「今年要辦一次資安演練」這個任務，常常落在 IT 主管、資安長或負責法遵的人身上。多數人第一個想到的是社交工程郵件測試或備份還原測試，但真實事件裡最容易卡住的往往不是技術：半夜發現勒索軟體，誰有權決定把整個網路斷掉？保險公司、警察、主管機關由誰聯絡、要在多久之內聯絡？公司信箱和通訊軟體都不能用時，大家用什麼互相聯絡？桌上演練（tabletop exercise，也有人稱為兵棋推演）就是在事件發生前，把這些問題拿到會議桌上先演一遍。

這篇寫給第一次被要求辦演練的人：先說明桌上演練和其他演練的差別，以及台灣法規對演練的現行要求，再談情境、注入事件與參與者怎麼安排、演練要逼出哪些問題，最後是演練後的檢討與追蹤。

桌上演練是什麼，和技術演練差在哪

NIST SP 800-84 把維持 IT 計畫（應變計畫、營運持續計畫等）的活動分成三類[1]：

  • 測試（test）：用可量化的指標，在計畫指定的環境中驗證系統或元件能否運作，常見的是備份與復原作業[1]。備份還原測試屬於這一類，做法見3-2-1 備份原則。
  • 訓練（training）：讓人員了解自己在計畫中的角色與責任，並教導相關技能[1]。
  • 演練（exercise）：模擬一個緊急狀況，驗證計畫的某些面向是否可行，找出計畫與程序中的缺口和矛盾，以及哪些人需要加強訓練[1]。

演練又分兩種。桌上演練以討論為主：主持人說明情境並提問，引導參與者討論角色、責任、協調與決策，不實際動用設備或其他資源；功能演練則讓人員在模擬的作業環境中實際執行自己的角色，例如通訊、緊急通知或設備架設[1]。美國 FEMA 的演練準則對桌上演練的定義也類似：針對一個情境進行討論，找出優點與待改進之處，或調整大家對計畫、政策與程序的認知[2]。

換句話說，社交工程演練測的是員工會不會點連結（見社交工程演練），弱點掃描、滲透測試與紅隊演練測的是防護有沒有漏洞（見弱點掃描與滲透測試），還原測試測的是備份能不能用；桌上演練測的則是人與流程：應變計畫寫的分工是否可行、決策權在誰手上、資訊能否在對的時間傳到對的人。技術演練做得再好，也無法代替這一塊。

SP 800-84 發布於 2006 年 9 月，NIST 網站上仍列為最終版，沒有修訂或撤銷的標示[1]。2025 年 4 月發布、取代 Rev. 2 的 SP 800-61 Rev. 3，把「從安全測試與演練中找出改進項目」列為高優先項目，指出事件應變演練能讓員工，以及關鍵服務供應商等第三方，為未來的應變做好準備，並請讀者參考 SP 800-84 了解桌上討論等演練形式[3]。

為什麼要辦：台灣法規的要求

以下整理截至 2026 年 11 月 14 日的條文，不是法律意見；所屬產業的中央目的事業主管機關可能另有規定。

資安法納管的特定非公務機關

適用《資通安全管理法》的關鍵基礎設施提供者、公營事業與特定財團法人等（範圍見資通安全管理法），要注意兩部子法：

  • 《資通安全事件通報應變及演練辦法》（原名《資通安全事件通報及應變辦法》，數位發展部於 2026 年 1 月 5 日修正名稱及全文，自發布日施行[4]）：各機關的通報作業規範，必須包含判定事件等級的流程及權責、影響範圍與損害程度的評估、內部通報流程、通知受影響機關的方式，以及前述事項的演練；應變作業規範則要包含應變小組的組織與「事件發生前之演練作業」[5]。特定非公務機關知悉資安事件後，應於一小時內依中央目的事業主管機關指定的方式通報；中央目的事業主管機關規劃辦理社交工程、通報及應變、網路攻防、情境演練等演練作業時，也應配合[5]。
  • 《資通安全責任等級分級辦法》（2026 年 1 月 7 日修正，修正條文自發布日施行）：依附表的應辦事項，A 級特定非公務機關的全部核心資通系統每年要辦一次營運持續計畫演練，B 級與 C 級每二年一次；D 級與 E 級的附表沒有這一項[6]。

常聽到的「每半年一次社交工程演練、每年一次通報及應變演練」，在現行條文中是演練辦法第 10 條，規範的是公務機關體系內的演練，由總統府、國家安全會議、五院及其直屬機關，以及直轄市、縣（市）政府等規劃辦理[5]，不是直接課給企業的義務。上述條文也都沒有指定演練的形式；而通報規範要求演練的事項，例如誰判定事件等級、內部怎麼通報、誰通知受影響的對象，正好最適合用桌上演練來驗證。

上市櫃公司

證交所在 2026 年 11 月公布修正後的《上市上櫃公司資通安全管控指引》，修正條文對照表的日期為 115 年 11 月 9 日[7]。和演練有關的條文有三條[8]：

