技術專欄
隨著雲端服務、遠端辦公、生成式 AI 與跨組織資料交換日益普及，資訊安全風險已不再侷限於企業內部的 IT 系統，而是直接影響營運持續、客戶信任、法規遵循與市場競爭力。
許多企業已投入大量預算建置防火牆、端點防護與入侵偵測，卻仍面臨資料外洩、勒索軟體或供應鏈事件。原因往往不是缺少工具，而是缺乏治理：防護措施無法整合、沒有人說得清楚誰負責決策、風險是否被接受，也無法衡量投資是否真正降低了風險。資安治理的核心，不在於部署了多少產品，而在於能否把資安風險轉化為可識別、可衡量、可管理的營運風險。
本文將從資安治理的基本概念、台灣相關法規與國際標準、成熟度評估、實際落地步驟、AI 時代的新管控對象，到 MetaAge 邁達特的治理實踐與一站式資安服務，說明企業如何建立兼顧安全、營運與持續發展的資安治理體系。
資訊安全治理（Information Security Governance）是企業由最高管理階層主導，透過管理制度、組織權責、風險評估、政策制定與持續監督，確保資訊安全策略與企業營運目標一致的管理機制。它回答的是「企業要保護什麼、承擔多少風險、由誰決定、如何確認有做到」。
與資安管理最大的不同，在於治理關注的是「保護哪些資產、優先管理哪些風險、如何驗證有效」，而非單純防止攻擊——治理是「做對的事」，管理是「把事情做對」。例如建置資料外洩防護（DLP）屬於技術控制；決定哪些資料是機敏資訊、誰能存取、違規由誰處理，則是治理。沒有治理的管理容易淪為 IT 單打獨鬥、預算年年被砍、出事沒人負責；沒有管理的治理則只有漂亮的政策文件，實際環境卻漏洞百出。
完整的資安治理通常涵蓋以下六個面向：
NIST 於 2024 年發布的 Cybersecurity Framework（CSF）2.0 將 Govern（治理）列為六大核心功能之一，與 Identify（識別）、Protect（保護）、Detect（偵測）、Respond（應變）、Recover（復原）並列，並強調治理貫穿其他五項；ISO/IEC 27001、ISO/IEC 27014（資訊安全治理指引）與 ISACA 的 COBIT 同樣把「高層承諾與監督」視為資安落地的第一要件。這反映資安管理正從技術防護為主，轉向以企業風險與營運韌性為核心的治理架構。本文後續也以 CSF 2.0 的六大功能作為共同語言，對應法規、成熟度與解決方案分類。
多數企業的資安投入是「事件驅動」的：被勒索了才買備份、被稽核開缺失才補文件、客戶要求了才導 ISO。每一次投資都是零散的、沒有優先順序的，也無法向董事會說明「我們現在的風險到底有多大、投了這些錢改善了多少」。資安治理之所以重要，正是因為它把資安從技術支出，變成可被管理、可被衡量、可被問責的經營議題。
一旦遭受勒索軟體、DDoS 或資料外洩，影響的不只是系統，而是生產中斷、交易停擺、法律責任、重大訊息公告與 ESG 評鑑扣分。企業需要從營運角度問：關鍵系統中斷一小時損失多少？核心資料外洩影響哪些客戶？治理讓企業依營運重要性排出防護順序，並且不承諾「不會出事」，而是確保出事時能快速偵測、應變、復原——這正是主管機關、客戶與投資人真正在看的能力。
金管會自 2021 年起分級要求上市櫃公司設置資安長與專責單位；2025 年修正的《資通安全管理法》進一步把特定非公務機關設置資安長與專職人員列為法定義務。同時，大型客戶與國際品牌也要求供應商提供 ISO 27001 證書、資安問卷、滲透測試報告與事件通報承諾，沒有治理架構的企業很難系統性回應，甚至因此失去訂單資格。
企業環境已從內部資料中心擴展到公有雲、SaaS、遠端辦公與 AI 應用，邊界逐漸消失。尤其當 Agentic AI 不只讀取資訊、更能透過工具執行查詢、修改資料或啟動流程，企業必須開始管理 AI Agent 的身分、權限與行為。這些延伸環境若未納入治理，往往成為攻擊者最愛的突破口（詳見下方第六段）。
資安預算增加不代表成熟度提升。缺乏一致的風險策略時，各部門採購的工具功能重疊、政策不一致，甚至形成無人管理的盲區。治理機制讓企業用風險評鑑結果決定「先做什麼、暫時接受什麼」，讓每一分投入都有依據。
