資安健診是什麼：檢查哪些項目、多久做一次、報告怎麼看

法規怎麼定義，和其他檢測差在哪

法定項目與頻率

《資通安全責任等級分級辦法》要求各機關依資通安全責任等級，辦理附表一至附表八的應辦事項，資通安全健診（以下簡稱健診）是其中技術面的一項；現行附表於2026年1月7日修正發布，自發布日施行^[1]。健診包含下列檢視項目^[1]：

• 網路架構檢視
• 網路惡意活動檢視
• 使用者端電腦惡意活動檢視
• 伺服器主機惡意活動檢視
• 目錄服務系統設定及防火牆連線設定檢視
• 核心資通系統資料庫安全檢視（限 A、B 級）

辦理頻率在同一等級的公務機關與特定非公務機關都相同：A 級每年一次，B 級與 C 級每兩年一次，D 級與 E 級沒有這項要求；並從初次受核定、等級變更或核心資通系統異動後的次年度起辦理^[1]。特定非公務機關也可以改採經中央目的事業主管機關認可、具同等或以上效用的其他措施，公務機關則須經主管機關認可^[1]。

要注意的是，附表只列出項目名稱與頻率，沒有規定檢視方法、抽樣數量或報告格式^[1]。實際做多深，取決於採購規格與雙方約定的範圍；規格只寫「依資安法辦理資安健診」，不同廠商交出的成果可能差很多。資安法的適用對象與其他義務，見資通安全管理法重點整理。

2026年修正：新增資料庫安全檢視

2026年的修正有兩處和健診直接相關。第一，A、B 級新增「核心資通系統資料庫安全檢視」，修正說明指出，機關應定期檢視資料庫連線及登入等防護情形，以免安全性設定不足，使內部資訊遭不當揭露、竄改或竊取^[2]。第二，原本的「目錄伺服器設定」改為「目錄服務系統設定」，C 級的修正說明是統一用語^[2]。已受核定的機關，因這次修正而新增或異動的項目，辦理期限自修正施行之日起算^[1]。

和弱點掃描、滲透測試、ISO 27001 稽核的差別

在分級辦法附表中，弱點掃描與滲透測試列在「安全性檢測」項下，和健診分開^[1]，彼此不能互相替代。四者回答的問題不同：

• 弱點掃描：清單上的主機有哪些已知漏洞與錯誤設定。
• 滲透測試：指定的系統能不能被實際打穿。
• ISO 27001 驗證稽核：管理制度是否符合標準、有沒有照著執行。
• 健診：整個環境裡有沒有已遭入侵的跡象，以及架構與設定是否留下容易被利用的路徑。

掃描與滲透測試的細節見弱點掃描、滲透測試、紅隊演練，驗證稽核見ISO/IEC 27001:2022 與 CNS 27001。健診最獨特的是「惡意活動檢視」：掃描器回報 CVE，滲透測試證明能打進去，但兩者都不會告訴你攻擊者是不是已經在裡面。反過來說，健診也不會深入測試單一應用程式的存取控管或注入弱點，那是滲透測試的工作。

A、B 級機關另外必須建置資通安全監控管理機制與端點偵測及應變機制^[1]。對這些機關來說，健診也是檢驗監控的外部視角：健診找到的惡意連線或可疑程式，如果監控中心事前沒有告警，就代表偵測規則或紀錄來源有缺口。

每個項目實際在看什麼、常見發現

法規沒有細部定義，但資安署網站上的2025年政府資通安全防護巡迴研討會簡報，列出了健診服務的常見細項^[3]。以下據此整理，並搭配國家資通安全研究院（資安院）彙整的2025年政府機關資安稽核技術檢測發現^[4]。稽核技術檢測不等於健診，但其中網路架構、網路惡意活動、網域主機與資料庫等項目和健診重疊，可以當作「實際會找到什麼」的參考。

網路架構檢視

細項是主機位置配置、網路區域配置與網路架構設計邏輯^[3]：伺服器、使用者電腦、設備管理介面與對外服務是否分屬不同網段，網段之間的存取有沒有控管。2025年稽核技術檢測中，網路架構的共同發現包括：防火牆、交換器、負載平衡器等設備的管理介面沒有限制可連線的網路位址，內部人員都能連；核心網路設備沒有實體備援，形成單點故障^[4]。

