概念地圖・NIST 資安六大功能
作者 山姆（謝冠生）・喵喵書評創辦人
發布
分類：管理
這一頁不只是把一個概念解釋一遍——一張自己畫的結構圖，加上拿台灣情境從頭走一次的實例演練、這個框架什麼時候會騙你，以及它接回 P.A.I.N. 之後長什麼樣。一頁必須交付的三層 →
NIST 資安六大功能：最低的那兩格，才是出事那天要用的
客戶的資材課長打電話來，說下一輪報價要先填一份 42 題的資安問卷，兩週內沒回覆就不列入名單。你翻開第一頁，第一題就問「貴公司的資安治理由誰負責」——你連這句話在問什麼都不確定。NIST 的資安框架把一間公司該做的事收成六個功能：治理、識別、保護、偵測、回應、復原。它不列技術清單，只回答兩件事——錢停在哪一格，出事那天先動的是哪一格。NIST 於 2024 年 2 月發布 CSF 2.0，把「治理」加為第六個功能，並讓它貫穿其餘五個。
六個功能，各自在回答哪一句話
六個功能各自問一句話。先看你答得出幾句。
| 功能 | 它在回答哪一句話 | 這家公司自評 |
|---|---|---|
| 治理 Govern | 誰決定資安花多少錢，多久檢討一次 | 2 |
| 識別 Identify | 我們手上到底有哪些系統與資料 | 3 |
| 保護 Protect | 進得來的人與拿得走的資料，擋住了嗎 | 4 |
| 偵測 Detect | 真的出事，我們幾天內會知道 | 2 |
| 回應 Respond | 出事那一小時，誰做決定、打給誰 | 1 |
| 復原 Recover | 停多久算可以接受，演練過嗎 | 1 |
六格以 1 到 5 分自評，加起來 13 分。最高的是保護 4 分——防毒、防火牆、備份軟體，錢多半花在這裡，因為這一格買得到。最低的是回應與復原，兩個並列 1 分：出事那一小時該打給誰、最久可以停多久，沒有人寫下來過。而真正會用到那兩格的日子，通常不會事先通知。
你最薄的是哪幾個功能，六個自問量一次
一、治理：先找出拍板的人。六格裡只有這一格的主詞是人。多數小公司的答案是「老闆」，但答成老闆之後還有半題沒答完——多久回頭看一次。沒有週期的治理，等於出事之後才第一次開會。自問：誰決定資安要花多少錢，多久檢討一次？
二、識別：數得出來，才守得住。你保護不了你不知道存在的東西。報價系統、放圖檔的 NAS、會計電腦、工班的手機群組——資料落腳的地方，通常比你想的多兩三處。這一格不需要買設備，只需要一張願意寫完的表。自問：你列得出手上有哪些系統與資料嗎？
三、保護：唯一買得到的一格。這格最容易補，因為市場上有人賣、有報價單、有續約提醒。也因為好補，它常常是六格裡分數最高、也最讓人有安全感的那一格。安全感和防禦力之間，隔著一次沒人做過的權限盤點。自問：權限與備份，上一次檢查是什麼時候？
四、偵測：把它換算成天數。這一格很難用設備數量衡量，換成一個問句就清楚了：從被入侵到你發現，中間空白幾天。多數公司的答案是「等到有人說檔案打不開」——那不是偵測，那是撞上。自問：真的被入侵，你會在幾天內知道？
五、回應與復原：只有這兩格是照劇本演的。前面四格是平常在做的事，這兩格是出事那天才登場的——而那天沒有人有心情臨場發揮。回應決定那一小時誰拍板、誰對客戶說話；復原決定客戶等得起幾天。兩格都靠一次演練才長得出分數，而演練從來排不進行事曆。自問：出事那一小時，第一通電話打給誰？自問：最久可以停多久，你演練過嗎？
一家輕鋼架工程公司，把六個功能走一遍
- 治理：老闆兼負責人，資安預算沒有獨立科目，要花錢時從工程款裡挪。沒有人固定回頭問「這筆該不該加」
- 識別：報價單、施工圖、客戶的天花板圖說全在辦公室角落一台 NAS，工班用手機直接連。至少講得出東西放在哪
- 保護：去年買了防毒與雲端備份，NAS 也設了密碼。錢花在這格，而且有東西可以指
- 偵測：沒有人看紀錄。上一次發現異常，是同事說某個資料夾打不開。從被入侵到知道，中間空白多久沒人知道
- 回應：出事那天的第一個動作是「先關機再說」。關機也把可以追查的痕跡一起關掉了
- 復原：備份有排程，但沒有人試過還原。備份成功的紀錄，不等於還原得回來
