搜尋
免費試用

虹科最新文章

HongKe

Lorem ipsum dolor sit amet, consectetur adipiscing elit.Ut elit tellus, luctus nec ullamcorper mattis, pulvinar dapibus leo.

【虹科方案】從被動防禦到主動預防：用 KnowBe4 輕鬆應對年度風險評估與安全審核

01. 引言：香港《保護關鍵基礎設施（電腦系統）條例》即將到來

在2026新年一開始，很多 CISO 和風險經理都在面臨同一個頭痛的問題：《保護關鍵基礎設施（電腦系統）條例》第24條和第25條要求，必須每年做一次電腦系統安全風險評估，每兩年做一次安全審核，而且還得在指定期限內提交完整報告。
 
聽起來很熟悉對吧？但實際上，這兩個要求的「分量」比你想的重很多。
第24條不只是說「評估一下有沒有漏洞」，而是要你系統性地識別、分析、記錄威脅和風險，並持續追蹤。 第25條更要求你安排獨立審核員驗證你的安全管理計劃是否真正在運作，控制措施是否有效。 換句話說，你需要拿得出證據——不是猜測，不是「我覺得風險不大」，而是紮實的、可追蹤的、可驗證的數據。
 
大多數企業的做法是：掃描漏洞、寫個報告、交給監管單位，完事。但這種「交功課式」的評估有個致命的弱點——它往往忽視了最難量化、卻最致命的風險來源：員工行為。
統計數據很無情：超過 80% 的網絡安全事故都牽涉人為因素，從釣魚郵件、密碼重用、到無心分享敏感資料。但在很多企業的年度風險評估裡，這一塊卻是一片空白。你會看到「技術風險評級：高」，但看不到「員工安全意識風險：未評估」。
這就是為什麼 KnowBe4 正在變成越來越多企業在第24、25條合規旅程中的必選項——它幫你把「人為風險」從一個看不見、摸不著的黑盒，變成一套可量化、可改進、可審計的系統。

02. 核心價值一：風險評估變「真實」——量化人為風險，別再靠猜

傳統評估的盲點

傳統的風險評估通常會問：
  • 有沒有防火牆？
  • 系統有沒有打補丁？
  • 備份是否定期進行？
這些都重要，但只回答了「技術層面的風險」。卻完全沒碰到一個尖銳的問題：你的員工有多容易被騙？
根據業界研究，這個數字通常是 20～40%——意思是，你公司裡大概有 1/5 到 2/5 的人會點開釣魚郵件。這不是小數字，這是一個嚴重的風險缺口。
但問題是，傳統評估方法根本沒辦法精確量化這個缺口。你問員工「你覺得自己能識別釣魚嗎？」，99% 的人會回答「能啊，我很小心」。然後你真的發一封釣魚郵件給他們，結果一半的人都上鉤了。

KnowBe4 的方案：基線測試 + 動態評分

KnowBe4 用最直接的方式——實戰——來建立「人為風險」的評估基線：
1. 首次釣魚基準測試（Phishing Security Test）
在第24條風險評估正式開始前，KnowBe4 會對全公司員工發送一波精心設計的模擬釣魚郵件。這些郵件不是隨意的，而是根據你們行業常見的社工手法打造的——比如假匯款通知、假快遞簽收提醒、假老闆授權要求等。
 
測試完成後，你會得到一份清晰的報告：
  • 整公司易受釣魚率（Phish-prone Percentage）：比如 28%
  • 按部門的風險分佈：人資部 15%、財務部 35%、IT 部 8%
  • 按職級的風險分佈：普通員工 30%、中層主管 18%、高層 5%
這份數據，就是你風險評估報告裡「人為威脅可能性」那一欄的第一手證據。而且重點是——這是真實行為數據，不是問卷調查，說服力完全不一樣。
2. 持續的動態風險評分
一次測試不叫評估，持續監測才叫管理。KnowBe4 的智能風險評分引擎會根據以下訊號，對每個員工動態計算風險分數：
 
  • 是否點擊了釣魚郵件？
  • 有沒有完成安全培訓課程？
  • 在測試中的表現有沒有改善？
  • 是否主動舉報可疑郵件？
綜合這些因素，系統會給出一個可視化的「員工風險分布圖」——你能清楚看到有多少人從「高風險」轉移到「中風險」再到「低風險」，這就是風險改善趨勢的最佳證明。
對於風險評估報告來說，這意味著你不是在交一份「去年的風險快照」，而是在展示「我們的風險管理如何在持續改進」——這正正是第24條要求的「持續監察」。

三、核心價值二：審核變「有底氣」——用實戰測試證明控制真的在運作

審核員會問什麼

CISO 第25條要求的審核，不是簡單的「檢查清單」。 第三方審核員會深入詢問：
  • 你說員工有進行安全培訓，怎麼證明？
  • 你說有風險控制機制，這些控制真的在運作嗎？
  • 過去一年有沒有持續驗證這些控制的有效性？
傳統企業的回答通常是：「有啦，我們每年都發一份《員工安全手冊》PDF，讓大家簽名確認收到。」
審核員聽了會皺眉：「簽名確認≠實際知道內容，更不等於員工改變了行為。」
這是審核的難點——你需要證明的不只是「做了什麼」，而是「有什麼效果」。

KnowBe4 的方案：把測試變成持續的「控制驗證」活動

在審核員眼前，KnowBe4 最強的招牌是什麼？不是培訓課程的多寡，而是一套完整的、歷史可查的、不斷疊代的「實戰驗證記錄」。
 
1. 標準化的社交工程測試 = 審核的「控制測試」
CISO 第25條要求安全審核必須涵蓋「驗證安全管理計劃的有效運作」。 什麼叫「有效運作」？其中最直觀的方式，就是定期的、真實的攻擊模擬。
 
