系統沒人更新會怎樣？老闆該知道的資安維護最低標準

「系統用得好好的，為什麼要更新？沒壞就不要動。」這句話我在現場聽過很多次。通常是一套上線三、四年的系統，當初的廠商只在出問題時才來一下，平常沒人碰。老闆覺得這樣很好，省錢、穩定、沒事。直到某天客戶打電話來問：「你們是不是被盜了？我收到一封用你們名義寄的付款通知。」

我是熊董，台灣川輝科技創辦人。創業七年，經手超過 252 個案子、32 個以上產業，一年交付 2,000 萬以上的客製系統。系統做完之後誰在顧、怎麼顧，是我跟每個客戶都會談的事，也是很多老闆最晚才開始在意的事。

先講結論：系統沒人更新，不會今天就壞，但風險每天都在累積。你的系統建立在作業系統、程式語言、各種現成元件之上，這些東西會不斷被發現新的漏洞，沒人補，等於門一直開著；再加上憑證到期、外部服務改版，總有一天會突然不能用。老闆不需要懂技術，只要守住七條最低標準：有一個具名負責人、有一份系統用了什麼的清單、有固定的更新節奏、緊急漏洞有處理時限、備份放在不同地方而且測過能還原、離職帳號當天關閉、每次處理都留下紀錄。這七條每一季要對方交一份書面紀錄，你就看得出系統有沒有人在顧。

「沒壞就不要動」，這句話以前是對的

先站在你這邊。「沒壞就不要動」不是迷信，它有道理。更新確實可能把原本好好的東西弄壞，很多老闆都經歷過：廠商說要升級，升完報表跑不出來，大家停工半天。有了這種經驗，對更新保持戒心很正常。

而且十幾年前，公司系統多半裝在辦公室那台主機上，只有內部的人連得到，外面的人碰不到。那個年代，沒壞就不要動，風險真的不大。

問題是現在的系統不一樣了。它放在雲端主機上、對外開放讓客戶下單、串著 LINE、串著金流、串著電子發票。只要它連得到外面，外面的人就連得到它。

更關鍵的是，你的系統沒變，不代表它是安全的。系統裡用到的元件，每隔一段時間就會被發現新的漏洞，消息公開之後，有心人會拿著已知的漏洞去掃整個網路，找還沒補的系統。你沒動，就是那個還沒補的系統。這幾年幾次大規模的資安事件，起點都很類似：一個大家以為沒事、很久沒人更新的元件。我在PHP 漏洞為什麼掀起全球關站潮那篇拆過其中一次的來龍去脈。

所以「沒壞」跟「安全」是兩件事。沒壞，只代表還沒有人來試。

系統沒人更新，實際上會發生什麼？

我把後果分成四種，每一種對老闆的損失都不一樣。

前三種是突發的，第四種是慢性的，而第四種最常被忽略。

一套系統如果兩、三年都沒更新，它用的元件可能已經落後好幾個大版本。這時候就算你想補，也不是按一個鍵的事，而是牽一髮動全身：換了這個元件，那個功能就壞；修好那個功能，另一張報表又跑不出來。原本每個月花一點時間就能顧好的事，拖到最後變成一筆整修工程。

換句話說，不更新省下的錢，不是省下來了，是延後付，而且會加利息。

「更新」到底在更新什麼？老闆知道這四層就夠

廠商說「要做更新」，你不用懂細節，但要知道他在講哪一層，才問得出對的問題。

第一層是主機與作業系統，就是系統住的那台電腦。第二層是程式語言和框架，就是系統用來寫成的那套工具。第三層是各種現成元件，例如處理登入、處理上傳檔案、產生報表的模組。第四層是你自己那套系統的程式。

前三層的漏洞，是全世界一起被發現、一起公告的，跟你的系統寫得好不好無關，只看有沒有人跟著補。第四層的問題，才跟當初寫系統的人有關，例如權限沒擋好、輸入的資料沒檢查。

所以下次廠商說「系統很穩、不用更新」，你可以問一句：「那前三層呢？上一次更新是什麼時候？」答得出日期的，是有在顧的；答不出來的，你心裡就有數了。

裝了防毒、買了防火牆，為什麼還不夠？

很多老闆聽到資安，第一個反應是買東西：防毒軟體、防火牆、資安服務。這些不是沒用，但它們解決的是另一個問題。

防毒和防火牆比較像大樓的警衛和門禁，可以擋掉一部分明顯的闖入。可是如果你的系統本身有一扇已知、公開、還沒修的破窗，警衛不一定看得到，因為來的人走的是正常的路，敲的是你自己開著的那扇窗。

真正的解法是把窗修好，也就是更新。這件事沒辦法用買的，只能靠有人定期去做。這也是為什麼我常跟老闆說，資安花錢的順序要倒過來：先確定有人在顧、有固定節奏在補，再談要不要加買設備。順序反了，買再多也是在漏水的屋子裡加裝監視器。

