Chapter 24・§24.1 – §24.7
組織與人力設計
CISO 匯報線的數據與台灣特殊性；以 C2M2 為權威依據的功能切分；Hub-and-Spoke 的四類決策歸屬；人力規模改以工作量推導而非 benchmark 比例；台灣「人力數是公開治理指標」的特殊約束。
24.1 CISO 匯報線：數據與台灣的特殊性
24.1.1 國際調查數據（必須謹慎引用）
| 調查 | 期間 | n | 向 CEO | 向 CIO/CTO | 等級 |
|---|---|---|---|---|---|
| Heidrick & Struggles 2023 | 2023-07 發布 | 262 | 5% | >33% | 已證實 |
| Heidrick & Struggles 2024 | 2024 夏 | 370 | 14% | 48% | 已證實 |
| Heidrick & Struggles 2025 | 2025 夏 | 231（總樣本 371） | 42% | 30% | 已證實 — 單點數據 |
🚩 不可作為時間序列使用 尚未證實：2024→2025 由 14% 躍升至 42%，單年增幅 28 個百分點，且回答該題樣本由 370 降至 231，來源文件未說明題目定義或樣本結構變更。引用時只用單一年度數字並註明 n 與調查機構，不畫趨勢線。
其他可引用的單點數據 已證實：
- 2024 年區域差異：香港/新加坡 35% 向 CEO 匯報（最高），美國僅 9%
- 2025 年依股權結構：家族企業 57% 向 CEO、PE 控股 54%、上市公司 36%、VC 控股 26%
- 薪酬中位數（2025）：美國 US$880,000（n=148）；歐洲 €411,000（n=85）
24.1.2 台灣 ODM 的實際做法（可查證的同業對照）
| 公司 | 匯報線 | 專責組織 |
|---|---|---|
| 英業達 | CISO 向總經理（President）匯報 | 總部資安部 ＋ 各廠區資安部 |
| 廣達 | 資安中心直接向 CEO 匯報，2022Q1 指派資安長 | 資安中心下轄資安管理處、資安技術處兩部門 |
| 緯創 | Chief Digital & Information Security Officer；設資安執行委員會（成員含 President & CEO、COO & CTO、CDISO） | 設資安治理辦公室；IT 副總任 ISO 27001 管理代表 |
| 鴻海 | 資安治理委員會由董事長主持，成員含 CISO、CIO | 資安治理委員會 |
以上均為 廠商主張・公司自行揭露。
關鍵觀察：四家台灣 ODM 無一家是向 CIO 匯報，與 Heidrick 2024 的全球主流（48% 向 CIO/CTO）相反。
推測原因：金管會的「資安長」制度將該職位定位為經營層而非 IT 附屬。這是台灣制度設計帶來的結構性差異，也是台灣 ODM 在向國際客戶說明治理架構時的優勢。
24.2 功能切分：以 C2M2 為權威依據
C2M2 v2.1（2022-06 發布，美國能源部）是本次查證找到最權威可引用的資安功能切分框架 已證實。10 個 Domain、逾 350 項 practices，MIL 三級（MIL1 Initiated → MIL2 Performed → MIL3 Managed）。
| C2M2 Domain | 建議組織功能 | ODM 的特殊考量 |
|---|---|---|
| Cybersecurity Program Management | 資安治理辦公室 / GRC | 對外揭露與評鑑的產出 |
| Risk Management | GRC | 客戶要求驅動的風險 |
| Asset, Change and Configuration Management | 資安架構 + IT 維運 | 含 OT 資產與設備入網 |
| Identity and Access Management | 資安架構 + IT 身分團隊 | ABAC、NHI、國籍屬性 |
| Threat and Vulnerability Management | SecOps / 弱點管理 | KEV 24 小時 SLA |
| Situation Awareness | SOC / CTI | 針對台灣製造業的國家級威脅 |
| Event and Incident Response, Continuity of Operations | SOC + BCP 專責 | 單一通報決策樹、降級作業 |
| Third-Party Risk Management | 獨立職能（採購 + 資安聯合） | 61% 第三方涉入 |
| Workforce Management | 資安意識 + HR 聯合 | 內部威脅、服務台 |
| Cybersecurity Architecture | 資安架構 | 五分區架構 |
ODM 特有的兩項（C2M2 未涵蓋）：
FIRST PSIRT Services Framework v1.1 的 6 大服務領域可直接作為 PSIRT 的職責定義 已證實 — 版本；日期未載明。
24.3 集中式 vs 聯邦式 vs 混合
| 模式 | 定義 | 優點 | 缺點 |
|---|---|---|---|
| 集中式 | 所有權限、工具、政策與決策集中於單一資安組織 | 政策一致執行、統一可視性、簡化法遵、資源效率 | 瓶頸、反應較慢、彈性不足 |
| 聯邦式 | 責任分散至事業單位或區域；中央提供標準與監督；資安人員嵌入 BU | 敏捷、貼合 BU 需求、賦權在地 | 政策不一致、工具碎片化、可視性缺口 |
| 混合／Hub-and-Spoke | 中央保有治理、政策與架構；BU 保有嵌入式資安能力 | 兼顧標準與彈性 | 需明確課責與強治理 |
第三方評論・TechTarget 2026-04-30
選擇準則：組織結構、技術架構、資安成熟度、人才可得性、治理/法遵要求。Legacy 環境傾向集中化；cloud-native 組織適合聯邦或混合。
本手冊對跨國 ODM 的建議：Hub-and-Spoke，且明確定義四類決策的歸屬。
| 決策類型 | 歸屬 | 理由 |
|---|---|---|
| 政策與標準 | 中央（Hub） | 對外一致性；客戶稽核 |
| 架構與工具選型 | 中央 | 避免碎片化；議價力 |
| 程序與在地實作 | 廠區（Spoke） | 法規與營運差異（第 11 章「政策一致、標準一致、程序可異」） |
| 事件處理 | 中央主導、廠區執行 | P0/P1 由中央 SOC 主導；P2 以下廠區處理並回報 |
