作者：Jomarc Angelo M. Corpuz，專題與內容撰稿人

現代的危機日益發生在遠離自然災害、經濟衝擊、社會動盪與軍事衝突的場域中——這些曾是過去數十年危機的主要來源。自從網際網路在世紀之交重塑全球商業以來，網路空間已成為各國政府、機構與民營企業處理事務的競技場——而攻擊也可能在數分鐘內危及營運並侵蝕公眾信任。在菲律賓，數位應用已在銀行、零售與政府服務等領域快速普及，該國亦未能倖免於此一轉變，使得網路事件的治理日益成為董事會層級的關注議題。

在此背景下，網路安全需要強有力的領導、明確界定的治理以及協調一致的決策，跳脫長期以來認為其專屬於資訊科技部門職責的假設。此一觀點與美國國家標準暨技術研究院（NIST）網路安全框架及零信任模型等全球公認框架一致，兩者皆在預防之外同時強調韌性與應變。

這些主題在 BusinessWorld 網路安全高峰會 2026 的第二場專題討論中成為焦點，主題為「在網路攻擊事件中擔任危機指揮官」。來自 JG Summit Holdings, Inc.（菲律賓最大企業集團之一，業務涵蓋食品、房地產、銀行與航空）、GCash（該國主導的行動錢包平台，每日處理數百萬筆交易）、GT Capital Holdings, Inc.（大型多元化企業集團）、Information Security Officers Group（ISOG，菲律賓網路安全專業人士的產業協會）以及 Accenture（全球專業服務公司）的網路安全與風險領導人，分享了強化組織整備與應對網路危機的策略。

假設資安事件不可避免

JG Summit Holdings 首席資訊安全長 Dennis Matthew F. Opiso 呼籲組織正視一個令人不安的現實：無論其安全系統多麼先進，網路安全事件終將發生。他主張，整備的真正衡量標準不在於組織能否阻擋每一次攻擊，而在於當攻擊成功時組織如何有效應對。

「在整個專題討論中最有用的一句話是：假設資安事件不是一種可能性，而是一種必然性，」他表示。「多數組織對這句話點頭稱是，然後卻繼續以預防就是全部工作的方式進行預算編列、規劃與組織。我們口中所說相信的，與我們實際準備的，兩者之間的落差就是事件演變為災難的空間。」

根據其保護 JG Summit 多元業務領域的經驗，Opiso 先生觀察到，每個產業對營運中斷的定義不盡相同。某個業務中的短暫當機或許尚可容忍，但在另一個業務中卻可能導致關鍵營運停擺。他表示，每個企業遲早都會經歷自己的「壞日子」，並呼籲以更寬廣的視角理解危機管理——將領導力置於事件應變的核心。

「危機指揮是一門領導學科，而非技術學科。指揮官在事件中的工作不是讀取日誌，」Opiso 先生說。「而是在資訊不完整的情況下做出決策，確保應變與業務持續性保持一致，並讓人們保持足夠冷靜以執行各自的工作。」

他進一步建議組織定期演練其事件應變手冊，事先指定危機期間將由誰擔任指揮，並確保溝通、法務、營運與技術團隊各自了解在資安事件發生時應承擔的職責。

明確界定的計畫與職權

在此基礎之上，Accenture Advanced Technology Centers in the Philippines 董事總經理 Mafi Caringal 強調，組織應信任其已制定的計畫，而非在事件發生時衝動行事。

「第一，啟動計畫，因為你需要開始指揮。確保真正知道該做什麼的人在場。第二，界定範圍。進行初步分析。不要試圖進行威脅獵捕並解決所有問題。先界定事件範圍。然後啟動通報，因為在你的計畫和作業手冊中，一切都已定義好了。啟動必要的通報，包括法律特權，」她解釋道。

對法律通報的強調反映了菲律賓《2012 年資料隱私法》（Republic Act No. 10173）下的義務，該法要求組織在發現個人資料外洩後 72 小時內向國家隱私委員會通報。對金融機構而言，菲律賓中央銀行在其《資訊科技風險管理與網路安全指引》下施加了額外的通報要求，這也凸顯了為何法務參與必須在應變流程中及早啟動。

