一個真實的悲劇
2023 年，台中某貿易公司。
- 員工：15 人
- 年營業額：8,000 萬
- 成立：12 年
- 客戶：200+ 家廠商
某天早上，老闆接到業務電話：
「伺服器打不開，所有資料都在裡面...」
原來，前一晚的備份失敗，硬碟又剛好損壞。
12 年的客戶資料、訂單記錄、報價單、合約...
全部消失。
搶救費用：35 萬 搶救結果：救回 60%，剩下 40% 永遠遺失
業務損失：
- 找不到客戶聯絡資料，無法跟單
- 歷史報價遺失，重報價被客戶質疑
- 年底無法結帳，被國稅局盯上
- 3 個大客戶因此流失
總損失：超過 200 萬。
一個「以為有備份就沒事」的疏忽。
這不是特例。根據統計，台灣中小企業：70% 沒有定期測試備份，50% 從未做過資安健檢。
以下是老闆最常忽略的 5 個風險。
風險一：備份有做，但「從沒測試過」
你以為的備份
「我們每天自動備份到 NAS，應該沒問題吧？」
真實情況
- 備份檔案損毀（硬碟壞軌）
- 備份設定錯誤（只備了部分資料）
- 備份空間滿了（三個月前就停備了）
- 備份加密金鑰遺失（檔案在那，打不開）
- ransomware 把備份也加密了
這叫「備份錯覺」
有備份 ≠ 能還原。
真實案例：
某公司每天備份到雲端，信心滿滿。
出事後發現：
- 備份的是「快捷方式」，不是實際檔案
- 3 年來備份的檔案大小都是 1KB
- 真正的資料從來沒被備份過
正確做法
3-2-1 備份原則：
- 3 份資料（原始 + 2 份備份）
- 2 種媒介（硬碟 + 雲端）
- 1 份異地（雲端或不同地點）
更重要的是：定期測試還原
- 每季做一次「還原演練」
- 確認檔案真的能打開
- 確認資料完整無損
- 確認還原流程團隊會操作
風險二：權限亂開，誰都能看所有資料
你以為的安全
「大家都可信賴，給管理員權限比較方便」
真實情況
- 離職員工帶走全部客戶資料
- 業務能看到所有廠商成本
- 會計能看到所有人的薪資
- 員工「誤刪」了重要資料（真的是誤刪嗎？）
真實案例：
某製造廠，所有員工都有 ERP 管理員帳號。
某天，資料庫被「誤刪」一個 table。
調查發現：
- 是某離職員工上個月做的事
- 他早就計畫離職創業
- 帶走了完整客戶清單、產品成本、供應商資料
損失：商業機密外洩，競爭優勢喪失。
正確做法
最小權限原則：
| 角色 | 需要權限 | 不應該有 |
|---|---|---|
| 業務 | 自己的客戶、自己的訂單 | 別人客戶、成本資料、薪資資料 |
| 倉管 | 庫存異動、出貨記錄 | 客戶聯絡資料、進貨成本 |
| 會計 | 應收應付、報表 | 業務活動記錄、系統設定 |
| 管理層 | 所有報表 | 不一定需要「刪除」權限 |
離職流程：
- 確認帳號已停用
- 確認權限已收回
- 確認沒有留後門帳號
風險三：沒有監控，問題發生才知道
你以為的運作
「沒人反應問題，應該都正常運作吧？」
真實情況
- 伺服器硬碟壞軌，持續運作了 3 個月（隨時可能掛掉）
- 備份三個月前就停了，沒人發現
- 資料庫異常增長，一個月後會滿出來
- 網路設備過熱，效能只剩 40%
- 某個重要服務當掉了，但沒人知道（因為剛好在半夜）
真實案例：
某公司 Mail Server 當機 2 天，沒人發現。
為什麼？
- 剛好在週末
- 沒有監控系統
- 客戶寄信進來，都收到「退信」
- 週一上班才發現，但客戶已經打電話來罵
損失：商譽損失 + 客戶流失。
正確做法
7x24 監控系統：
監控項目：
- 伺服器健康（CPU、記憶體、硬碟、溫度）
- 服務狀態（Mail、ERP、網站、資料庫）
- 網路連線（對外頻寬、VPN）
