手機、筆電、平板已成「第二大腦」，裝載照片、通訊錄、郵件、金融帳密、健康數據、位置軌跡。安卓惡意 App、釣魚簡訊、SIM 卡複製、藍牙竊聽、公共 Wi-Fi 側錄、裝置遺失……威脅無所不在。這 10 大法則建立**分層纵深防禦**，將風險降至最低。

1. 裝置強制加密 + 強解鎖憑證 (第一道防線)

• 全盤加密：iOS/FileVault (Mac)、BitLocker (Win Pro/Ent)、Android 6.0+ 強制加密、Linux LUKS。**開機即需密碼/生物辨識**，裝置遺失資料不可讀。
• 強解鎖碼：6 位數以上數字密碼 / 英數混合 / 圖形鎖 (禁用簡單 1234/0000/L型)。**關閉智慧解鎖 (Smart Lock) 信任地點/裝置/臉部**，避免環境誤判解鎖。
• 生物辨識為輔：指紋/臉部/虹膜僅作便利性輔助，**主認證仍須強密碼**。重開機/閒置 24h/失敗 5 次後必須輸入密碼。

2. 僅從官方/可信來源安裝 App (切斷供應鏈攻擊)

• iOS：僅 **App Store**。企業內部 App 需 MDM 分發或 TestFlight。
• Android：優先 **Google Play Store** (Play Protect 掃描)。若需側載 (APK)：**僅限官方網站/ GitHub Releases / F-Droid / 知名開發者官網**，並驗證 SHA-256 雜湊值。
• **嚴禁** 第三方應用商店、修改版/破解版/外掛版、不明連結下載 APK。
• 定期審核已安裝 App 權限，移除不再使用、權限過度、開發者不明的 App。

3. 規律備份：3-2-1 原則，測試還原

• 3 份副本：生產資料 + 2 份備份。
• 2 種媒體：本地 (外接硬碟/NAS) + 雲端 (iCloud/Google One/OneDrive/自架 Nextcloud/MinIO)。
• 1 份異地離線：防火/防盜/防勒索軟體加密 (離線冷備份)。
• **每季演練還原**：抽樣還原照片、聯絡人、文件、資料庫，驗證完整性與 RTO/RPO。
• 換裝備前：完整備份 → **確認新裝置還原成功** → **舊裝置資料抹除 (NIST SP 800-88 標準)** → 登出所有帳號 → 移除 SIM/SD 卡。

4. 及時套用作業系統與 App 安全更新 (修補 0-day/1-day)

• 開啟 **自動更新** (OS、Play Store/App Store、瀏覽器、Office、PDF 閱讀器、通訊軟體)。
• 關鍵補丁 (CVE 評分 ≥ 7.0) **24-48 小時內** 部署。
• 舊裝置無法更新最新 OS：隔離網路使用、不處理敏感資料、規劃汰換。

5. 拒絕 Root / Jailbreak / 解鎖 Bootloader (守住信任根基)

• Root/Jailbreak **破壞 OS 安全模型**：SELinux/AppArmor/Sandbox 失效、系統分區可寫、核心模組可注入、安全啟動鏈斷裂。
• 銀行/支付/企業 MDM/DRM (Widevine L1) **會偵測並拒絕服務**。
• 若必須 Root (開發/研究)：**專用測試機、隔離網路、不登入真實帳號、不存真實資料、鎖回 Bootloader 並刷回官方映像後再日常使用**。

6. 金融/購物/敏感操作：專用瀏覽器模式 + 強制登出 + 硬體金鑰

• 使用 **隱私/無痕模式** 或 **專用瀏覽器設定檔** (無擴充套件、無 Cookie 持久化)。
• 完成交易 **立即登出**，關閉分頁/視窗，**清除該站點 Cookie/快取** (DevTools Application → Clear storage)。
• **啟用 FIDO2 / WebAuthn 硬體安全金鑰** (YubiKey, Google Titan, Feitian) 作為 2FA/無密碼登入，**防禦釣魚、Session 劫持、SIM Swap**。
• 避免在公共/借用裝置登入敏感帳號。

