網站資安、備份與監控：網站備份監控・網站資安健檢
定義:網站資安是透過更新、權限、憑證、防火牆、備份與監控，讓網站不被入侵、壞了能還原、出事有人知道的一組措施。
備份能還原、異常有人知道的網站資安維護
網站被掛馬、被改首頁、主機到期沒人續約、備份檔從來沒試過還原，往往等客戶通知才發現。偉騰提供網站資安、備份與監控的一條龍維護：先做健檢列出弱點與風險，再補上更新、權限收斂、HTTPS 與防火牆，建立異地備份並定期演練還原，接著以可用性與內容異動監控全天候盯著網站，出事第一時間通知並處理。交付健檢報告、備份與還原紀錄與維運計畫。
重點速覽
偉騰開發興業有限公司（前臺東縣環境保護局局長謝清泉主持，統一編號 90801410）承辦全台 22 縣市(含離島),線上啟動、遠端交付,現場訪談與教育訓練視需要的網站資安、備份與監控，全台各縣市均可受理，先以現有網站、流程說明與需求清單做免費書面初判，帶著初判結果約時間細談。
- 服務項目
- 網站資安
- 備份與監控:弱點健檢報告
- 系統外掛更新
- 帳號權限收斂
- 雙重驗證啟用
- 憑證自動更新
- 網站防火牆設定
- 登入保護與鎖定
- 每日異地備份
- 承辦公司
- 偉騰開發興業有限公司(偉騰、偉騰開發;前臺東縣環境保護局局長謝清泉主持)
- 服務範圍
- 全台 22 縣市(含離島),線上啟動、遠端交付,現場訪談與教育訓練視需要
- 法規依據
- 《個人資料保護法》
- 《資通安全管理法》（機關適用）
- 《消費者保護法》
- 應備文件
- 網站後台
- 主機與網域管理權限
- 目前使用的系統
- 外掛與版本清單（若有）
- 曾經發生的異常事件與處理紀錄
- 使用者帳號清單與各自的工作需求
- 業主希望的通知對象與處理順序
- 既有備份方式與存放位置
- 常見退件與誤判
- 只裝資安外掛就當有防護 → 弱密碼與過期系統照樣被攻破;備份存在同一台主機 → 主機壞掉或被加密，備份一起沒了;憑證用一年期手動續 → 忘了續約，瀏覽器對客戶顯示危險警告
- 諮詢方式
- 加 LINE「偉騰開發」傳現有網站網址、流程說明或需求清單，先做免費書面初判；初判後再約時間細談。
網站出事的樣子很少是電影裡的駭客畫面，多半是：首頁被塞進賭博連結、搜尋結果顯示奇怪的日文標題、客戶說收到從官網寄出的詐騙信、或某天主機到期網站直接消失。追查下去，原因通常很平凡：外掛三年沒更新、管理員密碼和其他網站共用、所有人共用一組帳號、備份有設但沒人試過還原，更沒有任何監控會在出事時通知誰。等到客戶來講，傷害已經造成。
偉騰先做健檢：核對系統與外掛版本、帳號與權限、憑證與加密、主機設定、對外暴露的服務與已知弱點，列成風險清單並分級。
- 接著依清單加固：
- 更新與移除不用的外掛、管理員帳號改為個人帳號加雙重驗證、HTTPS 全站強制、加上網站應用程式防火牆與登入保護、關閉不必要的對外服務。
- 然後建立備份：
- 資料庫與檔案每日異地備份、保留多個版本、每季實際演練一次還原並記錄所花時間。
- 最後接上監控：
- 網站可用性、憑證到期、網域到期、首頁內容異動與搜尋引擎安全警示，異常即時通知指定人員。
交付健檢報告、加固紀錄、備份與還原演練紀錄、監控設定與通知名單，以及事故處理流程：誰收到通知、第一步做什麼、什麼情況下還原到哪個版本。維護期間每一次更新都先在測試環境套用、跑過自動檢查再上正式站，有一項不過就先不更新，不拿正式站試錯。後續依維運合約每月更新、每季演練、每年重做健檢；若業主有自己的資訊人員，我們交付文件並協助建立例行作業，不綁定維護廠商。
LINE 諮詢
把網站資安的現況與需求傳過來，先免費書面初判。
- 傳什麼
- 現有網站網址與後台權限還沒有網站也能先談
- 商品或服務清單、作業流程說明表單樣張或試算表皆可
- 需求清單一句話也行
- 多久回
- 週一至週五 09:00–18:00 依序回覆；LINE 全天可傳資料