  • 第十條：制定核心業務營運持續計畫並定期演練，內容包含備援措施、人員職責、應變作業程序、資源調配，以及演練結果的檢討改善。
  • 第三十一條：每年定期辦理電子郵件社交工程演練。
  • 第三十五條：訂定資安事件應變處置及通報作業程序，並「定期辦理應變處置演練以驗證其有效性」。這一句是本次新增的，對照表說明是參考《資通安全責任等級分級辦法》有關通報、應變及演練的要求[7]。

截至本文撰寫時，證交所法規分享知識庫顯示的仍是 2024 年 9 月 10 日修正的版本，該版的對應條文還沒有演練這一句[9]。指引第四十四條寫明，除法令與證交所、櫃買中心章則另有規定外，公司可以依產業特性、規模與資安風險「適度採行」；不過指引總則也說明，它是為了協助公司符合《公開發行公司建立內部控制制度處理準則》第九條的電腦化資訊系統控制作業而訂定[8]。上市櫃公司辦演練時，一定要把重大訊息的判斷練進去，判斷標準見資安事件與重大訊息揭露。

設計演練：目標、情境、注入事件與參與者

先寫下目標

SP 800-84 認為桌上演練的目標，應該是驗證計畫內容、參與者在計畫中的角色與責任，以及計畫中記載的相互依賴關係[1]。FEMA 的準則建議目標數量要適中，並且具體、可衡量、可達成、相關且有時限（SMART）[2]。第一次辦，兩三個目標就夠了，例如：

  • 確認誰有權宣告資安事件、誰有權核准切斷網路或停用核心系統，以及各自的代理人。
  • 確認對外通報（主管機關、TWCERT/CC、保險公司、警察）與對內報告的負責人與時限。
  • 確認公司信箱與通訊軟體不能用時，應變小組怎麼聯絡。

選一個貼近公司風險的情境

情境要從公司真實的風險出發，不必挑最戲劇化的。SP 800-84 提醒，情境簡短精要通常比詳細冗長有效；情境太長，參與者會花更多時間拆解情境本身，而不是達成演練目標[1]。幾個適合台灣企業的起點：

不想從零開始寫，可以參考美國 CISA 的桌上演練套件（CISA Tabletop Exercise Packages，CTEP）。CISA 表示目前有超過 100 套，每套都可以自行修改，內含演練目標範本、情境與討論問題，另附邀請函、簡報、演練後意見表與演練後報告的範本[10]。資安類套件包括勒索軟體、供應商與供應鏈遭入侵、高階主管與決策層、金融服務、資訊科技等主題，以 Word 檔提供下載[11]；CISA 的勒索軟體指引也把這些演練套件列在免費資源中[12]。套件以美國的機關與法規為背景，使用前要把通報對象、時限與聯絡窗口換成台灣的版本。

寫 3 到 5 個逐步升級的注入事件

注入事件（inject）是演練中途陸續拋出的新狀況，用來推進劇情、逼參與者做下一個決定。SP 800-84 說明，注入訊息是預先寫好、在演練過程中交給參與者的訊息，可以用電子郵件、信件、電話等形式；數量要讓參與者保持投入，但不能多到應接不暇[1]。以「連假勒索」情境為例：

  1. 週六 02:00：值班人員接到 EDR 告警，檔案伺服器上大量檔案被改名。問題：誰被叫醒？誰決定要不要斷網？
  2. 週六 06:00：發現 VPN 有異常登入，備份伺服器也連不上。問題：要不要停用 VPN？有權核准的人聯絡不上時，誰可以代理？
  3. 週六 10:00：董事長收到勒索信，對方附上客戶資料樣本要求贖金。問題：誰聯絡保險公司與外部應變廠商？要不要報案？何時通報主管機關？
  4. 週日 15:00：記者來電詢問，客戶也在社群上發文。問題：誰對外說明？說什麼、不說什麼？
  5. 週一 06:00：系統尚未恢復。問題：上市櫃公司要不要發重大訊息、由誰決定？今天員工要不要照常上班？

誰要在場

SP 800-84 的原則是：參與者應該是計畫中有角色與責任的人；主要目標若是驗證決策與監督流程，就要請高階主管參加[1]。SP 800-61 Rev. 3 列出的應變角色，除了技術人員，還包括可能有權決定停用或重建關鍵服務的領導階層、法務、公關與媒體關係、人資等[3]。對台灣企業來說，至少要有：

  • IT 與資安：說明「現在能做什麼、要多久」。SOC 或維運外包的，也請廠商窗口參加。
  • 有決策權的主管：總經理或其授權的代理人。沒有能拍板的人在場，討論只會停在「這要再請示」。
  • 法務：判斷通報義務、合約責任與證據保全。
  • 公關或發言人：對外說明與媒體應對。
  • 財務：評估損失、聯絡保險公司，處理付款與匯款相關的異常。
  • 上市櫃公司負責重大訊息的人：依公司分工，可能是發言人、財務或股務單位。

演練本身還需要兩個工作人員：主持人引導討論，在離題時拉回演練目標；記錄員記下討論內容與觀察。兩人都要熟悉應變計畫與演練目標[1]。SP 800-84 也提到，參與者通常不和同部門的人坐在一起，以鼓勵獨立思考、了解其他部門的運作[1]。主持人最好不是在場職位最高的人，否則大家容易只等他表態。

