來源：CISA 網路安全基礎說明、NIST 資訊安全資料、資訊小組整理

威脅對象：全校同仁及使用校內數位服務之人員

主題面向簡介

資訊安全之所以越來越重要，不是因為多了一個新名詞，而是因為現今網路攻擊已經成為各界組織都必須面對的現實風險。駭客攻擊猖獗、勒索病毒事件頻繁發生，暗網也不時傳出企業或機構個資被兜售、交換與濫用的消息。這些事件提醒我們，資訊安全保護的不是某一台電腦，而是整個組織在數位環境中能否正常運作。

前面我們談到，資訊安全不只是保護電腦，也需要透過每日資安新聞的宣導及學習，逐步形成學校同仁的資安素養。接下來更需要釐清一件事：在駭客攻擊、勒索病毒與個資外洩風險不斷升高的環境下，資訊安全真正保護的，到底是什麼？

很多人一聽到資訊安全，直覺會想到「資料不要外洩」。這個理解沒有錯，但只說到其中一部分。資訊安全保護的範圍更大，它不只保護資料不被不該看的人看到，也保護資料不要被改錯、系統需要時可以使用、服務不要中斷、流程能夠追溯，最後保護的是組織長期累積的信任。

對各界而言，資訊安全不是單一技術問題，而是數位時代所有組織正常運作的基礎。企業需要穩定的訂單與客戶系統，醫療院所需要正確的病歷與檢驗資料，金融機構需要可信的交易紀錄，政府機關需要不中斷的公共服務，學校也需要穩定的校務、教學、公告與資料處理流程。只要資料、系統、服務或流程失去可信度，影響的就不只是電腦，而是整個組織的運作秩序。

資訊安全也不是零成本的口號。無論是企業、政府機關、醫療院所或學校，要維持資訊安全，都需要投入人力、設備、系統維護、備份機制、教育宣導與持續檢查。這些看似都是成本，但從治理角度來看，更是一種保護組織資料、服務與信任的投資。沒有平時的投入，等到勒索病毒、資料外洩或系統中斷發生時，付出的代價往往更高。

CISA 說明，網路安全是在保護網路、設備與資料，並確保資訊的機密性、完整性與可用性。這三個概念也常被視為資訊安全的核心基礎：資料不能被不當接觸、不能被任意竄改，也要在需要時能正常使用。

1. 它是怎麼發生的？

第一種情境，是把資訊安全看得太窄，只當成「資料保密」。

資料保密很重要，但如果只重視保密，就容易忽略其他風險。例如資料沒有外流，卻被填錯、改錯、覆蓋或使用過期版本，後續仍可能造成錯誤判斷。對企業來說，客戶資料錯誤會影響服務；對醫療場域來說，病歷資料錯誤會影響判斷；對學校來說，學生資料若不正確，也會影響行政與教學作業。

資訊安全保護的不是「資料被藏起來」而已，而是資料在整個使用過程中都能維持正確、完整、必要與可信。

第二種情境，是只看到設備，沒有看到服務。

電腦、網路、系統與雲端工具本身只是外在形式。真正被保護的是它們所支撐的服務。企業的線上交易、醫療的病歷查詢、政府的線上申辦、學校的教學平台與校務系統，都不是單純設備問題，而是組織對外或對內提供服務的重要入口。

當系統不能使用時，影響的不是單一設備，而是背後一整串工作、服務與信任關係。資訊安全因此也包含服務可用、作業不中斷與必要時能恢復的能力。

第三種情境，是流程沒有留下清楚紀錄。

資訊安全也包含「事情發生後能不能說得清楚」。誰建立資料、誰修改資料、誰分享檔案、誰調整權限、資料保存多久、何時完成刪除，這些看起來像行政細節，其實都是組織維持流程可信的重要基礎。

沒有紀錄，事情就容易變成口頭猜測；有紀錄，才有機會釐清原因、修正流程、降低後續風險。對任何組織而言，流程可追溯不是為了增加麻煩，而是讓責任、依據與改善方向能被看見。

2. 為什麼值得重視？

資訊安全之所以值得重視，是因為現代組織的資料與服務都已經高度數位化。一旦遭遇勒索病毒、帳號濫用、資料竄改或個資外流，影響往往不是單一檔案遺失，而是服務中斷、行政混亂、信任受損與後續補救成本增加。