- 下一步
- 免費書面初判
- 約時間細談
- 委任開發
先傳資料做初判，需要時再約時間細談
服務重點
- 健檢先分級，再決定修什麼：不是每個弱點都要立刻處理。健檢把發現的問題分成立即（可被直接利用入侵）、短期（過時版本、弱密碼、權限過大）與改善（設定最佳化）三級，附上影響與修法。業主看得懂輕重，預算與時間先花在真正危險的地方，而不是一張看不懂的掃描報告。
- 備份的價值在還原，不在備份：多數網站都有備份，很少網站試過還原。我們把資料庫與檔案每日備份到與主機不同的地方，保留多個版本以應付發現得晚的入侵；每季實際在測試環境還原一次，記錄所需時間與遺漏項目，確認真的出事時知道要花多久、會丟多少資料。
- 權限收斂與雙重驗證是最划算的防護：大多數入侵走的是弱密碼與過大的權限，不是高深技術。每位使用者一個帳號、依工作給最低權限、管理員全部開啟雙重驗證、離職即停用、登入失敗多次自動鎖定，這些幾乎不花錢的措施擋掉大部分攻擊，再搭配防火牆處理自動化掃描與灌爆攻擊。
- 監控要能通知到人，而不是只有儀表板：可用性、憑證與網域到期、首頁內容異動、搜尋引擎安全警示，每一項都設定通知對象與升級順序：先通知維運窗口，一段時間沒處理再通知負責人。通知走 LINE 或電子郵件，附上第一步該做什麼，不會半夜響一堆沒人看得懂的警報。
- 出事有流程，不是臨場發揮：事故處理流程寫明：確認影響範圍、隔離（下線或封鎖來源）、從乾淨備份還原、修補入口、通知受影響使用者、向搜尋引擎或平台申請移除警示。個人資料若有外洩風險，依個人資料保護法的通知義務處理。流程演練過一次，真的發生時才不會慌。
速查表
| 適合對象 | 多年未更新的公司官網、有會員與訂單資料的購物網站、曾被掛馬或竄改的網站，以及需要資安佐證的中小企業與受機關委託的單位。 |
|---|---|
| 交付內容 | 健檢報告與風險分級、加固紀錄、備份策略與還原演練紀錄、監控與通知設定、事故處理流程、維運計畫與季報範本。 |
| 時程量級 | 健檢約一週，加固一到兩週，備份與監控建置一週，整體以一個月為量級；之後每月更新、每季演練、每年重做健檢。 |
| 需要準備 | 網站後台、主機與網域權限、系統與外掛清單、使用者帳號與工作需求、既有備份方式、希望的通知對象與順序。 |
| 技術架構 | HTTPS 全站強制與憑證自動更新、網站應用程式防火牆與 CDN、每日異地備份多版本、可用性與異動監控搭配 LINE 或電子郵件通知。 |
| 資料與隱私 | 備份存於業主名下儲存空間並加密；健檢過程不複製會員資料；事故涉及個人資料時依個人資料保護法協助評估通知義務。 |
| 驗收標準 | 風險清單中立即級與短期級項目全數處理並復測；還原演練成功並記錄時間；監控通知實測送達指定人員。 |
| 上線後維運 | 每月更新與監控紀錄檢視、每季還原演練與報告、每年完整健檢；可由本所依合約執行或交接業主資訊人員。 |
| 擴充與整合 | 可延伸到主機與雲端架構調整、網站速度優化、機關網站的資通安全管理法合規項目，以及多站集中監控。 |
| 全台服務方式 | 全台 22 縣市皆可線上啟動，健檢、加固、備份與監控全程遠端；主機放在公司機房時先遠端評估，必要時到場。 |
進行方式與時程
- 健檢分級：核對版本、權限、憑證與設定，產出分級風險清單。
- 加固收斂：更新、權限與雙重驗證、HTTPS 與防火牆，逐項復測。
- 備份演練：每日異地備份多版本，實際還原一次並記錄時間。
- 監控維運：可用性、憑證、網域與異動監控通知到人，依合約維運。
法規依據(條號)
| 法規 | 條號 | 重點 |
|---|---|---|
| 個人資料保護法 | 保有個人資料的業者應採取適當安全維護措施，事故發生時負通知義務；權限控管、備份、存取紀錄與事故流程是落實方式。 | |
