Learning Objectives
- 說明 NIST SP 800-61 Rev. 3 的事件應變架構與舊版階段的對應
- 比較圍堵與保全證據之間的取捨，並說明不應立刻重灌主機的原因
- 依揮發性順序安排蒐證
- 說明個人資料保護法與資通安全管理法對通知與通報的要求，以及事後檢討的作用
事件應變的目的
週末晚上，監控系統發出告警，一個教學助理帳號正在大量下載全校成績。值班人員的第一個念頭可能是立刻關機或重灌，以為這樣最安全。這個決定卻會影響後續所有工作：攻擊者如何進入、還有哪些帳號受影響、資料被取走多少，都可能再也查不出來。
事件應變（incident response）的目的是在壓力下依事先規劃的方式行動：控制損害、查明原因、恢復服務、履行通知義務，並從事件中改善。計畫要在事件發生之前寫好，包括誰負責決定、如何聯絡、哪些情況可以中斷服務、由誰對外說明。
本課的模擬環境。 本課的事件與學校都是虛構的，用於比較決定的後果。法律內容為條文摘述，不構成法律意見，實際事件應諮詢法務或律師（第 1 課）。
NIST SP 800-61 的事件應變架構
美國國家標準與技術研究院（NIST）的 SP 800-61 是常被引用的事件應變指引。2025 年 4 月發布的 Rev. 3 取代 2012 年的 Rev. 2。許多教材與文件仍使用 Rev. 2 的四個階段，Rev. 3 則改以 CSF 2.0（網路安全框架）的六項功能組織內容，並說明兩者的對應：
| Rev. 2 的階段 | CSF 2.0 的功能（Rev. 3） |
|---|---|
| 準備 | 治理（Govern）、識別（Identify）、保護（Protect） |
| 偵測與分析 | 偵測（Detect）；識別中的改善類別 |
| 圍堵、根除與復原 | 回應（Respond）、復原（Recover）；識別中的改善類別 |
| 事後活動 | 識別中的改善類別 |
改版的理由是事件的樣貌已經改變：事件更頻繁，復原往往需要數週到數月，應變不再是一個獨立團隊週期性的工作，而是整體風險管理的一部分；事件的教訓應在發現時就分享，不必等到復原結束。Rev. 3 也明白表示，組織可以採用最適合自己的模型。
本課的流程沿用確認、圍堵、保全證據、根除、通知、復原與檢討的順序，方便說明。實務上這些工作常常同時進行。
圍堵與保全證據
圍堵（containment）的目的是阻止事件擴大，保全證據則是保留調查所需的資料。兩者經常互相牽制：切斷電源可以立刻停止外洩，記憶體中的資料卻會消失；讓系統繼續運作可以多蒐集資訊，損害也可能繼續擴大。
RFC 3227 的建議包括：完成蒐證前不要關機、不要使用被入侵主機上的程式進行調查、依揮發性由高到低蒐集，並能清楚說明證據如何取得與處理（保管鏈，chain of custody）。
立刻重灌並不等於處理完畢。 重灌會覆蓋磁碟上的痕跡，而且事件的原因可能根本不在主機上。若攻擊者使用的是遭盜帳號或程式漏洞，還原之後相同的問題依然存在。
蒐證也要有比例原則。NIST 指出，正式的保管鏈程序不一定每個事件都會進行，例如多數惡意程式事件不會進入訴訟，但蒐集的資料仍然屬於證據，其完整性與來源都應保存；是否保留、保留多久，要考慮提起訴訟的可能性與保存成本。NIST 同時提醒，刻意延後圍堵以觀察攻擊者有風險，應先與法務討論。
通知與通報的法律義務
事件涉及個人資料或資通系統時，可能有法定的通知與通報義務。以下為條文摘述，查閱日期 2026 年 11 月，不構成法律意見，實際適用應查閱最新條文並諮詢法務。