邁達特服務台灣金融、製造、零售、醫療與公部門客戶，第一線的觀察是：資安預算最高的企業，不一定是治理最成熟的企業。不少組織部署了十多套產品，卻因沒有統一的風險框架與應變流程，遭遇攻擊時仍手忙腳亂；也有規模不大的公司，因高層承諾明確、權責清楚、每季檢視指標，在有限預算下建立了穩定的防護體質。
因此我們建議，企業推動資安治理應先釐清需要保護的核心業務與資產，再依風險規劃制度與技術——金融機構最在意交易系統可用性與存取控管，製造業則更重視營運不中斷、OT 安全與智慧財產保護，不應以單一產品或相同模式解決所有問題。這也是邁達特把「資安健檢與風險評估」與「資安合規與政策顧問」放在一站式資安服務起點的原因：先把治理骨架立起來，產品與服務才接得上。
企業推動資安治理前，應先確認自身產業、組織屬性及主管機關要求，再選擇適合的管理架構與驗證標準。台灣的資安法規從公部門與關鍵基礎設施開始，逐步擴及上市櫃公司與一般企業。
| 主管機關 | 適用對象 | 重點要求 | |
|---|---|---|---|
| 資通安全管理法（2025 年修正，同年 12 月 1 日施行） | 數位發展部（資通安全署） | 公務機關、關鍵基礎設施提供者及依法指定的特定非公務機關 | 依責任等級建立資安管理制度、防護措施、通報應變及稽核機制；特定非公務機關須設資安長與專職資安人員；委外契約納入資安條款。本法並非一體適用所有民間企業 |
| 公開發行公司建立內部控制制度處理準則（第 9 條之 1） | 金管會 | 公開發行公司；上市櫃公司分三級配置資安人力 | 第一級（資本額 100 億以上、台灣 50 成分股、電商媒介業者）須設資安長、資安專責單位與至少 2 名專責人員；第二級須設資安專責主管與至少 1 名人員 |
| 上市上櫃公司資通安全管控指引 | 證交所／櫃買中心 | 全體上市櫃公司 | 資安政策與推動組織、風險評估、系統防護、委外安全管理、事件通報；年報揭露資安風險管理架構，重大資安事件須發布重大訊息 |
| 個人資料保護法 | 各目的事業主管機關（依現行法）；個人資料保護委員會籌備處推動設立獨立監督機關 | 所有蒐集、處理、利用個資之公務與非公務機關 | 個資安全維護措施、事故通報。2025 年修法新增設立獨立監督機關等規定，部分修正條文施行日期尚待行政院另定，企業應持續追蹤 |
| 產業別政策與規範 | 金管會、衛福部、經濟部等 | 金融機構、醫療、能源、電信等 | 金融業另有「金融資安行動方案 2.0」作為政策推動方向，鼓勵零信任架構、SBOM 與攻防演練逐步落實；關鍵基礎設施依各主管機關的資安責任等級辦理 |
除了法規要求，第三方認證與國際框架是企業向客戶、主管機關與投資人證明資安治理能力最直接的方式：
| 核心目的 | 性質 | 適用情境 | |
|---|---|---|---|
| ISO/IEC 27001:2022 | 建立資訊安全管理系統（ISMS），實施風險管理與持續改善；4 大主題共 93 項控制措施 | 可第三方驗證；2013 版證書已於 2025 年 10 月失效 | 所有產業最普遍的資安治理認證；資安法 A、B 級機關須通過 CNS/ISO 27001 |
| ISO/IEC 27701 | 建立隱私資訊管理系統（PIMS），強化個資治理 | 可第三方驗證 | 處理大量個資、需呼應個資法／GDPR 的企業 |
| ISO 22301 | 建立營運持續管理系統（BCMS） | 可第三方驗證 | 關鍵基礎設施、金融、製造 |
| ISO/IEC 42001:2023 | 建立 AI 管理系統（AIMS），管理 AI 使用與開發風險 | 可第三方驗證 | 導入生成式 AI、AI Agent 的企業與 AI 服務供應商 |
| SOC 2 Type II | 依安全性、可用性、處理完整性、機密性、隱私五大信任原則出具鑑證報告 | 會計師鑑證報告（非認證） | SaaS、雲端與資料處理服務供應商 |
