Backup 救到系統，救唔到商譽：當企業遇上「資料外洩」危機
- 6月18日
- 讀畢需時 5 分鐘
當企業無法確認資料是否外洩，真正的風險才剛剛開始
在網絡安全的世界，很多企業都擁有一套熟悉的安全組合：
Firewall（防火牆）
Antivirus（防毒軟件）
Backup（資料備份）
因此當談到網絡安全時，不少管理層都會有一種安心感：
「我們有做備份，應該問題不大吧？」
然而，近年愈來愈多網絡安全事故都反映同一個現象：
系統可以恢復，但企業往往無法第一時間回答一個更重要的問題：
黑客曾經接觸過什麼資料？又是否已經將資料帶離公司？
如果無法回答這個問題，即使系統在數小時內完全恢復運作，企業仍可能面對客戶資料外洩、商業機密流失、合規風險，以及品牌信譽受損等後續影響。
現代勒索軟件的玩法，早已改變
過去的勒索軟件攻擊模式相對直接：
入侵 → 加密檔案 → 要求贖金
只要企業擁有完善備份，通常可以透過還原系統恢復營運。
但今天的攻擊模式已經演變成所謂的「雙重勒索（Double Extortion）」：
入侵 → 潛伏 → 收集資料 → 傳送至外部 → 加密系統 → 要求贖金
換句話說，當某天早上員工回到公司，發現畫面上出現勒索訊息時，那未必是攻擊的開始。
某程度上，那更像是攻擊者的「畢業典禮」。
因為在此之前，他們可能已經花了數星期甚至數個月時間研究企業網絡、收集敏感資料，並完成資料外傳。
此時，Backup 可以協助企業恢復系統，但無法挽回已經流失的資料。
為什麼很多企業最終只能說：「暫時未能確認資料有否外洩」？
這並不一定代表企業沒有進行調查。
很多時候，真正的問題是企業缺乏足夠的 Visibility（可視性）。
不少公司其實已經擁有 Microsoft 365、Windows Server、Firewall，甚至不同類型的安全工具。
問題不在於有沒有 Log，而是：
關鍵紀錄是否保留得夠久？
是否集中管理？
是否有人能夠快速分析？
是否足以重建整個事故經過？
當攻擊者潛伏數月後才被發現，企業往往才驚覺：
原來我們一直有紀錄，但根本無法還原整個事件經過。
沒有足夠的日誌保留、監察和分析能力，即使系統曾經留下線索，也未必能夠在事後找到答案。
Visibility 真正想回答的是什麼？
事故發生後，不同角色其實都會提出不同問題。
IT 團隊會問：
攻擊者從哪裡進入？
哪些系統被存取？
哪些帳戶被利用？
管理層會問：
哪些業務可能受影響？
是否涉及客戶資料？
是否需要通知合作夥伴？
客戶會問：
我的資料是否安全？
監管機構會問：
企業是否掌握事故範圍？
是否已採取適當應變措施？
雖然問題不同，但背後其實都依賴同一件事：
企業是否具備足夠的 Visibility（可視性）。
Backup 是用來復原的，不是用來調查的
這是一個很多企業容易混淆的觀念。
Backup 的主要作用是：
✅ 恢復系統運作
✅ 減少停工時間
✅ 維持業務連續性（Business Continuity）
但 Backup 並不能回答：
❌ 哪些資料曾被存取
❌ 哪些資料可能已被複製
❌ 哪些帳戶被盜用
❌ 攻擊者曾停留多久
因此，Backup 是業務恢復工具，而不是事故調查工具。
系統可以恢復，但信任未必可以
很多企業以為網絡安全事故最大的損失是停工一天。
但現實中，更大的成本往往來自：
客戶信任下降
合作夥伴質疑
合規及監管要求
品牌形象受損
伺服器可以重建。
資料可以還原。
但客戶的信任，往往需要更長時間才能重新建立。
這也是為什麼近年企業愈來愈重視資料外洩風險，而不只是系統停擺風險。
i-Success 的觀察：企業普遍缺乏事故可視性
在 i-Success 的 Security Assessment 項目中，我們經常發現企業已投資 Firewall、Backup 及 Antivirus。
然而當我們進一步詢問：
「如果明天有員工帳戶被盜用，你們是否有能力追查影響範圍？」
很多企業都難以給出明確答案。
事實上，現代網絡安全已不再只是防止入侵。
更重要的是：
當事故發生時，企業是否有能力快速掌握發生了什麼事。
i-Success 的建議
企業在規劃網絡安全時，除了 Firewall、Antivirus 和 Backup 之外，亦應定期檢視：
Multi-Factor Authentication（MFA）
Microsoft 365 Audit Logging
Endpoint Detection & Response（EDR）
Security Monitoring
Incident Response Procedures
Log Retention Strategy
因為真正成熟的網絡安全，不是保證永遠不會被攻擊。
而是在面對事故時，仍然能夠迅速掌握影響範圍，並作出正確決策。
結語
許多企業都會問：
「我們有沒有機會被黑客入侵？」
其實更值得思考的是：
如果明天真的發生事故，你是否有能力知道黑客曾經接觸過什麼資料？
因為在今天的網絡安全環境下，
真正決定損失大小的，很多時候並不是攻擊本身。
而是企業是否有能力看清楚整件事到底發生了什麼。
📋 管理層的自我檢視：貴公司具備「事故可視性」嗎？
在尋求外部協助前，管理層可以先在內部會議中，試問 IT 團隊以下三個問題：
1. 如果今天有員工的 Microsoft 365 帳戶在凌晨被異常登入，我們能在 10 分鐘內鎖定他存取過哪些檔案嗎？
2. 我們的伺服器和網絡日誌（Logs），目前實質保留了多少天？足夠追查三個月前的活動嗎？
3. 如果不幸發生資料外洩，我們是否已有清晰的應變流程，去回應客戶、合作夥伴及監管機構？
如果以上任何一個問題的答案是：
「不確定」
或
「辦不到」
那麼，貴公司的網絡安全可能正處於一個值得關注的 Visibility（可視性）盲區。
🛡️ 聯絡 i-Success：為企業消除網絡盲點
與其等到事故發生後才被動應對，不如今天開始主動了解自己的風險。
i-Success Technology 現正提供免費初步 Security Assessment，協助企業檢視現有系統設定、日誌保留策略及事故應變能力，找出潛在的安全盲點及資料外洩風險。
因為在網絡安全事故中：
不知道發生了什麼事，往往比事故本身更危險。
📞 查詢電話：3997 0301
📱 WhatsApp：5383 1033