中國區的特例：Z2 因法律隔離，其 Spoke 的自主權必須更大（獨立 SIEM、獨立 IdP），但仍受中央的政策、標準與指標約束（第 6 章 §6.6）。
24.4 人力規模：可查證的錨點與不可查證的數字
24.4.1 必須誠實說明的查證結果
| 常見說法 | 查證結論 | 等級 |
|---|---|---|
| 「每 1,000 員工需 X 名資安人員」 | 無免費一手來源。Avasant《IT Security Staffing Ratios 2025》為付費報告 | 尚未證實 |
| 「製造業資安人力 benchmark 為 X」 | IANS/Artico 公開產業拆分不含製造業 | 尚未證實 |
本手冊建議：不引用「每千員工 X 名」類數字，改以下列可查證錨點替代。
24.4.2 可查證的錨點
| 錨點 | 數值 | 等級 |
|---|---|---|
| 緯創 2024 年專責資安人員 | 26 名（另有 89 人納入技術職能模型） | 廠商主張・公司自行揭露 |
| 緯創 2024 資安團隊訓練 | 1,599 人次／7,850 小時 | 廠商主張 |
| 金管會第一級公司法定要求 | 資安長 ＋ 資安專責主管 ＋ 資安專責人員 ≥2 人 | 已證實 |
| 全球 CISO 自認人力充足比例 | 僅 11%；53% 自認不足（另述 89% 為 stretched thin 或 understaffed） | 已證實・IANS/Artico 2025, n=587 |
| 2025 年資安人力年增率 | 7%（四年最低） | 已證實・同上 |
🚩 口徑警示：緯創的 26 人對照其 2025 年 NT$2.18 兆營收與逾 10 萬員工規模，比例極低——但該數字可能僅計「專責資安」不含 IT 內嵌安全人力。跨公司比較時必須確認定義。
24.4.3 本手冊建議的人力規劃方法（不依賴 benchmark）
以工作量推導而非以比例推導：
| 步驟 | 動作 |
|---|---|
| 1 | 列出第 III 部各層的「可稽核產出」清單（本手冊共列出約 100 項） |
| 2 | 對每一項估算「建立所需人天」與「維持所需人天/年」 |
| 3 | 加上事件應變的預期工作量（依過去 12 個月事件數 × 平均處理人天） |
| 4 | 加上客戶稽核的工作量（過去 12 個月稽核次數 × 平均準備人天） |
| 5 | 加上法規合規的工作量（CRA、NIS2、CMMC、TISAX 等的年度維持） |
| 6 | 除以每人年有效工時（建議 1,600 小時，扣除訓練、休假、行政） |
這個方法的優點：產出的是可辯護的數字，且每一項工作量都可追溯至具體的產出物。向管理階層說明時，「我們需要 3 個人來維持 CRA 合規的 15 項產出」比「業界比例是 0.5%」有說服力得多。
24.5 台灣的特殊約束：人力數是公開治理指標
ESG 評鑑指標 S-12（原 2.24）要件 3 明文要求量化揭露「資安保險金額、人力數、會議頻率」 已證實。
這造成三個管理含意：
編制數也是對外承諾
編制數不只是內部管理決策。年報揭露的人力數與實際不符，是可被稽核發現的問題。
變動會被外部注意到
裁減資安人力會直接反映在評鑑得分。
爭取編制的槓桿
「揭露的人力數低於同業會影響評鑑」是管理階層聽得懂的論證。
同時注意：四家台灣 ODM 無一家揭露資安投入金額，儘管要件 3 要求量化資源揭露。業界慣例以「人力數 + 保險 + 會議頻率」滿足，而非金額。緯創是唯一揭露專責人力數者。
24.6 RACI 矩陣範例（節錄）
| 活動 | 集團資安 | 廠區 IT | 廠務 | 法務 | 採購 | HR | 業務 |
|---|---|---|---|---|---|---|---|
| 政策制定 | A/R | C | C | C | C | C | I |
| 事件判定會議（P0/P1） | A/R | R | C | R | I | I | R |
| 對外通報（重訊、法規） | R | I | I | A/R | I | I | C |
| 客戶通報 | R | I | I | C | I | I | A |
| 弱點修補 | A | R | C | I | I | I | I |
| OT 設備入網 | A | R | R | I | C | I | I |
| 供應商資安評估 | A/R | C | C | C | R | I | C |
| 客戶稽核應對 | A/R | R | R | C | I | I | R |
| 離職存取稽核 | A | R | I | C | I | R | I |
| PSIRT 漏洞處理 | A/R | C | I | C | C | I | R（客戶通知） |
| 降級作業演練 | A | R | R | I | I | I | C |
| AI 使用政策執行 | A/R | R | C | C | I | C | I |
（A=Accountable 當責，R=Responsible 執行，C=Consulted 諮詢，I=Informed 告知）
24.7 本章可稽核產出
- 集團資安組織圖與匯報線
- 依 C2M2 10 domain ＋ 2 項 ODM 特有功能的職責定義書
- Hub-and-Spoke 的四類決策歸屬定義
- 以工作量推導的人力需求分析（含各項產出的人天估算）
- 完整 RACI 矩陣
- 年報揭露的資安人力數與實際編制的對帳
Chapter 25・§25.1 – §25.6
預算模型
可查證的預算 benchmark（以及兩個查不到的常見數字）；四構面 Run / Comply / Win / Improve 的編列結構；TCO 的十項常見遺漏；預算辯護的三個可查證論證。
25.1 可查證的預算 benchmark
25.1.1 IANS Research / Artico Search（第六屆 CISO Compensation and Budget Survey）
樣本 587 位 CISO，調查期間 2025-04 至 2025-08，發布 2025-08-05。已證實
| 指標 | 2025 | 2024 |
|---|---|---|
| 資安預算年增率 | 4%（五年最低） | 8% |
| 資安預算佔 IT 支出比例 | 10.9% | 11.9% |
| 資安人力年增率 | 7%（四年最低） | — |
| 回報預算增加的 CISO 比例 | 47% | 62%（2022: 78%） |
| 回報預算持平或縮減 | 54% | — |
| 自認人力充足 | 僅 11% | — |
