【資安小常識｜網路安全】新系統不是能登入就算安全：上線前先想清楚資料、帳號與操作流程
來源：NIST Cybersecurity Framework 2.0、NISTIR 7621 Rev.1 Small Business Information Security: The Fundamentals、個人資料保護法
威脅對象：參與新系統導入、試用、上線、資料匯入、帳號申請、權限設定、表單設計、免費軟體使用、自行開發、委外維護或日常操作之一般使用者、管理人員與業務承辦人
主題面向簡介
新系統上線前，不能只看「能不能登入」、「畫面能不能打開」、「功能按鈕能不能點」。真正影響後續使用安全的，是系統會收哪些資料、誰可以看資料、誰可以修改資料、誰可以匯出資料，以及發生異常時要由誰回報與處理。
日常工作中，新系統可能是報名平台、會員系統、線上表單、內部管理系統、客服系統、雲端服務、資料查詢平台、庫存管理工具、預約系統、專案管理平台，也可能是自行用免費軟體、免費資料庫、外掛套件、低程式碼工具或簡單程式快速做出來的小型系統。只要系統會處理姓名、電話、Email、地址、帳號、付款資料、交易紀錄、身分資料、工作紀錄或其他可識別個人的資訊，就會牽涉資料蒐集範圍、帳號權限、保存方式、更新維護、委外管理與異常回報。
NIST Cybersecurity Framework 2.0 是提供各類組織管理網路安全風險的指引，重點不只在技術工具，也包含治理、辨識、保護、偵測、應變與復原等面向。NISTIR 7621 Rev.1 也將存取控制、使用者意識、系統與服務取得、資訊完整性等列為基本資訊安全主題。換句話說，新系統上線前先看資料、帳號、權限、維護與流程，是資訊安全管理的基本動作。
新系統可以提升效率，但上線前要先有基本資安意識。使用者、管理者與系統負責人應先把資料邊界、帳號邊界、維護責任與操作流程想清楚，避免系統正式啟用後，才發現資料收太多、權限開太廣、測試資料沒有刪、匯出檔案到處流、免費工具沒有人更新，或異常狀況不知道該找誰處理。
- 它是怎麼發生的？
第一種情境，是只確認功能，沒有先確認資料內容。
新系統試用時，大家常會先看功能是否順暢，例如能不能新增資料、查詢資料、下載報表、寄送通知或產出統計表。但如果沒有先確認欄位內容，就可能在表單或資料庫中收了過多資料。
例如原本只需要姓名與聯絡方式，卻多收了生日、身分證字號、住址、家庭狀況、健康資訊、付款資料或其他非必要欄位。資料收得越多，後續保存、查詢、匯出與外洩風險也會跟著增加。
第二種情境，是帳號開了，但權限沒有分清楚。
新系統常會有不同角色，例如系統管理者、資料維護者、審核者、查詢者、一般使用者或外部廠商。如果所有人都用同一種權限，或只用「方便作業」作為開權限的理由，就可能讓不需要看完整資料的人，也能查詢、修改、下載或匯出大量資料。
權限不是越大越方便，而是要符合實際工作需要。誰需要看、誰需要改、誰需要匯出，都應該在上線前先講清楚。
第三種情境，是測試資料與正式資料沒有分開。
有些系統在測試階段會先匯入資料，方便檢查畫面、流程與報表。但如果測試時直接使用完整真實資料，卻沒有確認測試環境、廠商存取方式、資料刪除流程與保留時間，就可能讓正式資料提前進入尚未穩定或尚未完成管理的環境。
測試可以做，但測試資料要先想清楚。能用範例資料、假資料或遮蔽資料時，就不要一開始使用完整真實資料。
第四種情境，是匯出報表很方便，但檔案流向沒有管理。
很多系統都提供匯出 Excel、PDF 或 CSV 功能。報表匯出後，資料就不只在系統裡，也可能出現在桌面、下載資料夾、共用資料夾、Email 附件、隨身碟或雲端硬碟。
如果沒有規定誰可以匯出、匯出後放哪裡、用完是否刪除、是否可以轉寄，就容易讓系統內的資料變成系統外到處流動的檔案。
