來源：本週每日資安新聞整理
提醒對象：全校教職員工

本週焦點

本週校園資安週報共整理 8 個議題，內容從生成式 AI 的責任與治理開始，接著透過 2026 資安社群嘉年華系列，認識紅隊、藍隊、CTF、實作訓練與資安證照，再延伸到勒索軟體的身分型攻擊。

這些議題雖然涵蓋 AI、資安實作與帳號防護，但共同核心都是「不能只看到表面」。AI 能產出內容，不代表可以直接使用；有資安工具或證照，不代表能力已經完整；系統有防護工具，也不代表帳號與身分風險可以忽略。真正的安全，仍需要確認、判斷、實作與持續檢查。

1. 本週議題快覽

115年10月19日

【資安小常識｜AI 資安治理系列（一）】AI 說錯話、文件已經送出，誰要負法律責任？法院不會只接受一句「是 AI 生成的」

重點摘要：使用生成式 AI 協助撰寫文件或整理內容，並不會讓原本應負的責任消失。實際採用、確認並送出內容的人員或組織，仍需對最終結果負責。

【資安小常識｜AI 資安治理系列（二）】AI 幫你寫完，不代表可以直接送出：為什麼重要內容最後還是要有人把關？

重點摘要：AI 產生的文字即使看起來完整流暢，仍可能包含錯誤資料、不正確引用或不適當判斷。重要文件與正式內容在使用前，仍需要由人員進行確認與審核。

115年10月20日

【資安小常識｜AI 資安治理系列（三）】出了問題才說「AI 做的」已經太晚：組織導入 AI 前，誰能用、誰審核、誰負責？

重點摘要：組織導入 AI 前，應先界定哪些工作可以使用、哪些資料能交給 AI、產出由誰審核，以及發生問題時由誰負責，避免等事件發生後才重新追查責任。

【資安大小事｜2026 資安社群嘉年華系列（一）】資安不只有駭客與漏洞：認識 2026 資安社群嘉年華

重點摘要：2026 資安社群嘉年華集結不同資安社群與活動，透過講座、CTF、實作任務與交流，讓參與者從不同角度認識資安技術、學習方式與社群文化。

115年10月21日

【資安大小事｜2026 資安社群嘉年華系列（二）】同一個風險，紅隊與藍隊怎麼看？認識資安攻防演練

重點摘要：紅隊從攻擊角度尋找突破方式，藍隊負責偵測、防禦與應變。攻防演練的重點，是在受控範圍內實際驗證組織的防護與應變能力。

【資安大小事｜2026 資安社群嘉年華系列（三）】資安為什麼也要「練習」？從 CTF 與解密任務看實際演練的重要性

重點摘要：CTF 與解密任務讓參與者實際面對問題、找出線索並嘗試解法，將原本學到的知識轉化成操作能力與判斷經驗。

115年10月22日

【資安大小事｜2026 資安社群嘉年華系列（四）】有了資安證照，然後呢？真正的資安能力還需要實務經驗與判斷

重點摘要：資安證照可以證明一定程度的專業知識，但實際能力仍需要透過實作、工作經驗與事件判斷持續累積。組織的人力、資源與管理支持，也會影響資安能力能否真正落實。

【資安大小事｜威脅趨勢】勒索軟體的新入口不是漏洞？近八成攻擊先鎖定帳號與身分

重點摘要：近年的勒索軟體攻擊愈來愈重視帳號、憑證與身分驗證等入口。除了系統修補與端點防護，帳號保護、多因素驗證、高權限帳號管理，以及備份與還原能力同樣重要。

2. 本週三個重點

一、生成式 AI 治理：AI 可以協助工作，但不能取代最後的責任與判斷

本週前三篇 AI 資安治理系列都圍繞同一個問題：AI 能幫忙產生內容，但產出的結果仍需要有人確認。從法律責任、文件審核，到組織內部誰能使用、誰負責把關，重點都不在於禁止使用 AI，而是要先建立清楚的使用與審核界線。

二、資安實作與資安證照：能力不能只停留在工具、知識或證照

2026 資安社群嘉年華系列從資安社群、紅藍隊攻防、CTF 實作一路談到證照與實務經驗。這幾篇共同呈現的是，資安能力需要透過實際操作與經驗累積，才能把知道的知識轉化成面對問題時真正能使用的能力。

三、勒索軟體與帳號安全：帳號與身分已經是重要的資安防線

勒索軟體攻擊不一定先從系統漏洞開始，也可能透過釣魚郵件、遭竊憑證、弱密碼或其他身分驗證問題取得入口。除了維持系統修補與端點防護，帳號安全、多因素驗證、高權限帳號管理，以及備份與還原能力，都需要一起納入日常防護。

3. 本週總結

本週 8 篇議題可以分成兩條主要脈絡。第一條是生成式 AI 的使用與治理。從 AI 產出內容的責任、重要文件不能直接照單全收，到組織導入 AI 前應先界定誰能使用、誰負責審核、誰承擔最後責任，都反映出同一件事：AI 可以協助工作，但不能取代人的判斷與責任。真正需要建立的，不只是「會不會用 AI」，而是使用前知道哪些資料可以交給 AI、產出後有人確認內容是否正確，並且在正式採用前留下清楚的審核與責任界線。

第二條主軸則從 2026 資安社群嘉年華一路延伸到勒索軟體與帳號身分安全。紅隊、藍隊、CTF、實作訓練與資安證照，讓我們看到資安能力不能只靠理論、工具或證書證明，而是需要透過實際操作、演練與工作經驗持續累積。到了勒索軟體議題，這個觀念又回到日常防護：攻擊者不一定先找系統漏洞，也可能先從帳號、憑證、釣魚郵件或身分驗證弱點取得入口，因此帳號保護、多因素驗證、高權限帳號管理，以及備份與還原能力，都必須和系統修補、端點防護一起看待。

把這兩條脈絡放在一起，可以看到本週反覆出現的核心：不論是使用 AI，還是面對資安攻擊，都不能只依賴工具本身。AI 需要人員審核與責任制度，資安設備需要實務能力與組織資源配合，而帳號與身分安全也需要持續管理。只有把人員、制度、工具與日常操作一起做好，防護才不會只停留在「有做」，而是真正能在需要時發揮作用。