資通安全健診是對機關整體環境做的一次體檢：看網路架構合不合理、網路上與電腦和伺服器裡有沒有已經發生的惡意活動、目錄服務與防火牆設定有沒有過寬，以及核心系統的資料庫是否安全。依《資通安全責任等級分級辦法》2026 年 1 月 7 日修正的附表，A 級公務機關每年辦理一次，B 級與 C 級每二年辦理一次；A、B 級要做 6 個檢視項目，C 級做 5 項。拿到健診報告後，發現要分成三類處理：有入侵跡象的立即隔離並保全紀錄、設定缺失排進改善計畫、架構性問題列入預算，每一項都要有負責人、完成日與驗證方式。
這篇寫給政府機關的資訊承辦人，以及負責機關系統維運的廠商。健診常被和弱點掃描混在一起，弱點掃描報告怎麼看那篇寫的是單一系統的檢測報告怎麼判讀；本文寫的是機關整體網路與端點的檢視：檢視哪些東西、機關事前要準備什麼、報告出來之後怎麼回應。公部門網站代管的整體規範與稽核佐證，見公部門網站代管要符合哪些規範。
資通安全健診做什麼？6 個檢視項目一次看懂
分級辦法附表把資通安全健診拆成 6 個細項，名稱是固定的。實際的檢視方法與工具由執行單位決定，但每一項要回答的問題很明確，下表整理每一項「看什麼」與「機關要先準備什麼」：
| 檢視項目 | 要回答的問題 | 機關事先準備 |
|---|---|---|
| 網路架構檢視 | 網路架構圖和實際接線、設定是否一致；伺服器區、使用者區與對外服務是否分開；重要線路與設備有沒有單點故障 | 最新的網路架構圖、網段與 IP 配置、對外服務清單 |
| 網路惡意活動檢視 | 網路上有沒有連往惡意網域或中繼站的連線、有沒有異常的大量對外傳輸 | 可以觀察流量的位置（例如交換器的鏡像埠）、防火牆與 DNS 紀錄 |
| 使用者端電腦惡意活動檢視 | 同仁的電腦裡有沒有可疑程式、異常的自動啟動項目，作業系統與防毒是否維持更新 | 電腦清冊、可以配合檢視的時段與聯絡人 |
| 伺服器主機惡意活動檢視 | 伺服器上有沒有可疑的程序、排程與帳號，網頁目錄有沒有被放進不明檔案，有沒有異常的對外連線 | 伺服器清冊、管理者帳號的協助、維運廠商在場 |
| 目錄服務系統設定及防火牆連線設定檢視 | 帳號原則是否合理、離職與閒置帳號是否停用、特權群組成員是否過多；防火牆規則有沒有過寬、過期或說不出用途的規則 | 防火牆規則匯出檔與規則申請紀錄、目錄服務管理者 |
| 核心資通系統資料庫安全檢視 | 資料庫帳號權限是否最小化、有沒有沿用預設帳號、資料庫是否直接對外、存取紀錄有沒有開啟 | 核心系統的資料庫清單、資料庫管理者 |
前五項 A、B、C 級都要做；「核心資通系統資料庫安全檢視」只列在 A、B 級的附表，C 級沒有這一項。
這 6 項有一個共同點：健診要找的是「已經存在的異常」與「已經寫進設定裡的風險」，而不是理論上可能被利用的弱點。例如防火牆上一條三年前為了廠商遠端除錯而開放、之後沒有關閉的規則，弱點掃描不一定會報，但在防火牆連線設定檢視裡就會被逐條問「這條是做什麼用的」。答不出來的規則，就是健診報告上的發現。
伺服器主機惡意活動檢視則是維運廠商最需要配合的一項。檢視人員通常需要看主機上執行中的程序、排程工作、帳號清單與網頁目錄近期新增或修改的檔案，這些都要有管理權限才看得到。主機若是委外代管，契約裡要先寫明廠商有配合健診、提供權限與紀錄的義務，否則健診當天才發現帳號在廠商手上、廠商人又不在，這一項就只能延後。
資通安全健診多久做一次？A 級每年、B 級與 C 級每二年
資通安全健診的法源和弱點掃描一樣，是資通安全管理法授權訂定的《資通安全責任等級分級辦法》。以 2026 年 1 月 7 日修正的附表為準，公務機關的規定如下：
| 責任等級 | 頻率 | 檢視項目 |
|---|---|---|
