資安預算再大，若員工習慣不改，防線照樣崩潰。Gartner 指出 90% 以上資安事件涉及人為因素。本文整理九個零成本、即刻可行、效果立竿見影的行為改變，讓全員成為「人肉防火牆」。

1. 關閉 Outlook/郵件客戶端「自動完成」地址功能

風險：輸入「王」自動帶出「王大明/王小美/王總監」，手滑點錯 → 機密郵件發給錯誤收件人。
動作：檔案 → 選項 → 郵件 → 取消勾選「輸入姓名時自動建議電子郵件地址」。寧可多輸入幾個字，不可讓機密郵件誤寄。

2. 警惕「可信任」的合作夥伴與外包商

風險：HR 資料、財務報表、原始碼傳給外包廠商，對方無加密、存放個人筆電、轉發私人信箱。
動作：簽署 DPA (資料處理協議) + NDA、強制加密傳輸 (PGP/S-MIME/加密雲端硬碟)、最小權限原則 (僅提供脫敏/樣本資料)、定期稽核對方安全措施。

3. 封鎖繞過企業防護的 Web 應用 (Webmail、雲端硬碟、檔案分享)

風險：員工用 Gmail/Outlook.com 傳公司檔、用 WeTransfer/Google Drive 分享未加密資料、下載盜版軟體/掛馬檔案。
動作：防火牆/Proxy 分類封鎖「個人郵件、檔案分享、雲端儲存」類別；強制所有郵件走企業閘道 (DLP 掃描)；EDR 封鎖未簽名執行檔；CASB (雲端存取安全代理) 監控影子 IT。

4. 思考後再透露密碼與個人資訊：零信任驗證習慣

風險：釣魚郵件/簡訊/電話冒充 IT/銀行/主管/客服 索取帳密/OTP/信用卡碼。
動作：官方永不會主動索取密碼/OTP。收到要求 → 掛斷/刪除 → 透過官方管道 (官網電話、內部工單系統) 主動驗證。推廣「零信任驗證」口號：不信任、不點擊、不回覆、主動驗證。

5. 建立資料外洩應變手冊：未雨綢繆，亂中有序

現狀：多數企業無手冊、無演練、事發才找律師/鑑識/公關，黃金 72 小時錯失。
動作：制定 Data Breach Response Playbook 包含：
✅ 觸發條件與升級矩陣 (誰決定啟動？)
✅ 角色分工 (資安、法務、公關、IT、業務、高層)
✅ 取證保全 SOP (磁碟鏡像、記憶體、日誌、保管鏈)
✅ 通報時程 (GDPR 72hr、個資法 72hr、股市公開說明會)
✅ 內外部溝通話術 (員工、客戶、媒體、監管機關)
✅ 修復與複盤清單
每季桌上演練，讓手冊活起來。

6. 啟用系統稽核：記錄「誰、何時、存取什麼、做了什麼」

現狀：預設不記錄檔案存取、登錄檔修改、權限變更、指令執行。
動作：群組原則 → 進階稽核原則 → 啟用「物件存取 → 檔案系統/登錄檔/核心物件 (成功/失敗)」、「詳細追蹤 → 進程建立/終止 (含命令列)」、「帳號登入/登出/鎖定/特權使用」。日誌導入 SIEM/Log Analytics 保留 ≥ 1 年。

7. 定期備份並驗證可還原：勒索軟體最終保命符

3-2-1 黃金法則：3 份副本、2 種媒體 (磁帶/磁碟/雲端)、1 份異地離線 (Air-gapped/Immutable Storage)。
關鍵：每月至少一次「完整還原演練」 (隨機抽樣資料庫/檔案/VM)，記錄 RTO/RPO，驗證備份未被加密/損壞。

8. 最小權限與應用程式白名單：讓惡意碼「無處著陸、無法執行」

• 移除使用者本機管理員權限 (LAPS 管理本地 Administrator 密碼)。
• 部署 AppLocker/WDAC (Windows Defender Application Control) 僅允許簽名/受信任路徑/雜湊清單的程式執行。
• 宏/腳本/ActiveX/外掛預設停用，簽名信任清單管理。

9. 持續安全文化建設：從「年度訓練」轉向「日常微習慣」

• 每月 1 條微學習 (30 秒短片/海報/釣魚演練/安全小貼士)。
• 高層公開分享「差點中招」經驗，打破羞恥感。
• 回報釣魚/異常獎勵 (紅包/咖啡/榮譽)，不懲罰誤點者。
• 資安指標納入部門 OKR/KPI (釣魚點擊率 < 5%、回報率 > 80%、補丁合規 100%)。

結語

資安不是買套設備、寫份政策就能交差。九大零成本習慣，改的是「肌肉記憶」與「組織文化」。當每位員工習慣性關閉自動填入、驗證對方身分、回報異常郵件、鎖定螢幕離席、要求加密傳輸、參與演練、驗證備份，企業就擁有了最強韌性的「人肉防火牆」。