資安健診
Cybersecurity Health Check
資安健診是一個針對企業資訊系統進行全面性安全評估的過程。其主要目的是檢查和分析企業現有的資訊安全架構、控制機制、風險管理措施等，發現潛在的漏洞和弱點，並針對發現的問題提出改進建議。資安健診就像是一種定期的健康檢查，讓企業能夠在問題擴大之前及早發現並解決潛在的安全風險。
- 資安健診可以幫助企業發現系統、應用程式、網路等方面的漏洞與弱點，這些漏洞可能被駭客利用，對企業造成嚴重損失。
- 企業的資料和服務一旦遭到攻擊或洩露，可能導致業務中斷、客戶信任流失或法律訴訟。透過資安健診，企業可以及早發現潛在問題，降低這些風險，確保業務的穩定運行。
- 許多產業（如金融、醫療等）都有資安合規要求，要求企業定期進行資安健診，確保企業的資安措施符合當地法律及行業規範（如 GDPR、HIPAA、PCI-DSS 等）。
- 資安健診不僅幫助企業檢視現有的防護措施是否足夠，還能協助企業建立更為完善的資安防護體系，提升整體防禦能力。
資安健診的執行流程
信息收集與風險評估
評估現有資安控制措施的有效性，並進行風險評估，識別關鍵漏洞和安全隱患
資安漏洞掃描與測試
進行滲透測試，模擬駭客攻擊，測試系統的防禦能力及漏洞利用風險
策略與措施評估
評估防火牆、入侵檢測系統（IDS）、存取控制等防護策略的有效性
漏洞修復與優化建議
根據測試結果和漏洞掃描報告，提供修復建議，包括系統更新、密碼強度增強、加密措施實施等
測試過程的詳細記錄。
發現的漏洞與風險分析。
每個風險的優先級及其可能造成的影響。
建議的修復方案及改進措施。
報告中的建議將協助企業瞭解如何加強防護，並制定有效的資安提升計劃。在企業完成修復後，應該進行再次測試以確保所有問題都已得到解決。
資安健診是確保企業資訊安全不可或缺的一步。通過定期進行資安健診，企業可以及早發現並解決潛在的安全隱患，從而防範駭客攻擊和資料洩露風險。同時，資安健診還有助於滿足法規要求，強化員工安全意識，並保持企業的長期穩定運營。隨著資訊技術的快速發展，資安威脅也在不斷演進，企業應定期進行資安健診，確保能有效應對不斷變化的安全挑戰。
FAQ 專區
資安健診（Security Health Check）是「全面性資安狀態評估」，涵蓋技術、管理、人員三大面向，找出貴司的資安地圖與改善優先順序。
三者定位差異：
| 服務 | 檢查範圍 | 適用時機 |
|---|---|---|
| 資安健診 | 技術+管理+人員全面盤點 | 首次接觸資安、想全面了解現況 |
| 弱點掃描 | 純技術面（找 CVE 漏洞） | 已知系統要例行檢查 |
| 滲透測試 | 純技術面（模擬駭客） | 上線前、合規要求時 |
Hiii 的資安健診包含：
- 技術面：弱點掃描 + 簡易滲測 + 架構評估
- 管理面：政策文件檢視、稽核紀錄、事件應變流程
- 人員面：資安意識問卷 + 釣魚郵件實測
產出：一份「資安地圖 + 3 年改善路線圖」，讓您知道「先做什麼、後做什麼、預算怎麼配」。
時程：一般 4-8 週。
- 小型企業（<50 人）：4-5 週，NT$ 30-50 萬
- 中型企業（50-300 人）：5-7 週，NT$ 50-80 萬
- 大型企業（300-1000 人）：7-10 週，NT$ 80-150 萬
- 集團 / 多分公司：另議
時程分四階段：
- Phase 1｜訪談與資料收集（1-2 週）
- 訪談 IT 主管、業務主管、法遵人員
- 收集現有政策文件、架構圖、事件紀錄
- Phase 2｜技術評估（2-3 週）
- 弱點掃描、簡易滲測、雲端資安配置檢視
- Phase 3｜管理與人員評估（1-2 週）
- 政策文件審閱、員工資安意識問卷、釣魚郵件實測
- Phase 4｜報告與簡報（1 週）
- 產出資安地圖 + 3 年路線圖
- 高階主管簡報會議
Hiii 建議以下企業把資安健診當作「必做起點」：
- 從未做過資安評估的企業 — 不知道從哪裡開始
- 準備導入 ISO 27001 / 27701 的企業 — 健診結果可直接對應 ISO 條款
- 剛發生資安事件的企業 — 找出全面性缺口避免再發生
- 上游客戶要求資安審查 — 用健診報告回應客戶問卷
- 年營收 1 億以上但 IT 人力不足 3 人 — 資源有限更需要精準投資
- 併購 / 分立 / 上市準備 — 需要全面盤點資安狀態
- 雲端遷移前後 — 確認新環境資安配置正確
- 董事會要求資安風險評估 — 有正式報告可回覆治理需求
Hiii 觀察：多數客戶在做健診前，會以為「我們公司資安應該還好」，健診後才發現有 30-80% 的關鍵缺口自己不知道。
Hiii 的資安健診報告包含 6 大區塊：
- 執行摘要（給高階主管，1-2 頁）
- 整體資安成熟度評分（0-5 級）
- Top 5 立即修補項
- 3 年投資建議金額
- 現況分析（20-40 頁）
- 技術面盤點（含資產清單 + 漏洞清單）
- 管理面盤點（含政策成熟度）
- 人員面盤點（含資安意識評分）
- 對標評估
- 對比 ISO 27001 條款（覆蓋率 %）
- 對比同產業標竿（如金融業標準）
- 風險評估矩陣
- 每個發現的風險 × 影響 x 可能性