網路惡意活動檢視

簡報把這一項列為「有線網路惡意活動檢視」，細項是封包監聽與分析，以及網路設備紀錄檔分析^[3]，也就是側錄一段時間的流量並檢查網路設備紀錄，找出連往惡意中繼站（C2）的連線或異常的對外傳輸。以資安稽核技術檢測的做法為例，檢測人員依資安院每日公布的惡意中繼站名單，分別對使用者網段與資通系統管理者網段測試能否阻擋，並請機關提供即時側錄的完整流量，套用資安院自行研發的 APT 流量偵測規則^[3]。2025年的檢測共發現304筆惡意中繼站網域名稱沒有被阻擋，IP 則全數擋下^[4]；資安院指出，機關沒有確認惡意中繼站名單部署的完整性與正確性^[4]。紀錄保存得越久、越完整，這一項能回溯的範圍就越大，保存期限的規劃見日誌收集與保存。

使用者端電腦與伺服器主機惡意活動檢視

細項是惡意程式或檔案檢視，以及更新檢視^[3]。驗收時要確認廠商除了防毒掃描結果，是否也檢查了可疑的常駐機制（排程工作、服務、開機啟動項目）、不明的本機管理者帳號與缺漏的修補。2025年稽核技術檢測中，受測的使用者電腦都沒有發現惡意程式、病毒碼也已更新，但有14台沒有落實作業系統安全性更新、2台沒有更新應用程式^[4]。「沒有發現惡意程式」只代表這次抽查的主機與方法沒找到，報告應寫清楚檢查了哪些主機、用什麼方法。

目錄服務系統與防火牆連線設定檢視

目錄服務的細項是 AD 的政府組態基準（GCB）設定檢視，防火牆則是連線設定檢視^[3]。2025年稽核技術檢測發現，防火牆規則允許內部主機對外連線到任何目的地與服務，也有規則包含「Permit All」或「Permit Any」^[4]；被入侵的主機要對外傳資料或連回中繼站，這類規則等於沒有攔阻。雲端目錄方面，2025年稽核技術檢測也試行（不計分）以美國 CISA 的 SCuBA 安全組態基準檢視 Microsoft Entra ID，發現「允許使用者同意應用程式」不符合 CISA 建議，可能讓使用者自行授權第三方應用程式，導致資料外洩^[4]。同一份簡報列出的健診服務項目，還包括作業系統、瀏覽器、網通設備與應用程式的 GCB 設定檢視^[3]。

核心資通系統資料庫安全檢視

這是2026年新增、限 A、B 級的項目。簡報列出的細項包括特權帳號管理、資料加密、存取授權、稽核紀錄、委外管理、備份保護與弱點管理^[3]。2025年稽核技術檢測中，資料庫的不符合項目是傳輸雖已啟用加密，仍支援已知有弱點的 TLS 1.0 與 TLS 1.1^[4]。

事前準備：範圍、權限與資料處理

準備清單

• 資產清冊與網路架構圖：包含分支據點、雲端環境、VPN 與對外服務。架構圖若早已過時，那就是第一個發現。
• 範圍與抽樣：哪些網段要側錄、多少電腦與伺服器要檢測、哪些屬於核心資通系統（A、B 級要做資料庫檢視），都寫進規格，因為法規沒有替你決定。
• 權限與設備：防火牆與網域控制站的唯讀帳號、交換器鏡像埠（SPAN）或 TAP 供側錄、在端點執行檢測工具的權限。使用專用帳號，結束當天停用。
• 時間：側錄要涵蓋正常上班日，流量才有代表性；避開系統上線或年底凍結期，並在期限前預留修補與複檢的時間。

評估人員會看到敏感資料

NIST SP 800-115 提醒，評估人員可能需要取得網路架構、安全狀態與弱點等敏感資訊，有些組織因此要求背景查核^[5]。側錄的封包可能包含員工個人資料或不屬於組織的資料，法務應在開始前處理隱私問題，也可以要求外部評估人員簽署保密協議^[5]。評估計畫應寫明資料處理方式：評估期間資料在評估人員設備上的保存（實體安全、密碼與加密）、結束後的保存、內外部網路傳輸，以及結束時從系統移除；有些組織規定第三方在交付最終報告後不得保留任何評估資料，並由組織內合格人員確認確實清除^[5]。

適用資安法的機關委外時，《資通安全管理法施行細則》第7條要求注意：受託者知悉資安事件時，應立即通知委託機關並說明補救措施；委託關係終止或解除時，應確認受託者返還、移交、刪除或銷毀履約持有的資料^[6]。健診若會接觸個人資料，可參考《個人資料保護法施行細則》第8條委託他人處理個資時的監督事項，包括委託關係終止時個資載體的返還、受託者儲存資料的刪除，並定期確認受託者執行狀況並記錄^[7]。

事先約定：發現入侵跡象怎麼辦

SP 800-115 建議評估計畫先定義什麼算事件，並寫清楚評估人員發現真正的入侵者或其痕跡時要怎麼做：評估是否暫停、何時由誰授權恢復，以及雙方的主要與備援聯絡人^[5]。把這些寫進合約，連同多久內要通知、由誰保全證據。

