組織的資安底線在哪裡？從 2026 年日本真實事故倒推的 6 個優先事項

VPN 設備、遠端桌面入口、防火牆管理介面——把能從網際網路直接存取的設備列成清單，寫上型號、版本和負責更新的人。日本警察廳的統計中，勒索軟體感染途徑的 92 個有效回答裡，61 個是 VPN 設備。

第一步：為清單上的每台設備訂一個數字——漏洞被確認利用（KEV）後，允許多少天內封堵。「依序修補」的做法，與數位廳事件是同一種結構。

每個組織都有不屬於員工的人的帳號——維護廠商、委外方、已經離職的人。它們往往為了方便被賦予寬泛權限，而且歸誰管並不清楚。

第一步：列出所有非員工帳號，為每個帳號指定內部負責人和有效期限。然後依序做到：只在使用時啟用、限制來源位址、強制使用抗釣魚的雙因素認證。把帳號停用寫進與到職相同的表單裡。

在 Aflac 的事件中，攻擊看起來與正常使用一樣。如果每一次查詢都是合法的，逐次檢查是攔不住的。剩下的線索是每小時有多少筆資料流出，以及深夜和假日的活動。

第一步：在回傳客戶資料最多的那個功能上，加上每個帳號每小時的上限和達到上限 80% 時通知到具體負責人的告警。在檔案伺服器和雲端儲存上，為數倍於平常的批次下載設定告警。

在櫻花網路的事件中，非法存取從約三年前就開始了。如果沒有那段時間的日誌，既說不清發生了什麼，也說不清沒發生什麼。

第一步：認證（成功與失敗）、資料查詢與匯出、管理操作這三類至少保留 12 個月（以支付卡產業標準 PCI DSS 為參考）。儲存空間不夠時，先保住這三類，再考慮 Web 存取日誌。

在 Gyazo 的事件中，外洩的中繼資料主要是多年前上傳的圖片所附帶的資訊。外洩的規模取決於當時持有多少資料。沒有持有的資料就不會外洩。

第一步：為每一類客戶資料寫一行：用途是什麼、保留到何時。寫不出來的，就是刪除或匿名化的候選。同時檢查已解約使用者的資料是否還殘留著（櫻花網路的事件中，除非另外辦理退會，解約後會員資訊仍被保留）。

Adobe Commerce 發布修補時公告寫著「優先等級 2、未發現被利用」，44 天後 CISA 確認了被利用。WordPress 本體的漏洞則只用了 3 天。

第一步：為自己使用的產品準備一個在其被加入 KEV 時收到通知的機制，並規定一旦被加入就重新排列修補順序。判斷方法請見 用 CVSS、EPSS、KEV 決定優先順序。