| A 級公務機關 | 每年辦理一次 | 6 項（含核心資通系統資料庫安全檢視） |
| B 級公務機關 | 每二年辦理一次 | 6 項（含核心資通系統資料庫安全檢視） |
| C 級公務機關 | 每二年辦理一次 | 5 項（無資料庫安全檢視） |
| D、E 級 | 應辦事項未列資通安全健診 | |
資料來源：全國法規資料庫《資通安全責任等級分級辦法》附表一、三、五、七、八（2026-01-07 修正；2026-10-15 重新下載核對）。特定非公務機關另見附表二、四、六，實際適用以最新公告條文為準。
讀這張表要注意三件事：
- 起算點是「次年度」。附表的辦理期限寫明，這類應辦事項於初次受核定、等級變更或核心資通系統異動後的次年度起依附表辦理。等級剛從 C 調成 B 的機關，下一個年度起就要改用 B 級的項目與頻率。
- 可以用同等措施替代，但要經主管機關認可。A、B、C 級附表的備註都寫明，辦理資通安全健診時，除依附表所定項目、內容及時限執行外，亦得採取經主管機關認可之其他具有同等或以上效用之措施。自己認定「我們的監控已經涵蓋」不算，要有認可。
- 每二年一次，不等於中間不用管。附表同時要求持續維運資通安全防護（防毒、防火牆等），A、B 級還有端點偵測及應變機制與監控管理機制。健診是定期的外部檢視，平常的監控與更新才是第一線。
健診和弱點掃描有什麼不同？
兩者在分級辦法裡是分開列的應辦事項，頻率也不同，不能拿其中一項的報告去抵另一項。差別整理如下：
| 比較 | 弱點掃描 | 資通安全健診 |
|---|---|---|
| 對象 | 單一系統的對外服務、後台與主機 | 機關整體：網路、使用者電腦、伺服器、目錄服務、防火牆、核心系統資料庫 |
| 要回答的問題 | 有沒有可能被利用的弱點 | 有沒有已經發生的異常、設定與架構是否合理 |
| 主要方法 | 工具對系統送出測試請求，比對弱點特徵庫 | 檢視設定、流量與主機上的痕跡，搭配訪談與文件 |
| 法定頻率（A 級） | 全部核心資通系統每年辦理二次 | 每年辦理一次（B、C 級每二年一次） |
| 報告的發現長什麼樣 | 一筆筆帶 CVE 編號與 CVSS 分數的弱點 | 描述型的發現，例如「防火牆有 12 條規則無法說明用途」「某主機有異常對外連線」 |
弱點掃描的法定頻率與 CVSS 判讀，已寫在弱點掃描報告怎麼看，這裡不重複。上表「報告的發現」一欄的兩個例子是說明格式用的示意，不是特定機關的實際結果。
健診報告怎麼回應？發現分三類處理
健診報告交付後，常見的做法是把所有發現丟進一張表、統一給一個期限。問題是健診的發現性質差很多：有的代表系統可能已經被入侵，要當天處理；有的只是設定要調整；有的要換設備或改架構，今年根本沒有預算。先分類，再決定時限：
| 類別 | 典型發現 | 處理方式 |
|---|---|---|
| 一、有入侵或感染跡象 | 主機或電腦有惡意程式、連往中繼站的連線、網頁目錄有不明檔案 | 立即隔離並保全紀錄；由機關判斷是否構成資通安全事件、是否依規定通報 |
| 二、設定缺失 | 防火牆規則過寬或過期、離職帳號未停用、資料庫沿用預設帳號、存取紀錄未開啟 | 排入改善計畫，寫明負責人、完成日與驗證方式，改完附設定截圖或匯出檔 |
| 三、架構性問題 | 沒有分區、重要設備單點、老舊設備已無更新 | 列入下一年度預算或中長期計畫；改善前要寫補償措施，並由機關書面接受剩餘風險 |
第一類發現：先隔離、再保全，不要先重灌