| NIST CSF 2.0／CIS Controls | 資安治理與風險管理的整體參考架構；CIS 提供 18 項可操作控制 | 自我評估框架，非認證 | 各產業自評、成熟度提升與解決方案分類 |
ISO 管理系統標準可透過第三方驗證（雲端服務可加驗 ISO/IEC 27017／27018，汽車供應鏈與 OT 環境另有 TISAX、IEC 62443）；NIST CSF 2.0 則是自我評估框架而非認證，但其六大功能涵蓋完整的資安生命週期，很適合作為對照法規、評估成熟度與分類解決方案的共同語言。
企業常把取得 ISO 27001 或通過法規稽核視為資安工作的目標，但通過認證不代表風險已消除。邁達特觀察到三個常見誤區：
我們建議把法規與標準視為「治理的最低門檻與對外語言」：合規告訴企業哪些事不能不做，認證讓企業用國際框架說明做到什麼程度；真正的目標是結合持續監控、風險評估與技術驗證，讓政策內化為日常營運。對於需同時面對資安法、金管會規範與國際客戶要求的企業，邁達特可透過「資安合規與政策顧問」協助差距分析、制度建置與驗證準備，並搭配技術模組補齊控制措施，避免制度與技術兩張皮。
「有沒有做資安」是是非題，「資安做到什麼程度」才是企業真正要回答的問題。資安治理成熟度衡量的是企業在風險管理、政策執行、組織權責與持續改善上，是否已建立制度化、可重複且能持續優化的能力——讓企業知道自己在哪裡、目標在哪裡、差距多大，進而把預算投在真正能升級的地方。
企業可借用 NIST CSF 2.0 的 Implementation Tiers 作為自我檢視的參考。需要特別說明的是，Tiers 描述的是組織「風險治理與風險管理實務的嚴謹程度」，並非官方成熟度評分，也不能與 ISO 27001 等認證直接換算；並非所有企業都必須達到 Tier 4，重點是依風險設定合理目標。
| 主要特徵 | 企業常見狀況 | 董事會能看到什麼 | |
|---|---|---|---|
|
Tier 1：Partial（部分實施） |
臨時、被動式管理 | 缺乏一致政策，多在事件發生後處理；作業依賴個人經驗 | 幾乎沒有資訊，只有事故時才被告知 |
| Tier 2：Risk Informed（風險導向） | 已有風險意識 | 管理階層開始參與並核准政策，但尚未全面制度化 | 零散的技術報告，缺乏風險語言 |
| Tier 3：Repeatable（可重複執行） | 正式政策與標準流程 | 風險評估、稽核及改善流程常態運作，並依組織需求配置資安權責 | 定期的合規狀態與重大風險摘要 |
| Tier 4：Adaptive（持續調適） | 動態管理與持續優化 | 能依威脅情資、業務與環境變化主動調整；以 KPI／KRI 量化管理；資安嵌入業務流程 | 風險儀表板、趨勢分析與投資效益 |
成熟度評量以國際框架為基準，透過文件審查、人員訪談、技術檢測與抽樣驗證判定等級。評量重點不只是「有沒有做」，而是政策與實際作業是否一致、是否有人定期檢視、是否被量測、是否納入事件教訓改善、是否涵蓋供應商與雲端等延伸環境。企業可從六個面向盤點現況：
完成評估後，企業可建立目前狀態（Current Profile）與目標狀態（Target Profile），辨識落差並依風險與預算排出分年改善路徑。
邁達特認為，成熟度不應只看制度文件或設備數量，而要看措施是否真正有效運作：備份系統若從未做過還原測試，就無法確認勒索事件後能否在可接受時間內復原；DLP 若沒有資料分類與事件處理流程，也發揮不了保護效果。我們觀察到不少已取得認證的企業，共同特徵是「制度完整但量測不足」，監控多半仍是有告警才看。要往下一個層級邁進，關鍵不在再買產品，而是建立持續監控、以指標驅動管理審查，並把供應鏈、雲端與 AI 納入治理範圍。
資安治理不是一次性專案，而是需要持續運作與改善的管理循環。邁達特建議採「由上而下定治理、由下而上做執行」，分七步建立機制：
建議追蹤的治理指標包括：
邁達特觀察，企業最常卡關的不是技術，而是組織與流程：
針對這些挑戰，邁達特建議「先治理、後技術；先整合、後擴充」，並把資安治理拆成三個互相連結的能力：
