客戶要求供應商資安稽核：網站與郵件要準備什麼

客戶寄來供應商資安問卷時，網站與郵件相關的題目本身不難，難在拿出證據：HTTPS 檢測報告、寄件網域驗證的設定截圖、更新與備份紀錄、管理帳號的多因素驗證畫面，以及出事時通知客戶的流程。先把題目分類，確認每一題的證據由公司自己、網站維護廠商，還是主機或郵件服務商提供，再照實作答；做不到的項目寫明現況與改善計畫，比全部勾「是」更經得起抽查。

01客戶為什麼要求供應商資安稽核：委外規定與供應鏈管理

客戶要供應商填問卷、甚至派人到場稽核，背後通常有兩個來源：法規把委外監督的責任放在客戶身上，或客戶自己的資安制度要求盤點每一家供應商。

• 資通安全管理法第 10 條：這部法律在 2025 年 9 月 24 日修正公布全文，行政院定自同年 12 月 1 日施行。公務機關與特定非公務機關（關鍵基礎設施提供者、公營事業、特定財團法人等）委外辦理資通系統的建置、維運或資通服務時，要選任適當的受託者並監督其資安管理機制；受託者的作業程序與環境，應具備完善的資安管理措施或通過公正第三方驗證，雙方還要簽書面契約，寫明權利義務與違約責任。
• 資通安全管理法施行細則第 7 條：列出選任與監督受託者的注意事項，例如可否複委託、受託者知悉資安事件時要立即通知並說明補救措施、委託關係結束時確認資料已返還、移交、刪除或銷毀，以及委託方定期以稽核或其他方式確認執行情形。
• 個人資料保護法第 4 條：受委託蒐集、處理或利用個資的人，在個資法適用範圍內視同委託機關。施行細則第 8 條要求委託方適當監督受託者，監督事項包括受託者違規時應通知的事項與補救措施，以及契約結束時個資載體的返還與刪除。
• 國際框架：美國 NIST 網路安全框架 2.0 把供應鏈風險管理列為獨立類別，包括把資安要求寫進供應商合約、合作期間持續評估風險、把供應商納入事件應變。

要留意適用範圍：只賣零件或成品、沒有替客戶建置或維運系統的工廠，未必直接落在第 10 條的委外範圍內，但客戶可以依自己的制度把相同要求寫進採購合約。因此作答以客戶寄來的問卷與合約條款為準，不必自行推測要符合到哪個等級。

02常見情境：車廠供應鏈、公營事業契約與歐洲買家的問卷

以下三種是製造業與外貿業者常碰到的狀況（示意，非真實案例），差別在於問卷從哪裡來、要求寫在哪裡。

• 汽車零件二階供應商，行政人員兼管電腦：一間四、五十人的沖壓零件廠，一階客戶轉來海外車廠要求的資安問卷，題目上百題，從門禁管制到官網都有。負責填寫的行政人員最擔心答錯影響供應商評等。先看「題目類型對照表」，把網站、郵件與帳號相關的題目挑出來；第一件事是列出官網、主機與公司信箱各由哪家廠商負責、管理帳號在誰手上。
• 電子零件貿易商，接到公營事業的契約附件：這家貿易商除了供貨，還替客戶維護一套詢價用的網頁系統，契約附件寫明發生資安事件要立即通知、契約結束要刪除資料、委託方可以稽核。老闆擔心簽了卻做不到。先看「為什麼要求供應商資安稽核」與「事件應變與個資處理」，確認自己是否屬於受託維運系統；簽約前先問主機與網站維護廠商能提供哪些紀錄、事件發生時多快通知你。
• 精密機械廠，歐洲買家寄來短問卷：問卷只有十幾題，其中問到寄件網域是否實施 DMARC、網站是否只接受 TLS 1.2 以上、管理帳號是否啟用多因素驗證。業務經理想直接全部勾「是」。先看「網站題目怎麼回答」與「郵件與帳號題目」，第一件事是實際檢測一次並留下帶日期的報告，再決定每一題怎麼寫。

