企業採購線上課程進到 IT、法務或資安審查時，很常收到一份幾十題，甚至上百題的資安問卷。
內容可能會問：
- 有沒有多因素驗證。
- 管理員權限怎麼管。
- 備份多久一次。
- 有沒有弱點掃描。
- 資料是否加密。
- 事故多久通知。
- 使用哪些第三方供應商。
- 有沒有 ISO 27001、SOC 2 或其他證明。
如果平常沒有整理，最容易出現兩個極端：
一種是什麼都回答「有」，先把案子拿下來再說。
另一種是一看到企業資安要求就直接放棄。
這兩種都不理想。
比較好的做法，是先建立自己的資安基線與證據包，知道哪些控制已經存在、哪些只有部分做到、哪些目前還沒有，再誠實回覆。
先建立一個觀念：資安問卷是在問「你怎麼管理風險」
NIST Cybersecurity Framework 2.0 把資安風險管理分成六個功能；NIST 另外在 2024 年發布 CSF 2.0 的供應鏈風險管理快速指南，特別強調採購方與供應商應用一致框架定義、溝通與驗證資安要求。
- 治理（Govern）。
- 識別（Identify）。
- 保護（Protect）。
- 偵測（Detect）。
- 回應（Respond）。
- 復原（Recover）。
企業問卷雖然格式不同，大部分題目也會落在類似邏輯。這也是為什麼建立一份可重複使用的「標準控制說明＋證據」比每次臨時填表更有效率。
所以你不需要背每一家企業的問卷，只要先把自己的：
資產、資料、權限、保護、監控、事故處理、復原與供應商管理
整理好，就會發現很多題目其實只是換句話問同一件事。
第一類：先回答「你到底有哪些系統和資料」
如果連自己的系統清單都沒有，後面很難回答：
- 哪些資料在哪裡。
- 誰能存取。
- 誰負責備份。
- 哪個服務故障會影響交付。
企業課程最少應盤點：
- 網站與資料庫。
- 會員與課程系統。
- 影音服務。
- 電子郵件服務。
- 備份。
- 金流。
- 客服或表單。
- 分析與日誌。
資料流怎麼整理，可以搭配 企業線上課程資料放在哪裡？影音、會員、作業、報表與次處理者怎麼說明。
第二類：權限管理要回答「誰能做什麼」，不是只有密碼夠不夠長
企業常問：
- 管理員有幾個。
- 有沒有共用帳號。
- 離職人員怎麼停權。
- 是否使用多因素驗證。
- 能不能限制不同角色看到不同資料。
OWASP 對授權控制的核心原則之一就是最小權限：只給完成工作需要的權限。
例如：
- 客服不需要網站最高管理權限。
- 企業 HR 不需要看到所有其他企業的資料。
- 學員只能看自己的課程。
- 外包技術人員只在必要期間取得必要權限。
如果問卷問「是否所有管理帳號都有多因素驗證（MFA）」，而你目前只有主帳號有，就應回答部分做到，而不是勾「是」。
第三類：備份不是「有備份外掛」就完成
企業要知道的是：
- 備份什麼。
- 多久一次。
- 保留多久。
- 備份放在哪裡。
- 備份是否和正式環境分開。
- 有沒有測試過還原。
CISA 的資安建議也反覆強調：備份不只要存在，還要定期測試可用性與完整性，重要備份也應降低和正式環境一起被破壞的風險。
所以問卷裡的：
「Do you have backups?」
需要準備的答案，不只是「是」，而是一段可以說明：
頻率＋保存＋位置＋復原測試。
第四類：更新與弱點管理，要說明流程，不要假裝永遠沒有漏洞
網站、WordPress、外掛、伺服器、影音服務都可能有更新。
企業可能問：
- 多久檢查更新。
- 高風險漏洞怎麼處理。
- 有沒有弱點掃描。
- 是否做滲透測試。
這裡最容易過度承諾。
如果目前沒有固定第三方滲透測試，就不要回答「每年執行完整滲透測試」。
可以如實說明：
- 使用哪些自動掃描或主機安全機制。
- 重大漏洞如何追蹤。
- 誰負責更新。
- 更新前是否備份。
- 高風險問題的處理優先順序。
第五類：日誌與監控要能幫你「發現問題」
OWASP 的 Logging 指南強調，應用程式日誌對安全事件與營運問題都很重要。
企業可能關心：
- 登入成功／失敗。
- 管理員操作。
- 異常存取。
- 網站錯誤。
- 帳號鎖定。
- 重要權限變更。
但日誌不是越多越好。
不要把：
- 密碼。
- 完整工作階段權杖。
- 完整信用卡資訊。
- 不必要的敏感資料。
直接寫進日誌。
資安問卷如果問「是否有集中式資安資訊與事件管理（SIEM）」，而你沒有，就直接說沒有；再說明你目前有哪些日誌、監控與告警機制。
第六類：事故回應要先有聯絡人和流程
企業問：
「發生資安事件多久通知？」