7. 無線介面「用完即關、預設關閉」 (縮小攻擊面)

• Wi-Fi：僅在信任熱點開啟。**關閉「自動連接開放網路」、「自動連接已儲存網路」**。使用 WPA3/WPA2-AES，避免 WEP/WPA-TKIP。
• 藍牙：非使用中 (耳機、手錶、傳檔) **保持關閉**。藍牙 5.2+ 支援 LE Audio 低功耗，但攻擊面仍在 (BlueBorne, BIAS, KNOB)。
• 定位/GPS：僅導航/打車/打卡時開啟。**App 權限設為「僅使用期間允許」或「每次詢問」**。
• NFC/UWB：非刷卡/門禁/傳檔時關閉。

8. 公共 Wi-Fi 必掛 VPN / 零信任存取 (加密最後一哩)

• **商用付費 VPN** (ExpressVPN, Mullvad, ProtonVPN, Surfshark, 自架 WireGuard/V2Ray/Trojan)：**無日誌、強加密 (ChaCha20-Poly1305/AES-256-GCM)、Kill Switch、DNS 洩漏保護**。
• 企業環境：**零信任網路存取 (ZTNA)** / **SSE (Security Service Edge)** (Cloudflare Zero Trust, Zscaler, Netskope, Prisma Access)：**裝置姿態檢查 + 身分驗證 + 最小權限存取**，無需全隧道 VPN。
• **嚴禁** 免費 VPN (流量販售、注入廣告、竊取憑證、惡意軟體載體)。

9. 社交工程免疫：驗證身分、拒絕緊迫感、不點不明連結

• 官方冒充：銀行/政府/快遞/客服來電/簡訊/郵件要求提供驗證碼/密碼/轉帳 → **掛斷/刪除，回撥官方公布電話驗證**。
• 緊迫感施壓：「帳號將凍結」、「包裹滯留」、「稅務查緝」 → **拒絕立即行動，獨立驗證**。
• 連結/附件：未預期的郵件/訊息附件、縮短網址 (bit.ly/t.cn) → **滑鼠懸停檢視真實網址、VirusTotal 掃描、不啟用巨集/內容**。
• 深偽語音/影片：視訊會議要求轉帳/授權 → **多因子驗證 (口令/硬體金鑰/內部系統簽核)**，不單憑聲音/影像。

10. 隱私極小化原則：不必要不蒐集、不保留、不共享

• App 權限：**最小權限原則** (相機/麥克風/位置/聯絡人/儲存體/體感/日曆/通話記錄) → 僅必要時允許。
• 廣告 ID：重設/刪除廣告 ID (iOS: 隱私權與安全性 → 廣告 → 限制廣告追蹤 / 重設廣告識別碼；Android: Google 設定 → 廣告 → 刪除廣告 ID / 選擇退出廣告個人化)。
• 位置歷程/裝置使用情況/診斷資料：**全部關閉傳送**。
• 語音助理 (Siri/Google Assistant/Bixby/小愛)：**關閉「嘿 Siri/Ok Google」喚醒、刪除語音紀錄、停用伺服器端處理**。
• 瀏覽器：啟用「防止跨網站追蹤」、封鎖第三方 Cookie、使用 uBlock Origin / Privacy Badger / DuckDuckGo Privacy Essentials。

企業/組織層面補充

• **MDM/UEM (Mobile Device Management)**：強制加密、鎖定螢幕密碼、遠端抹除、應用白名單/黑名單、憑證部署、合規稽核。
• **DLP (Data Loss Prevention)**：端點/網路/雲端敏感資料偵測與阻斷 (信用卡號、身分證字號、醫療紀錄、原始碼關鍵字)。
• **威脅情報整合**：IOC 饋送 → 防火牆/EDR/XDR 封鎖已知惡意 IP/域名/雜湊。
• **定期滲透測試/紅隊演練**：模擬真實攻擊驗證防禦有效性。

資安無絕對，唯有**分層防禦、持續更新、最小權限、零信任驗證、備份可還原**，才能在不可避免的攻擊中守住核心資產與隱私尊嚴。