網路犯罪

網路犯罪（Cyber crime）指任何以電腦或網路為工具、目標或場所的犯罪行為，如駭客攻擊、勒索軟體、網路釣魚等。其概念隨網際網路普及而生，已成為全球性的重大威脅。國際標準 ISO/IEC 27032 提供網路安全指導綱領，協助組織應對此類威脅。在風險管理體系中，網路犯罪被視為一項關鍵的營運風險，可能導致資料外洩（違反台灣個資法或GDPR）、服務中斷，進而觸發業務連續性計畫。它與「資安事件」的區別在於其明確的犯罪意圖與非法性，後者範疇更廣，包含非故意的系統故障。

企業應對網路犯罪需採取系統性方法。第一步：風險評估與識別，依據 NIST 網路安全框架（CSF）盤點關鍵資產與威脅，並進行弱點掃描與滲透測試。第二步：導入控制措施，參照 ISO/IEC 27001 建立資訊安全管理系統（ISMS），部署防火牆、端點偵測與應變（EDR）等技術，並對員工進行社交工程防範演練。第三步：建立應變與復原機制，制定符合 ISO/IEC 27035 的事件應變計畫與 ISO 22301 的業務連續性計畫。例如，台灣某金融機構導入資安維運中心（SOC），成功將惡意攻擊的平均偵測時間（MTTD）縮短60%，大幅降低潛在損失。

台灣企業在應對網路犯罪時，主要面臨三大挑戰。一、資安人才短缺：合格的專家供不應求。對策是與專業顧問公司合作，並投資內部人員培訓與認證，優先建立核心應變團隊（時程6個月）。二、中小企業資源有限：缺乏足夠預算建構完整防禦。對策為採用風險基礎方法，優先保護核心資產，並利用雲端「安全即服務」（SaaS）模式降低初期成本（時程3個月）。三、法規複雜性高：需同時遵循資通安全管理法、個資法與國際規範。對策是導入合規管理工具，定期進行法規鑑別與差距分析，確保營運持續符合要求（持續性任務）。