ABCDEFGHIJKLMNOPQRSTUVWXYZ
1
小建議：開始做自評表之前，請找齊相關人士後進行小組討論，會讓這份自檢更有意義
2
3
自評表使用方式：
請先閱讀黑色欄位的情境說明，再參考下述問題進行反思。
針對問題，若您自認信心高、完成度高、滿意度高，分數即越高。
分數從一分到五分，一分可視為沒有把握、急需加強；五分可視為準備充足、有一定信心。
評完分後，您可以將小組討論的解答、相關文件附上，供內部參考。
分數的評斷沒有一定的標準。自評表的目的只是鼓勵企業審視自身，並針對不足之處補強。期許各位都能做好資安防護！
4
5
第一階段：
您的組織使用了第三方的 CRM 系統主導內部的業務流程。某天，您收到 CRM 服務供應商的通知，告知他們已經遭到入侵，攻擊者竊取了他們客戶的資訊。目前已知使用者名稱與密碼都已被盜，其餘範圍還在釐清中。
6
問題您的分數（滿分 5 分）可簡述您的流程、措施、分析相關文件或連結
7
是否考慮過使用第三方服務供應商的好處和風險？
8
您有哪些流程來應對您使用的第三方供應商被駭的情況？
9
您如何確定哪些用戶的憑證被駭客盜取？
10
11
12
第二階段：
雖然您已經接收到服務供應商的通知，但您並不清楚攻擊者是什麼時候得到這些帳號密碼。而竊取到憑證的攻擊者此時很有可能進行憑證填充 (Credential Stuffing) 攻擊，存取組織所有外部的服務。
13
問題您的分數（滿分 5 分）可簡述您的流程、措施、分析相關文件或連結
14
您可以從網絡上存取哪些你的服務？您是否有保存對這些服務的嘗試存取的日誌？
15
登入無障礙服務是否會在重複嘗試失敗後強制鎖定帳戶？
16
您有什麼保護措施來防止被盜憑證仍能使用，例如：多因素身份驗證、密碼管理器、用於更改密碼的密碼策略？
17
18
19
第三階段：
雖然資安單位已經掌握了攻擊者所竊取的帳號密碼情況，但最近的監控發現了，攻擊者正嘗試從公司內部網絡存取敏感數據。可見，攻擊者很可能已經利用所竊取的憑證、並且用我們不曉得、暴露在外的服務進入了內部網路。
20
問題您的分數（滿分 5 分）可簡述您的流程、措施、分析相關文件或連結
21
第三方工具被駭之後，攻擊者是否可以進入您的內部基礎設施？其他第三方服務呢？
22
您清楚您的敏感資料是哪些以及儲存在哪裡嗎？您有評估攻擊者破壞這些資料對您的組織造成的影響嗎？
23
您的技術團隊能夠識別或者意識到攻擊嗎？您能夠多快發現網絡上的可疑活動嗎？
24
您知道攻擊者正在做什麼嗎？
25
26
27
第四階段：
您的資安團隊成功找到攻擊者進入的足跡，也暫時阻止了進一步的擴散，更已經完成所有外洩帳密的重設。最後的問題是，您的 CRM 服務供應商表示系統暫時無法登入使用。
28
問題您的分數（滿分 5 分）可簡述您的流程、措施、分析相關文件或連結
29
您是否有管理組織中任何中斷服務的計劃？
30
如果攻擊事件導致技術故障，您是否有業務連續性計劃？
31
您是否充分了解您與第三方供應商的服務水平協議 (SLA) 和應急計劃？
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100