產業別 已證實：預算持平/縮減最嚴重——醫療、專業與商業服務、零售與旅宿；成長 >5%——金融服務、保險、科技業。
🚩 兩項無法查證的常見數字 尚未證實：
- 「資安預算佔營收 0.5%–1%」：IANS/Artico 公開新聞稿與部落格均未提供此數字。坊間流傳的比例無法從公開材料證實。
- 製造業別的資安預算 benchmark：IANS 公開材料的產業拆分不含製造業/工業。
手冊若需這兩個數字必須自行標註為推估，或購買原始報告。
25.1.2 Gartner 全球資安支出預測
| 年度 | 全球終端使用者資安支出 | 成長率 |
|---|---|---|
| 2024 | US$193.408 bn | — |
| 2025 | US$213.025 bn | +10.1% |
| 2026 | US$239.759 bn | +12.5% |
已證實・Gartner 2025-07-29 新聞稿
分項（US$ 百萬）：
| 分項 | 2024 | 2025 | 2026 |
|---|---|---|---|
| Security Software | 94,960 | 105,940 | 121,154 |
| Security Services | 77,130 | 83,812 | 92,780 |
| Network Security | 21,317 | 23,273 | 25,825 |
注意版本差異：另有二手來源提及 Gartner 2026 年預測值 US$244.2bn（應為後續季度更新）。擇一版本並註明預測發布日期，勿混用。
25.2 本手冊建議的預算結構
不建議以「佔 IT 預算 X%」編列，理由：ODM 的 IT 預算隨產能與專案大幅波動，而資安需求相對穩定且法規驅動。
建議以四個構面編列：
| 構面 | 內容 | 特性 |
|---|---|---|
| A. 維持營運（Run） | 既有工具授權續約、人力薪資、MDR/外包服務、稽核與驗證費用 | 相對固定，年增 3–8%（授權漲價） |
| B. 法規驅動（Comply） | CRA、NIS2、TISAX、CMMC、個資法等的新增合規成本 | 由外部時程決定，非選擇性 |
| C. 客戶驅動（Win） | 客戶稽核應對、客戶指定的控制、新客戶要求的驗證 | 與營收直接連動，應可從業務預算分攤 |
| D. 風險驅動（Improve） | 三年路線圖的能力提升專案 | 可調整、可延後，但延後有風險成本 |
這個結構的價值：在預算縮減的討論中，A/B/C 三項都有外部拘束（授權合約、法規時程、客戶要求），只有 D 是真正可討論的。這讓預算談判聚焦在正確的地方，而非全面性的百分比刪減。
25.3 三年預算模型（範例框架）
以下為結構範例，實際數字須依集團規模填入。
| 構面 | Y1 | Y2 | Y3 | 說明 |
|---|---|---|---|---|
| A. Run | 基準 | 基準 ×1.06 | 基準 ×1.12 | 授權年漲 6% 假設 |
| B. Comply | CRA 通報上線、TISAX ISA 2027 換版、CRA 全面義務與 AI Act 高風險準備（R1–R5）、個資法子法 | CRA 全面義務緩衝與上市後維運、AI Act Annex I（R6） | 法規維運 | B 的高峰在 Y1（CRA 與 AI Act 期限落在 Y1 Q4–Y2 Q1） |
| C. Win | 客戶稽核應對 | 同左 + 新客戶驗證 | 同左 | 應與業務預算分攤 |
| D. Improve | 身分 + 邊界 + SOC | 資料 + 供應鏈 + 韌性 | OT + 產品安全 + AI | 依 §0.1 的投資排序 |
25.4 TCO 的常見遺漏項
以下是編列資安預算時最常被漏掉的成本：
| 遺漏項 | 說明 |
|---|---|
| 導入人力成本 | 工具授權只是一部分；導入通常需要等值或更多的人力投入 |
| 遙測量成長 | SIEM/雲端安全的計費隨資料量成長；應以 150% 成長情境編列 |
| AI/Token 費用 | AI 功能的額外計費；應要求廠商提供 hard limit 或事前核准機制 |
| 既有 EDR 遙測的 SIEM 計費 | CrowdStrike 等 EDR 遙測進入各 SIEM 平台的計費差異極大，須逐一確認 |
| 多站點的部署成本 | 13 個站點的部署、測試、教育訓練 |
| 中國區的獨立成本 | Z2 需要獨立的授權、獨立的部署、可能不同的廠商 |
| CRA 支援期成本 | 承諾 5 年支援期的修補成本，須在產品報價階段納入 |
| 退場成本 | 更換平台時的資料遷移與並行期成本 |
| 稽核與驗證費用 | ISO 27001、TISAX、IEC 62443-4-1 的驗證與年度稽核費 |
| 保險 | 網路保險保費，且 Controlled Master Program 架構下有多地當地保單成本 |
25.5 預算辯護的三個論證
當預算面臨刪減時，本手冊建議的三個可查證論證：
停線成本
Dragos 2025：25% 的案例導致 OT 場域完全停擺 廠商主張。以集團自身營收反推每小時產能價值（明示為內部推估），乘以四分之一機率，即為期望損失。
客戶稽核與訂單
Microsoft SSPA：未完成 SSPA 前不得開始工作 已證實。列出「因資安不足而可能無法承接的訂單」金額。
治理評鑑與揭露
ESG 評鑑指標 S-12（原 2.24）要件 3 要求量化揭露資安人力與保險 已證實；要件 4 的 ISO 27001 驗證加 1 分。裁減會直接反映在評鑑得分與年報揭露上。
25.6 本章可稽核產出
- 四構面（Run/Comply/Win/Improve）的三年預算表
- TCO 檢核清單（§25.4 的十項）
- 以自身營收反推的停機成本估算（明示為內部推估）
- 「因資安不足可能失去的訂單」估算
- 資安預算與年報揭露的一致性確認
Chapter 26・§26.1 – §26.5
成熟度模型與三年路線圖
先釐清三個容易混淆的成熟度模型（CSF Tiers 不是成熟度模型）；以 C2M2 MIL 設定差異化而非一律最高的目標；三年 12 季的路線圖與外部法規時程的對齊檢核。
26.1 成熟度模型的選擇
必須先釐清三個容易混淆的模型：
| 模型 | 層級 | 出處 | 注意 |
|---|---|---|---|