KnowBe4 的做法很簡單：每週或每月給員工發一波釣魚模擬。這些模擬涵蓋：
 
  • 常見的銀行 & 金融詐騙郵件
  • 假冒供應商的採購詐騙
  • 假冒 CEO 的授權要求
  • 假冒快遞 / 物流的簽收通知
每一輪測試都會被紀錄下來，審核員可以看到：
  • 測試時間、內容、針對人群
  • 多少人點擊、多少人舉報、多少人上當後接受了再培訓
  • 前後測試的點擊率是否有改善
這不只是「數據」，而是「控制有效性的實時體溫表」。審核員會看到，不是你說「我們有安全意識計劃」，而是你展示「我們每月都在實測員工防禦能力，並根據結果調整培訓策略」。這完全是兩個層級的說服力。
2. 可追蹤的證據鏈
CISO 第25條要求你交出「書面紀錄」，證明審核是怎麼進行的。 KnowBe4 可以自動生成的審核級別報告包括：
 
  • 測試明細表：每次釣魚測試的具體參數（發送時間、內容、目標人群、結果數據）
  • 風險改善趨勢圖：用圖表展示員工安全意識的改善軌跡（通常是向下傾斜的「好消息」曲線）
  • 部門對標表：各部門的風險評分對比
  • 個人學習紀錄：誰完成了什麼培訓、通過了什麼測試、改進了多少
審核員看到這套資料，會感到：「這家企業對人為風險的管理非常系統，不是應付式的。」

四、核心價值三：報告變「簡單」——一鍵導出監管級別的文檔

時間成本的真相

根據很多企業的回饋，年度風險評估和兩年一度審核最耗時間的，往往不是「做評估」的技術工作，而是「找數據、組織數據、砌報告」的行政工作。一份合規的評估報告，通常要跨越多個部門、多套系統，才能拼湊出完整的圖景，這個過程往往耗時 4～8 週。
KnowBe4 可以把這個時間縮短到幾天。

KnowBe4 的內建報告系統

平台內置 60+ 種報告模板，包括：
 
  • 管理層儀表板：CEO 和風險委員會一眼就能看到整公司的安全姿態、主要風險指標、改善趨勢
  • 詳細風險評估報告：可直接作為第24條報告的「人為風險」章節提交
  • 審核就緒報告：按照 ISO 27001、NIST 等標準框架組織，第三方審核員一看就知道你符合哪些要求
  • 部門/職能分析報告：讓不同部門主管了解本部門的安全漏洞在哪
所有報告都可以一鍵導出為 PDF 或 Excel，直接嵌入你的評估文檔，不用再手工轉製。

「已盡應盡努力」的法律護盾

CISO 第66條提到了「已盡應盡努力」的概念，意思是：即使你確實遭遇了網絡攻擊，只要能證明你已經竭盡所能做好防禦，責任會大幅減輕。
 
KnowBe4 產生的這套紀錄體系，就是你「已盡應盡努力」的最佳法律武器。因為你能證明：
  • 我們定期評估人為風險
  • 我們持續進行社交工程測試
  • 我們根據測試結果不斷優化培訓
  • 我們有詳盡的改善記錄
這套證據在事後的審查或甚至法律訴訟中，都能幫你大大減輕責任。

實踐清單：從今天開始的三步行動

如果你是風險或技術負責人，正在為年度評估和即將到來的審核忙得焦頭爛額，不妨考慮這三步：
第一步：基線診斷（本月完成） 預約 KnowBe4 免費演示，進行一次全公司釣魚基準測試。花 30 分鐘的部署時間，換回一份清晰的人為風險快照。
第二步：評估報告重構（下月啟動） 將基線數據整合到你的年度風險評估報告中，特別是在「威脅識別」和「現有控制有效性」這兩個章節。
第三步：審核就緒（持續進行） 建立月度的釣魚測試和培訓計劃，讓第三方審核員在查閱時，看到的是一份動態進行的、有持續驗證的安全管理計劃，而不是一份靜態的、過時的文件。

四、結語

CISO 第24、25條不是要增加你的工作量，而是在督促你：把安全管理從「應付式」轉向「系統性」。
 
KnowBe4 的核心貢獻是什麼？就是幫你在最容易被忽視的「人為風險」維度上，建立起一套可重複、可驗證、可改進的管理機制。這樣，當監管機構或審計師問「你怎麼確保員工不會成為你的最大弱點」時，你有數據、有故事、有趨勢圖作支撐，而不是一句「我們很重視」。
👉 立即行動：預約 KnowBe4 評估演示，30 分鐘內完成一次全公司釣魚基準測試。了解你今天的人為風險在哪裡，為明年的評估和審核預留充足的改進時間。
前往KnowBe4产品页面

其他文章
虹科案例

【虹科方案】為何規則密集型業務更適合低程式碼：把決策邏輯從「寫死」變「可配置」

眾多規則密集型企業於數位轉型時，常面臨業務規則與底層程式綁死、調校流程繁瑣、跨系統邏輯難統一等痛點。低程式碼可將判斷邏輯轉為可視化配置，縮短規則迭代週期，釐清業務與IT分工。Decisions平台整合低程式碼環境與規則引擎，獨立搭建共用決策層，支援拖拉式規則管理、跨系統串接調用，兼顧營運彈性與IT治理監管需求。

閲讀更多
HongKeTechnology 2026年6月23日
close menu icon

聯繫虹科幫您解決難題

Let's have a chat