時間與準備期

SP 800-84 指出桌上演練通常二到八小時，高階主管層級通常二到四小時；高階與執行層級最好先分開演練，各自練過之後再合併演一次，驗證兩者之間的協調[1]。較簡單的演練至少提前一個月開始規劃，大型複雜的演練至少三個月，排定時也要先取得主管同意[1]。第一次辦，建議只用一個情境、三到五個注入事件，控制在兩小時左右，比較容易請到決策者全程參與。

演練要逼出的問題

好的桌上演練，結束時每個問題都要有答案，或至少有一個負責去找答案的人。以下是最常卡住的幾題：

  • 誰宣告這是資安事件？ SP 800-61 Rev. 3 的做法是：異常事件符合預先定義的判定標準時，就宣告為事件[3]。標準與宣告權責要事先寫好，否則可能拖到週一才有人敢說「這是事件」。資安法納管的機關，通報規範本來就要寫明判定事件等級的流程及權責[5]。
  • 誰能核准把系統下線？ SP 800-61 Rev. 3 指出，應變政策通常會寫明各角色的責任與權限，例如哪些角色有權扣留、切斷或關閉技術資產[3]。要問到具體的人名與代理順序：決策者出國或聯絡不上時，誰可以拍板？
  • 誰對外聯絡、在多久之內？ SP 800-61 Rev. 3 建議依既定程序決定什麼事要在什麼時間告訴誰，並依應變計畫中的條件與管理層核准，由指定的人通知執法與監理機關[3]。演練時把每個對象的負責人與時限列出來：資安法納管的機關有一小時的通報時限[5]；保險公司的通知期限要看保單；上市櫃公司的重訊時限見重大訊息；一般企業的通報管道見疑似遭入侵的前 24 小時。CISA 也把資安保險公司列為事件中應聯繫的對象之一[12]。
  • 頻外通訊管道是什麼？ CISA 建議用電話等頻外方式協調隔離行動，以免攻擊者察覺[12]。要事先決定：公司網域與內部通訊軟體都不能信任時，應變小組用哪個群組、哪些電話號碼聯絡？
  • 聯絡清單在哪裡？ CISA 建議應變計畫要有紙本與離線版本[12]。演練時直接問：「現在信箱打不開、檔案伺服器被加密，誰手上有主管、廠商、保險公司與律師的電話？」
  • 要不要付贖金、誰決定？ 這題不必當場有結論，但要知道由誰、依據哪些資訊決定，以及法務與保險公司要在什麼時候加入。

演練之後：熱回顧、報告與追蹤

演練一結束就做熱回顧（hot wash）：由主持人帶領，請參與者說出哪些地方表現好、哪些需要加強訓練、計畫哪些部分要更新[1]。FEMA 的準則同樣把熱回顧安排在演練結束後立即進行，討論內容會納入演練後報告[2]。

接著寫出書面的演練後報告（after action report），建議在兩週內完成。SP 800-84 建議報告寫明演練目的、目標、參與者與情境，記錄主持人與記錄員的觀察，並提出改善應變計畫的建議[1]。FEMA 進一步把改善事項整理成改善計畫，列出每項改正措施、負責人與完成時限，持續追蹤回報直到完成，並要有機制驗證已完成的措施確實有效[2]。最直接的驗證方式，是下一次演練把上次的缺失放進情境再測一次。

常見的失敗模式

  • 劇本寫成一切順利：備份一定還原得了、主管一定接得到電話、每個注入事件都有標準答案。演練應該刻意放進會讓人卡住的狀況。
  • 只有 IT 參加：IT 自己演一遍，看不到法務、公關、財務與決策者之間的斷點，而這些斷點正是桌上演練最該找出來的。
  • 沒有後續追蹤：報告寫完就歸檔，缺失沒有負責人與期限，明年演練又發現同樣的問題。
  • 把演練當考試：參與者怕被評分，只說標準答案。FEMA 建議提醒參與者，演練是在不究責的環境下做決定[2]；主持人要在開場說清楚，這次測的是計畫，不是人。

行動清單

  • 確認公司適用的要求：是否為資安法納管的特定非公務機關、責任等級為何；上市櫃公司對照資安管控指引第十條、第三十一條與第三十五條。
  • 取得總經理或決策者同意，排定日期，至少提前一個月開始準備。
  • 寫下兩到三個演練目標，選一個貼近公司真實風險的情境。
  • 寫三到五個逐步升級的注入事件，每個都附上要逼出的決策問題；可以從 CISA 的 CTEP 套件改寫。
  • 邀請 IT、決策主管、法務、公關、財務，上市櫃公司加上負責重大訊息的人；指定主持人與記錄員。
  • 演練時直接使用現行的應變計畫、聯絡清單與通報流程，不要另外準備一份「演練用」的版本。
  • 演練結束立即熱回顧，兩週內完成演練後報告，每個改善事項都要有負責人與期限。
  • 定期追蹤改善進度，下一次演練把上次的缺失放進情境再測一次。
  • 需要外部協助設計或主持演練，可以參考事件應變服務。