發現主機或電腦有惡意活動時，直覺反應是刪掉可疑檔案或直接重灌，這樣系統恢復得最快，但入侵是從哪裡進來、碰過哪些資料、還有沒有其他主機中招，就再也查不清楚。正確順序是：把受影響的設備與網路隔開；保留防火牆、主機與應用程式的日誌，不要清除或覆蓋；記錄發現的時間、經過與處置人；再由機關判斷是否構成資通安全事件、是否要依《資通安全事件通報及應變辦法》通報，通報時限以現行條文為準。維運廠商在這個階段的角色是協助保全與提供紀錄，不是自己決定要不要通報。
第二類與第三類的改善要追蹤到結案，建議用一張固定格式的改善追蹤表，欄位至少包括：發現編號、所屬檢視項目、發現內容、處理類別、負責人（機關或廠商）、預定完成日、驗證方式與佐證、目前狀態。「驗證方式」這一欄最常空白，例如寫「已關閉多餘防火牆規則」卻沒有附規則匯出檔，下一次健診或稽核時只能重講一次。驗證方式要在排計畫時就寫好，改完照著附佐證。
改善項目若牽涉委外廠商，回應時效可以比照維運契約的分級訂法：哪一類發現要在幾個工作天內提出處理方式、逾期怎麼計算，見警政系統維運委外怎麼談 SLA。防火牆連線設定的發現，有不少來自系統建置時為了介接而開放的規則，介接的網路路徑與規則在建置階段就要列冊，做法見科技執法系統要跟哪些既有系統介接；健診發現的主機惡意活動若涉及案件資料，證據保存的方式另見交通違規證據鏈要保存什麼。
健診開始前，機關自己檢查這七項
一、網路架構圖是最新版，與實際設備一致。二、伺服器與電腦清冊有更新，含作業系統版本。三、防火牆規則已匯出，每條規則找得到申請紀錄或用途說明。四、目錄服務的離職與閒置帳號已先清查。五、核心系統的資料庫清單與管理者已確認（A、B 級）。六、委外維運的主機，廠商已確認可以配合提供權限與紀錄。七、上一次健診的改善追蹤表已更新到最新狀態，未結案項目有說明。
七項都準備好，健診期間的訪談與調閱會快很多，報告上也比較不會出現「文件與現況不符」這類其實是準備不足造成的發現。系統整體的資安框架與 ISO 27001 的關係，可以參考警政系統上雲安全嗎；系統換廠商時，歷次健診報告與改善追蹤表同樣要列入移交。
瑪尼國際成立於 2004 年，深耕資訊服務逾 20 年、服務逾 500 家企業，並以協力廠商身分參與全台多個縣市警察局交通隊的入案系統建置與維運。科技執法與民眾檢舉這類對外服務的系統，健診時被調閱的通常就是主機、資料庫與防火牆規則；我們的做法是平時就把主機帳號清單、排程工作與對外開放的規則維持在說得出用途的狀態，健診時能直接提供。主機放在中華電信光纖機房，由我們負責網站代管與作業系統更新，前台與後台的網頁設計也可以一併規劃；從程式、資料庫到主機由同一組人負責的一條龍服務，健診報告上的每一項發現都有明確的處理人。
常見問題
Q：資通安全健診多久要做一次？
依資通安全責任等級分級辦法的附表（2026 年 1 月 7 日修正），A 級公務機關每年辦理一次，B 級與 C 級公務機關每二年辦理一次；D、E 級的應辦事項沒有列資通安全健診。檢視項目也不同：A、B 級是 6 項，包含核心資通系統資料庫安全檢視；C 級是 5 項，沒有資料庫這一項。初次受核定、等級變更或核心資通系統異動後，從次年度起依附表辦理。
Q：資通安全健診和弱點掃描有什麼不同？
弱點掃描是對單一系統送出測試請求，找出可能被利用的弱點；資通安全健診是對機關整體環境做檢視，看網路架構、使用者電腦、伺服器、目錄服務與防火牆設定，以及核心系統資料庫，重點是有沒有已經發生的異常與設定是否合理。兩者在分級辦法裡是分開列的應辦事項，頻率也不同，不能互相取代。
Q：資通安全健診發現惡意活動該怎麼辦？
先隔離、再保全紀錄，不要直接刪檔或重灌。把受影響的電腦或主機與網路隔開，保留防火牆、主機與應用程式的日誌，記錄發現的時間與經過，再由機關判斷是否構成資通安全事件、是否要依資通安全事件通報及應變辦法通報，通報時限以現行條文為準。直接重灌雖然最快恢復，但入侵的來源與範圍就查不清楚了。