社交工程

社交工程是由知名駭客凱文·米特尼克普及化的術語，指利用人性弱點（如信任、恐懼、貪婪）進行欺騙，以獲取機敏資訊或系統存取權限的攻擊手法。它並非直接攻擊系統漏洞，而是操縱「人」這個最脆弱的環節。在風險管理體系中，它被視為一種主要威脅來源。國際標準 ISO/IEC 27002:2022 的控制項 A.6.3（資訊安全意識、教育與訓練）即是為了應對此類威脅。根據台灣《個人資料保護法》第27條，企業有義務採取適當安全措施，防止個資被竊取，這當然包括防範社交工程攻擊。其核心在於心理操縱，與純技術性的惡意軟體或漏洞利用攻擊有本質區別。

企業應對社交工程的應用，首重建立多層次防禦框架。第一步是「風險識別與政策制定」，依據 ISO/IEC 27005 風險管理框架，盤點高風險人員與關鍵資訊資產，並制定嚴格的資訊處理與身份驗證程序。第二步為「全員教育訓練與意識提升」，定期舉辦課程與測驗，內容涵蓋釣魚郵件、假冒主管指令等常見手法。第三步是「模擬演練與成效評估」，定期執行釣魚郵件演練，並追蹤點擊率與回報率等量化指標。例如，台灣某高科技製造業導入此機制後，員工對可疑郵件的回報率提升了70%，因社交工程導致的資安事件數量在一年內減少了40%，有效強化了整體資安韌性，並符合個資法要求的安全維護義務。

台灣企業在防範社交工程時，主要面臨三大挑戰。第一，「人情與層級文化」，員工可能因信任或畏懼權威，而不敢質疑來自「高層」或「客戶」的不合理要求。第二，「中小企業資源不足」，缺乏專職資安人員與預算，難以導入專業的訓練與演練平台。第三，「訓練流於形式」，年度一次的資安講習效果有限，員工很快便會鬆懈。對策上，企業應建立「先查證、後信任」的標準作業流程（SOP），並由高層帶頭示範，打破人情壓力。針對資源問題，可採用訂閱制的資安意識服務，或與專業顧問合作，降低導入門檻。為提升訓練成效，應改用持續性、少量多餐的微學習與定期模擬演練，預計在90天內即可看到員工警覺性顯著提升。