資安健檢是什麼？檢查項目、多久做一次、報告怎麼看，中小企業一次搞懂

資安健檢（法規與政府採購文件多寫成「資通安全健診」）是請專業團隊在一段時間內，把公司的網路架構、員工電腦、伺服器、帳號設定和防火牆規則整套看過一遍，找出已經被入侵的跡象和容易被打穿的設定，最後交一份附改善建議的報告。它像公司的年度健康檢查：一次看全身，拿到的是一張「哪裡有問題、先處理哪裡」的清單。

我們做系統開發與維運，常遇到一種情況：客戶或主管機關來函要求「年底前完成資安健檢」，承辦人連健檢要查什麼都不確定，就先來問系統廠商。我們自己維運的系統平常有每天的漏洞監控，對健檢報告裡會出現什麼也算熟。這篇把檢查項目、法規頻率、報告怎麼讀，以及健檢之外平常該怎麼盯，用承辦人和老闆看得懂的話整理一次。

先給三個答案。第一，受資安法管的單位，A 級每年做一次健診，B 級與 C 級每兩年一次，出處是 2026 年 1 月 7 日修正發布的資通安全責任等級分級辦法附表。第二，一般企業沒有法定頻率，被客戶要求、系統大改版或出過事時就該做。第三，拿到報告後，先修「從網路上看得到、而且是高風險」的項目。

資安健檢是什麼：跟弱點掃描、滲透測試差在哪

一句話分工：資安健檢看「整個環境有沒有已經中毒、設定有沒有破洞」，弱點掃描看「系統有哪些已知漏洞」，滲透測試看「漏洞能不能真的被串起來打進去」。三種檢測的完整比較與台灣實際價格，另外整理在弱點掃描、滲透測試、壓力測試差在哪。

很多人把三者混在一起買，報告拿到了，才發現要的那一份沒做到。最常見的情況是客戶要的其實是「系統弱點掃描報告」，公司卻買了全公司健檢，系統本身反而沒掃到。詢價前先問清楚要求的人要哪一份文件，是最省錢的一步。

另外，「資安健檢」和「資安健診」講的是同一件事。法規用「資通安全健診」，業界與一般企業多說「資安健檢」，廠商報價單上兩種寫法都會看到。

資安健檢檢查哪些項目

標準項目以政府的資通安全健診為底。2026 年版分級辦法附表列了五項，A 級和 B 級再多一項核心系統資料庫檢視，合計六項。下面這張表把每一項用白話講一次。

企業自己委託時，通常會再加哪些

民間企業沒有法定項目，可以照風險自己加。以下幾項是最常被加進範圍的，也是客戶資安問卷最常問到的：

公部門和要接政府案的系統廠商，在健檢之外還會碰到系統本身的資安檢核：弱點掃描報告、帳號權限設計、操作紀錄，驗收時都會被要。我們做過高雄市幼兒園招生系統，這類家長、園所、教育局三端分權的系統，權限要從設計階段就切清楚，事後補非常痛。投標前要準備哪些資安文件，整理在政府標案系統開發跟企業案差在哪。

資安健檢多久做一次：法規怎麼規定

先講結論：受資安法管的單位，A 級每年一次，B、C 級每兩年一次，D、E 級沒有健診義務。

背景是這樣的：資通安全管理法在 2025 年 9 月 24 日修正公布、同年 12 月 1 日施行，主管機關改為數位發展部；配套的分級辦法在 2026 年 1 月 7 日修正發布、同日施行，附表一到七與附表十都改過。下表依修正後附表整理，A 到 C 級公務機關與特定非公務機關在這幾項的頻率相同。

這次修正有一條跟健檢直接相關的新規定：A 到 C 級都要做到「知悉資通安全弱點時，應適時修補或採行緩解措施」。以前健檢報告交出去，修不修常常卡在預算年度；現在知道有弱點卻放著，本身就可能變成稽核缺失。附表十也新增了幾項系統防護基準，像是第三方元件識別、閒置帳號停用、定期審核帳號，防護需求「普」以上的系統要在 2028 年 1 月 7 日前完成。

還有一個細節常被忽略：初次核定或等級變更後，健診是從「次年度」起依頻率辦理。自己是哪一級、為什麼被核定成這一級，可以先看資通安全管理法 A/B/C 級要不要做 CNS 27001 驗證。

沒被資安法管的企業，多久做一次才合理

一般民間企業沒有法定頻率。我們的建議是用「事件」決定，日曆當備案：

資安健檢怎麼進行：從詢價到複檢

流程本身不複雜，容易出錯的是頭尾兩步：開始前沒問清楚要交給誰，結束時沒做複檢。

確認要哪一份報告。客戶問卷寫「資安健檢」，有時其實要的是弱點掃描報告，有時是 ISO 證書。先回信問清楚，或請對方給範例格式。

界定範圍。要檢視幾台伺服器、抽查幾台電腦、包不包含資料庫與雲端服務，範圍決定了價格與時間。費用的細節這篇不展開，只提醒一點：同樣叫資安健檢，範圍差一倍，報價也差不多差一倍，比價前先把範圍對齊。弱點掃描這一塊的成本試算，可以參考弱點掃描服務怎麼選。公務機關多半透過電腦軟體共同供應契約裡的資通安全服務項目下訂，省去自己招標，但範圍一樣要自己定。

