每年十月份是國際資安意識月，各國政府與產業組織集中推動資安教育，提醒公司與個人檢視自己的防護狀態。雖然已經有78%的公司具備異地備份機制，但其中超過三分之二的備份伺服器全天候連網，而且無法保證管理權限遭盜用時備份不會被刪除。根據 QNAP 最新發布的台灣公司資安韌性大調查 ，以11項指標呈現台灣公司的防護現況，這份報告具體量化了知道要做資安與真的做到之間的落差。
台灣面臨的區域威脅
2026 年的資安意識月，許多公司有了更具體的理由必須認真看待這件事。根據微軟在 2026 年 10 月初發布的報告指出，2026年上半年微軟觀察到的所有客戶攻擊事件中，美國佔 25.5%，其次是處於戰爭狀態的以色列 7.6% 與烏克蘭 4.8%，而台灣以 3.9% 排名全球第四，高於英國的 3.8%。微軟同時警告，人工智慧正讓攻擊變得更快更便宜且更難偵測，台灣近期就曾成為一場使用AI攻擊行動的目標。
鄰近市場也接連發生類似攻擊事件，日本經濟新聞社於 10 月 4 日公布兩起員工雲端帳號遭竊的事故，其中一名員工的微軟帳號遭攻擊者用來發送約 9,000 封釣魚郵件，收件對象包含內部員工新聞來源與合作夥伴。郵件從真實的日經帳號寄出，因此能透過收件者習慣依賴的寄件者驗證。根據日本警察廳於 9 月 10 日公布的統計資料顯示，2026 年上半年確認的勒索軟體攻擊達123起，創下 2020 年開始統計以來的半年度最高紀錄，其中 31 起發生在大型公司，超過半數案例的復原時間超過一個月，更有 9 起導致全面停業。
韓國近期也有至少七家金融機構接連通報遭駭與個資外流，其中新韓銀行約有2.5萬名客戶的姓名電話與年收入資料外流。南韓金融監管機關研判攻擊者可能是對多家金融機構廣泛掃描弱點，而非鎖定單一機構。
這些事故都不是仰賴尖端的攻擊技術，起點都是被竊的帳號或是存取控制不足的對外服務，要不然就是人力有限的中小公司。QNAP這份針對台灣公司的調查，正好可以用來檢視台灣公司在這些環節上的狀態。
台灣公司平均 30 分超過 7 成落在待強化等級
QNAP 於 2026 年針對 241 家台灣公司進行線上問卷調查，以 11 項指標涵蓋資料保全與備份、身分認證與存取控制、威脅監測與主動防禦、營運不中斷與災難復原四個階段。每一題依防護程度分為 1 到 5 分，總分介於 11 至 55 分之間。
關於 QNAP 資安報告的調查方法與限制，檢視時應一併理解。受訪者包含 QNAP 的各種用戶與合作夥伴，呈現的數字較適合視為已在關注資料儲存與備份議題的公司之現況。而正因為樣本是已經在關注備份議題的公司，這份調查有一個特殊的價值。報告中衡量的對象已經具備資安意識，結果仍然點出大量缺口。
這份報告的樣本已經是相對較關注備份議題的公司，報告最後依總分劃分四個等級，高風險佔 26%，待強化佔 45%，穩健佔 15%，領先佔 14 %。前兩個等級合計佔了 71 %。
這些公司中有 78% 已建立異地備份，但卻有超過半數的備份伺服器全天候連線於網路上，且無法保證在最高權限帳號遭盜用時不被刪除，因此帶出了 Airgap+ 之類的自動離線備份是有需求和對企業的潛在助益。