如果你連誰負責都不知道，再漂亮的時間承諾都沒有用。
至少先準備：
- 誰接收事件。
- 怎麼判斷嚴重程度。
- 如何先止血。
- 如何保存日誌與證據。
- 誰聯絡企業窗口。
- 後續怎麼更新狀況。
- 事件結束後怎麼改善。
NIST 在 2025 年發布 SP 800-61 Rev. 3，將事故回應直接納入 CSF 2.0 的整體資安風險管理，不再把事故回應只當成出事後才啟動的獨立流程。
完整流程可以看 企業課程發生資安事件怎麼辦？帳號外洩、服務中斷、通報與事後改善怎麼設計。
第七類：第三方供應商不能回答「我們都交給大廠，所以沒問題」
企業會問第三方，是因為你的風險不只來自自己的網站。
例如：
- 主機。
- 影音。
- 寄信。
- 備份。
- 金流。
- CDN。
可能都在不同服務商。
資安問卷可以準備：
- 主要服務類型。
- 哪些供應商會接觸企業資料。
- 資料大致在哪些地區處理。
- 供應商變更怎麼管理。
企業若進一步要求個資委託條款，可以延伸看 企業採購要求個資委託條款怎麼辦？資料角色、保存、刪除與次處理者怎麼寫。
第八類：問到加密時，要先分清楚「傳輸中」和「靜態」
企業常問：
- 網站是不是 HTTPS。
- 資料庫是否加密。
- 備份是否加密。
- 傳輸是否使用傳輸層安全性（TLS）。
「我們網站有 HTTPS」只能回答傳輸保護中的一部分。
如果你不知道主機、資料庫或備份實際加密方式，就應向供應商文件確認，不要自行猜測。
第九類：資安認證沒有就是沒有，不要把供應商認證當成自己的
這是企業問卷最容易填錯的一題。
例如企業問：
「貴公司是否通過 ISO 27001？」
你的主機商有 ISO 27001，不代表你的公司也通過 ISO 27001。
同樣地：
- 雲端供應商的 SOC 2，不等於你的企業有 SOC 2。
- 金流商符合 PCI DSS，不等於你的全部網站都因此取得 PCI DSS 認證。
正確回答方式是：
「本公司目前沒有該認證；以下是主要供應商的相關安全證明與我們自己的控制措施。」
這比把供應商的證書當成自己的認證更清楚，也比較不會造成誤導。
問卷最好採「有／部分／沒有／不適用」四種狀態
很多人最怕看到只能勾 Yes／No。
內部整理時可以先用四種狀態：
| 狀態 | 意思 |
|---|---|
| 有 | 已穩定執行，且有證據 |
| 部分 | 只有部分系統、角色或流程做到 |
| 沒有 | 目前沒有這項控制 |
| 不適用 | 和目前服務情境無關 |
如果企業正式問卷只能勾「是／否」，再依對方規則回答，並在備註補上實際範圍。
每一個「有」最好都能找到證據
例如：
| 問卷答案 | 可能證據 |
|---|---|
| 有備份 | 備份排程、保存設定、最近還原測試 |
| 有多因素驗證 | 管理帳號 MFA 設定 |
| 有最小權限 | 角色權限表、管理員清單 |
| 有事故流程 | 事故處理 SOP、聯絡窗口 |
| 有日誌 | 登入／管理操作紀錄 |
| 有供應商管理 | 主要服務清單、資料流文件 |
企業信任的不是「我們很重視資安」，而是你問得到、拿得出、說得清楚。
最實用的做法：建立一份「資安證據包」
不需要每次企業來問才重新找。
可以準備：
- 系統與供應商清單。
- 資料流摘要。
- 權限管理原則。
- 備份與復原說明。
- 更新／弱點處理流程。
- 日誌與監控說明。
- 事故回應流程。
- 主要政策文件。
- 供應商公開的安全證明。
企業若問不同格式，就從這份標準資料重新填，不需要每一次從零開始。
第十類：問到 RTO／RPO，不要直接填一個漂亮數字
企業資安問卷也常問兩個復原指標：
- 復原時間目標（Recovery Time Objective，RTO）：系統中斷後，希望在多長時間內恢復服務。
- 復原點目標（Recovery Point Objective，RPO）：發生事故時，可以接受最多損失多久以前的資料。
這兩個數字不能只靠主機商廣告或個人直覺填寫。
例如網站每天備份一次，不代表你就能直接承諾 RPO 一定是 24 小時；還要看資料庫、訂單、會員資料、第三方服務與實際備份範圍。RTO 也不是「主機商說很快恢復」就等於你的整個課程服務能在同一時間恢復。
比較穩定的做法是先確認：
- 哪些系統是企業課程的關鍵服務。
- 各系統目前備份頻率與復原方式。
- 第三方服務故障時有沒有替代方案。
- 最近一次還原測試結果。
- 目前能合理承諾的復原範圍。