03題目類型對照表：要準備的證據與由誰提供

問卷題目再多，和網站、郵件有關的大致落在下面幾類。先依這張表分類，每一題記下證據檔名與提供者，客戶追問或到場稽核時才找得到。

「由誰提供」這一欄要寫到具體的人或廠商，不要只寫「資訊部門」。官網若是多年前外包製作、沒人知道主機與網域帳號在哪裡，先把管理權拿回來，否則後面每一題都拿不到證據。

04網站題目怎麼回答：HTTPS、更新、備份與弱點掃描

• HTTPS 與 TLS 版本：IETF 的 RFC 8996 已正式棄用 TLS 1.0 與 1.1，規定不得再使用，最低應採 TLS 1.2；美國 NIST SP 800-52 第 2 版要求政府的 TLS 伺服器支援 TLS 1.2，並在 2024 年 1 月 1 日前支援 TLS 1.3。作答時附上線上 SSL 檢測工具的報告，報告上要看得到測試日期、網域名稱與支援的協定版本。憑證種類與續期方式，可以對照 SSL 憑證頁的說明。
• 系統更新：題目問「是否定期更新」，客戶想知道的是誰負責、多久一次、留下什麼紀錄。WordPress 這類網站可以匯出外掛清單與版本；作業系統的修補，虛擬主機由主機服務商處理，VPS 或專屬伺服器則要看合約是自行管理還是代管，回答時把責任分界寫清楚。
• 備份與還原：只寫「有備份」不夠。資通安全責任等級分級辦法附表十的防護基準，最基本的等級就要求訂出資料可容忍損失的時間並執行備份，中等級再要求定期測試備份資料的可靠性與完整性。所以要準備備份頻率、保存份數、備份是否存放在網站以外的設備，以及最近一次實際還原的日期與結果。使用 WordPress 主機這類含網站備份的方案時，也要寫明還原由誰操作。
• 弱點掃描與健檢：同一辦法的附表六規定，C 級特定非公務機關的全部核心資通系統每二年要做一次弱點掃描與滲透測試，客戶的問卷常沿用這類項目。做過就附報告摘要與修補紀錄；沒做過就寫「尚未執行」，不要把主機的狀態監控通知當成掃描報告。

05郵件與帳號題目：寄件驗證、多因素驗證與存取紀錄

• 寄件網域驗證：問卷常直接問「是否設定 SPF、DKIM、DMARC」「DMARC 政策為何」。證據分兩份：DNS 管理介面中三筆記錄的截圖，以及寄一封信到外部信箱後，原始郵件顯示三項都通過的畫面。三者的原理與設定順序請看公司信件被歸垃圾信的檢查步驟，這裡只提醒一點：DMARC 若仍停在只收報告的 none 階段，就照實寫，並附上預計收緊的規劃。
• 收件過濾：分級辦法要求設有郵件伺服器的特定非公務機關備有電子郵件過濾機制，供應商問卷也常問是否攔截釣魚與惡意附件。說明目前由哪一類服務過濾、可疑信件怎麼隔離與放行即可。
• 多因素驗證：美國 CISA 建議優先替電子郵件帳號開啟多因素驗證，因為信箱常是其他帳號重設密碼的管道；FIDO 這類抗網路釣魚的驗證方式最強，但任何多因素驗證都比只有密碼好。證據是管理後台顯示強制啟用的設定畫面，再加上網站後台、主機控制台、網域註冊商帳號各自的啟用狀態。共用帳號要盡量拆成個人帳號，分級辦法的防護基準也要求禁止使用者共用帳號。
• 存取紀錄：準備一份遮蔽個資後的登入紀錄範例，以及保存期間的說明。防護基準最基本的等級要求日誌至少保存六個月，並記錄管理者帳號執行的各項功能；虛擬主機的紀錄保存多久由主機服務商決定，要先問清楚，不足時寫明現況與補強方式。