| 資通安全管理法 | 公務機關與特定非公務機關依責任等級辦理資通安全維護、通報與應變；受機關委託維護網站時依機關公告的等級與項目對照。 | |
| 消費者保護法 | 購物網站對會員與交易資料負有妥善保管的責任，資料事故影響消費者權益時應即時告知與處理。 |
網站資安基本盤檢核表
| 項目 | 做法 | 檢核頻率 |
|---|---|---|
| 系統與外掛 | 移除不用的、其餘保持更新，先在測試環境驗證 | 每月 |
| 帳號與權限 | 一人一帳號、最低權限、雙重驗證、離職即停用 | 每季盤點 |
| 加密與憑證 | HTTPS 全站強制、憑證自動更新、到期監控 | 持續 |
| 防火牆與登入保護 | 網站應用程式防火牆、登入失敗鎖定、封鎖異常來源 | 持續 |
| 備份 | 每日異地、多版本保留、加密存放 | 每日執行、每季演練 |
| 監控 | 可用性、內容異動、搜尋引擎安全警示、網域與憑證到期 | 全天候 |
備份做法對照：主機內備份／主機快照／異地備份加版本控制
| 做法 | 適合情境 | 還原速度 | 風險 | 資料主控權 |
|---|---|---|---|---|
| 主機內備份 | 臨時性、小型靜態網站 | 快 | 主機壞掉或被加密時一起消失 | 在主機商手上 |
| 主機快照 | 需要整機還原的中型網站 | 中 | 快照與主機同供應商，供應商出事一起受影響 | 依供應商方案 |
| 異地備份加版本控制 | 有會員、訂單或常改內容的網站 | 中到快 | 需要定期演練確認可還原 | 業主名下儲存空間，可攜 |
官方書表、申辦入口與法規
- 官方說明:Google 搜尋中心（安全性問題報告與遭入侵網站的復原）(Google)
- 法規條文:個人資料保護法（全國法規資料庫）(法務部全國法規資料庫)
- 法規條文:資通安全管理法（全國法規資料庫）(法務部全國法規資料庫)
- 申辦入口:個人資料保護委員會籌備處（資料事故通知）(個人資料保護委員會籌備處)
費用怎麼組成
費用分健檢與維運兩段：健檢與一次性加固依網站數量、系統類型與弱點數量以書面報價；維運依備份頻率、監控項目、每月更新與每季演練的範圍按月或按年報價，皆於免費書面初判後提出。主機、憑證、防火牆服務與雲端儲存等第三方費用由業主直接向供應商支付。
平台規範視角
- 搜尋引擎對被入侵網站的處置很直接：標示「此網站可能遭到駭客入侵」或從結果中移除，流量瞬間歸零；清除後要透過 Google 搜尋主控台提出審查申請並等待復原。預防與監控的成本遠低於事後救援。
- 個人資料保護主管機關要求保有個人資料的業者採取適當安全維護措施，發生事故時應通知當事人；網站若存有會員、訂單或詢問資料，備份、權限控管與事故流程不只是技術選項，而是法定義務的落實方式。
常見錯誤與返工原因
- 只裝資安外掛就當有防護 → 弱密碼與過期系統照樣被攻破
- 備份存在同一台主機 → 主機壞掉或被加密，備份一起沒了
- 憑證用一年期手動續 → 忘了續約，瀏覽器對客戶顯示危險警告
- 被駭後只刪可見的惡意檔 → 後門還在，一週後再被改一次
- 沒有監控通知 → 網站掛了三天，從搜尋結果掉下來才發現
常見痛點
- 首頁被塞賭博連結，是客戶打來說的才知道
- 外掛好幾年沒更新，不敢按更新怕網站壞掉
- 備份有設定，但從來沒有人試過還原
- 所有人共用一組管理員帳號，密碼貼在群組裡
- 主機或網域到期沒人收到通知，網站直接消失
交付項目
- 資安健檢報告與風險分級清單
- 加固作業紀錄與設定變更清單
- 備份策略、還原演練紀錄與所需時間
- 監控項目、通知名單與升級流程
- 事故處理流程文件
- 維運計畫與每季報告範本
建議準備文件
- 網站後台、主機與網域管理權限
- 目前使用的系統、外掛與版本清單（若有）
- 曾經發生的異常事件與處理紀錄
- 使用者帳號清單與各自的工作需求
- 業主希望的通知對象與處理順序
- 既有備份方式與存放位置
法規依據
- 《個人資料保護法》
