把 58 項防護基準，變成一張做得完的改善路線圖

客戶背景

某教育部所屬全國性數位教學資源平台服務對象涵蓋全臺師生，整合教育部單一簽入（SSO）系統，使用者角色橫跨一般訪客、教師與學生、內容審核者到系統管理者，日常維運則由第三方委外廠商負責——這正是資安法規最關注的高風險情境之一：外部人員可遠端接觸核心系統。

依「資通安全管理法」規範，平台須逐項對照「資通系統防護基準」完成自我評估。基準涵蓋 6 大類、58 項細項——從存取控制、事件日誌、識別鑑別到系統完整性，對維運團隊而言，最大的挑戰不是「看不懂條文」，而是條文與自己系統之間的落差沒有人說得清楚。

面臨的問題

客戶找上我們之前，卡在三個典型的合規困境：

一、自評表填不下去。 防護基準的條文是通用性語言，但系統是有二十年歷史的 JSP + C# 混合架構。「使用者權限檢查應於伺服器端完成」在這個架構上到底做到了沒有？沒有人能拿出證據回答。

二、通用建議派不上用場。 過去拿到的資安建議多半是「應建立帳號管理機制」「應採最小權限原則」這類照抄條文的內容，無法對應到平台實際的角色設計、SSO 整合方式與廠商連線路徑，等於看完還是不知道要改哪一行。

三、委外廠商遠端存取沒有架構性管控。 維護廠商需要連入系統後台，但缺乏明確定義的存取控制點與監控機制，這在稽核上是重大缺口，在實務上是真實的攻擊面。

我們做了什麼

我們不從條文出發，而是從系統的真實樣貌出發，把合規工作拆成四個層面：

1. 逐項落地的基準對照

由具 CISSP 資格的顧問，將防護基準 6 大類、58 項細項逐一對照平台實際架構，每一項都給出「符合／部分符合／未符合」的判定與佐證所在位置，讓自評表每一格都填得有憑有據。

2. 直達程式碼層的技術審查

我們不停留在管理面文件，而是直接審查關鍵模組原始碼：

密碼政策模組：對照基準第 4 類「識別與鑑別」逐項檢核 11 個控制點，確認 BCrypt 雜湊、複雜度規則、歷史密碼比對等基礎紮實，同時找出「已寫好但未啟用的密碼到期機制」「密碼變更無稽核日誌」等隱藏缺口——這類問題只看文件永遠找不到。
日誌模組：對照基準第 2 類「事件日誌與可歸責性」，識別出本地時間未對應 UTC、日誌缺乏完整性保護（可被竄改）等缺口，並提供到 diff 層級的修補建議，開發團隊可以直接照改。

3. 針對高風險情境的架構設計

RBAC 權限矩陣：對應平台四種使用者角色，落實最小權限原則。
委外廠商遠端存取架構：規劃 VPN + 跳板機（Bastion Host）+ 多因子驗證（MFA）三層管控，讓廠商連線「有門、有鎖、有紀錄」。
伺服器端授權驗證：針對 JSP 架構特性，明確標示所有權限檢查必須在伺服器端完成的實作要點。

4. 開發人員資安教育訓練（3 小時）

合規不能只靠事後稽核，更要內建在開發流程裡。我們為平台的開發與維運團隊規劃 3 小時的資安教育訓練：一方面提升開發人員的整體資安意識，另一方面聚焦「開發流程中實際會遇到的資安實作要求」，針對每一項逐一提出可落地的解決方案，協助團隊在日常開發時就全面滿足教育部資通系統防護基準——把合規從「事後補救」轉為「開發內建」。

所有建議最後收斂成一張三階段行動計畫表（立即／短期／中期），每個項目標註對應基準條號、風險等級與預估工時。

成果

58 項防護基準細項完成逐項對照，自評表每一項都有明確判定與佐證，不再是「憑感覺打勾」。
密碼政策模組 11 項檢核全數釐清：5 項符合、2 項部分符合、4 項未符合——且 4 項未符合全部納入行動計畫，其中優先項目單項修復工時僅約 0.5 天，客戶以極低成本快速拉高符合率。
日誌模組識別出 6 項合規缺口（4 項未達成、2 項部分達成），全部附上可直接套用的程式碼修補方案。
委外廠商遠端存取從「無架構性管控」升級為 VPN + Bastion + MFA 三層防護，直接補上稽核最容易被開缺失的高風險項目。
為開發與維運團隊舉辦 3 小時資安教育訓練，將防護基準的實作要求轉化為開發流程中可執行的規範，達成教育部資安防護基準的全面要求。
交付物包含：逐項對照評估表、兩份技術簡報（可直接用於內部溝通與稽核佐證）、diff 層級修補建議、三階段改善路線圖。

客戶得到的不是一份報告，而是一張「照著做就能過」的地圖。