《個人資料保護法》第 12 條。 全國法規資料庫標示本法「部分或全部條文尚未生效」「最後生效日期：未定」。第 12 條於 114 年 11 月 11 日修正，施行日期由行政院定之（第 56 條），沿革頁尚無定施行日期的紀錄，所以目前施行的是修正前的條文。
| 內容 | |
|---|---|
| 修正前的條文（修正條文施行前適用） | 違反本法規定，致個人資料被竊取、洩漏、竄改或其他侵害者，應查明後以適當方式通知當事人 |
| 114 年修正條文（尚未施行） | 知悉所保有之個人資料被竊取、竄改、毀損、滅失或洩漏時，應通知當事人；符合一定通報範圍者應通報主管機關；應採取即時有效之應變措施，並保存相關紀錄。內容、方式與時限由主管機關另定辦法 |
| 施行細則第 22 條 | 適當方式指即時以言詞、書面、電話、簡訊、電子郵件等足以使當事人知悉或可得知悉之方式；通知內容應包括被侵害之事實及已採取之因應措施 |
《資通安全管理法》與《資通安全事件通報應變及演練辦法》。 適用的公務機關與特定非公務機關，知悉資通安全事件時有通報義務（第 17、24 條）。辦法規定知悉後一小時內通報（第 6、11 條）；第一級或第二級事件於知悉後 72 小時內、重大資通安全事件於知悉後 36 小時內，完成損害控制或復原；之後應於一個月內送交調查、處理及改善報告（第 8、13 條）。
實務上的兩點提醒。 第一，通報與通知是兩件事：通報的對象是法規指定的機關（資通安全管理法依機關類型分為上級或監督機關、主管機關、中央目的事業主管機關），通知的對象是當事人。第二，適用對象與時限會因組織類型與法規修正而不同，所以應變計畫要事先寫明這些事項，並定期檢視。通報不必等到所有事實都清楚，之後可以補充。
NIST 也提醒，媒體溝通要依事先訂定的程序進行，與執法機關、主管機關的聯繫由指定人員負責。此外，未經查證的數字與對象可能不正確，也可能影響調查。
事後檢討
事件結束後要檢討哪些做法有效、哪些環節延遲、哪些資訊當時無法取得，並把結論轉成具體的改善：調整告警規則、補上缺少的日誌欄位（第 16 課）、修正權限設定、更新應變計畫與聯絡清單。
檢討的目的是改善流程與防護。若檢討變成追究個人責任，參與者較不願意說出實際情況，流程上的缺口也不容易被發現；涉及違規或惡意行為時，則應另依組織的程序處理。
應變能力也需要練習。定期的桌上演練可以在壓力不大的情況下發現計畫的漏洞，例如聯絡人已經離職，或沒有人知道誰有權決定中斷服務。
重點整理
- 應變計畫要事先寫好，包括角色、聯絡方式、圍堵的授權與對外溝通的程序
- NIST SP 800-61 Rev. 3（2025）以 CSF 2.0 的功能組織內容，Rev. 2 的四個階段仍常見，兩者有對應關係
- 圍堵與保全證據之間存在取捨，要依急迫性與計畫權衡；立刻重灌通常會失去調查所需的資料，也不能處理原因
- 蒐證依揮發性由高到低，並記錄處理過程
- 通報與通知是不同的義務，適用對象與時限要查最新條文；個人資料保護法目前施行的是修正前的條文，114 年修正條文的施行日期尚未確定
- 事後檢討的目的是改善流程與防護
下一課討論事件的另一個來源：已知弱點的揭露與修補管理。
小測驗
發現主機遭入侵後，管理者立刻重灌並還原備份。這個做法最主要的問題是什麼？
依 RFC 3227，下列哪一種資料應該最先蒐集？
關於 NIST SP 800-61 的版本，下列敘述何者正確？
依個人資料保護法施行細則第 22 條，通知當事人的內容應包括什麼？
負責人認為應等原因完全查明後才進行資安事件通報，以免資訊不完整。這個想法的問題是什麼？
「繼續觀察攻擊者兩小時再封鎖」這個選擇，下列評估何者較合理？