- 《資通安全管理法》（機關適用）
- 《消費者保護法》
細項業務全覽
- 弱點健檢報告
- 系統外掛更新
- 帳號權限收斂
- 雙重驗證啟用
- 憑證自動更新
- 網站防火牆設定
- 登入保護與鎖定
- 每日異地備份
- 還原演練紀錄
- 可用性監控通知
- 內容異動監控
- 被駭清除與復原
官方參考資料
全台線上受理
- 台北網站資安
- 新北網站資安
- 桃園網站資安
- 新竹網站資安
- 苗栗網站資安
- 台中網站資安
- 彰化網站資安
- 南投網站資安
- 雲林網站資安
- 嘉義網站資安
- 台南網站資安
- 高雄網站資安
- 屏東網站資安
- 宜蘭網站資安
- 基隆網站資安
- 花蓮網站資安
- 台東網站資安
- 澎湖金馬網站資安
常見問題
網站資安健檢會檢查什麼？
系統與外掛版本、已知弱點、帳號與權限、密碼與雙重驗證、憑證與加密、主機與對外服務設定、檔案異動與可疑程式、備份是否存在且可還原，以及搜尋引擎是否已有安全警示。結果整理成分級的風險清單與修法，而不是一份只有掃描工具輸出的報告。
全台都能做嗎？要不要到公司？
全部遠端完成。網站與主機本來就在雲端，健檢、加固、備份與監控都透過管理權限線上作業；需要說明報告或教育訓練時以視訊進行。若業主的網站主機放在公司內部機房，我們會先遠端評估，必要時再到場處理網路與主機設定。
健檢加固要多久？之後呢？
健檢約一週出報告，立即級與短期級弱點的加固約一到兩週，備份與監控建置再一週，整體以一個月為量級。之後進入維運節奏：每月更新與檢視監控紀錄、每季還原演練與報告、每年重做完整健檢；網站規模大或系統多時，時間依比例拉長。
做完後誰維運？備份與紀錄是誰的？
備份存在業主名下的雲端儲存，監控與通知帳號也是業主的，所有健檢、加固與演練紀錄交付給業主保存。維運可以由本所依合約執行，或由業主的資訊人員依我們交付的例行作業清單接手；我們不透過帳號或備份位置綁住客戶。
網站已經被駭了，可以先處理嗎？
可以，先止血再談長期。
流程是確認影響範圍、下線或封鎖來源、從乾淨的備份還原（沒有備份時人工清除並比對原始檔）、修補入口、更換所有密碼與金鑰、向搜尋引擎申請移除警示；若涉及會員資料，協助依個人資料保護法評估通知義務。
處理完成後接著做健檢與監控，避免再次發生。
WordPress 網站特別容易被駭嗎？
不是系統本身的問題，而是用的人多、外掛雜、更新常被忽略。WordPress 網站的防護重點是：只留必要的外掛並持續更新、管理員帳號改個人帳號加雙重驗證、關閉不用的功能、加上防火牆與登入保護、每日異地備份。做好這些，WordPress 網站可以很穩。
備份多久做一次？要保留多久？
資料庫與檔案建議每日備份，變動頻繁的購物網站可以更密；保留多個版本，至少涵蓋數週，因為入侵常在發生一段時間後才被發現，太短的保留期可能只剩被竄改後的版本。保留策略與儲存位置會寫在備份文件中，每季演練時一併檢視是否足夠。
監控會通知誰？半夜也會響嗎？
通知對象與順序由業主決定，通常先通知維運窗口，一段時間未處理再升級到負責人；通知走 LINE 或電子郵件，附上第一步處理建議。監控項目分重要性，網站無法連線、憑證即將到期與首頁被竄改屬於立即通知，其餘彙整在每日或每週摘要，避免警報疲乏。
小公司的形象官網有需要做這些嗎？
需要的程度依網站存放什麼而定。
只有公司介紹與聯絡資訊的官網，至少要做到更新、HTTPS、備份與可用性監控，因為被掛馬會直接傷害品牌與搜尋排名；若有會員、訂單或詢問資料，權限控管與事故流程就是法定義務的一部分，不是選配。
初判時我們會依網站內容建議合理範圍。
可以提供資安佐證給客戶或機關嗎？
可以。健檢報告、加固紀錄、備份與還原演練紀錄、監控設定都是可提供的佐證文件；若客戶或招標文件要求特定格式的資安聲明或檢核表，我們依實際作業內容協助填寫。涉及機關資通安全管理法的要求時，依機關公告的等級與項目逐項對照。