試試任務化思考
你是否曾經在公司導入資安政策時感到一頭霧水？政策文件一大疊、條文看起來都對，但實際要怎麼落地執行卻沒人說清楚。好不容易導入完成，接下來又開始煩惱：
- 這些政策真的有落實嗎？
- 每年稽核時，證據要從哪裡來？
- 日常維護是不是又變成形式化作業？
其實，資安政策不用靠死背，也不該只停留在文件上。我們可以用「任務化分解」的方法，把抽象的資安政策，拆解成導入時該做的事、以及後續維護時能持續執行的任務，讓政策不只「寫得出來」，更能「做得下去」。現在就一起來看看，該怎麼把資安政策變成真正能執行的工作吧！
認識制度
我們用一個很常見、但也最容易讓人卡關的例子來說明：
「每年須完成 3 小時以上的資訊安全管理系統或資安認知課程訓練」，其實就能完整拆解成四個任務層次。
- 資安政策
公司在資安政策中明確規定，員工需定期接受資訊安全相關教育訓練，例如要求「每位員工每年至少完成 3 小時以上的資訊安全管理系統或資安認知課程訓練」。這一層的重點在於宣示公司對資安教育的基本要求與承諾。
- 實施規範
接著，透過實施規範進一步說明「有關公司或專案人員進用、教育訓練及離調職等業務，參照「人力資源安全管理程序書」辦理。這一層是為了避免每個單位各自解讀，確保執行標準一致。
- 作業程序
作業程序則會把規範轉成具體流程，例如：
- 執行資通安全管理系統相關活動前，必須確認其具備執行該項活動所需之能力
- 配合年度資訊安全實施教育訓練，以強化資訊安全技能及法規認知
- 每年應接受至少3小時之資安通識教育訓練，並留存教育訓練相關紀錄，例如訓練教材、訓練照片或測驗結果
- 資訊專業人員至少接受12小時為資通安全專業課程訓練，並留存教育訓練相關紀錄，例如訓練教材、訓練照片或測驗結果。
- 紀錄表單
最後，必須留下可供查核的紀錄與證據，例：
- 課程大綱與教材
- 簽到表或線上課程完成證明
- 個人訓練時數彙整表
任務化
從上述的「資安政策 ⭢ 實施規範 ⭢ 作業程序 ⭢ 紀錄表單」四個層級，其實已經可以清楚看出這項作業希望達成的管理目標。
然而在實際執行時，常見的問題並不是「不知道制度存在」，而是不知道該從哪一步開始做，或是在執行過程中，不確定是否有流程細節被遺漏。因此，若僅停留在制度與文件層面，往往在真正執行、定期查核，甚至人員異動時，就容易出現落差。
透過「任務化」的方式來進行管理，不僅能在執行當下清楚拆解每一個應完成的步驟，確保所有細節都有被顧及；同時在未來定期執行或人員交替時，也能依照既定任務持續運作，確保該項目能被穩定、可重複地落實。
那麼，「任務化」到底是什麼意思？簡單來說，就是不要只停在一句制度要求，而是把它拆成一個個真的會被執行的工作任務。以「每年完成 3 小時以上資訊安全管理系統或資安認知課程訓練」為例，為了讓這項要求真的能落實，而不是只存在文件裡，我們可以把它設計成以下幾個明確的任務：
| 首次導入 – 制定「教育訓練簽到表」 | |
| 項目 | 內容 |
| 1 | 設計教育訓練簽到表格式與欄位 |
| 2 | 上傳「教育訓練簽到表」 |
| 3 | 公告「教育訓練簽到表」啟用與配套制度提醒 |
| 4 | 指派人員負責定期召開教育訓練 |
| 5 | 擬定後續「教育訓練簽到表」年度維護任務卡 |
| 例年維護 – 檢視並調整「教育訓練簽到表」 | |
| 項目 | 內容 |
| 1 | 彙整近一年執行情況與常見填寫錯誤 |
| 2 | 檢討更新表單欄位與填寫方式 |
| 3 | 填寫「制定修訂廢止申請單」 |
| 4 | 上傳「制定修訂廢止申請單」 |
| 5 | 上傳更新後的「教育訓練簽到表」 |
| 6 | 公告「教育訓練簽到表」更新啟用 |
| 7 | 指派人員負責定期召開教育訓練 |
| 8 | 擬定後續「教育訓練簽到表」年度維護任務卡 |
| 定期作業 – 執行「教育訓練」 | |
| 項目 | 內容 |
| 1 | 評估與規劃訓練主題與對象名單 |
| 2 | 邀請講師(內部/外部資安專家) |
| 3 | 公告與寄信給訓練學員 |
| 4 | 執行教育訓練並填寫「教育訓練簽到表」 |
| 5 | 上傳「教育訓練簽到表」予相關佐證資料 |
透過這樣的任務化設計，資安教育訓練就不再只是「每年要做 3 小時」的一句話，而是一套有人負責、有人執行、有表單可用、也有後續維護規劃的完整作業流程。並且，在查核或是人員交替期間，都有過往紀錄可以查看與稽核佐證使用。
執行挑戰
- 既然有了任務項目，就必須有明確的執行機制。
每一項任務都需要清楚指派負責人，設定任務說明、截止日期與通知日期，讓相關人員知道自己「什麼時候、要做什麼、做到什麼程度才算完成」，避免制度存在，卻沒有人真正負責推動。
- 當面臨查核或稽核需求時，執行紀錄就變得非常重要。
確實記錄並妥善留存歷次任務的執行狀況、完成時間及相關佐證資料，清楚呈現「已完成事項」與「進行中項目」，以提升資安落實情形的可視性與掌握度，避免組織因資訊不精確而影響判斷，並降低稽核期間臨時翻找資料或補件的情況。
- 在實務上也經常遇到人員交替或職務調整的情境。
透過任務與紀錄的方式，新接手的人員可以直接查閱過往執行情況，快速掌握制度背景與目前狀態，不必重新摸索或擔心遺漏關鍵作業，讓制度能夠順利銜接、不中斷。
- 資安窗口最有感的問題：任務內容其實非常多，而且分散在不同時間點
如果缺乏自動化的提醒與追蹤機制，任務很容易被遺忘，或是全部壓在少數人身上，造成執行負擔過重。以系統化方式進行任務管理與通知機制，才能真正降低人員負擔，讓資安工作成為「可持續的日常作業」，而不是靠記憶或加班撐起來的責任。
也正因如此，資安治理不只是「把制度寫好」，而是需要一套能協助人把事情做完、做對、持續做下去的工具與方法。如果在資安政策導入與落實的過程中需要更專業的協助，我們也提供完整的資安顧問服務，以及專為資安治理打造的落實平台 SAR（Security Accreditation & Regulation）。
SAR的設計初衷，就是協助企業更有效率地進行資安治理，無論是初次導入制度，或是持續追蹤與落實，都能以「任務導向」的方式，將所有待辦事項拆解為一張張清楚、可執行的任務卡，陪伴企業從制度規劃、風險評估，一路走到實際落地執行，最終建立可持續運作的資安治理體系。當制度被真正「任務化」之後，接下來最關鍵的問題就是：這些任務要如何被確實執行？
- 政策管理頁面
- 任務詳細
- 任務看板
【參考資料】
- ISO/IEC 27001:2022，https://www.iso.org/standard/27001
- Security Accreditation and Regulation，https://www.aaasec.com.tw/sar.html
By Jared