- 依「風險 × 修補成本」建議優先順序
- 3 年改善路線圖 ⭐（最重要）
- Year 1：立即行動項（未來 6 個月）
- Year 2-3：中期建置項
- 每階段建議預算範圍
- 附件
- 技術報告、原始資料、參考文件
Hiii 差異：報告會附「1 場 2 小時高階主管簡報」，用非技術語言說明「為什麼要投資資安、怎麼投資最有效」。這是我們對高階溝通的專業。
不會顯著影響，但需要以下三種配合：
- 訪談時間（每次 30-60 分鐘）
- 訪談對象：IT 主管、業務主管、法遵、HR 各 1-2 位
- 全案訪談時數約 15-25 小時，分散在 2-3 週
- 文件提供（線上完成）
- 現有政策文件、架構圖、稽核紀錄、事件紀錄
- 使用 Hiii 加密雲端資料室（NDA 保護）
- 技術評估配合（IT 人員配合 5-10 小時）
- 弱點掃描時可能需 IT 待命
- 釣魚郵件實測會發送給員工（先跟 HR 溝通）
不會影響日常業務的部分：
- 訪談分散進行，不會集中占用
- 技術評估在離峰或指定時段
- 員工只會收到 1-2 封「模擬釣魚郵件」（點擊也不會有實際危害）
健診報告 = 未來 3 年資安投資的地圖。多數 Hiii 客戶會依報告分階段推進：
Year 1｜立即行動（0-6 個月）
- 修補 Critical 漏洞
- 建立基本資安政策文件
- 全員資安意識訓練
- 典型預算：NT$ 50-200 萬
Year 2｜制度化建置（6-18 個月）
- 導入 ISO 27001 / 27701 認證
- 建置監控 / 事件應變機制
- 供應鏈資安管理
- 典型預算：NT$ 100-500 萬
Year 3｜持續優化
- 進階威脅偵測（如 EDR、SIEM）
- 資安人才培訓計畫
- 供應鏈資安擴展
- 典型預算：NT$ 50-300 萬
Hiii 的搭配服務（客戶依需求選）：
- ISO 27001 / 27701 導入
- 定期弱掃 / 滲測年約
- CISO 顧問服務（每月支援）
- 資安教育訓練
建議頻率：
| 情境 | 頻率 |
|---|---|
| 首次進行 | 現在做 |
| 已完成健診但未做ISO 27001 | 每 2-3 年 1 次 |
| 已通過 ISO 27001 | 併入年度稽核，無須獨立健診 |
| 重大組織變動後 | 半年內做 |
| 資安事件發生後 | 事件處理完立即做 |
Hiii 觀察：多數客戶在「完成第一次健診 + 依路線圖執行 2-3 年」後，會直接升級到 ISO 27001 認證體系，因為此時已具備所有必要基礎。之後就用 ISO 年度稽核取代健診，不再重複投資
Hiii 資安健診的 5 大差異化：
- 顧問資歷：主管團隊持 CISSP 國際認證，帶過 100+ 資安專案（20 年產業經驗）
- 自身通過驗證：Hiii 本身通過 ISO 27001 + ISO 27701 雙認證，是「自己做過再幫客戶做」的顧問
- 報告可讀性：報告不用堆技術術語，附「高階主管簡報」與「IT 團隊修補指引」分開版本
- 3 年路線圖：不只找問題，還告訴您「怎麼分階段投資最有效」
- 後續銜接完整：健診後可直接銜接 ISO 導入、弱掃 / 滲測年約、CISO 顧問等，避免多家廠商溝通成本
Hiii 的立場：我們不是「只做健診然後推很多服務」的顧問。健診後如果您決定「先自己做 Year 1 立即行動」，我們也支持，並提供技術諮詢。
看您的目的：
先做「資安健診」的情境：
- 想全面盤點但還沒決定要不要拿 ISO 認證
- 上游客戶要求「資安審查報告」但沒指定 ISO
- 預算有限，想先評估投入後再決定認證方向
直接做「ISO 27001 導入」的情境：
- 上游客戶明確要求 ISO 27001 證書
- 準備公部門標案要 ISO 加分
- 已有基本資安意識，直接進入標準化建置
Hiii 的實務建議：
多數企業「先做健診」比較划算。理由：
- 健診費 NT$ 50-100 萬 vs ISO 導入 NT$ 100-500 萬
- 健診結果可回答「我們適不適合直接做 ISO」
- 健診期間發現的緊急漏洞，ISO 導入過程也要處理
- 健診投入的資料收集、政策盤點，都可延續到 ISO
例外：若已有明確 ISO 需求（如上游客戶要求 6 個月內取得證書），跳過健診直接進 ISO 導入。Hiii 會在 ISO 導入的 Phase 1 中含「快速健診」。
分兩個階段處理：
階段 1｜緊急事件立即應變 若健診期間發現「正在被攻擊」或「Critical 漏洞可被立即利用」，Hiii 會：
- 24 小時內通知並提供臨時性防護建議（如 WAF 規則、暫停服務）
- 協助啟動內部事件應變流程
- 不加價提供第一時間支援
階段 2｜正式修補計畫（依報告優先順序）
- 報告內建修補指引（免費，服務內含）
- 若需 Hiii 團隊代修，可加購（依實際工時報價）
- 修完可請 Hiii 做「回測驗證」確認修復到位
Hiii 的立場：
- 我們把「發現問題 → 立即通知」當作服務品質的核心
- 不會為了「多收費」而藏著漏洞不告訴您
- 修不修由客戶決定，Hiii 提供充分資訊讓您做決策
想討論資安健診方案，聯絡 03-360-7799 / [email protected]