| NIST CSF 2.0 Tiers | Tier 1 Partial / 2 Risk Informed / 3 Repeatable / 4 Adaptive | NIST CSWP 29 | NIST 明確定位為「characterize the rigor of governance and management practices」，非成熟度模型，且未要求所有組織達到 Tier 4 |
| C2M2 MIL | MIL1 Initiated / MIL2 Performed / MIL3 Managed | DOE C2M2 v2.1 | 10 domain、逾 350 practices；最適合作為組織能力評估 |
| ISAGCA/IIC SMM Comprehensiveness Level | 1 Minimum / 2 Ad Hoc / 3 Consistent / 4 Formalized | ISAGCA/IIC Security Maturity Model | OT 專用；與 IEC 62443 的 SL 是不同概念 |
本手冊建議：
- 對外溝通與董事會：用 CSF 2.0 Tiers（說明這是在地化用法，非 NIST 原意的成熟度）
- 內部能力評估與路線圖：用 C2M2 MIL（10 domain 覆蓋完整，且有 350+ practices 可具體評分）
- OT 領域：用 ISAGCA/IIC SMM，並註明出處
26.2 建議的目標設定
不要把「全部達到最高級」設為目標。ISAGCA/IIC SMM 原文警語：「higher comprehensiveness levels do not mean more maturity」（若超出組織需求）已證實。
本手冊建議的目標設定方法：依 §9.4 的五個分區與各 domain 的風險，設定差異化目標。
| Domain | Z1 全球 | Z2 中國 | Z3 客戶專案 | Z4 產品開發 | Z5 廠務 OT |
|---|---|---|---|---|---|
| Identity and Access Management | MIL3 | MIL3 | MIL3 | MIL3 | MIL2 |
| Threat and Vulnerability Management | MIL3 | MIL2 | MIL2 | MIL3 | MIL2 |
| Event and Incident Response | MIL3 | MIL2 | MIL2 | MIL2 | MIL2 |
| Third-Party Risk Management | MIL3 | MIL2 | MIL3 | MIL3 | MIL2 |
| Situation Awareness | MIL2 | MIL2 | MIL2 | MIL2 | MIL2 |
| Cybersecurity Architecture | MIL3 | MIL2 | MIL2 | MIL3 | MIL2 |
| Asset, Change and Configuration Mgmt | MIL2 | MIL2 | MIL2 | MIL3 | MIL2 |
| Risk Management | MIL3 | MIL2 | MIL2 | MIL2 | MIL2 |
| Workforce Management | MIL2 | MIL2 | MIL2 | MIL2 | MIL2 |
| Cybersecurity Program Management | MIL3 | MIL2 | MIL2 | MIL2 | MIL2 |
（此為範例目標；實際目標須依集團自評結果與風險評估設定。）
26.3 三年路線圖
以下以 2026 年第 4 季（2026-10 至 12 月）為 Y1 Q1，Y1 Q4 即 2027 年第 3 季。能力提升項依 §0.1 的投資排序排入各年；有法定期限的項目另列「法規驅動軌」（R1–R6），與能力軌並行，一律排在期限所在季之前完成。以下為建議的排程框架，各集團須依自身現況調整。
Year 1：止血與基礎（重點：邊界、身分、偵測）
| 季 | 主要交付 | 對應章節 |
|---|---|---|
| Q1 | ① 對外資產清冊 + EASM 導入 ② KEV 24 小時修補 SLA 上線 ③ 邊界裝置清冊與 EOL 下線計畫 ④ 單一通報決策樹與判定表單 ⑤ CRA Art.14 通報上線（EU Login 與平台代表人註冊、協調者 CSIRT、24/72 小時通報演練；即 R1） ⑥ 服務台身分驗證 SOP | 13, 17, 5, 12 |
| Q2 | ⑦ 防釣魚 MFA 覆蓋率至 95%+ ⑧ PAM 導入（管理員 100%） ⑨ NHI 清冊建立 ⑩ 端點覆蓋率報表（三類資產） ⑪ 自動圍堵政策上線 | 12, 14 |
| Q3 | ⑫ SIEM/遙測 P1 來源全部接入 ⑬ 日誌保存期政策落地（身分/網路 24 個月） ⑭ 降級作業手冊 v1 ⑮ 供應商雙軸分級完成 | 17, 22, 21 |
| Q4 | ⑯ 第一次桌上演練（含法務與公關） ⑰ 第一次產線降級演練（單一產線） ⑱ 不可變備份上線 + 備份身分隔離 ⑲ 年度自評（C2M2） | 17, 18, 22, 26 |
Year 2：深化與收斂（重點：資料、供應鏈、韌性）
| 季 | 主要交付 |
|---|---|
| Q1 | ⑳ 四維資料分類標準；DSPM 階段 1（對外可達儲存） |
| Q2 | ㉑ DLP 由監控轉為部分阻擋；動態浮水印；資料庫活動監控 + UEBA |
| Q3 | ㉒ T1 供應商現場稽核 + 24h 通知條款全面簽署；第三方存取全部收斂至 PAM/ZTNA |
| Q4 | ㉓ 多 EDR 遙測統一 + 應變統一；CTEM 第一輪完整循環；AEV 導入 |
Year 3：擴展與成熟（重點：OT、產品安全深化、AI 治理深化）
| 季 | 主要交付 |
|---|---|
| Q1 | ㉔ OT 資產清冊 + Level 3.5 DMZ 強化 + IT/OT conduit 清冊 |
| Q2 | ㉕ 堡壘機全面納管 + 設備入網管制落地 + OT 備份還原測試 |
| Q3 | ㉖ PSIRT 與 SBOM/VEX 常態維運、支援期內漏洞處理成熟化（CRA 最低義務已於 R5 完成） |
| Q4 | ㉗ AI 使用治理深化；Agentic AI 的 NHI 治理（AI 清冊與高風險義務已於 R4 完成）；三年成果驗收與下一循環規劃 |
法規驅動軌（與外部時程對齊）
| 代號 | 外部時程 | 日期 | 主要交付 | 完成季 |
|---|---|---|---|---|
| R1 | CRA Art. 14 通報 | 2026-09-11（已適用） | 即 ⑤ | Y1 Q1（立即） |