- 備份狀態（是否成功、檔案大小）
- 資安異常（登入失敗、異常流量）
警報機制：
- 異常時即時通知（簡訊、Email、LINE）
- 分級警報（警告 vs 緊急）
- 定期報告（每日、每週摘要）
風險四：密碼管理混亂，全公司都用同一組
你以為的方便
「大家共用一組密碼比較方便，不會忘記」
真實情況
- 離職員工還能用舊密碼登入
- 密碼貼在螢幕邊邊（清潔阿姨都看得到）
- 密碼是「123456」或公司電話
- 所有系統都用同一組密碼
- 從來沒換過密碼
真實案例：
某公司被駭客入侵，損失 80 萬。
調查發現：
- 駭客用「暴力破解」試密碼
- 因為密碼是「company2020」，3 分鐘就破解
- 這組密碼全公司都在用
- 而且所有系統（Mail、ERP、NAS）都是這組
駭客登入後：
- 偷走所有客戶資料
- 加密資料勒索
- 用公司 Mail 發釣魚信給客戶
正確做法
密碼政策：
- 至少 12 碼，含大小寫、數字、符號
- 每 90 天更換
- 不可重複使用舊密碼
- 每個系統不同密碼
- 使用密碼管理器（如 Bitwarden、1Password）
多因素認證（MFA）：
- 密碼 + 手機驗證碼
- 即使密碼外洩，沒有手機也進不去
- 所有重要系統都應啟用
風險五：沒有「災難恢復計畫」
你以為的準備
「有備份就夠了吧？需要時還原就好」
真實情況
當災難發生：
- 誰負責啟動還原？（聯絡不上）
- 還原流程怎麼做？（沒文件，沒人會）
- 多久能恢復？（以為 2 小時，實際 2 天）
- 客戶要怎麼聯絡？（網站掛了、Mail 掛了、電話被打爆）
- 資料還原到哪個時間點？（昨天的？上週的？）
真實案例：
某公司被勒索軟體攻擊，所有資料被加密。
老闆說：「還原備份就好。」
結果：
- 備份還原需要 12 小時
- 但沒人知道怎麼操作
- 等找到會操作的人，已經過了 8 小時
- 還原後發現是 3 天前的備份
- 這 3 天的訂單、交易紀錄，全部要人工補
- 整整 5 天無法正常營運
損失：營業損失 + 客戶流失 + 員工加班成本。
正確做法
災難恢復計畫（DRP）：
-
定義 RTO / RPO
- RTO（恢復時間目標）：最多能停機多久？（如 4 小時）
- RPO（恢復點目標）：最多能接受多少資料遺失？（如 1 天）
-
建立還原流程文件
- 步驟化、誰都能照著做
- 包含聯絡方式、密碼位置
- 定期更新
-
定期演練
- 每半年做一次「假裝災難」演練
- 測試還原流程是否可行
- 測試 RTO / RPO 是否能達成
-
溝通計畫
- 災難時誰負責對外發言？
- 客戶怎麼聯絡？（備用電話、手機）
- 員工怎麼知道狀況？
這 5 個風險的共通點
都是「機率低，但衝擊大」的事件。
老闆的盲點：
- 「每天都正常，應該沒問題」
- 「備份有做，應該安全」
- 「公司小，駭客不會找我們」
真相：
- 硬碟故障率：每年 2-5%
- 勒索軟體攻擊：台灣中小企業每年成長 30%
- 資料遺失的公司：60% 在 6 個月內倒閉
預防的成本，遠低於災難的代價。
下一步？免費 IT 健檢
不確定自己公司是否有這些風險？
我們提供免費的 IT 健檢諮詢：
健檢內容：
- 備份策略檢視（有沒有、有沒有效）
- 權限設定檢查（是否過度開放）
- 監控系統評估（有沒有、覆蓋範圍）
- 密碼政策檢視
- 災難恢復計畫評估
健檢結果：
- 風險等級評估（高/中/低）
- 優先改善建議
- 改善成本估算
- 是否需要外部協助
完全免費，沒有推銷壓力。
預約免費 IT 健檢 — 花 30 分鐘，確認你的公司是否安全。
P.S. 我們遇過太多「出事才後悔」的案例。健檢不用錢，但災難可能讓你損失百萬。你選哪個？