中小企業資安韌性自我評量

1. 貴公司的作業系統是否皆為原廠支援版本，並開啟自動更新？

（例如：已無 Windows 7 / Server 2008 等停止更新版本，且 Windows Update 正常運作）

2. 所有電腦是否都有安裝防毒軟體，且確認「更新到最新病毒碼」？

（重點：如果有人裝有人沒裝，或過期沒人知道，請選否）

3. 對外開放服務（如 RDP、VPN），是否有限制來源 IP 或啟用雙重驗證 (MFA)？

（勒索病毒最常見入侵點：直接把 RDP 3389 開放在網路上且無 MFA）

4. 重要資料是否有執行「異地備份」或「離線備份」？

（注意：只備份在 D 槽，或隨時連線的 NAS 都不算，因為中毒會一起加密）

5. 過去一年內，是否實際執行過「還原演練」，並確認檔案真的能打開？

（有備份不代表能還原，檔案損壞是常見悲劇）

6. 是否強制員工設定複雜密碼，且三個月內有更換過？

7. 員工離職當天，是否能確保他在「所有系統」的權限都被立即停用？

8. 公司是否清楚知道目前內網接了多少設備（含私人手機、廠商電腦）？

（是否有像 OCS Inventory 這樣的自動化清冊？）

9. 若現在正在被暴力破解或大量加密檔案，IT 是否能在「1小時內」收到通知？

（是否有像 Wazuh SIEM 這樣的即時告警？）

10. 公司是否每年至少進行一次弱點掃描，並修補高風險漏洞？