資料被駭是遲早的事？平台經營者不可忽視的三個資安盲點

企業數位化程度日益加深，資安風險早已不再只是技術部門的專業議題，而是每一位平台經營者不可忽視的核心風險。平台成為攻擊首選目標的原因並非資料價值較高，而是因為這些平台往往缺乏制度、警覺性低、應變慢，成為攻擊者眼中防禦最薄弱的一環。

資安風險從來不是大公司才會遇到的事，而是所有有用戶資料、有金流、有營運價值的平台都必須面對的基本門檻。問題是，多數平台經營者還停留在一種等被駭再來補破網的心態，把資安當成本、當技術問題、當責任外包，直到資料外洩、品牌受損、合作中斷，才發現這一切從來都是經營者該面對的管理風險。

盲點一》還在以為資安是「IT 部門」的事？你其實已經在自投羅網

很多人被問到資安時，第一句話是：「這個要問我們工程師。」筆者當下不會直接糾正，但內心其實已經亮起警報。這就像企業在財務出問題時，只說：「要問會計師。」那不是專業分工，而是責任外包。當經營者無法掌握資安風險的位置、程度與影響，就等於是開車上路卻不知道哪邊沒煞車。

資安從來不是純粹的技術議題，它是一個營運策略問題。舉例來說，一個簡單的資料收集流程（例如會員註冊），如果沒有設計良好、沒有加密儲存、沒有清楚授權，哪怕只有幾百筆資料，也可能構成重大個資外洩事件。你可能以為只是掉了點資料，實際上可能涉及個資法責任、品牌信任崩盤，甚至連帶造成合作夥伴終止契約。

盲點二》過度信任外包，結果資安漏洞一層包一層

近年來很多平台為了快速上線、降低開發成本，選擇將開發、支付串接、會員系統甚至主機維運全面外包。這樣的選擇並沒有錯，但錯在於只簽約，不審核。

筆者曾處理過一個案例：一間做B2C訂閱服務的平台，使用外包團隊開發後端，並委由第三方金流串接付款。結果某天用戶突然反映信用卡遭盜刷，公司內部卻無法快速定位問題點。經過調查才發現，外包團隊使用了未經授權的API金流資料庫，導致付款過程中的交易參數被攔截。找外包負責？對方早已解散團隊；找金流業者？對方只負責後段交易，不保證前端安全。最後，損失由誰承擔？當然是平台方。

這個盲點不只是資安，更是供應鏈風險管理。平台經營者必須開始建立一套基本的資安供應商審查制度。你不需要成為資安顧問，但至少要懂得要求對方提供憑證（如ISO 27001）、合約中明列責任界線、定期進行滲透測試與稽核。當事情出錯，用戶不會追究哪一層外包錯了，他們只會記得這是你的平台出了問題。