從 InfoSec Taiwan 2026，我看見學生與企業之間的資安落差

前言：不是活動心得，而是一次重新思考

參加 InfoSec Taiwan 2026 之後，我原本以為自己會寫一篇很標準的活動心得。

可能是記錄看了哪些攤位、聽了哪些議程、遇到哪些公司，最後再整理幾個印象深刻的技術關鍵字。可是回來之後，我發現真正留在我腦中的不是某一場演講，也不是某一個展區，而是一種很明顯的落差感。

這個落差不是誰比較厲害，也不是學生不夠努力，或企業不願意理解學生。

比較像是兩邊正在看同一個資安領域，卻用不同的問題意識在思考。

學生常常在問：「我可以做出什麼？」

企業更常在問：「這能解決什麼真實問題？」

這兩個問題都很重要，但它們會把人帶往完全不同的方向。這也是我這次參加 InfoSec Taiwan 2026 後，最想留下來整理的觀察。

我看到的學生研究

以學生的角度來看，資安是一個很容易被技術吸引的領域。

我們會接觸 CTF，會練習 Web、Crypto、Reverse、Pwn、Forensics，也會透過比賽去證明自己的能力。CTF 很有魅力，因為它的目標清楚、回饋直接，而且只要解出題目，就能很明確地知道自己又往前了一步。

除了 CTF，近幾年學生專題也常圍繞 AI 展開。

例如用 AI 做攻擊偵測、釣魚信辨識、惡意程式分類、異常流量分析，或是把大型語言模型放進資安工具裡，讓系統看起來更智慧、更自動化。這些方向不是不好，甚至很多都很有潛力。

在創新展示、科展、專題發表或競賽裡，也常看到 IoT、攻防技術、智慧監控、漏洞掃描、自動化測試等題目。這些作品通常很適合展示，因為它們有畫面、有流程、有技術亮點，也容易讓觀眾在短時間內理解「這個東西做了什麼」。

我自己其實也很熟悉這種思考方式。

身為學生，很自然會先從「我會什麼技術」開始想，再往外延伸成「我可以做什麼專題」。如果最近學了 AI，就會想把 AI 放進資安。如果最近練了攻防，就會想做一個攻擊偵測或防禦平台。如果碰過 IoT，就會想把設備安全和資安結合起來。

這些方向背後其實都有努力，也都有學習價值。

只是這次在展場裡，我開始感覺到，學生熟悉的題目，和企業正在面對的問題，並不完全在同一個平面上。

我看到的企業需求

在 InfoSec Taiwan 2026，我看到企業談的資安，很多時候不是從一個漂亮的技術展示開始，而是從風險、責任、營運和合規開始。

金融資安是一個很明顯的例子。

金融業面對的不是單一系統有沒有漏洞而已，而是交易安全、身分驗證、詐欺偵測、資料保護、供應鏈風險、稽核要求，以及整個營運不中斷的壓力。對企業來說，資安不是額外加上的功能，而是服務能不能被信任的基礎。

SOC 也是另一個很常被提到的方向。

企業需要有人看懂 log、分析告警、判斷事件嚴重性、追蹤攻擊路徑，並且在有限時間內做出合理處置。這和 CTF 很不一樣。CTF 的題目通常有明確答案，但真實事件裡，資料可能不完整，告警可能有誤報，攻擊者也不會照著題目設計者的路線行動。

事件應變更是如此。

企業關心的是：真的發生攻擊時，要怎麼判斷影響範圍？要不要隔離主機？要不要通報？要怎麼保存證據？要怎麼讓服務恢復？要怎麼在事後寫出報告，讓技術、管理層、法務和客戶都能理解發生了什麼？

這些問題沒有那麼適合拿來做成一個華麗的展示，但它們非常真實。

除此之外，法規遵循、零信任、AI 藍隊、後量子密碼學，也都是我在企業需求裡感受到的重點。這些方向不一定都能在短時間內做出很炫的成果，但它們都指向一件事：企業需要的資安能力，往往不是單點技術，而是能放進真實環境裡運作的能力。