| R2 | EU AI Act 合成內容標示（僅適用於提供生成式 AI 系統者） | 2026-08-02 已適用；既有系統過渡至 2026-12-02 | 盤點集團是否屬提供者；若是，完成標示機制 | Y1 Q1 |
| R3 | TISAX ISA 2027 強制 | 2027 年起 | 依 ISA 2027 目錄完成差距分析，排定換版評鑑 | Y1 Q2–Q3 |
| R4 | EU AI Act Annex III 高風險 | 2027-12-02 | AI 清冊；招募／員工管理等 Annex III 用途之風險管理、紀錄與人為監督 | Y1 Q4 前 |
| R5 | CRA 全面義務 | 2027-12-11 | SBOM 自動產出 + VEX、IEC 62443-4-1 SDL、技術文件與符合性評鑑 | Y1 Q4 前（Y2 Q1 僅作緩衝） |
| R6 | EU AI Act Annex I 嵌入式 | 2028-08-02 | 產品內嵌 AI 之符合性評鑑 | Y2 Q3 前 |
26.4 路線圖的三個執行紀律
| 紀律 | 說明 |
|---|---|
| 每項交付必須有可稽核產出 | 本手冊各章末的清單即為驗收標準 |
| 法規驅動項不可延後 | CRA、TISAX 換版等有外部截止日者，優先於能力提升項 |
| 每季檢視、每年重新排序 | 威脅環境變化快（ATT&CK 半年一版、KEV 每週新增），路線圖不應鎖死三年 |
26.5 本章可稽核產出
- C2M2 自評結果（10 domain × 5 分區）
- 差異化的目標成熟度設定與理由
- 三年路線圖（含季度交付與負責人）
- 外部時程對齊檢核表
- 每季執行狀況檢視紀錄
Chapter 27・§27.1 – §27.6
指標體系
三層指標——董事會 5–7 項（每季）、管理層 20–25 項（每月）、SOC 6–8 項（每週）。本章最強調的單一指標是 MTTC：對照 29 分鐘的突破時間，它是唯一能在數學上贏的指標。
27.1 指標設計的三個原則
27.2 董事會層級指標（5–7 項，每季）
| 指標 | 定義 | 目標方向 | 為什麼是這個 |
|---|---|---|---|
| 重大事件數與最高分級 | P0/P1 事件數 | 下降 | 董事會最關心的事 |
| 產線受影響時數 | 因資安事件導致的產線停止或降級時數 | 趨近 0 | 原則一：以出貨為目標 |
| KEV 修補達成率 | KEV 收錄漏洞於 SLA 內完成的比例 | ≥95% | 原則三；可直接對應已知攻擊 |
| 關鍵供應商合規率 | T1/T2 供應商中，通過資安評估且無逾期不符合項的比例 | ≥90% | 61% 第三方涉入 |
| 客戶稽核通過率與發現數 | 通過率；重複出現的發現數 | 通過率 100%；重複發現 = 0 | 原則二：客戶信任是交付物 |
| 成熟度達標率 | 已達目標 MIL 的 domain × 分區組合比例 | 逐年提升 | 路線圖進度 |
| 資安投入（人力數、預算、保險） | 治理評鑑要件 3 要求的量化資源 | 與揭露一致 | 已證實評鑑要求 |
27.3 管理層級指標（每月）
| 類別 | 指標 |
|---|---|
| 暴露面 | 對外資產數；EASM 與 CMDB 的差異數；高風險對外暴露數 |
| 弱點 | 各優先級（P1–P5）的未修補數與平均修補時效；逾期數 |
| 身分 | MFA 覆蓋率（以應用為分母）；PAM 納管率；無擁有者的 NHI 數；逾期未再認證的高敏感存取數 |
| 端點 | 三類資產各自的 EDR 覆蓋率；失聯超過 30 天的端點數；例外數與逾期例外數 |
| 偵測 | 告警量；誤報率；平均分診時間；自動圍堵執行次數與誤判次數 |
| 資料 | 對外可達且含機密資料的儲存數；DLP 阻擋數與誤報數；未分類資料比例 |
| 供應鏈 | 各級供應商數；逾期未評估數；第三方帳號逾期數 |
| 韌性 | 還原測試通過率；備份失敗數；離線副本更新逾期數 |
| 人員 | 釣魚演練回報率（主指標）與點擊率（次指標）；訓練完成率；vishing 演練結果 |
| 產品安全 | PSIRT 未結案漏洞數與逾期數；SBOM 產出覆蓋率；客戶通知時效達成率 |
27.4 SOC 營運指標（每週）
| 指標 | 定義 | 目標 |
|---|---|---|
| MTTD | 從入侵發生（或最早證據時間）到偵測的時間 | 對照 M-Trends 2026 全球中位數 14 天 第三方評論轉述 |
| MTTC（Contain） | 從偵測到圍堵完成的時間 | 對照 29 分鐘突破時間——目標應 <30 分鐘 |
| MTTR | 從偵測到完全復原 | 依事件分級 |
| log 上線人天 | 從決定接入新來源到分析師可用的人天 | 對小團隊是關鍵效率指標 |
| 告警自動處理率 | 無需人工介入即完成處理的比例 | 提升 |
| 威脅獵捕次數與發現 | 主動獵捕的頻率與成果 | 每月至少 1 次 |
MTTC 是本手冊最強調的 SOC 指標。MTTD 受限於偵測技術與日誌覆蓋，改善慢；MTTC 受限於流程與授權，可以透過自動化與預先授權在數週內大幅改善。對照 29 分鐘的突破時間，MTTC 是唯一能在數學上贏的指標。
27.5 指標的常見陷阱
| 陷阱 | 說明 | 對策 |
|---|---|---|
| 改定義讓數字好看 | 覆蓋率的分母縮小 | 定義寫入文件並版本控制；改定義須說明並提供舊定義的數字 |
| 只看絕對值不看趨勢 | 「告警 5,000 筆」沒有意義 | 一律呈現趨勢與同期比較 |
| 跨公司 benchmark | 定義不同（§23.1.2） | 追蹤自身趨勢為主 |
| 指標與行動脫節 | 指標變差但沒人負責 | 每個指標指定負責人與惡化時的行動 |
| 指標過多 | 30 頁報表沒人看 | 董事會 5–7 項、管理層 20–25 項、SOC 6–8 項 |
27.6 本章可稽核產出
- 指標定義書（每個指標的定義、計算方式、資料來源、負責人、目標）
- 三層指標儀表板（董事會／管理層／SOC）
- 指標定義的版本控制紀錄
Chapter 28・§28.1 – §28.7
選型方法論：如何不被行銷誤導
本次查證發現的最大單一風險是「假象限」。本章提供 2026 年市場結構速查表——哪些市場真的有 Magic Quadrant、哪些只有 Market Guide——可直接用於 RFP 撰寫與廠商簡報的事實查核。
28.1 本章存在的理由
