——淺談資安健診的重要性
2024年，台灣兩大醫療機構接連爆出資安事件：馬偕紀念醫院驚傳資料外洩、彰化基督教醫院則遭遇大規模勒索病毒攻擊，系統癱瘓、門診受阻、資料遭鎖，甚至傳出病歷資料可能落入暗網。未來不排除還有其他醫院成為攻擊目標，因此必須提高警覺、加強防禦，以守住這波系統性的資安威脅。
駭客攻擊的目標不限於醫療產業，他們偏好攻擊具有「無法容忍停機」、「反應時間有限」等特徵的產業，例如醫療、製造、交通運輸等。
多數產業面臨的資安現況，究竟有哪些？
您可能會認為：「我們公司的電腦都有安裝防毒軟體，使用的產品都是來自市面上的知名大廠！」但真相是：防毒軟體
≠ 全面資安防禦！
根據資通安全署於114年6月發布的資通安全網路月報中指出，威脅種類前三名分別為：入侵攻擊類(33%)，大多是系統遭未經授權存取或取得系統／使用者權限；其次為資訊蒐集類(30%)，主要是透過掃描、探測及社交工程等攻擊手法取得資訊；以及入侵嘗試類(26%)，主要係嘗試入侵未經授權的主機。並且在諸多的案例中，我們看到的是：
使用官方已停止支援的作業系統
➡️ 是否存在已知弱點尚未修補？駭客可輕易利用系統漏洞入侵網路或設備。
對軟體未實施控管，使用未加密或未被授權的通訊軟體傳遞敏感資訊
➡️ 機敏資料與個資是否早已外洩？有無異常的流量或存取紀錄仍未被發現？
系統或設備仍使用預設密碼
➡️ 例如駭客最喜歡測試的「admin / admin123」，是否設備早已被後門打開卻沒有察覺？
網段未實施有效分區與隔離
➡️ 一台遭駭主機可藉由 SMB 或 RDP 快速橫向移動，攻擊同網段其他設備，整個網路將形同敞開大門。
多位人員共用同一組管理者帳號
資料備份機制不完整，或驗證方式不夠嚴謹
依據資通安全責任等級辦法，您的單位應該多久進行一次資安健診呢?
如同人體需要定期安排健康檢查，您的電腦也應該定期進行資安健診。根據《資通安全責任等級分級辦法》，政府機關與特定非公務機關，依其業務重要性分為 A、B、C 三等級，應定期執行資安健診。即使您的單位尚未被列入強制對象，也建議至少每兩年檢視一次現況，主動防範風險。
資安健診偏向於全面性、制度性的檢視，包含使用者行為、政策管理、合規性設定等，而不僅是技術層面的漏洞掃描；並提供具體的改善方針、建議修補的優先等級。
結論：
駭客經常在凌晨時分發動攻擊，當眾人還在熟睡時，勒索病毒早已悄悄完成加密。當您準備開始一天的工作時，看到電腦螢幕上赫然顯示：
“Your files
are encrypted. Pay 3 BTC to recover them.”
此時，您可能會問自己三個問題：
1.我有沒有做完整備份？
2.是該報警處理，還是選擇付錢了事？
3.是哪一封釣魚信被點開了？到底是誰去點的？
若能透過資安健診及早發現並修正潛在問題，您可能就不需面對這樣的困境。駭客不會等您準備好才下手，防禦就從了解風險開始，將「被動應對」轉為「主動預防」，別讓駭客找到您沒做好的功課。