三者形成循環：依風險定政策、以技術執行、依驗證結果調整策略。其中最常被忽略的是驗證——企業缺的通常不是政策，而是能即時呈現執行狀況的數據。邁達特主張把 SOC 監控數據與治理指標打通，讓資安長向董事會報告時用的是真實環境的數字而非自評問卷。至於監控與應變能量要自建、委外還是協同，是資源配置的選項而非前提：有資安團隊的企業可自建並由外部夥伴補強特定能力；人力有限的企業則可把部分監控、應變或維運交給外部夥伴，重點是治理責任仍在企業自身，驗證環節不能空轉。
前述治理框架在 AI 時代並沒有失效，但管控的「對象」正在改變：傳統資安管流量、身分與資料；生成式 AI 普及後要管「LLM 應用」；當 AI 透過 API 與工具取得行動能力、成為會自主規劃並改變系統狀態的 Agent，要管的就是「行為」。每一代是疊加而非取代，前三代的邊界防禦、零信任與資料治理正是 AI 安全的地基；而多數企業目前最大的缺口是「看不見」——不知道有多少 AI 與 Agent 在跑、以誰的身分、做了什麼。
邁達特把 AI 安全拆成三層，對應三種管控對象。前兩層方案已成熟、最該先做完；第三層 Agentic Security 是新的戰線。
| 管什麼 | 典型風險 | 核心防護 | |
|---|---|---|---|
| 第一層 AI Usage Security | 人用 AI：員工把什麼貼進去 | 機密原始碼、客戶名單貼進公有 AI；Shadow AI 看不見；未經查證的回答直接對外 | 透過 SWG、CASB、DLP 與受控瀏覽器等技術，識別 Shadow AI、管控未核准應用及機敏資料上傳，並建立 AI 使用政策、存取控制與稽核紀錄 |
| 第二層 AI Application Security | AI 應用的問與答：RAG 客服、知識助理 | Prompt Injection 與越獄；越權讀取文件、文件毒化；模型供應鏈；個資外洩與幻覺 | 針對企業自建或 API 整合的 AI 應用，透過 AI Gateway、LLM Firewall、身分驗證、RAG 文件存取控制、輸入與輸出過濾及模型安全驗證，降低 Prompt Injection、越權存取及資料外洩風險；對照 OWASP LLM Top 10 |
| 第三層 Agentic Security | AI 做事：Agent 透過工具改變系統狀態 | 目標劫持、工具濫用、身分與權限濫用、記憶污染、代理間通訊不安全、失控代理 | 三大控制點（AI／MCP／API Gateway）× 黃金三角（實體隔離、NHI 身分治理、護欄＋HITL）；對照 OWASP Agentic Top 10 |
分水嶺在第二層與第三層之間：Chat 答錯了可以重新生成，Agent 做錯了，錢已匯出、資料已刪除，因此必須「事前管行為」而非只「事後查紀錄」。邁達特建議把每個 Agent 視為取得內部存取權的「數位員工」：發給獨立的非人身分（NHI）、按任務給最小權限、刪除／付款／寄出等高風險動作需人工會簽（HITL）、全程留下行為軌跡、離任時撤銷身分與金鑰——用管人的 HR 流程管 Agent。
要讓三層防線落地，順序比產品重要——沒有治理，分級沒人拍板；沒有分級，不知道籠子該多嚴；看不見 AI，再高的圍欄也只是裝飾：
企業面對 Agentic AI 常走向兩個極端：怕出事而全面禁止，員工轉向 Shadow AI，風險從看得見變成看不見；或追求效率直接讓 Agent 接上生產系統，等同放養。邁達特的立場是：目標不是阻止 AI 做事，而是先分級、再看見、先管最高風險的 Agent、再逐步擴大。AI 安全也不是另起爐灶——第一層所需的 SWG、CASB 與 DLP，第二層的 AI Gateway、零信任與身分管理，正是既有網路、資料與應用治理的延伸；第三層的 NHI 治理，則是把企業熟悉的 IAM／PAM 原則套用到非人身分。第一步不需要採購任何產品：先盤點企業內有幾個 Agent、以誰的身分在跑、負責人是誰。從「管誰能用 AI」走到「管 AI 做了什麼」，就是 AI 時代資安治理成熟度最直接的量尺。