落差在哪裡？

我覺得學生與企業之間的落差，不一定是技術能力不足。

很多學生其實很強。

有人可以打 CTF 打到很深，有人可以自己研究漏洞，有人可以寫工具，有人可以把 AI 模型接進系統，也有人能在短時間內做出很完整的專題。

真正的差異，可能在於問題意識不同。

學生在做專題時，常常會從能力出發：

我會寫程式，所以我做一個平台。

我會 AI，所以我做一個 AI 偵測系統。

我會攻防，所以我做一個攻擊模擬工具。

我會 IoT，所以我做一個智慧裝置安全方案。

這樣的思考方式很自然，因為學生需要透過作品證明自己學到了什麼，也需要在比賽或展示中讓評審看見成果。

但企業的出發點通常不一樣。

企業比較少問「你用了什麼很新的技術」，而是更在意：

這個東西能不能降低風險？

能不能讓事件更快被發現？

能不能減少誤報？

能不能符合稽核要求？

能不能讓現場人員真的用得下去？

能不能在出事時幫助組織做出決策？

所以落差不是學生不懂技術，也不是企業只重視制度。落差比較像是，學生常從「技術能做什麼」開始，而企業常從「現場需要解決什麼」開始。

為什麼企業更重視可落地的能力？

以前我也會覺得，只要技術夠強，應該就能解決很多問題。

但現在我慢慢理解，企業重視可落地，不是因為它們不在乎技術，而是因為真實環境裡的限制太多。

一套系統不是能跑起來就好。

它要能被維護，要能被交接，要能和既有流程整合，要能承受誤報與漏報的後果，也要能在法規和管理要求下說得清楚。

例如一個 AI 偵測系統，在學生專題裡可能只要準確率看起來不錯，就已經很有說服力。可是放到企業環境中，問題會變得複雜很多。

資料從哪裡來？

模型為什麼判斷這是異常？

誤報太多時，SOC 分析師會不會反而更累？

如果模型判斷錯了，責任要怎麼界定？

如果攻擊者刻意繞過模型，系統能不能被持續調整？

這些問題不一定比技術本身更有趣，但它們決定了一個工具能不能真的被使用。

我覺得這也是企業看待資安人才時很重視的地方。它們需要的不只是會做功能的人，也需要能理解環境、風險、流程和溝通的人。

從 SOC、事件應變到 AI 藍隊

這次我對 SOC 和事件應變的感受特別深。

過去我在學資安時，很容易把焦點放在攻擊技巧和漏洞本身。因為那些東西很直接，也很容易讓人感覺自己變強了。

可是企業裡的藍隊工作，很多時候不是在追求最漂亮的攻擊手法，而是在大量雜訊裡找出真正重要的訊號。

SOC 分析師要面對的是持續不斷的 log、告警、端點事件、網路流量和使用者行為。事件應變人員要面對的是不確定性，要在時間壓力下判斷哪些系統受影響、哪些資料可能外洩、哪些服務需要暫停或恢復。

AI 藍隊則讓這件事情變得更複雜。

AI 可以協助整理告警、摘要事件、建立關聯、輔助判斷，但它也可能帶來新的風險。模型可能誤判，提示詞可能被操控，資料來源可能不乾淨，自動化處置也可能因為錯誤判斷而造成更大的影響。

所以企業需要的 AI 資安能力，不只是「把 AI 加進工具」。

更重要的是知道 AI 在藍隊工作中適合放在哪裡、不適合放在哪裡，以及怎麼讓它成為輔助，而不是新的風險來源。

這讓我重新思考自己過去看 AI 資安專題的方式。

以前我可能會先問：「這個模型準不準？」

現在我會更想問：「這個模型放到真實 SOC 流程裡，會讓誰的工作變得更清楚？又會增加哪些新的風險？」

後量子密碼學：企業開始思考未來十年的風險

後量子密碼學也是這次讓我印象很深的方向。

對學生來說，後量子密碼學可能聽起來很遠。它不像 Web 漏洞那樣可以立刻打出成果，也不像 AI 專題那樣容易做出展示畫面。它需要理解密碼學、標準化、系統遷移，以及很長期的風險規劃。

但從企業的角度來看，這件事情並不遙遠。

企業現在保存的資料，可能十年後仍然有價值。金融交易、身分資料、商業機密、政府或關鍵基礎設施相關資料，都不是今天安全就代表永遠安全。

如果未來量子運算能力成熟，現在被加密保存或攔截下來的資料，可能在多年後被解開。這種風險不是等到量子電腦真的成熟才開始準備，而是要提前盤點資產、評估密碼使用情境、規劃遷移路線。

這讓我看到企業和學生很不同的一面。

學生做專題，常常需要在一個學期或一場比賽內看到成果。

企業做資安，卻必須思考三年、五年，甚至十年後的風險。

這不是哪一邊比較好，而是時間尺度完全不同。

我的反思

這次最大的反思，是我不能再只用「這個技術能不能展示」來判斷一個專題的價值。

展示很重要，因為它能讓別人看見成果，也能訓練自己把想法說清楚。但如果一個專題只停留在展示，就很容易變成一個看起來完整、卻不知道要放在哪裡使用的作品。

我也開始重新看待自己過去的問題意識。

以前我常問自己：「我可以做出什麼？」

這個問題沒有錯。對學生來說，能做出東西很重要，因為那代表自己真的有動手實作，也真的把知識轉成作品。

但接下來，我想更常問另一個問題：

「這能解決什麼真實問題？」

如果我要做 AI 資安專題，我不該只問模型能不能跑，而要問它能不能幫助分析師更快理解事件。

如果我要做 IoT 資安專題，我不該只問能不能攻擊或防禦某個裝置，而要問這個裝置在真實環境中承擔什麼風險。

如果我要做藍隊工具，我不該只問功能有沒有完成，而要問它能不能融入 SOC、事件應變或稽核流程。

這些問題比較難，也比較不容易在短時間內做出漂亮成果。

但它們更接近真實世界。

結語

InfoSec Taiwan 2026 對我來說，不只是一次看展或參加活動的經驗。

它更像是一個提醒，讓我看見學生資安學習和企業資安需求之間，確實存在一段距離。

這段距離不一定是壞事。

學生需要探索，需要嘗試，需要透過 CTF、AI 專題、創新展示、IoT、攻防技術和比賽導向專題建立能力。企業也需要從金融資安、SOC、事件應變、法規遵循、零信任、AI 藍隊和後量子密碼學等方向，面對真實世界的風險。

真正重要的是，我們能不能意識到彼此在問不同的問題。

學生常問：「我可以做出什麼？」

企業更關心：「這能解決什麼真實問題？」

而我希望自己未來不只做能展示技術的專案，也要做能回應真實世界需求的專案。

因為資安不只是把技術做出來。

更重要的是，知道技術要為誰解決什麼問題。