近期案例
我們近期協助一間建設公司重整內部 IT 系統，基本上是「砍掉重練」。整個事件過程非常戲劇化，經過當事人同意，決定寫下這篇文章，提醒各位老闆與中小企業主留意幾個關鍵風險。
故事的起點
故事開始於公司幾位資深主管聯手「改革」，但最終行動失敗，一連串人選擇提早退休。問題來了——其中一位同時身兼 IT 管理員的主管也在這波變動中離職，而幾乎所有的系統權限都掌握在他手上。
雖然有交接資料，表面上看起來也還算齊全，但實際上很多細節沒有人能確認是否「留手」。結果公司內部與對外網路連線整個癱瘓，客戶也開始質疑系統安全性是否出了問題。
基本與制度層面共 11 項建議
我無意揣測前任 IT 的動機或意圖，畢竟沒有證據。但這件事值得大家警惕，我想提醒以下幾點：
如果你的 IT 是兼職的，請好好對待他，他不是應該的
除非你給他相對應的薪水與資源，不然就是在賭未來某天不會出問題。
- 權限控管請做風險分散
管理員的帳號絕對不該只有一人掌握。應設置高階管理帳號（如 root、break glass account，或透過 PAM 系統）以應對緊急狀況。 - 避免人治
不論你對那位 IT 有多信任，都請務必執行第 2 點。 - 備份與還原計畫不是選配，是基本功
所謂 321 原則只是底線，實務上要能做到下面這些，不然就是假備份：- 備份在哪裡你要知道
- 備份有沒有成功要能驗證
- 還原流程誰來做、多久可完成？
- 備份的最小分割單位，用天用時用版次?
- 請定期執行系統可用性檢測與災害演練
平常不測試，一出事真的會哭出來。 - 建立 IT 政策與操作流程（SOP）
很多公司 IT 是「看誰懂就誰做」，高度依賴個人經驗，即便那個經驗可能是錯的。
應建立基本 IT 管理政策：如權限分級、異動記錄、系統更新週期。
所有關鍵操作應有 SOP 文件，避免知識孤島。 - 實施最小權限原則（PoLP）
每位員工僅擁有執行職責所需的最少權限。
高權限帳號應分離、記錄與稽核，建議導入 AD（Active Directory）集中管理。 - 將資訊風險納入公司治理與內控機制
資訊安全不是 IT 的事，而是營運風險的一環。建議：- 定期向管理層彙報 IT 風險與異常
- 將資安議題納入董事會或營運會議
- 有內稽或查帳單位時，納入 IT 稽核項目
- 資安意識與釣魚演練
最大漏洞往往不是技術，而是人。
定期進行：- 資安教育訓練
- 釣魚郵件演練
- 建立「看到不明連結就先問」的文化，這也適用家中長輩。
- 建立完整 IT 資產清單
請掌握你公司到底有哪些主機、VM、設備與授權。
包含但不限於：- 設備類型與規格
- 使用人
- 購買與保固日期
- 軟體序號與續約時間
- AI 使用治理與地端部署策略
現在大家都在用 ChatGPT、Gemini、Copilot 等 AI 工具，這本來是好事——能提升效率、優化流程。但請留意：一旦把設計圖、合約、預算等機密資料上傳至公有雲 AI 工具，這些內容就可能：- 被平台儲存分析
- 成為模型訓練資料
- 或面臨資料洩漏風險
建議做法如下：
- 建立 AI 使用規範：清楚定義不得上傳之資料類型
- 區分用途場景：敏感資料建議使用本地部署（如 Ollama、LM Studio）或自建私有 LLM
- 導入自有 AI 工具：避免資料離開公司內網
- 員工教育：讓大家知道「不是什麼都能問 AI」
這些做法與資安無異，是數位時代的新基本功。
事件後來怎麼了？
據了解，這家公司其實曾遭到勒索攻擊，事後也換上了高階防火牆——結果沒多久又中標。
我們檢視其內部架構，坦白說，在 20 年前或許合理，但現在已經擋不住現在的攻擊手段。
看似有備份，實際上沒人知道備份在哪、能不能還原。我們翻遍系統還是找不到。
所以，以上 11 點，拜託大家一定要重視。
—
不是我們懂 IT，而是不能不懂
很多人會問我們：「怎麼你們也懂 IT、MIS 了？」
我們都會謙虛說：略懂，略懂。
但其實這不是「懂不懂」的問題，而是因為我們的產業——尤其是 AEC 建築工程領域——早就應該進入數位時代，相關企業不能再當這些事與你無關。
BIM、數位設計、協同作業、資料交換、雲端備份……這些通通都牽涉到 IT 架構與資安治理。
中小型公司常常是「邊做邊補」，搞得像家庭代工系統。平時沒出事還好，一中獎就全公司癱瘓。
—
我們在這個案件的角色
數位轉型顧問可以不會看紫微斗數跟生辰八字，但要有資安概念，跟神秘島國綠色力量。
我們長期投入 AEC 數位轉型與工作流程整合，同時也具備中小型企業 IT 架構設計與初步資安風險評估能力。
很多時候，我們在導入系統、導資料或培訓時，就會順手幫客戶掃出潛在資安風險，協助建立更安全的基礎架構。
這樣的投資非常划算——
但前提是，要先把約簽下去。
BIM & Digital Transformation Specialist | Computational Design & AI Integration Expert | Ph.D. Student at NCKU .