這家公司的問卷，最後是靠保護那一格撐過去的——防毒有合約、備份有截圖，附件貼上去看起來很完整。真正的缺口在下面兩行：出事那一小時誰有權停線、停多久客戶還等得起，兩題都空著。而輕鋼架這一行的痛感很具體——天花板的施工圖一旦被鎖住，工班隔天早上到工地是拆不下去的，客戶的裝修檔期不會等你把檔案救回來。老闆的直覺會是「那我再買一套備份」，因為那是六格裡唯一買得到的答案。可是買回來的仍然是保護，回應與復原還是停在 1 分。以上為說明結構用的示意情境，僅供理解框架之用。
這個輪子什麼時候會騙你
- 把輪子讀成出事之後的流程順序。六個功能常被畫成識別、保護、偵測、回應、復原一路排下去，看起來像一條產線。實際上箭頭是雙向的：一次誤刪會逼你重新盤點資產，回到識別；一次演練會讓你發現權限開太大，回到保護。當成流程來跑，你會等到出事那天才第一次翻到後面兩格，而那天沒有時間讀說明書。
- 平均分數是最會騙人的那個數字。六格加起來 13、平均 2.2，寫進報告看起來「中等偏下、還過得去」。但擋在前面的從來不是平均值，是最低的那一格。這家公司平均 2.2，出事當天真正上場的是 1 分的回應與 1 分的復原——4 分的保護已經被穿過去了，才會走到那一步。
- 問卷過關，跟做得到是兩件事。大客戶的問卷多半只問得到「有沒有」，問不到「試過沒有」。有備份政策文件、有事故通報流程圖，兩題都能打勾——但寫文件的那個人可能已經離職，流程圖上的分機可能已經停用。填問卷會把六個功能壓平成一排是非題，而這張圖真正的用處，是逼你在每一格後面加一句「上一次是什麼時候」。
用痛點的眼光量這六個功能
這張圖有五格在講事，一格在講人。
識別、保護、偵測、回應、復原，講的都是資料與系統本身——怎麼盤、怎麼擋、怎麼發現、怎麼收拾。只有圈心那一格換了主詞：誰拍板、給多少錢、多久回頭看一次。《痛點》那把尺問的其實是同一件事——痛是誰在痛，痛到願意掏錢嗎。一間公司的資安預算會停在保護那一格，原因很現實——保護是六格裡唯一有人上門報價的功能。回應與復原沒有業務會來敲門，它們的成本是「你自己排一個下午做演練」，而那個下午永遠排得出更急的事。這張圖畫得出六個功能各缺多少分，畫不出老闆在哪一格才會真的痛——通常是他親自打電話跟客戶說「檔期要延」的那一天。今晚就把問卷第一題的答案寫成兩樣東西——一個人名，一個金額。
常見問題
治理為什麼畫在中間？
因為它管的東西橫跨其餘五格：誰有權決定資安花多少錢、多久檢討一次、出事誰對外說話。畫成並列的第六片花瓣，會讓人以為它跟保護、偵測一樣是可以單獨外包的一項工作。畫在圈心，你才會發現另外五格的分數其實是它給的——沒有人拍板，識別就只會停在「有空再列」，復原就只會停在「備份有跑就好」。
十幾個人的小公司，六個功能都要做嗎？
六格都要有答案，但深度可以差很多。十個人的公司，識別可能只是一張 A4 列出五套系統與三份重要檔案；回應可能只是貼在牆上的一張紙，上面寫三個電話。真正該避免的是六格裡有兩格完全空白——空白的那兩格，通常就是出事那天你會第一次面對的東西。把最低的補到「有一頁紙可以拿出來」，比把 4 分的保護補到 5 分有用得多，而且便宜得多。
大客戶寄來的資安問卷，可以照這六個功能回答嗎？
可以，而且會讓你答得快很多。多數題目都能歸進六格裡的某一格——盤點類的歸識別、權限與備份歸保護、監控與紀錄歸偵測、通報與應變歸回應、還原與演練歸復原、政策與負責人歸治理。先分類再作答，你會馬上看出哪一格的題目你一題都答不出來，那一格就是下一季的預算方向。不過問卷終究是客戶的採購工具——它問的是他在意的風險，不一定涵蓋你自己最脆弱的地方。
這套框架和 ISO 27001 差在哪？
最實際的差別在「有沒有一張紙可以給客戶」。ISO 27001 是可以被外部稽核、取得證書的管理系統標準；NIST 這六個功能沒有官方認證，它是一套共同語言，用來自評、排優先順序，以及跟客戶解釋你把資源放在哪裡。對一家還在填問卷階段的公司來說，先用六個功能盤出自己的分數，比一開始就衝證書務實得多——證書要的是完整的文件體系，而你現在缺的往往只是兩格裡的兩頁紙。
給自己六個分數，然後只看最低的那兩個，今晚就各寫一頁 A4。想把「出事那一小時誰拍板」補起來，可以接著看事故分級與升級矩陣；想看清楚保護那一格到底擋在哪幾層、又漏在哪幾層，領結分析會把事前與事後兩側同時攤開。
喜歡這篇文章嗎？
每週幫你拆二本好書，把判斷力、好書金句、好問題，直送你的信箱。
不適合你可隨時退訂 · 每週兩封，陪你把書讀進生活。
送出即表示同意我們依隱私權政策使用你的 email。