資安政策建立

如果明天有位同事的公務筆電在捷運上被偷了，裡面存著幾百位服務對象的個資——你們知道第一步該做什麼、該通報誰、要不要告知當事人、要不要報警嗎？

如果答案是「不太確定」，那不是你們的錯，只是還沒有人把這件事先寫下來、講清楚。等事情發生了才在混亂中臨時決定，往往是傷害擴大的原因。

「資安政策」聽起來很嚇人，但它其實就是：把「我們組織應該怎麼處理帳號、資料和突發事件」這件事，寫下來、講清楚、讓所有人都知道。這項服務會和你一起從頭梳理組織的資訊流向，找出哪些地方最脆弱，然後產出一份真的寫給人看、可以照著做的政策文件——不是從網路抄來的範本，而是你們組織專屬的操作指南。內容通常包含：帳號與密碼管理規範、裝置使用與攜出規定、資料分類與存取權限、事件通報與回應流程、員工教育計畫。

如果那天真的來了，你們接得住嗎？

一個 20 人的倡議組織，某位工作者的筆電被偷了。筆電沒有加密，裡面存著幾百位受助者的個資和內部溝通紀錄。

因為沒有事先制定政策，沒有人知道應該通報誰、應不應該告知受助者、要不要報警，整個組織陷入混亂，最後因為處理不當還引發了外部的信任危機。如果事前有一份資安政策，遇到這種情況就有標準作業程序可以依循，損害可以被控制在最小範圍。

費用參考

• 基礎版（5 人以下小型組織）：NT$ 12,000 起
• 標準版（6～20 人）：NT$ 25,000 起
• 進階版（含員工教育訓練）：NT$ 35,000 起

費用包含：前置訪談、政策草稿、修訂一次、定稿文件，以及 30 天內的問題回覆支援。這份文件是寫給你們同事讀的，不是塞進抽屜的厚報告；交付時我會用白話陪你們走過一遍，確認每個人都看得懂、做得到。

NPO 與社福機構享有特別費率，請來信說明規模與需求。若你們組織屬於容易被針對的類型（倡議、人權、性別、記者等），威脅模型會納入這一層一起設計。