新加坡中小企業資安指南

為什麼中小企業是最大的攻擊目標

網路犯罪者只針對大企業——這是一個危險的誤解。CSA（新加坡網路安全局）調查顯示，39%的新加坡SME曾遭遇資安事件。中小企業往往缺少專職資安團隊，反而成為更具吸引力的攻擊目標。

一次勒索軟體攻擊就可能造成數萬美元的復原成本和業務損失。

新加坡資安體系

CSA（網路安全局）

CSA是新加坡負責國家網路安全戰略的主要政府機構。**網路安全法（2018）**主要針對關鍵資訊基礎設施（CII），但CSA為各種規模的企業提供資源。

政府支援計畫

計畫	內容	對象
CSA Cyber Essentials	自願認證，5個領域框架	全部SME
SG Cyber Safe	安全意識資源、工具包	全部企業
IMDA資安補助	安全解決方案最高70%補助	SME
Cyber Trust Mark	更高級別認證	大型組織

SME面臨的主要威脅

1. 商業郵件詐騙（BEC）

BEC是新加坡企業面臨的頭號網路威脅。攻擊者冒充高階主管、供應商或合作夥伴，誘騙財務人員轉帳。

防範方法：

• 付款資訊變更時必須電話確認
• 超過一定金額的付款實行雙重審批
• 仔細檢查郵件寄件人地址

2. 勒索軟體

沒有備份的SME最為脆弱。攻擊者加密業務資料，要求以加密貨幣支付贖金。

3. 釣魚攻擊

新加坡常見的釣魚攻擊冒充：IRAS（虛假退稅通知）、MOM（虛假工作準證更新）、SingPost（虛假包裹通知）、銀行（DBS、OCBC、UOB安全警報詐騙）。

4. 供應鏈攻擊

供應商或軟體供應商被攻破時，即使您自己的系統沒有被直接攻擊，資料也可能洩露。

CSA Cyber Essentials — 5大核心領域

1. 資產管理 — 盤點所有硬體、軟體、雲端服務，識別敏感資料儲存位置
2. 保護 — 部署防火牆、安裝防毒軟體、使用強密碼、加密敏感資料
3. 更新 — 啟用自動更新、保持軟體最新、汰換已停止支援的軟體
4. 備份 — 3-2-1規則：3份副本、2種媒體、1份異地保存，定期測試還原
5. 回應 — 定義事件回應角色、編寫流程、每年至少演練一次

SME資安檢查清單

帳戶安全

• 所有業務帳戶啟用雙因素驗證（2FA）
• 使用密碼管理器管理強密碼
• 離職員工帳戶立即停用

資料保護

• 按敏感度分類業務資料
• 共享前加密敏感檔案
• 機密文件使用安全共享工具而非普通郵件

分享合約、財務資料、客戶資訊等敏感業務文件時，避免使用未加保護的郵件附件或直接透過LINE傳送。LOCK.PUB可以建立需要密碼才能存取的連結，為檔案共享增加一層保護。

員工培訓

• 定期開展資安意識培訓
• 進行模擬釣魚演練
• 營造積極通報可疑活動的文化

遭到攻擊時怎麼辦

1. 將受感染系統從網路中隔離
2. 保全證據
3. 向SingCERT通報（singcert.org.sg）
4. 個人資料洩露時通知相關方
5. 必要時聘請專業事件回應團隊

關鍵要點

行動	優先順序	成本
所有帳戶啟用2FA	立即	免費
實施3-2-1備份規則	本週	低
申請IMDA資安補助	本月	最高70%補助
取得CSA Cyber Essentials認證	本季	中等
開展員工安全培訓	持續	低至中等

資安不必昂貴或複雜。從基礎做起，利用新加坡政府支援計畫，使用LOCK.PUB等工具安全地共享敏感資訊。

---

用密碼保護您的業務文件。試試LOCK.PUB — 安全共享敏感檔案，避免郵件洩露風險。