Caringal 女士同樣指出，消除領導層的模糊地帶至關重要。由於網路安全事件在極大壓力下且於難以預測的時刻展開，明確界定的職權是有效應變的關鍵。

「必須明確指出誰是指揮官，因為當攻擊確實發生時，要麼每個人都以為有別人在負責，要麼就是指揮官太多。這是一個極度高壓的情境，」她強調。

Opiso 先生呼應此一觀點，指出指定的指揮官可能因組織結構而異。在某些公司，可能是首席資訊安全長；在其他公司，則可能是首席資訊長、首席財務長或其他高階主管。他強調，最重要的是這項決定已在事件發生前做出。

保全數位證據

與談人亦探討了危機應變的技術層面。Caringal 女士警告，不要僅為了盡快恢復營運而倉促刪除受損檔案或關閉受影響系統。

「從技術角度來看，不保全證據是一個重大錯誤，特別是如果你之後想要解決事件、防止其再次發生，並強化你的計畫與零信任架構。我們需要那些證據。有時人們會立刻說『刪掉它』或『關掉它』，但從技術角度來說我們需要那些資訊，」她說。

Information Security Officers Group（ISOG）會長暨創始成員 Engr. Luis A. Jacinto 強化了此一論點，警告在事件最初幾小時內出於善意採取的行動可能嚴重複雜化後續調查。

「如果你清除裝置，你會失去所有鑑識資料，而那是你能做的最糟糕的事情之一，」他說。

Jacinto 先生建議，與其立即關閉受損系統，不如將其從網路隔離，同時保全調查人員日後可用以判定攻擊者如何入侵並防止類似事件再發生的證據。保全的證據對於保險理賠、監管調查以及資安事件後可能的法律訴訟也至關重要。

Jacinto 先生亦主張採取全組織的危機應變方法，意味著高階主管、技術團隊、治理人員、法務顧問、企業溝通與營運領導者之間的協調。即便如此，他堅持問責必須集中在組織的最高層。

「CEO 負有最終責任，CEO 也負有最終問責，」Jacinto 先生說。「然而，CEO 可以委派責任，但不能委派問責。」

先理解，再溝通

專題討論進一步強調，技術整備必須與有紀律的溝通相配合——尤其是在事件發生後的最初數小時內，此時已查證的資訊仍然匱乏。

GT Capital Holdings 首席資訊安全長 Mar Apuhin 強調，當務之急應是在對內或對外溝通之前，先全面掌握情況的範圍。

「所以，這是一個極度高壓的情境。在我們 GT Capital 的案例中，預設就是 CISO。這一點毫無疑問。所以，主要目標也許是透過召集團隊、領導團隊、[執行委員會]來取得準確資訊，然後啟動事件應變。如果你們將其外包給第三方，不要忘記他們。那些將是已查證資訊的來源。然後，我們不做臆測，」他表示。

Apuhin 先生進一步闡述此一方法，表示組織應在召集危機溝通委員會或事件應變團隊之前，先評估事件的範圍與潛在影響。一旦領導層組建完成，下一步是將事宜升報至將監督業務決策的高階主管，同時技術團隊繼續進行調查。

由於網路安全事件往往快速演變且資訊有限，他鼓勵組織對所知資訊保持透明，同時抵制以假設填補資訊空白的誘惑。

「評估衝擊範圍，了解正在發生什麼事。但要明白，在第一個小時內，你還沒有太多資訊。評估我們所做的一切。坦白說。這是我目前唯一知道的，我們正在做的。而這是我們接下來要做的，」他說。

「最大的錯誤是在事實查證之前就進行溝通。各位，我們在做臆測。第二，那將導致製造錯誤資訊或你們案例中的可信度問題，」Apuhin 先生補充道。

Jacinto 先生持相似觀點，主張在資訊獲得確認之前，網路危機期間的溝通應受到謹慎控管。雖然利害關係人有權獲得及時更新，但組織必須避免發布不完整或不準確的資訊，以免造成混亂或不必要的恐慌。

「有某些資訊你不應該立即發布。我們不是說你不會發布它，而是你不應該發布它，因為它尚未獲得確認，」他表示。

在資訊傳播速度與網路威脅本身一樣迅速的網路空間環境中，領導力、準備與協調一致的決策，最終可能成為組織對抗必然資安事件的最強防線。