

Q4：上市公司碰到資安事件，重大訊息要在什麼時候發布？

依臺灣證券交易所「對有價證券上市公司重大訊息之查證暨公開處理程序」第 6 條第 1 項，上市公司原則上應於事實發生日起次一營業日交易時間開始二小時前輸入，第 4 條第 1 項第 40 款另有例外；之前已發布新聞稿的應同時輸入；發現媒體報導第 4 條第 1 項各款情事，或報導內容足以影響上市有價證券行情，或報導與事實不符時，應立即輸入說明，至遲不得逾發現後二小時（證交所第 6 條）。

Q5：個資法修法後，通知當事人的規定有變嗎？

現行有效的個資法第 12 條仍是「應查明後以適當方式通知當事人」，通知方式與內容依施行細則第 22 條。個資法已於民國 114 年 11 月 11 日修正公布，新的第 12 條改為知悉個資事故時即應通知當事人，並增加通報主管機關、應變及保存紀錄的義務，但施行日期由行政院另定，截至 2026 年 11 月 3 日，全國法規資料庫標示尚未施行。至於通知與通報的具體時限與範圍，主管機關（個人資料保護委員會籌備處）已於民國 115 年 1 月 22 日預告「個人資料事故通知通報及應變辦法」草案，草案不宜視為已生效法規；後續發布與施行狀態應另行查核。來源：個資會草案預告；全國法規資料庫。