本次查證發現的最大單一風險是「假象限」——CNAPP、DSPM、IGA、MDR、SOAR、SSPM、EASM、API Protection、微分段目前都沒有 Magic Quadrant 已證實，但廠商行銷常把 Market Guide 的 "Representative Vendor" 講成 "Leader"。
Saviynt 在 2025 PAM MQ 的實際定位是 Challenger，但其官方部落格曾以「Leader」措辭引流 已證實 — 其官方稿自陳 Challenger。這不是個案。
28.2 分析師報告的正確使用
28.2.1 報告類型的區別
| 類型 | 是否排名 | 有無 Leader | 正確用法 |
|---|---|---|---|
| Magic Quadrant | 有（二維象限） | 有 | 可引用象限位置，但須註明報告日期與分析師 |
| Critical Capabilities | 有（使用案例評分） | 無象限 | 比 MQ 更適合對照自身使用案例 |
| Market Guide | 無 | 無 | 只能引用「Representative Vendor」與市場趨勢；不可稱 Leader |
| Buyer's Guide | 無 | 無 | 選型準則參考 |
| Hype Cycle | 無 | 無 | 判斷技術成熟度與採用時機 |
| Forrester Wave | 有 | 有 Leader | 同 MQ |
| Gartner Peer Insights | 客戶評分 | "Customers' Choice" 不是分析師評測 | 可參考客戶滿意度，不可等同分析師評價 |
| IDC MarketScape | 有 | 有 Leader | 同 MQ |
28.2.2 引用紀律
任何寫入 RFP 或簽核文件的分析師定位，必須註明三項：
- 報告正式名稱（注意：2025-12-01 的最新版正式名稱是「Magic Quadrant for Email Security」，不是「Email Security Platforms」）
- 發布日期
- 分析師姓名
無法提供這三項者，一律視為 廠商主張 處理。
28.3 2026 年市場結構速查表
這張表可直接用於 RFP 撰寫與廠商簡報的事實查核。
| 市場 | 有無 MQ | 最新報告與日期 | 等級 |
|---|---|---|---|
| Access Management | 有 | MQ, 2025-11-11 | 已證實 |
| Privileged Access Management | 有 | MQ, 2025-10-13 | 已證實 |
| Identity Governance and Administration | 無 | Market Guide, 2026-08-28（前版 2025-10-02；日期依廠商引述） | 已證實 |
| Non-Human Identity | 無專屬 | 併入 PAM MQ 評分要件 | 第三方評論 |
| SASE Platforms | 有 | MQ, 2025-07-09；2026 版 2026-07-28 | 已證實 |
| Security Service Edge | 有 | MQ, 2026-07-29 | 已證實 |
| Hybrid Mesh Firewall | 有 | MQ, 2026-09-07（前版 2025-08-29） | 第三方評論 |
| Network Detection and Response | 有 | MQ, 2026-05-18 | 已證實 |
| SD-WAN | 無現行 | 最後可確認 2024 年版 | 尚未證實 |
| 微分段 | 無現行 | 最後可確認 Market Guide 2023 年版 | 尚未證實 |
| DNS 安全 | 無 | 未能確認任何 2025/2026 專屬評測 | 尚未證實 |
| Endpoint Protection Platforms | 有 | MQ, 2026-05-26 | 已證實 |
| SIEM | 有 | MQ, 2025-10-08 | 已證實 |
| SOAR | 無 | 無 MQ；Forrester Wave 已停刊 | 已證實 |
| MDR | 無 | Market Guide, 2025-10-01（Gartner 明文聲明無 MQ） | 已證實 |
| Telemetry Pipelines | 無 | Market Guide, 2025-09-02 | 已證實 |
| Cyberthreat Intelligence Technologies | 有（首屆） | MQ, 2026-05-04 | 已證實 |
| DSPM | 無 | Market Guide（2025）；Buyer's Guide 2026-05-29 | 已證實 |
| Data Security Platforms | 無 | Market Guide, 2025-03-26 | 已證實 |
| EDRM/IRM、DAM | 無 | 未確認任何 2025/2026 專屬評測 | 尚未證實 |
| CNAPP | 無 | Market Guide, 2025-08-05 | 已證實 |
| API Protection | 無 | WAAP MQ 最後版本 2022；現為 Market Guide for Cloud WAAP | 已證實 |
| ASPM | 無 MQ | Gartner Innovation Insight；IDC MarketScape 2025 | 已證實 |
| Software Supply Chain Security | 有（首屆） | MQ, 2026-06-17 | 第三方評論 |
| SSPM | 無 | 未能確認任何 Gartner Market Guide 版本或日期 | 尚未證實 |
| Email Security | 有 | MQ, 2025-12-01（正式名稱為 "Email Security"） | 已證實 |
| Exposure Assessment Platforms | 有（首屆） | MQ, 2025-11-10 | 已證實 |
| Adversarial Exposure Validation | 無 | Market Guide, 2026-03-24 | 已證實 |
| EASM | 無 | 僅有 Peer Insights VoC（2025，客戶評分） | 尚未證實 |
| CPS Protection Platforms（OT） | 有 | MQ, 2026-03-03（13 家、4 Leaders） | 已證實 |