報告中也特別點出，這些公司也包含自評總分屬於前段班者，這是由於公司容易把已建立備份視為任務完成，卻忽略備份本身也需要保護。研究顯示，94% 受攻擊的公司表示攻擊者曾嘗試破壞備份，備份可說已經是攻擊鏈上的第一個目標。
三項關鍵防護達成率偏低
報告中也提出三項與勒索軟體攻擊鏈直接對應的防護狀態調查，分別對應攻擊者在內網擴散、找到備份與刪除備份三個動作。在內網威脅偵測、防勒索備份架構與不可竄改備份這三項目中，完全無防護的比例均超過三成，達到公司級自動化的比例則都不到兩成。攻擊者取得初始入侵點後平均 2 9分鐘就開始橫向移動，把內網掃描一遍，但一般公司平均則需 11 天才能發現自己已經被入侵，這中間的時間差就是人工判斷來不及介入的空間。
身分認證與存取控制仍是最大破口
另外，有多達 38% 的公司在權限管理上完全無防護，仍只靠一組帳號密碼，而帳密盜用是最常見的初始入侵管道，加上網路釣魚與操作疏失等人為因素，合計佔整體資安事件的 60%。
回顧前面提到日經的案例，一組被竊的帳號就足以讓攻擊者冒用公司名義寄出 9,000 封釣魚信。因此報告將權限管控列為第一優先，因為只要攻擊者能以合法身分登入，備份與監測機制都會被繞過，從投入與效益來看，這也是門檻最低的一項。
內網可視性與跨站點治理高度依賴人工
從報告中可注意到有 40% 的公司無法看清楚自己的內網，僅 13% 的公司具備能自動偵測內網異常流量的防護機制，另外有 33% 的公司跨站點連線未完整加密也無法集中管理。之所以會出現這樣的內部盲區，是因為許多公司過度仰賴端點防護，但端點防護只能保護裝得了代理程式的電腦或伺服器，沒有辦法安裝或不適合安裝端點軟體的設備如印表機、監視器、感測器與產線控制器的保護力不夠。
在缺乏足夠整體網路監測的情況下，攻擊者的橫向移動從個別主機來看往往只是一次尋常連線，導致威脅難以被察覺。
這讓 OT 設備或產線可搭配使用的資安網管型交換器、專門監控區域網路的 NAS 設備變得有價值，在不需要安裝端點的情況下，從終端網路設備判斷裝置傳輸網路的特徵碼，自動標記與強化資安的防護亦有一定的潛在效益。
規模落差來自資源而非觀念
從這份資安調查報告中可見金融保險業居首，教育業墊底。若依規模劃分，1 至 10 人公司平均分數與 1,000 人以上的大型公司相差甚遠。報告對小型公司低分的解讀是資源不足而非觀念不佳。小型企業往往由一個人同時負責資訊科技設備採購與維護，因此對中小企業有效的方案必須是簡單部署且能自動執行的形式。
另一個值得注意的區間是在 501 至 1,000 人規格的中型公司，最弱的一環是權限管理，當組織人數成長速度超過權限治理的建置速度，就容易出現帳號權限長期未整理的情況。
從意識到行動
資安意識月的用意是讓資安意識已經到位的公司，了解自身在實際防護上仍然留下大量可以被利用的空間，其他公司也可以對照此份報告的指標，先問自己三個問題。
一、帳號失守之後備份還在嗎 ?
過半數受訪公司無法給出肯定答案。要回答是，備份需要同時做到攻擊者找不到以及找到了也動不了。
二、只靠一組帳密能走多遠 ?