如果還沒有正式驗證過 RTO／RPO，就不要為了通過問卷填一個看起來很漂亮的數字。可以先說明目前備份、監控與復原流程，再列出尚待驗證的目標。
資安問卷答案也要有版本日期與主責者
今天正確的答案，半年後不一定還正確。
例如：
- 主機商更換。
- 新增影音服務。
- 管理員增加。
- 備份政策調整。
- 事故通知流程更新。
所以標準資安答案最好同時記錄：
- 最後確認日期。
- 主責者。
- 證據來源。
- 適用系統範圍。
- 下一次複查時間。
NIST 2026 年更新的系統安全、隱私與供應鏈風險管理計畫指引，也強調控制措施的實際狀態、責任與系統範圍需要被清楚記錄。資安問卷不是填完一次就封存，而是一份會跟著系統變動的供應商能力說明。
哪些題目要特別小心，不要因為成交壓力亂答？
- 「是否保證零資安事件？」
- 「是否 24 小時全年有人值班？」
- 「是否每年做第三方滲透測試？」
- 「是否所有資料都在台灣？」
- 「是否所有資料靜態加密？」
- 「是否有 ISO 27001／SOC 2？」
- 「是否所有事件 1 小時內完整通報？」
這些如果沒有證據，就不要勾有。
可以說明現況、補償控制與改善計畫，再讓企業判斷是否符合採購要求。
問卷回答和合約承諾要一致
如果問卷寫：
「所有備份保留 30 天。」
但合約又寫：
「合作終止後 24 小時內刪除所有副本。」
兩個文件就互相衝突。
因此正式送出前，要一起檢查：
- 資安問卷。
- 個資委託條款。
- 服務合約。
- 隱私政策。
- 實際系統設定。
文件不能各自看起來很漂亮，合在一起卻互相打架。
常見問題
小型課程業者也需要填企業資安問卷嗎？
只要企業採購流程要求，就可能需要。規模小不代表可以完全不準備；反而應先建立簡化但真實的資安基線與標準證據。
沒有 ISO 27001，企業案是不是一定做不了？
不一定。不同企業要求不同。有些會接受供應商問卷、替代控制或主要雲端服務的安全證明；也有企業把特定認證列為必要門檻，需個案確認。
主機商有 SOC 2，可以回答我們有 SOC 2 嗎？
不可以直接這樣寫。供應商的認證只能代表其認證範圍；你的公司是否通過同一認證，是另一件事。
企業問滲透測試，但目前沒有做怎麼辦？
誠實回答沒有，再說明目前使用的更新、掃描、防護、供應商管理與其他控制；若該案把滲透測試列為必要條件，再評估是否值得增加。
備份多久一次才算合格？
沒有所有課程網站都適用的固定答案。應依資料變動速度、可接受資料損失、復原需求與成本設定，並且要能實際測試復原。
企業資安問卷可以交給 AI 自動填嗎？
AI 可以協助整理與比對，但不能替你猜系統能力。最終答案仍應回到實際設定、供應商文件、政策與可驗證證據。
結論：資安問卷不是考試，答對的方式是「每一題都能對應真實控制」
企業採購線上課程時，資安問卷往往是成交後段的一道門。
不要等問卷來了才臨時找答案。
先盤點系統與資料流，再把權限、備份、更新、日誌、事故回應與第三方供應商整理成標準答案；每一個「有」都要有證據，每一個「沒有」都可以說明現況與替代措施。
這樣即使你不是大型軟體即服務（SaaS）公司，也能讓企業看到：你知道自己的系統邊界、知道風險在哪裡，也知道出問題時怎麼處理。
參考資料：
NIST｜Cybersecurity Framework 2.0。
NIST SP 1305｜Cybersecurity Framework 2.0: Quick-Start Guide for Cybersecurity Supply Chain Risk Management。
NIST SP 800-61 Rev. 3｜Incident Response Recommendations and Considerations for Cybersecurity Risk Management。
NIST SP 800-18 Rev. 2｜Developing Security, Privacy, and Cybersecurity Supply Chain Risk Management Plans for Systems。
CISA｜StopRansomware Guide。
OWASP Cheat Sheet Series｜Authorization Cheat Sheet。
OWASP Cheat Sheet Series｜Authentication Cheat Sheet。
OWASP Cheat Sheet Series｜Logging Cheat Sheet。