| Backup and Data Protection Platforms | 有 | MQ, 2026-07-03（11 家） | 第三方評論 |
| AI Gateway / LLM Firewall / AI SOC | 無 | 無 MQ、無 Wave、無 SE Labs/AV-C 測試 | 尚未證實 — 證據空白區 |
28.4 獨立測試機構的正確理解
| 機構 | 涵蓋 | 限制 |
|---|---|---|
| MITRE ATT&CK Evaluations | 最新已公布為 Enterprise Round 7（2025-12-10），模擬 Scattered Spider ＋ Mustang Panda，首度納入雲端與 Reconnaissance | 僅 11 家參與；Microsoft、SentinelOne、Palo Alto 均退出；MITRE 自承題目難度未抓好平衡；分析師批評近似 vendor theater |
| AV-Comparatives EDR Detection Validation 2026（2026-05-13） | 14 階段 APT 情境、detection-only、含 Signal-to-Noise 良性活動測試 | 僅公布通過認證者，未通過者不公開 → 發表偏誤（selection bias） |
| SE Labs | 端點與郵件測試 | 涵蓋廠商有限 |
RFP 撰寫建議：要求「MITRE 評測成績」時必須加註「未參與該輪評測者不因此扣分，但須提供其他形式的獨立對抗式驗證證據」。否則會不當排除三家主要廠商。
28.5 ODM 特有的選型準則
除了一般的功能與價格，ODM 必須額外評估：
| 準則 | 具體問題 |
|---|---|
| 中國區可行性 | 產品在中國境內是否可用？資料是否落地？是否有中國營運（地緣政治審查）？若受限，替代方案為何？ |
| 多站點部署 | 13 個站點的部署複雜度與集中管理能力 |
| 小團隊可維運性 | log 上線人天、日常維運人力、學習曲線 |
| 資料主權與退場 | 資料存放位置、是否可取回完整原始資料、退場成本 |
| AI 資料使用 | 客戶資料是否用於模型訓練？AI 處理在哪個區域？prompt 保存期？人工審閱政策？子處理者？ |
| AI 費用控制 | AI/Token 額外費用如何計入 TCO？是否有 hard limit 或事前核准？ |
| 供應鏈揭露 | 廠商自身的資安（Silk Typhoon 的教訓）、其分包商、其自身遭入侵時的通知義務 |
| OT 相容性 | 對舊版協定與設備的支援 |
| 既有環境整合 | 與現有 EDR/防火牆/身分系統的整合深度 |
28.6 地緣政治審查
依集團既有實務，中國資本／研發／營運關聯作為硬性第一道排除門檻。建議的查核項：
| 查核項 | 說明 |
|---|---|
| 股權結構 | 中國資本持股比例；母公司與最終受益人 |
| 研發中心 | 是否有中國研發團隊接觸產品原始碼 |
| 營運與支援 | 支援團隊所在地；是否有中國人員可存取客戶環境 |
| 資料流 | 產品遙測是否經過中國基礎設施 |
| 法律義務 | 廠商是否受中國法律要求配合資料調取 |
| 美國管制清單 | 是否列於 BIS Entity List 或其他管制清單（注意 50% Affiliates Rule：暫停至 2026-11-09 已證實，再延長之說尚無 Federal Register 公告 第三方評論） |
28.7 本章可稽核產出
- RFP 範本中的分析師引用紀律條款
- 2026 年市場結構速查表（§28.3）的內部版本，每半年更新
- ODM 特有選型準則的評分表
- 地緣政治審查表單
Chapter 29・§29.1 – §29.4
限制、風險與尚未解決的問題
誠實說明限制，是這份手冊可信度的一部分。本章列出手冊自身的五類限制、六個需要決策而非更多研究的未解問題，以及影響最大的十項反面做法。
29.1 本手冊的限制
誠實說明限制，是這份手冊可信度的一部分。
| 限制 | 說明 |
|---|---|
| 付費標準的逐字內容未取得 | IEC 62443 的 SL 1–4 定義、FR1–FR7 名稱、zone/conduit 定義文字、2-1 Ed.2 的 ML 定義；ISO/IEC 27002:2022 的 93 控制與 11 項新增控制的逐條清單。這些均在付費牆內，本手冊採用業界一致引用並標註 第三方評論 |
| 分析師報告全文未取得 | Gartner MQ 的完整象限與各家 Cautions 多來自廠商新聞稿與第三方轉述，非 Reprint 全文 |
| 部分官方頁面無法存取 | ISAGCA 技術資源子頁（404）、MITRE ATLAS 官網（JS 動態頁）；CISA ZTMM v2.0 PDF 與 CBP CTPAT MSC 已於 2026-09-29 取得 |
| 法規逐字條文未全部覆核 | CRA Annex I、NIS2 Annex II、ITAR 條號依公知或第三方轉錄；Data Act Art. 50 已覆核 |
| 無 ODM 業別的專屬 benchmark | 資安預算佔營收比、每千員工資安人力、電子組裝業停機成本，均無可靠一手來源 |
29.2 尚未解決的重大問題（需要決策而非更多研究）
問題一：捷克廠是否納管 NIS2？
狀態 已證實（2026-09-29 更新）：依 vyhláška 408/2025 Sb. 附表第 7.1 項，CZ-NACE 26 之大型或中型企業屬受規範服務（低階）；先前「似僅涵蓋乘用車量產」的解讀有誤。仍待確認的是捷克廠的企業規模與 NACE 分類。
影響：直接決定數百萬元等級的合規支出。
行動：由捷克廠透過 NÚKIB 登記入口執行正式自我識別，並取得當地法律意見書。不可依二手資料判斷。
問題二：CRA 下誰是 manufacturer？
狀態 尚未證實：執委會頁面未就 ODM/OEM 責任分配提供細節。
影響：決定 ODM 是否直接承擔 Art. 14 通報義務與 Annex I 全部要求。
行動：在所有含數位元素產品的合約中明確載明角色分配條款；追蹤執委會後續指引。
問題三：中國法律衝突無技術解方
狀態 已證實：DSL 第 36 條／PIPL 第 41 條與美國 eDiscovery、CMMC 稽核、客戶稽核存在直接衝突。
影響：可能導致無法滿足美國客戶或政府的稽核要求。
行動：合約層的「以當地法律為限」條款 + 治理層的單一審核窗口（第 6 章 §6.4）。這是治理決策，不是技術問題。
問題四：AI SOC 的證據空白
