從零售業打工，我看見中小企業最容易忽略的資訊安全

最近我開始在零售業打工。

這件事對我來說有點新鮮。過去我接觸資訊安全，大多是在電腦前面，透過題目、實驗環境、報告、工具或文件去理解風險。那時候我很自然地以為，資安比較像是科技公司、醫院、金融機構，或大型組織才會每天面對的事情。

直到我真的站到第一線，開始接觸門市營運、設備操作、顧客服務與內部流程，我才意識到一件事：

資安其實一直都在，只是它不一定用「資安」這兩個字出現。

它可能藏在一組共用帳號裡，藏在新人不知道該不該回報的異常狀況裡，藏在一台已經用了很久、但仍然支撐營運的設備裡，也藏在每個人為了讓工作更順手而形成的日常習慣裡。

第一線教育裡，資安常常不是主角

我觀察到，很多企業對營運其實非常重視。

新人教育會告訴你怎麼服務客人、怎麼操作設備、怎麼避免營業損失、哪些公司規章不能違反、遇到客訴要怎麼處理。這些都很重要，因為第一線工作本來就需要穩定、標準化，而且不能因為個人疏忽影響顧客體驗。

但我也發現，資訊安全在這些教育裡常常不是主角。

例如帳號應該怎麼管理，密碼為什麼不能共用，遇到可疑訊息或信件要怎麼判斷，不明 USB 能不能插，個資畫面可不可以讓無關的人看到，設備出現異常時要通報誰，這些事情在很多場景裡都沒有被講得很清楚。

這不代表企業不重視安全。

更準確地說，是很多組織把安全理解成營運規範、商業機密、內部紀律或防止損失，卻沒有把資訊安全拆成每個員工都能理解的行為準則。

可是今天的零售業早就不是單純的收錢與找零。企業每天可能保存消費者資料、員工資料、會員資料、交易資料與營運紀錄。這些資料不一定看起來像機密，但只要被錯誤存取、外流或遭到濫用，都可能造成真實影響。

所以我開始思考：如果新人教育會教我們怎麼保護商品、保護營收、保護服務品質，那是不是也應該教我們怎麼保護資料？

舊設備不是原罪，未知風險才是問題

在第一線工作時，我也看見一些商業設備仍然使用相對較舊的作業系統或軟體環境。

但我不想用很簡單的方式說「舊就是不安全」。這樣的說法太粗糙，也不符合現實。

很多商業設備不是想換就能換。它可能綁定特定硬體、特定系統、特定周邊，或牽涉到供應商、維護合約、營運成本與停機風險。對中小企業來說，設備穩定能用，往往比追求最新版本更接近每天要面對的現實。

真正重要的不是版本新不新，而是企業知不知道它的風險在哪裡。

如果一台設備比較舊，但它被放在適當隔離的網路裡，只開必要服務，使用最小權限，有明確的更新策略、資產管理、白名單、防毒或端點偵測機制，也有備份與事件應變流程，那風險就能被管理。

相反地，如果一台設備看起來很新，但所有人都用同一組帳號、密碼長期不換、沒有通報管道、沒有備份、沒有人知道它連到哪裡，也沒有人知道出事時誰要負責，那它不一定比較安全。

資安不是單純買新設備，也不是把某個版本升上去就結束。

資安比較像是一種持續知道自己擁有哪些東西、它們承擔哪些風險，以及組織準備怎麼處理風險的能力。

我以前看的是漏洞，現在看到的是習慣

以前我學 CTF 的時候，很習慣把問題想成技術題。

網站有沒有漏洞？程式邏輯有沒有缺陷？二進位檔案能不能分析？系統有沒有弱點？看到一個問題，我會很自然地往技術深處鑽。

這些訓練當然重要。它讓我理解系統怎麼壞掉，也讓我學會用比較嚴謹的方式看待技術風險。

可是進入真實工作場域之後，我慢慢發現，日常最常看到的風險不一定是 CVE，也不一定是高深的攻擊技術。

更多時候，是人的習慣。

為了方便，所以帳號共用。

為了省時間，所以流程跳過。

為了不麻煩別人，所以異常先放著。

為了趕快完成工作，所以沒有確認資料是不是該被這樣處理。

很多攻擊利用的不是技術，而是方便。

這句話對我來說很有衝擊。因為它代表資安不是只有工程師、資安人員或管理階層的事情。只要一個組織裡有人使用系統、接觸資料、操作設備、處理客戶資訊，那他其實就是整個安全鏈的一部分。

如果這個人從來沒有被教過什麼是可疑事件，他就很難通報。

如果他不知道個資為什麼重要，他就很難保護。

如果他覺得資安只是「不能做這個、不能做那個」，那他可能只會把資安當成阻礙工作效率的規定。

這也是我覺得中小企業最需要補上的地方：不是要求每個人都變成資安專家，而是讓每個人都知道自己在安全裡扮演什麼角色。

建立負責任的資安文化

我很喜歡 Responsible Security Culture 這個概念。

它不是把責任全部丟給第一線員工，也不是出事之後才開始找誰犯錯。真正負責任的資安文化，應該是讓員工有足夠的教育、清楚的流程、合理的工具，以及不害怕通報問題的環境。

例如，新人教育可以加入幾個很基本的問題：

帳號和密碼應該怎麼使用？

看到可疑訊息要怎麼處理？

個人資料可以出現在哪些地方？

設備異常時要通知誰？

不明外接裝置為什麼不能隨便使用？

如果懷疑資料外洩，第一時間應該做什麼？

這些內容不需要講得像資安課程，也不需要談漏洞利用，更不需要教任何攻擊方式。它可以很生活化，很接近工作現場，甚至可以直接放進既有 SOP 裡。

重點是讓員工知道：通報不是找麻煩，提問不是不專業，承認異常不是犯錯。

在台灣，企業與政府單位長期面對大量網路攻擊、掃描、詐騙與社交工程風險。這些威脅不會只挑大型企業，也不會因為一間公司規模比較小就自動略過。越是仰賴數位系統營運的產業，越需要把資安變成日常管理的一部分。

不是每間公司都能立刻建立完整的資安團隊。

但每間公司都可以先做幾件事：盤點資產、整理權限、建立通報流程、定期備份、教育新人、檢查設備風險、讓員工知道哪些行為可能造成資料外洩。

這些事情看起來不酷，也不像 CTF 題目那樣有漂亮的解答。

但它們很真實。

最後

這次在零售業打工，讓我重新理解資訊安全。

以前我以為資安是一種技術能力，後來我發現，它也是一種組織能力。它不只存在於資安報告、弱點掃描或事件分析裡，也存在於新人教育、設備管理、日常習慣與通報文化裡。

一個企業可以很重視服務，很重視效率，很重視營收，也很重視品牌形象。

但如果它每天都在處理資料，卻沒有讓員工知道如何保護資料，那資安就會變成一個沒有人真正負責、但每個人都可能影響的空白地帶。

我不認為這是某個產業的問題，也不認為這是某間企業的問題。

這更像是數位化之後，每個組織都遲早要面對的問題。

我們每天都在談數位轉型，但如果沒有資訊安全，轉型只是讓風險跑得更快。