第五種情境，是異常狀況沒有回報窗口。
新系統剛上線時，最常見的通常不是一開始就能判斷的大事故，而是一些小異常：登入不了、權限怪怪的、資料查不到、報表數字不一致、看到不該看到的資料、收到陌生通知、離職或轉任人員帳號仍可使用。
這些狀況如果只在使用者之間口頭討論，沒有留下時間、畫面、帳號、操作步驟與回報紀錄，系統管理者就很難判斷問題範圍，也不利於後續追蹤。
第六種情境，是用免費軟體或自行開發工具快速做系統，卻沒有想清楚漏洞更新與後續維護。
有些小型系統一開始只是為了方便，例如用免費資料庫、線上表單、外掛套件、低程式碼平台或簡單程式快速整理資料。剛開始看起來很有效率，但只要系統會保存資料，就不能只看「現在能不能用」。
免費軟體、外掛套件或自行開發的小系統，上線後仍可能需要版本更新、漏洞修補、備份檢查、權限調整與異常排除。如果沒有廠商協助，這些工作就需要明確指定內部維護人員與交接方式。否則一旦原本熟悉系統的人離職、轉任或不再維護，就可能出現「資料庫放在哪裡沒人清楚」、「外掛很久沒有更新」、「工具停止服務後資料帶不出來」、「發生錯誤沒有人能判斷」等問題。
自行建置或使用免費工具不是不能做，但只要會存資料，就要把它當成正式系統來看。上線前應先確認誰負責維護、多久檢查更新、資料如何備份、權限如何控管、資料能否匯出、工具停用時如何接續，避免方便一時，後續變成資料與維護風險。
- 為什麼值得重視？
第一、新系統一旦上線，資料就會開始累積。
系統正式啟用後，資料會每天新增、修改、查詢、匯出與保存。如果一開始沒有先盤點資料欄位與保存方式，後續要再整理會更困難。
第二、權限開太廣，會讓資料暴露範圍變大。
使用者處理工作需要權限，但權限應該依照角色、工作內容與必要範圍設定。若每個人都能查完整資料、下載完整清冊或修改重要欄位，就會增加誤用、誤刪、誤傳與外洩風險。
第三、委外系統也要有管理邊界。
如果系統由外部廠商建置、代管或維護，仍要先確認廠商會接觸哪些資料、維護時是否需要帳號、測試資料如何處理、資料是否會匯出、問題如何回報，以及專案結束後資料如何刪除、移轉或交還。
委外不代表管理責任也一起交出去。必要的紀錄、權限、維護窗口與資料處理方式，都要在系統正式使用前先確認。
第四、系統方便性不能取代資料保護。
自動通知、批次匯出、快速查詢、共用連結與一鍵下載都很方便，但每一個方便功能都可能讓資料更容易被複製、轉寄或保存到系統外。新系統上線前，應先確認哪些功能真的需要開放，哪些功能應限制特定角色使用。
第五、沒有廠商協助的系統，更要先想清楚誰維護。
免費軟體、外掛、低程式碼工具或自行開發的小系統，常因為導入快、成本低而被拿來處理資料。但成本低不代表不用維護。只要系統會保存個人資料、工作紀錄或重要檔案，就要確認版本更新、漏洞修補、備份方式、存取權限與異常處理責任。沒有廠商協助時，維護責任更要在上線前講清楚，不能只靠某一位熟悉工具的人「有空再看」。
第六、事前盤點比事後補救更有效。
系統正式啟用後才發現資料收太多、權限開太廣、報表能被任意下載，或免費工具長期沒有人維護，通常會牽涉流程修改、使用者重新教育、資料清理與系統調整。上線前先盤點，可以減少後續補救成本，也能降低資料外洩、帳號誤用、漏洞未修補與操作混亂的風險。
- 大家怎麼做（新系統上線前資安檢查三招行動指引）
● 第一招（先盤資料｜確認系統會收哪些資料）
新系統上線前，應先看清楚系統欄位與資料來源。
可以先確認三件事：
系統會收哪些資料，例如姓名、電話、Email、地址、帳號、交易紀錄、身分資料、工作紀錄或其他特殊欄位。
每一個欄位是否真的符合使用目的與工作需要。
資料會保存在哪裡，服務結束、專案結束或使用目的完成後，是否需要刪除、封存或轉入正式保存位置。
狀態判斷
