前三篇談的都是別人家出事，貴司該怎麼準備。這一篇換個角度：如果出事的是貴司自己，發現的那一刻到兩天後，該依什麼順序做什麼事？
資安事件的損失，有很大一部分不是來自攻擊本身，而是來自發現之後的混亂：不知道該先關系統還是先保留證據、不知道要不要報警、不知道該對客戶說什麼、內部有人先在群組裡亂傳消息。這篇文章以 91APP 這次公開的處置順序為參照，整理一份中小企業可以直接套用的 48 小時應變流程。
一個值得參照的處置順序
依 91APP 的重大訊息與官方說明，公司在這次事件中做了這些事：控制事件、向警方報案、依個資事故流程召開應變會議、委請第三方資安單位調查、依法通報主管機關、以電子郵件通知受影響的客戶，並對消費者進行反詐騙宣導。從媒體報導的發現日到發布重大訊息，大約兩天。
事件的成因與影響範圍仍在調查中，這裡不評論技術細節。值得參照的是這個順序與完整度：控制、蒐證、通報、溝通、防詐，每一步都有對應的動作。多數中小企業出事時，缺的往往不是技術能力，而是這份順序。
48 小時應變流程
以下時間切分是參考值，實際節奏依事件規模調整。重點是每個階段都有明確要完成的事：
第 0 到 4 小時：止血與保全證據
- 指定一位指揮者。所有決定由這個人做、所有消息由這個人出。最常見的混亂，是老闆、IT 主管、外包廠商各自下指令。
- 隔離，不要急著刪。把受影響的系統斷網或關閉對外存取，但先不要重灌、不要刪除紀錄。系統紀錄與異常檔案是之後調查與報案的證據。
- 撤銷可疑的憑證。可能外洩的密碼、API 金鑰、存取權杖立即更換。AI 服務金鑰要優先處理，原因在第二篇談過：它們可以立刻被拿去花錢。
- 開始寫時間線。誰在什麼時間發現什麼、做了什麼。這份紀錄之後會用在報案、通報、對客戶說明與保險理賠。
第 4 到 24 小時：釐清範圍與啟動通報
- 判斷影響範圍。哪些系統、哪些資料、多少筆、涉及哪些客戶。初步判斷就好，之後再修正，但要先有一個版本。
- 決定是否請外部協助。內部沒有資安鑑識能力的，盡早委請專業的第三方。越晚進場，能保全的證據越少。
- 報案。涉及入侵與資料竊取，可向警方報案，刑事警察局設有處理資安犯罪的單位。報案也是之後向客戶與主管機關說明時的重要依據。
- 確認法定通報義務。下一節會說明，不同身分的企業有不同的通報對象與時限，這一步要在這個階段就確認，不要等到最後。
第 24 到 48 小時：對外溝通與防詐
- 通知受影響的當事人。說清楚發生了什麼、可能涉及哪些資料、貴司做了什麼、當事人該注意什麼、有問題找誰。
- 發布防詐提醒。這一步經常被省略，但非常重要，下一節會詳細說明。
- 統一對外說法。客服、業務、社群小編拿到同一份說明與問答。對外只說確認過的事實，未確認的就說「調查中，確認後會再說明」。
- 安排後續更新的時間點。告訴客戶下一次更新大約什麼時候。有預期的沉默，比沒有預期的沉默容易被接受。
台灣企業的通報義務
通報義務依企業身分而不同，以下是幾個主要的框架。實際適用請以主管機關公告與法律專業意見為準：
- 所有企業：個人資料保護法。現行個資法規定，個資遭竊取、洩漏或竄改時，應查明後以適當方式通知當事人。立法院在 2025 年 10 月三讀修正個資法，配套的事故通報辦法草案提出 72 小時內通報與通知的要求，但施行日期與子法內容仍以主管機關正式公告為準。建議企業現在就以 72 小時為內部目標準備，不要等到正式施行。
- 上市櫃公司：重大訊息。證交所與櫃買中心對重大資安事件訂有重大訊息發布規範，有明確的時限，違反可能被處違約金。91APP 這次發布重大訊息，就是依這套規範。
- 特定產業：產業主管機關。金融業、醫療機構、關鍵基礎設施提供者等，另有產業主管機關的資安事件通報規定，時限通常更短。
對中小企業最實際的建議是：現在就把「我們出事要通報誰、多久內」寫在一張紙上，連同主管機關的聯絡方式。事發當下才查法規，往往已經錯過時限。
個資外洩之後，詐騙會跟著來
對電商與服務業來說，資料外洩之後最大的二次傷害，往往不在系統裡，而在客戶的電話與通訊軟體裡。詐騙集團拿到姓名、電話與訂單紀錄，就能冒充品牌客服，說出客戶真實買過的商品，要求客戶操作 ATM 或提供驗證碼。
AI 讓這類詐騙更難辨識。生成式 AI 可以大量產出語氣自然、內容量身打造的訊息，語音合成也讓「客服來電」聽起來更像真的。這代表企業的防詐提醒不能只是一句「請小心詐騙」，而要具體：
- 明確說出貴司絕對不會做的事：不會要求操作 ATM、不會要求提供驗證碼、不會要求加私人通訊帳號。
- 告訴客戶唯一可信的查證管道：官方網站上的客服電話或官方帳號。
- 在官網、訂單通知信、社群帳號同步放上提醒，並維持一段時間，而不是只發一次。
出事的那 48 小時，客戶記住的不是攻擊多複雜，而是貴司的反應多清楚。
平時就該準備好的四樣東西
- 一頁聯絡表。內部指揮者與代理人、外包廠商與雲端供應商的緊急窗口、資安鑑識廠商、法律顧問、主管機關與報案管道。
- 一份系統與資料清單。哪些系統存了哪些個資、大約多少筆。出事時才盤點，範圍判斷會慢一整天。
- 兩份說明範本。一份給受影響的客戶，一份防詐提醒。事發時只需要填入事實。
- 一次桌上演練。每年找一個下午，模擬「客服系統的資料外洩了」，照著流程走一次。第一次演練幾乎一定會發現聯絡表上的電話已經換人。
系列最後一篇，要把視角拉回 AI 本身：當 AI Agent 與 Vibe Coding 做出來的系統進到公司，中小企業最低限度要守住哪些底線？
常見問題
發現被駭，應該立刻關掉所有系統嗎？
建議隔離受影響的系統，而不是全部關閉或重灌。斷開對外連線可以阻止損害擴大，同時保留系統紀錄作為調查與報案的證據。急著重灌雖然讓系統看起來恢復正常，卻可能同時抹掉了找出入侵途徑的線索，日後很難確認問題是否真的解決。
個資外洩一定要通知每一位客戶嗎？
現行個資法規定，個資遭竊取、洩漏或竄改時，應查明後以適當方式通知當事人。2025 年修法後的配套草案提出 72 小時內通知、無法個別通知時改以公開方式公告等要求，正式內容以主管機關公告為準。實務上，主動且具體的通知也是降低後續詐騙損失與客訴的最好方式。
中小企業沒有資安人員，出事時該找誰？
平時先找好一家資安鑑識或事件處理廠商，留下緊急聯絡方式，必要時簽訂事件應變服務。出事時再開始找廠商、比價、簽約，會錯過保全證據與通報的黃金時間。另外，主要的雲端供應商與系統外包商也應列在緊急聯絡表上。
如果貴司想先把聯絡表、系統與個資清單、說明範本這幾樣東西準備起來，歡迎聯絡品得網絡。
