【iThome 2023資安大調查系列2】服務業企業資安風險圖（2023～2024）

疫情過後，線上線下整合的OMO戰略，成了服務業的發展主流。尤其不少零售業，在疫情期間開始強化線上電商模式，到了疫情解除後，沒有停下腳步，反而更加速發展電商模式，變成了徹底的OMO營運型態。這股為了因應疫情而崛起的數位化、電商化發展，也讓服務業更直接曝險在更多網路風險的威脅下，因為，服務業比過去更佳仰賴雲端供應商來提供電商通路的各項服務，這兩年服務業數位轉型的發展重點，除了整合和深化顧客大數據應外之外，上雲也是另一項重要發展策略。

服務業今年資安投資平均達到1,252萬元，約占IT預算的8.8%。服務業資安預算僅次於金融業和政府學校，但遠高於醫療、高科技和一般製造業。服務業今年的資安預算甚與上雲預算（1,111萬元）相當，但高於AI預算、行動應用的投資，這也反映出服務業積極提高上雲的比重同時，也同步加強對資安的投資。這些資安預算主要用於IT基礎架構防護、網路安全和員工資安意識的強化。這三項也與服務業積極上雲高度相關。

不過，服務業的資安信心不算太高，大約和一般製造業、高科技製造業相當，6成6大致有項信心，只有2成資安長非常有信心，但有一成企業對資安能力沒有太大信心。

在2022年，服務業平均遭遇了18.8次需要通報到資安長的重大資安事件，是各產業中災情最高者。不過，這幾年隨著服務業發生過不少網路資安事件和網路攻擊事件，服務的偵測能力也有不小的提升，平均發現攻擊時間只需要2.8天，僅次於金融業的1.1天，表現也遠佳於政府學校、醫療和製造業。但是，服務的數位韌性相對較弱，系統遭攻擊後的復原時間，在六大產業中排名第五，平均需要花上5.8天，也就是幾乎快一個禮拜，才能復原。

整體來說，服務業現有的平均系統復原能力相對其他產業來得弱，對於越來越仰賴電商通路的服務而言，是一大致命傷，尤其若在銷售旺季，促銷活動期間遭遇資安事件而當機，可能甚至影響了整個促銷期，這是服務業接下來必須盡快強化之處，否則不利於發展OMO線上線下整合布局。

從2019年到2021年間，可以看到服務業的遭駭指數逐年改善，從71%，逐漸降低到2021年的26%，一年約有四分之一的時間處於資安脆弱期，但在2022年，服務業開始積極擁抱電商之後，遭遇了更多網路攻擊和威脅，導致2022年的遭駭指數提高了不少，達到44%，約有一半時間處於資安脆弱期。面對2023～2024年的資安風險，服務業不會停下OMO的發展腳步，因此也必須更加警戒伴隨而來的威脅。

早在2021年時，服務業最常發生的2大資安風險是駭客攻擊和資安漏洞事件，這兩項也是衝擊最大的兩項，但從2022年開始，勒索軟體資安事件成了服務業最大的夢魘，成了發生風險最高的資安威脅，衝擊程度僅次於駭客攻擊。服務業在2021年開始大力改善老舊系統的問題，資安漏洞事件的威脅排名下滑了不少，發生風險在2022年排名第七，衝擊影響也降低了。

到了2023～2024年，服務業資訊長和資安長對勒索軟體資安事件的威脅更提高警覺，這一項資安風險不但是發生風險最高，也是對企業衝擊最大的資安威脅，衝擊程度甚至超越了駭客攻擊帶來的影響，成了服務業頭號威脅。除了老威脅之外，釣魚網站的發生風險也在2023開始和勒索軟體資安事件並列為第一名高發生風險的資安項目，雖然釣魚網站的衝擊相對較低，但也必須特別關注，這是往年的次要風險，但在2023年開始成為了服務業者的首要風險之一。駭客攻擊則是服務業在2023～2024年也必須警戒的第三項首要風險。

隨的服務業越來越依賴雲端供應商來實現OMO整合，在服務業2023年企業資安風險圖的第一象限，發生風險高衝擊也高的資安項目中，還包括了雲端服務/網路服務資安事件、以第三方為跳板的攻擊，還有資料外洩事件、資安漏洞事件、顧客資安事件，來自網路犯罪者（非駭客）的威脅，另外風險程度在過去一年快速竄升的是來自內部人員的攻擊，這些都是第一象限必須警戒的項目。

除此之外，以雲端供應商為跳板的攻擊衝擊，也在2023～2024年突然提高，從衝擊低發生風險高的第三象限，處於進入第一象限的邊緣，服務業者若有餘裕，這也是一個不得不提防的資安威脅。還有一項第三方委外業者的資安風險，雖然衝擊和發生風險都不算高，還處於第四象限，但是這項風險的影響，今年突然竄升，因此在資安風險圖中也特別以紅色來標記，後續發展值得服務業資安長和資訊長們留意。

 企業資安風險圖製作說明  在iThome 2023年CIO暨資安大調查中，由企業自評各資安項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表可能性越大。紅色文字的項目為今年發生風險明顯提高者。

 問卷說明  大調查執行期間從2023年4月20日到5月10日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷407家，其中59.8%填答者為企業資安最高主管。

資料來源：2023 iThome CIO大調查，2023年7月