資訊安全需要人力、設備與制度長期支撐，這些投入看起來是成本，但本質上是風險管理。平時投入資源維護安全，就像為組織建立防護層，目的不是增加負擔，而是避免未來發生更大的營運損失、信任損害與補救成本。

第一、資訊安全保護的是資料的價值。

資料不是單純的檔案。客戶資料、病歷資料、交易紀錄、研究資料、學生資料、家長聯絡資料與行政清冊，都是組織運作的重要依據。資料若外洩，會影響隱私；資料若錯誤，會影響判斷；資料若找不到，會影響服務；資料若沒有管理，會增加後續爭議。

對學校而言，學生名冊、成績紀錄、活動報名資料、輔導紀錄與行政清冊，也同樣不是普通文件，而是支撐教學與行政服務的基礎資料。

第二、資訊安全保護的是服務的連續性。

各界組織都仰賴資訊系統提供服務。企業靠系統接單與管理客戶，醫療院所靠系統查詢病歷與檢驗資料，金融機構靠系統維持交易可信，政府機關靠系統提供民眾服務，學校靠系統維持校務與教學運作。

當系統無法使用、平台突然中斷、資料無法取得，這不只是技術問題，而是服務被迫中斷。NIST 的資料完整性實務指南也將資料完整性事件與組織營運影響連在一起，強調需要在事件前後有合適的保護與應對作法。

第三、資訊安全保護的是組織信任。

信任不是一句口號，而是長期穩定運作累積出來的結果。資料正確、服務穩定、流程清楚，使用者、客戶、民眾、學生與家長才會相信組織提供的數位服務。

相反地，如果資料常常錯、系統常常不能用、流程常常說不清楚，即使沒有發生重大外洩事件，也會慢慢消耗信任。對學校而言，公告可信、資料正確、系統穩定、流程清楚，正是維持親師信任與教學行政順暢的重要基礎。

3. 從治理角度看，資訊安全真正保護的三個層面

● 第一點（資料層面｜保護資料的正確、必要與可信）

資訊安全首先保護資料，但不是只保護資料不外洩，而是保護資料在整個使用過程中維持正確、必要與可信。

正確，代表資料內容不能被任意更改、誤用或使用錯誤版本。

必要，代表資料收集與保存要符合實際目的，不該收的不要收，不該留太久的不要留。

可信，代表資料來源、版本、權限與使用紀錄能說得清楚。

無論是企業客戶資料、醫療病歷資料、政府申辦資料，或學校學生資料，只要資料不正確、不必要或來源不清楚，都可能影響後續判斷與服務品質。

● 第二點（服務層面｜保護組織運作不中斷）

資訊安全也保護服務。服務包括網站、系統、電子郵件、雲端平台、資料庫、公告系統、交易平台、教學平台與各類線上申辦或作業流程。

如果資料很安全，但系統需要時不能用，組織運作仍會受影響。若服務經常中斷，人員可能改用臨時方法處理資料；臨時方法越多，資料散落與流程失控的風險也會增加。

所以資訊安全不是只把門鎖起來，也要確保該運作的服務能穩定運作。這就是為什麼資訊安全會和業務持續、系統可用、備援準備與日常維護有關。

● 第三點（信任層面｜保護組織聲譽與公共信任）

資訊安全最後保護的是信任。

當資料正確、服務穩定、流程清楚，組織內部人員比較能安心使用數位工具，外部使用者也比較能相信組織的公告、表單、系統與通知。

對企業來說，信任影響客戶關係；對醫療院所來說，信任影響病患安全感；對政府機關來說，信任影響公共服務形象；對學校來說，信任影響親師合作與學生資料保護。

因此，資訊安全真正保護的不是某一台電腦、某一個帳號或某一份檔案，而是組織能否持續提供可信、穩定、可追溯的數位服務。

本篇提醒

資訊安全真正保護的，不只是資料本身，而是資料背後的組織運作秩序。

資料要正確，系統要可用，服務要穩定，流程要清楚，信任要能維持。資訊安全需要人力、設備、制度與持續維護，這些投入看似成本，實際上是降低風險、維持營運與保護信任的長期投資。

當我們把資訊安全放在治理與日常運作中理解，就能看見它不只是技術問題，而是行政品質、服務穩定、組織聲譽與信任累積的重要基礎。

引用連結：

CISA：What is Cybersecurity?

https://www.cisa.gov/news-events/news/what-cybersecurity

NIST NCCoE：Data Integrity Cybersecurity Practice Guide

https://www.nccoe.nist.gov/publication/1800-25/VolA/index.html