報告怎麼看：先分出「已經出事」與「需要改善」

已遭入侵的跡象：當作資安事件處理

確認的惡意程式、連往已知中繼站的流量、不明的管理者帳號或網頁後門，不是排進改善清單的項目，而是資安事件。這時要啟動事件應變：先保全證據、確認範圍，不要直接重灌了事；步驟見疑似遭入侵的前 24 小時。適用資安法的機關，知悉資安事件後一小時內就要通報（公務機關依第6條、特定非公務機關依第11條）^[8]，所以要事先決定：健診廠商回報疑似跡象時，由誰在第一時間判斷是否構成資安事件並啟動通報。

需要改善的發現：依暴露面與可利用性排序

其餘發現依「從外部碰得到嗎」「有沒有已知的利用方式」「影響的是不是 AD、防火牆這類關鍵控制點」排序，不要只照報告上的高、中、低。排序方法見修補管理：漏洞修不完時，如何排出優先順序。也要把發現串起來看：對外連線不設限，加上中繼站名單沒有部署完整，代表一旦有主機被入侵，資料外送幾乎不受阻擋。

指定負責人與期限，並複檢

每項發現都要有負責人與完成期限，修完再複檢確認。也要拿上一次的報告比對：資安院2025年整理的共同發現中，有多項和2024年相同^[4]。重複出現的問題通常出在流程，例如防火牆規則沒有變更管理與定期檢視，只改單一設定，下次健診還會再看到。

驗收報告時，確認它寫清楚範圍與抽樣（哪些網段側錄多久、哪些主機受檢）、使用的方法與工具、每項發現的證據，以及是否把「入侵跡象」和「改善事項」分開列出。

不受資安法規範的公司：自己先做，必要時再找外部

沒有被資安法納管的民營企業，健診要回答的問題一樣存在：環境裡有沒有攻擊者，以及哪些設定讓攻擊者容易得手。

先用資安署自檢表打底

資安署2026年3月發布《中小企業基本資安防護指引》與自檢表，分帳號管理、設備和資料管理、資安意識培訓三個面向，共16項檢核點，例如密碼至少15碼、建立設備資產清冊、以3-2-1原則備份並定期演練^[9]。這份清單檢查的是基本防護有沒有做到，不會告訴你環境裡是否已經有攻擊者。

輕量版自我健診

對照法定項目，內部可以先做這些：

• 網路架構：更新架構圖，確認使用者網段能不能直接連到伺服器與設備管理介面。
• 網路惡意活動：用通報中的入侵指標比對 DNS 與防火牆紀錄，做法見如何使用通報中的 IOC 比對自己的環境。
• 端點與伺服器：從防毒或 EDR 主控台找出沒安裝、沒回報、病毒碼過期的電腦，列出缺修補與已停止支援的系統；伺服器上檢查不認得的排程工作、服務與本機管理者帳號。
• 目錄服務：列出網域管理員等特權群組成員，以及長期未登入但仍啟用的帳號；雲端目錄檢查使用者能否自行同意第三方應用程式。
• 防火牆與資料庫：找出允許任何目的地的對外規則、Any 規則與沒有負責人的規則；確認誰能連線資料庫、是否仍允許舊版 TLS。

什麼時候值得請外部

• 內部沒有人能判讀封包與端點的檢測結果。
• 客戶、母公司或主管機關要求第三方出具報告。
• 併購、機房搬遷或網路大幅調整之後。
• 同業出事、收到通報，或有疑似跡象但內部無法確認。
• 檢查的人就是當初設定的人，難免有盲點。

資安署也規劃委由資安院補助大專院校開設實務課程，由受訓學生組成「資安健檢團」到中小企業實地提供改善建議^[10]。需要完整的外部健診時，可以參考資安健診服務。

行動清單

• 確認自己的責任等級、健診頻率與下次到期日；A、B 級把2026年新增的資料庫安全檢視寫進規格。
• 採購規格寫明各項目的方法、側錄網段與時間、端點與伺服器抽樣數量、交付內容與複檢。
• 開始前備妥資產清冊、網路架構圖、唯讀帳號與側錄位置，並簽妥保密協議與資料保存、傳輸、刪除條款。
• 事先約定發現入侵跡象時的通知窗口、時限與是否暫停，並指定由誰判斷是否構成資安事件。
• 報告先分成「已遭入侵跡象」與「需要改善」兩類：前者立即啟動事件應變，後者依暴露面與可利用性排序。
• 每項發現指定負責人與期限，完成後複檢，並和上一次報告比對重複出現的項目。
• 不受資安法規範的公司，先用資安署自檢表與輕量版自我健診打底，再決定是否委外。
• 追蹤資安通報中的最新入侵指標，作為平日網路惡意活動檢視的比對來源。