作為協助企業推動資安的服務夥伴，邁達特自身必須先成為資安治理的實踐者，並將資安治理納入企業管理與永續發展體系。
依據邁達特公開的資訊安全管理資料，公司已建立資通安全政策並通過 ISO 27001:2022 驗證，管理制度以營運穩定、資訊資產安全及適法合規為目標；由資通安全長與各部門主管組成資通安全推動委員會，統籌政策制定、執行、風險管理與查核，定期召開管理審查會議，並將客戶隱私保護、員工保密責任與資安教育訓練納入日常管理。近年成果包括：
邁達特認為，完善的資安治理並非依靠單一管理平台或資安產品即可實現。GRC（Governance, Risk and Compliance）代表企業治理、風險管理與法規遵循的管理範疇；NIST CSF 2.0 提供資安風險治理與管理框架；ISO/IEC 27001:2022 則提供可透過第三方驗證的資訊安全管理系統要求。企業可依據這些管理概念、框架與標準建立治理制度，再透過不同資安技術與服務落實控制措施，確保治理政策能真正轉化為可執行、可衡量且可持續改善的防護能力。
邁達特提供的不是單一資安治理平台，而是這個「轉換」的整合能力：透過多品牌整合與模組化資安服務，協助企業依據風險優先順序規劃適當的解決方案，降低重複投資與管理複雜度，逐步建立可持續改善的資安防護體系。
企業做資安最怕的不是沒有產品可選，而是買了好幾套彼此接不起來，也沒有人力維運。邁達特一站式資安服務把企業該做的 16 項資安工程整理成模組，依「事前防守、事中反制、事後強化」三階循環排列，整合 Check Point、Cisco、Zscaler、CyCraft、Akamai、Radware、Keyfactor、Elastic、SecurityScorecard 等多家國際品牌，產品幫企業選好、服務幫企業搭好：
延伸閱讀：邁達特一站式資安服務｜16 大資安模組，從事前防守到事後強化一次到位
為協助企業將資安治理要求轉化為具體的防護能力，本文參考 NIST CSF 2.0 六大核心功能，對照邁達特一站式資安服務的 16 大核心模組。16 大模組並非「一個模組只屬於一個階段」——多數模組橫跨兩個以上階段、支撐多項 CSF 功能，例如 EDR／MDR 在事前強化端點、事中偵測隔離、事後提供鑑識資料；資安健檢、資安教育與合規顧問等治理型模組則集中於事前。透過這項對照，企業可以依據現況評估（Current Profile）與目標狀態（Target Profile）的落差，識別需要補強的資安控制能力，再依風險重要性、既有環境及預算，規劃適當的技術與服務。需注意，此對照為解決方案規劃的參考分類，不代表 NIST 官方對產品或服務的認證與推薦。
| 主要對應 NIST CSF 2.0 功能 | 事前防守 | 事中反制 | 事後強化 | |
|---|---|---|---|---|
| 1 資安健檢與風險評估 | Identify、Govern | ● | ||
| 2 威脅監控與通報（SIEM/SOC） | Detect、Respond | ● | ● | |
| 3 終端偵測與防護（EDR/MDR/XDR） | Protect、Detect、Respond | ● | ● | ● |
| 4 網路邊界防護（NGFW/IDS/IPS） | Protect、Detect | ● | ● | |
| 5 雲端資安防護（Cloud Security） | Identify、Protect、Detect | ● | ● | |
| 6 資安教育與社交工程防範 | Protect | ● | ||
| 7 資安合規與政策顧問 | Govern、Identify | ● | ||
| 8 資安事件應變與鑑識（IR） | Respond、Recover | ● | ● | |
| 9 網路防禦與 DDoS 防護 | Protect、Respond | ● | ● | |
| 10 Web 應用與 API 防護 | Protect、Detect | ● | ● | |