狀態 尚未證實：無任何獨立效能評測；Gartner 自身四度警告 agent washing，滲透率僅 1–5%。
影響：可能買到無法驗證效益的產品。
行動：要求在自己的資料上做 PoC 並量測誤報率、漏報率、分診時間；治理先行、採購後行。
問題五：CMMC 的未來走向
狀態 已證實：Phase II 已於 2026-07-13 暫停，並於 2026-09 以 DFARS 類別偏離 2026-O0025 Rev.3 制度化（僅得要求 Level 1／Level 2 自評）；Task Force 的 60 日期限已過。截至 2026-09-29 未見公開報告、重啟日期或新規則，須持續追蹤。
影響：C3PAO 驗證預算的時程。
行動：維持 Phase I 自評與 SSP/POA&M（對應 Rev 2 而非 Rev 3）；追蹤 Task Force 報告。
問題六：識別碼分裂（CVE vs EUVD）
狀態 第三方評論：歐盟已討論修訂 CRA 以引用 ENISA 管理的識別碼而非 CVE。
影響：PSIRT 資料模型可能需要重大變更。
行動：現在就在 PSIRT 資料庫預留 EUVD ID 欄位（成本極低）。
29.3 已知會失敗的做法（反面清單）
本手冊在各章列出約 70 項「常見失敗模式」。以下是其中影響最大的十項：
| # | 反面做法 | 為什麼會失敗 |
|---|---|---|
| 1 | 以 CVSS 排序修補 | 工作量 50.7% 但效率僅 6%（EPSS 對照） |
| 2 | 為每部法規寫一套通報流程 | 事件當下無法在 2 小時內完成 |
| 3 | 把產線電腦當一般 OA 端點管理 | TSMC 2018 事件的模式 |
| 4 | 先做 OT 深度偵測後做 IT/OT 邊界 | 四個已證實案例都是攻擊 IT 停掉產線 |
| 5 | 備份管理員使用網域帳號 | 勒索軟體取得 DA 後第一件事是刪備份 |
| 6 | 以採購金額為供應商分級依據 | 高風險小廠商未被納管 |
| 7 | 以「通過 RBA VAP」回應客戶資安問卷 | VAP 官方範圍不含資安，構成不實陳述風險 |
| 8 | 把 Arup 案當技術問題 | 該案「無任何內部系統遭入侵」，是付款流程失效 |
| 9 | 引用 Market Guide 的 Representative Vendor 為 Leader | CNAPP/DSPM/IGA/MDR/SOAR 均無 MQ |
| 10 | 自動圍堵需要層層人工核准 | 攻擊者突破時間 29 分鐘 |
29.4 本章可稽核產出
- 六個未解決問題的追蹤表（含負責人、目標解決日期、目前狀態）
- 反面清單的自我檢查（本集團是否正在做這十件事）
Chapter 30・§30.1 – §30.5
治理建議與董事會議程
給資安長的五項建議、給董事會的五個問題、建議的年度議程與七項須正式決議的事項——以及本手冊的核心主張：成敗不取決於買了哪些工具。
30.1 給資安長的五項建議
把「客戶信任」寫進策略目標陳述
不是「保護公司資產」，而是「維持並強化客戶對本集團作為安全供應鏈夥伴的信任」。這個措辭改變會影響後續所有的預算論證與優先序決策，且與 §21.7 的客戶稽核優化直接連動。
把「產線降級演練」排進今年的行事曆
它不需要採購任何產品，可利用計畫性停機執行，但直接驗證四個已證實案例的共同教訓。這可能是本手冊中投資報酬率最高的單一建議。
建立單一控制項庫
停止為每個框架維護獨立清單。這是資安團隊行政負擔的最大來源，也是客戶稽核準備人天的主要成本。
把「證據可回溯」變成團隊紀律
每一份對外文件的每一個數字，都必須能指向來源。這在短期會拖慢產出，長期會讓資安團隊成為集團內最可信的資訊來源——而可信度是資安長最重要的資產。
對 AI 治理先行、採購後行
在 AI SOC 的證據空白期，先建立 AI 使用政策、AI 清冊、Gateway 層控制與 NHI 治理。這些不依賴任何 AI 產品，但會在未來採購時成為必要的前提。
30.2 給董事會的五個問題（供稽核委員會使用）
| # | 問題 | 為什麼問這個 |
|---|---|---|
| 1 | 若最大客戶要求 24 小時內通報任何可能影響其產品的資安事件，我們的流程能否做到？缺口在哪個環節？ | 檢驗通報決策樹是否存在且可執行 |
| 2 | 若台北總部 OA 網路今晚全斷 72 小時，桃園與上海產線能否繼續出貨？最近一次演練是什麼時候？ | 檢驗降級作業能力（原則一） |
| 3 | 我們年報揭露的資安人力數與投入資源，能否支撐我們對客戶宣稱的資安成熟度？ | 檢驗對外宣稱與實際能力的一致性（原則十） |
| 4 | 我們的前五大關鍵供應商若明天全部停擺，我們多久出不了貨？我們有第二來源嗎？ | 檢驗供應鏈的單點失效（61% 第三方涉入） |
| 5 | 若歐盟主管機關在 2026-09-11 之後要求我們就某個產品漏洞在 24 小時內通報，我們知道要通報給誰、用什麼管道嗎？ | 檢驗 CRA Art. 14 的即時準備度 |
30.3 建議的董事會年度議程
| 時點 | 議題 |
|---|---|
| Q1 | 上年度資安成果、事件回顧、成熟度自評結果、本年度目標與預算 |
| Q2 | 威脅情勢更新、重大法規變化（CRA/NIS2/AI Act）、供應鏈風險評估 |
| Q3 | 演練成果（桌上演練 + 降級演練）、客戶稽核統計、關鍵指標趨勢 |
| Q4 | 次年度預算、三年路線圖檢視與重新排序、保險續約、重大風險接受決議 |
30.4 需要董事會正式決議的事項
以下事項建議取得董事會或稽核委員會的正式決議，以確立風險承擔的層級：
- 資安政策的核准與年度檢視
- 風險胃納（risk appetite）的設定——特別是「可接受的最長產線停止時數」
- 中國區隔離架構的決策與其對治理可視性的影響
- 重大風險接受（無法在合理成本內解決的風險，由誰承擔）
- 網路保險的投保額度與範圍
- 勒索軟體支付政策（原則上不支付／個案決定／絕不支付）——這必須事先決議，不能在事件當下才討論
- 資安長的匯報線與獨立性
30.5 結語：這份手冊的核心主張
本手冊從頭到尾只在論證一件事：
跨國 ODM/OEM 製造業集團的資安防護網，其成敗不取決於買了哪些工具，而取決於三件事能否同時成立——產線不停、客戶信任、多法域可運作。
九層架構、三橫切、五分區，都只是為了讓這三件事可以被拆解、被指派、被驗證。
而驗證的方法，是本手冊各章末尾那約 100 項「可稽核產出」。它們不是待辦清單，而是一份完整的資安防護網在實體世界中應該留下的痕跡。若這些痕跡都存在且是最新的，防護網就是真的；若它們散落、過時或不存在，那麼再完整的架構圖也只是一張圖。