如果某個欄位只是「可能會用到」，但沒有明確用途，建議重新評估是否需要蒐集。
如果資料包含可識別個人的資訊，就要確認蒐集目的、使用範圍與保存方式。
如果只是測試系統功能，優先使用範例資料、假資料或遮蔽資料，不要一開始就匯入完整真實資料。
● 第二招（再分權限｜誰能看、誰能改、誰能匯出要先講清楚）
系統上線前，請先把角色與權限列出來，不要等使用者反映「我看不到」或「我想下載」才臨時開權限。
可以先確認三件事：
誰是系統管理者。
誰可以新增、修改、刪除或審核資料。
誰可以查詢完整資料、下載報表或匯出清冊。
同時也要確認系統維護責任：
如果系統是自行開發、免費軟體或外掛工具建立，應同步確認維護負責人、版本更新方式、漏洞修補方式、備份位置與工具停用時的資料接續方式。
如果沒有廠商協助，應避免只靠單一人員記憶維護方式，至少要留下帳號管理、資料庫位置、備份方式、更新紀錄與交接文件。
狀態判斷
如果只是協助確認數量，不一定需要看到完整個資。
如果只是負責通知，不一定需要下載全部資料。
如果人員已離職、轉任、換業務或專案結束，帳號與權限應該同步檢查與收回。
如果廠商需要維護帳號，應確認使用時間、用途、窗口與操作紀錄。
如果免費工具或外掛已很久沒有更新，應重新評估是否繼續使用於正式資料處理。
● 第三招（資安應變程序｜異常回報與紀錄留存）
新系統上線前，除了功能測試，也要先確認異常狀況怎麼回報。
可以先做三件事：
確認系統異常時要聯絡哪個窗口，例如系統管理者、服務窗口、資訊人員、內部維護人員或廠商窗口。
確認問題回報時要留下哪些資訊，例如發生時間、帳號、操作步驟、錯誤畫面、影響範圍與是否重複發生。
確認涉及資安事件或個資疑慮時，應依既有流程即時回報，不自行擴散截圖或把資料轉到無關群組討論。
如果系統是免費軟體、自行開發工具或沒有廠商維護的小型系統，也應在上線前確認版本更新與備份檢查週期。系統能用，不代表可以長期不管；只要會存資料，就要有固定檢查、更新與交接方式。
狀態判斷
如果只是功能問題，也要留下時間、畫面與操作步驟，方便追蹤。
如果看到不該看到的資料，或發現他人帳號仍可使用，請先停止操作並回報。
如果涉及個資外洩、帳號異常、資料遭不當存取或系統疑似遭入侵，應依組織既有流程即時反映，由權責人員判斷後續處理與通報。
如果系統沒有人能說清楚資料庫位置、備份方式、版本更新方式或停用後資料如何帶出，建議不要急著正式上線。
本篇提醒
新系統不是能登入就算安全。
請記得三件事：
先盤資料：確認系統收哪些資料，避免蒐集超出使用目的與工作需要的欄位。
再分權限：確認誰能看、誰能改、誰能匯出，權限要符合必要範圍。
保留紀錄：確認異常回報窗口，留下時間、畫面、帳號與操作路徑，方便後續追蹤。
如果新系統使用免費軟體、外掛套件、低程式碼工具、免費資料庫或自行開發方式建立，也要把版本更新、漏洞修補、備份檢查、維護責任與交接文件先想清楚。沒有廠商協助時，更不能只看「現在能用」，而是要確認後續有人維護、資料能備份、權限能管理、停用時資料能接續。
新系統上線前先有資安意識，不是增加使用門檻，而是讓資料、帳號、維護與操作流程一開始就有清楚邊界。系統越早把資料範圍、權限角色、維護責任與異常回報方式設好，後續使用就越穩定，也越能降低資料外洩、誤用、漏洞未修補與操作混亂的風險。
引用連結：
NIST Cybersecurity Framework 2.0
https://www.nist.gov/cyberframework
NISTIR 7621 Rev.1 Small Business Information Security: The Fundamentals
https://csrc.nist.gov/pubs/ir/7621/r1/final
個人資料保護法