| 11 DNS 安全與內容過濾 | Protect、Detect | ● | ● | |
| 12 零信任遠端存取與資安（ZTNA） | Protect | ● | ● | |
| 13 AI 安全架構與合規防護 | Govern、Protect、Detect | ● | ● | |
| 14 資料安全與資料外洩防護（Data Security / DLP / Database Security） | Protect、Detect | ● | ● | |
| 15 身分安全（IAM / IGA / MFA / PAM） | Protect | ● | ● | |
| 16 裝置安全（EPP / MDM / UEM / NAC） | Protect、Detect | ● | ● |
這讓健檢報告、董事會簡報與採購規劃使用同一套語言——資安長能清楚說明「這筆投資補強的是 Detect 與 Respond 能力」，而不只是「買了一套產品」。
資安治理與解決方案之間需要一座橋：把評估出的治理缺口，轉換成實際風險與對應的方案需求。下表是邁達特最常協助企業對應的缺口，企業可直接對照自身現況；每個缺口都可回推到上表的模組與 CSF 功能：
| 實際風險 | 可對應的解決方案 | |
|---|---|---|
| 不知道機敏資料在哪裡、沒有分類分級 | 資料外洩、違反個資法與客戶合約 | Data Security、DLP、資料庫活動監控（模組 14） |
| 無法控管員工與第三方的存取 | 未授權連線、權限濫用、離職帳號未停用 | ZTNA、IAM／PAM、MFA（模組 12、15） |
| 無法掌握外部曝險與供應鏈風險 | 對外服務弱點、第三方成為攻擊跳板 | 外部攻擊面與供應商風險評級、WAF／DDoS 防護（模組 1、9、10） |
| AI 使用與 Agent 權限不透明 | 機敏資料貼進公有 AI、工具濫用、越權存取 | AI Gateway、NHI 身分治理、API 存取控制（模組 13、15） |
| 無法確認防護是否有效、告警無人處理 | 政策與實際控制脫節、事件發現太晚 | SOC／SIEM 持續監控、EDR／MDR、紅隊與攻防演練、治理指標儀表板（模組 2、3、8） |
| 法規與認證要求無法系統性回應 | 稽核缺失、失去客戶或標案資格 | 資安健檢、合規與政策顧問、ISO 27001 導入輔導（模組 1、7） |
| 員工資安意識不足、裝置缺乏管控 | 釣魚得逞、未授權裝置接入內網 | 資安教育與社交工程演練、EPP／MDM／NAC（模組 6、16） |
這張表對企業的意義，是把 Governance（管理議題）直接轉換成 Solution（需求）：資安長能向董事會說明「這筆投資補的是哪個缺口、降低哪種風險」，採購規劃與健檢報告也能用同一套語言。對邁達特而言，這正是一站式資安服務的核心價值——不只是提供資安產品，而是依企業的治理缺口規劃整體方案。每個模組都有多家品牌可選；維運方式則由企業依資源決定：可自行維運、與邁達特協同，或將特定模組委由邁達特承接。治理責任始終在企業，邁達特的角色是讓每一個治理缺口都有對應的技術與服務承接，制度與技術不脫節。
法規把資安責任推上董事會，客戶把資安能力寫進合約，攻擊者把每一個未被治理的角落當成入口。企業不能再把資安視為單一技術部門的責任，也不能只靠採購產品解決問題。
完善的資安治理由高層參與，結合政策、風險管理、技術控制與持續驗證，建立可衡量、可追蹤、能持續改善的機制；面對 AI 與 Agent 的快速導入，同一套邏輯依然適用——先治理定框、再分級與看見，把控制點建在流量收斂處，並持續驗證。最終目標不只是避免被攻擊，而是在面對風險時仍具備持續營運與快速復原的能力。
MetaAge 邁達特以自身的資安管理實踐為基礎，結合依資安框架分類的一站式資安服務，協助企業從治理缺口出發，走完風險識別、防護建置、威脅應變到持續改善的完整循環，打造兼顧合規、安全與營運韌性的資安治理體系。如您有企業資安需求、或想了解更多實際應用，歡迎與我們聯繫。