近四成公司仍只靠一組帳號密碼，沒有設置 2FA /MFA 多因子登入驗證，以及管理員帳號多組和最小化權限原則，而這正是最常見的入侵起點。
三、內網裡有異狀誰會知道
40% 的公司無法看清楚自己的內網狀態，而攻擊者平均 29 分鐘就開始橫向移動攻擊內網內的所有裝置。
QNAP 提出的對應方案
身分認證與存取控制
QTS與QuTS hero內建多重要素驗證與角色基礎存取控制。QNAP Authenticator支援無密碼登入與2FA動態驗證碼，RBAC可依部門或職務指派共享資料夾與應用程式權限，並可串接AD與LDAP讓權限異動隨人事系統同步。這部分不需要額外採購，對已經在用QNAP NAS的公司而言，是先開啟再談其他的事。報告給的導入原則是預設不開而非預設全開，逐一檢視每個共享資料夾的存取名單。
資料保全與備份
HBS 3 Hybrid Backup Sync內建於QTS與QuTS hero，不需額外授權，支援本地遠端與主流雲端目的地，可設定多版本保留，QuDedup於來源端去重複化與加密以縮短備份時間並提高備份頻率。
Airgap+是HBS 3的功能，透過QHora 321或QHora 322路由器，或是QSW M7308R 4X等相容交換器，只在備份任務執行期間開啟來源端與備份端的連線，結束後自動斷開，讓備份端在其餘時間自網路上消失。這對應調查中29%完全沒有隔離機制以及超過半數備份伺服器隨時連線在網路上的公司。
WORM資料夾與不可變快照，則處理找到了也動不了的需求。HBS v26以上可將備份寫入QuTS hero的WORM資料夾並自動套用保留期，鎖定發生於ZFS檔案系統層級，不依賴帳號權限。WORM分為Enterprise與Compliance兩種模式，公司若是為了防範管理權限遭盜用，應選擇Compliance模式做到連管理員也無法刪除。
對於需要集中管理多台伺服器備份的公司，QNAP 提供 HDP for Business Beta，將現有的x86架構 QNAP NAS 升級為集中式備份與還原驗證中心，支援VMware、Hyper-V與Proxmox虛擬機、Windows PC與伺服器等，以及Oracle與SQL Server資料庫。
它把備份完成後的自動還原與開機測試列為核心功能，並留下影片紀錄作為稽核證據，異地副本可寫入QuObjects、myQNAPcloud Object或Amazon S3等相容儲存。即時還原與備份驗證需安裝Virtualization Station。
威脅監測與主動防禦
ADRA NDR X 則可免費安裝於 QNAP NAS，搭配相容的 QNAP 網管型交換器，從交換器層級分析裝置間的流量，因此裝不了代理程式的設備也在監測範圍內。Threat Watch 只針對具異常特徵的封包深入分析，Threat Trap 模擬 SSH 與 SMB 等常見服務作為誘餌，判定高風險行為後僅隔離受影響裝置。
營運不中斷與災難復原
QNAP 的高可用性方案以兩台 NAS 叢集運作，主要 NAS 故障時由備援 NAS 自動接手。HA 與備份處理的是不同層面的風險，HA 解決硬體故障，備份解決資料毀損與被加密，兩者互補而非替代。上述方案都運作在 QNAP 現有的 NAS 產品線上，從桌上型機種到 TS h1277AXU RP 等機架式與 TS h3077AFU 等全快閃機種皆可，不可變備份與 WORM 需要 QuTS hero 系統。
分階段導入防護機制的建議順序
報告建議依成熟度分階段導入：
1、高風險公司先做2FA與MFA、RBAC角色權限管理、HBS 3異地備份。
2、待強化公司接著做Airgap+隔離備份、QuTS hero WORM、QuFirewall對外防護。
3、穩健型公司再導入ADRA NDR X內網偵測與SED自加密硬碟。
4、領先型公司則建置HA高可用性以最小化停機時間。
總結與建議
這份調查的樣本來自對備份意識高於市場平均的群體，但結果仍顯示超過半數的備份隨時可能被刪除。
放大到更廣的台灣市場與全球市場，資安威脅與缺乏完善備份機制的實際狀況自然是更為嚴峻。台灣身為全球受威脅嚴重的市場之一，近期接連遇襲的案例也一再提醒大家，一般企業確實應該關注的是，當伺服器或公司設備管理權限失守面臨內網資安威脅和攻擊的那一刻，你的備份還在不在呢？