公司資料跟 AI 工具之間的資安底線，又是另一個題目，我在公司資料丟給 AI 安全嗎裡另外寫過，這篇只談系統本身。

資安維護的最低標準：七條老闆就能檢查

下面這七條，是我認為一套每天在用的公司系統，不能再少的底線。每一條我都寫了「老闆要看到什麼」，你不用懂技術，只要跟對方要這些東西。

這七條裡，最常出事的是第四條和第五條。

第四條的關鍵是時限要寫成數字。以川輝自己的維護來說，我們承諾重大問題通報後 24 小時內修補、高風險問題 72 小時內處理，這是寫進維護條件裡的。你的廠商時限不一定要跟我一樣，但一定要有一個數字，不然「盡快」可以是兩小時，也可以是兩週。

第五條的關鍵是「測過能還原」。很多公司有備份，但從來沒試過把備份還原回去。等到真的出事才發現備份檔是壞的、只備了一半，或者跟主機放在同一個地方，一起被加密。沒有測過的備份，只能算是安慰。

這七條如果你想放進合約，系統維護合約要寫什麼那篇有逐條的寫法，可以直接對照。

每季 15 分鐘，老闆自己就能檢查

紀錄拿到手之後，不用逐行看懂，只要問四個問題。第一，這一季有沒有更新紀錄，日期是不是固定的？第二，最近一次還原測試是什麼時候，成功了沒有？第三，帳號清單裡有沒有已經離職的人？第四，這一季有沒有出過狀況，從通報到處理完花了多久？

這四題答得出來，系統就是有人在顧；任何一題對方要「回去查一下」，就代表那一塊平常沒人在看。我建議把這 15 分鐘排進每季固定的行程，跟看財報一樣，不要等出事才翻合約。

你的系統落在哪一格？先決定要顧到多細

七條是底線，但不是每套系統都需要顧到一樣細。資源有限的情況下，我會用兩個問題幫老闆排優先順序：這套系統對外開放的程度有多高？裡面的資料出事，損失有多大？

對外開放、資料又敏感的系統，例如有客戶個資、讓客戶線上下單付款的系統，要每月更新、緊急漏洞要有時限、還要有人留意異常登入。只在內部用、但停了會影響營運的系統，例如出貨和庫存，重點在固定更新和可還原的備份。對外開放但資料不敏感的，例如形象網站，例行更新加憑證到期提醒就夠。內部用、資料也不敏感的小工具，每季檢查一次即可。

這樣分完，你會發現真正要花力氣的通常只有一兩套。把力氣放在那一兩套，比每套都做一點有效得多。

已經好幾年沒人更新了，現在該怎麼辦？

如果你讀到這裡，發現自己的系統七條裡中不到三條，先不要慌，也不要急著叫人全部更新。落後太久的系統，一口氣全部升級，很可能直接把系統弄停。順序很重要：

1. 先把帳號拿回來：主機、網域、程式碼存放的地方、資料庫，這些帳號要確認在公司名下，而且你拿得到。
2. 做一次完整備份，並試著還原一次：在動任何東西之前，先確定退得回來。
3. 評估落後多少：請懂的人列出每一層的現況版本，標出哪些有已知的重大漏洞。
4. 先補最危險的：對外開放、有重大漏洞的部分先處理，其他排進每月的節奏慢慢追。
5. 把節奏寫進維護約：補完一次不算結束，要讓它變成每個月固定發生的事。

第一步最常卡住。如果原本的廠商已經不回應，帳號和程式碼拿不回來，那就要先處理拿回來這件事，系統廠商倒了或不回應那篇有完整的步驟。

至於這筆維護費該怎麼看，我在系統維護費怎麼算才合理拆過年費、月費、按次的差別。川輝的維護月費 2 萬元起，依系統規模報價。如果是別人做的系統，我們不會直接接手，會先做免費診斷，評估這套系統還能不能顧、要花多少才補得回來，確定救不回來，才照你們的流程重做。

常見問題

系統更新會不會反而把系統弄壞？

有可能，所以更新要有方法，而不是不更新。正確做法是更新前先備份、先在測試環境跑過、挑非營業時間進行，出問題能退回原版本。固定小幅更新的風險，遠比好幾年一次大升級小。

中小企業的系統也會被駭客盯上嗎？

會，而且多半不是因為被特別挑中。很多攻擊是用自動化工具大範圍掃描，找還沒補漏洞的系統，公司大小不是重點，有沒有補才是。對外開放的系統，只要有已知漏洞沒補，就在名單上。

系統更新多久做一次比較合理？

例行更新建議每月或每季固定做一次，依系統對外開放程度決定；遇到重大漏洞公告，則不等例行時間，依合約約定的時限處理。重點是有固定節奏和紀錄，而不是等出事才想到。

我不懂技術，要怎麼知道維護廠商有沒有在做？

跟對方要書面紀錄。每季一份，寫明更新了什麼、什麼時候做的、備份還原測試的結果、目前帳號清單。拿得出來而且內容具體的，就是有在做；只回你「都正常」的，就要多問。

不更新省下的錢，是延後付的錢

講到底，系統資安維護不是買一個保證，沒有人能保證系統永遠不出事。它買的是三件事：漏洞被公告時有人補、出事時退得回來、你隨時知道系統現在的狀態。這三件事平常看不到，出事那天就是全部。

如果你不確定手上的系統上一次更新是什麼時候，或者連該去問誰都不知道，可以先看看系統維護與接手是怎麼評估的，再決定要從哪一條補起。