簽書面授權。健檢會碰到你的網路和主機，授權書要寫清楚範圍、時間、聯絡窗口。沒有授權就掃描別人的系統，在台灣可能觸犯刑法的妨害電腦使用罪，這篇有整段說明。

修補與複檢。很多單位拿到報告就結案。修完一定要請廠商複檢，複檢後的報告才是能交給客戶或主管機關的那一份。

資安健檢報告怎麼看

一份健檢報告通常分成五塊。老闆第一次看，翻執行摘要和高風險清單就夠，其他交給技術人員。

報告裡一定會有誤報。弱點比對多半看的是軟體版本，有些系統已經用別的方式修過、版本號沒變，就會被標成有漏洞。看到高風險項目，先請廠商或內部確認是真的，再排修補；確認是誤報的，在報告上註記理由，下次稽核才講得清楚。

修補優先序怎麼排

我們排修補的原則只有兩個問題：從網路上連不連得到？風險等級多高？兩個都是「是」的，排第一。

對外設備要最急，數字很清楚：Tenable 整理 Verizon 2025 年資料外洩調查報告的重點，邊界與 VPN 設備的漏洞，企業完整修好的只有約 54%，修補時間中位數 32 天；而這類漏洞從公布到被大量利用的中位數是零天。也就是說，漏洞一公布，攻擊就開始了，修補卻要等一個月。

修不了的弱點怎麼辦

有些弱點修不了：舊系統停止支援、原廠不出修補、一修就影響營運。這時候做兩件事。第一，先採取緩解措施，例如把服務從網際網路拿下來、限制來源 IP、在網站前加一層網站應用程式防火牆。第二，把「為什麼不修、風險誰承擔」寫成書面。

國立臺灣師範大學資訊中心 2026 年 1 月公布的弱點掃描驗收說明就是這樣處理：承辦單位要放寬弱掃標準，必須填「弱點處理報告單」寫明理由，由單位主管親簽，確認願意承擔弱點未修補的法律、營運與資安風險。這個做法一般企業可以直接照抄：風險可以接受，但要有人簽名接受。

資安健檢最常抓到哪些問題

公開資料裡，問題集中在帳密與修補兩類。數位發展部資通安全署 2023 年 8 月整理的政府機關資通安全防護精進建議，列出當年上半年攻防演練的常見缺失：使用預設帳號密碼、帳密寫在網站或文件裡被看到、弱密碼，其次是資料庫裡的密碼與個資沒有加密或遮罩，以及 SQL Injection、XSS 這類注入型弱點。這份是三年前的整理，但這些項目到今天還是健檢報告的常客。

外部的大數據也指向同一件事。Verizon 的 2025 年資料外洩調查報告分析了一萬兩千多件確認的外洩事件：利用漏洞入侵占初始入侵途徑的 20%，比前一年增加 34%；有第三方涉入的外洩比例從 15% 倍增到 30%。第三方這個數字跟健檢範圍有關，外包商、系統廠商用來連進來維護的帳號，也該列進帳號盤點。軟體裡用到的第三方套件也是同一類風險，TanStack npm 供應鏈攻擊就是例子。

健檢之外，平時怎麼持續盯漏洞

我們的看法很直接：一年一次的健檢，擋不住每天都在公布的新漏洞。健檢像年度體檢，抓得到慢性病；漏洞比較像流感，隨時會來，等明年體檢就太晚了。法規也往這個方向走，2026 年版附表把「資通安全弱點管理」列成要持續維運的事項，A 到 C 級公務機關都要依主管機關指定的方式導入。

我們自己維運的系統是這樣盯的，步驟不多：

整套流程只讀不改，它不會自動升級套件，也不會自動改程式。自動修補聽起來省事，但套件一升級，系統可能就壞了；要不要升、什麼時候升，我們留給人決定。

這套做法的成本主要花在一開始：把系統清單、用到哪些套件、誰負責理清楚。中小企業就算不自己做，也可以在維運合約裡要求系統廠商提供同等的服務，寫清楚多久檢查一次、發現高風險漏洞幾天內通知、誰判斷、誰修。合約怎麼寫可以參考軟體外包驗收後的維運合約怎麼簽和維護合約範本；想自己定期掃描對外系統的，可以看自架弱點掃描完整指南。

中小企業預算有限，健檢前先做哪幾件事

數位發展部資通安全署 2026 年 3 月公布「中小企業基本資安防護指引」與自檢表，內容涵蓋帳號、設備與資料備份，同時推出由受訓大專學生組成的實地資安健檢團到企業現場服務（科技新報 2026 年 3 月 31 日報導）。在花錢做完整健檢之前，先用自檢表把基本功做完，健檢報告會短很多，錢也會花在真正需要專家判斷的地方。

不用一次做到完美，從最痛的那一項開始就好。多數中小企業的第一步，是把所有對外帳號的多因素驗證打開。

這篇屬於恆遠的資安系列，同系列還有：供應鏈攻擊是什麼、供應鏈攻擊案例整理、網站弱點掃描怎麼做、資安健檢費用怎麼算。