06事件應變與個資處理：問卷裡的流程題怎麼寫

流程題沒有截圖可附，客戶看的是你有沒有一份寫下來、而且真的做得到的程序。

1. 事件應變：寫出發現異常後的處理順序：誰是窗口、先聯絡哪家服務商、何時通知客戶、紀錄怎麼保存。客戶要求「立即通知」或特定時限時，先問主機、郵件與網站維護廠商出事時多久會通知你，你承諾客戶的時限不能比上游更短。網站遭大量流量攻擊時怎麼分層因應，可另外對照 DDoS 防護頁的說明。
2. 複委託：題目問「是否將業務再委外」時，主機、郵件服務與網站維護都算，照實列出廠商類別與各自負責的範圍。
3. 個資處理：列出官網表單蒐集哪些欄位、存在哪裡、保存多久、誰看得到，並附上隱私權政策的網址。個資法施行細則第 12 條列舉的安全措施，包括事故的預防、通報及應變機制，以及使用紀錄、軌跡資料與證據保存，可以當成整理答案的架構。
4. 合作結束後的資料：寫明契約終止時，客戶提供的圖面、往來信件與詢價紀錄如何返還或刪除、由誰確認完成。這一題對應前面提到的資通安全管理法施行細則第 7 條與個資法施行細則第 8 條。

另外要知道，個資法在 2025 年 11 月 11 日修正公布了部分條文，施行日期由行政院另定，全國法規資料庫目前標示尚未生效。作答與擬約時以現行條文為準，並留意後續的施行公告；條文怎麼適用在你的合約上，屬於法律判斷，請與法律顧問確認。

07回答資安問卷時常見的錯誤

• 全部勾「是」：客戶抽查證據時拿不出來，比老實填「部分符合」更傷信任。美國 CISA 替中小企業設計的供應商評估範本，試算表版本就讓每一題可以回答是、否或部分符合。
• 把服務商的驗證當成自己的：主機服務商或機房取得某項管理系統驗證，不代表你的公司通過驗證。可以說明網站放在哪一類服務環境並附上對方公開的說明，但驗證範圍不能混為一談。
• 截圖沒有日期，或順手洩漏機密：證據截圖要看得到日期與網域；同時遮掉密碼、API 金鑰、內部 IP 與員工個資，不要把管理後台整頁原樣寄出。
• 只答網站，漏了網域與信箱：網域註冊商帳號一旦被盜，網站與信箱可能一起被轉走，這個帳號的多因素驗證與聯絡信箱也要列入盤點。
• 承諾做不到的時限：寫下「一小時內通知」卻沒有人值班，事後反而構成違約。時限依合約與實際能力填寫，有疑問先和客戶討論。
• 問卷交出去就結束：同一份問卷明年多半會再來一次。把證據檔、檢測日期與負責人整理在同一個資料夾，每次網站改版、換主機或換信箱服務後更新一次，下次只要補差異。

08找凱斯騰協助前，先準備這些：資安問卷的網站與郵件資料

問卷題目與現況對照清楚，才能判斷哪些題目需要調整技術設定。洽詢前請盡量備妥：

• 客戶的問卷檔案，或其中網站、郵件、帳號相關的題目，以及繳交期限。
• 相關的採購合約或資安條款，特別是事件通知時限、稽核與資料刪除的約定。
• 官網網域、網域註冊商、DNS 管理位置，以及主機與網站維護廠商的聯絡方式。
• 目前使用的郵件服務與管理員帳號的保管人。
• 網站使用的系統（例如 WordPress）與外掛清單，以及最近一次更新的時間。
• 已有的檢測報告、掃描報告或備份紀錄；沒有也請註明。
• 網站表單蒐集的欄位與隱私權政策網址。

凱斯騰不提供稽核、驗證或弱點掃描服務，也不代為填寫問卷。能協助的是問卷背後的技術設定：整理寄件網域的 SPF、DKIM、DMARC 與進站過濾（郵件安全）、HTTPS 憑證，以及網站遭流量攻擊時的防護規劃；網站或信箱使用凱斯騰的服務時，也可以請我們說明主機與郵件端的責任範圍，方便你區分哪些題目由服務端回答。資料整理好後，請填寫聯絡表單或寄信到 [email protected]；信中只附題目與遮蔽過的設定截圖，請不要寄送任何密碼。