免費資源
中小企業 IT 就緒檢查表
22 個問題，是每家匹茲堡與克里夫蘭的小型企業都應該能回答的技術問題。每題都有綠色、黃色與紅色三種答案，以及一個下一步行動。請預留約 20 分鐘。
完整的檢查清單就在本頁，可列印的評分表則包含相同的問題與勾選框。
約 20 分鐘完成
22 個問題涵蓋 6 個領域
附評分讓您知道該先修正什麼
涵蓋的平台
評分方式
請點選最符合貴公司目前狀況的答案。您的累計分數會顯示在「為自己評分」區塊。
綠色：狀況良好黃色：值得儘快修正紅色：請優先處理
1. 身分識別與存取
密碼一旦被竊，攻擊者就能直接進入您的電子郵件與檔案。這四個問題排在最前面，因為修正的成本很低。
Q1.是否要求每位使用者在每個商務應用程式上都使用多重要素驗證？
綠色在 Microsoft 365 / Google、VPN、遠端存取、網路銀行、業務應用程式以及每個管理員帳號上強制使用 MFA。最好是防釣魚的方式（通行金鑰、FIDO2 或數字比對）。
黃色電子郵件有 MFA，其他應用程式沒有；或僅使用簡訊 MFA（可被釣魚）。
紅色MFA 為選用或關閉。
下一步：Microsoft 與 Google 都免費提供 MFA。請在 30 天內於各處全面啟用。
Q2.員工是否使用密碼管理員，密碼重複使用是否已降到零？
綠色由公司出資的密碼管理員（1Password、Bitwarden、Keeper、Dashlane），設有共用保險庫，且每個人都在使用。
黃色有些人使用管理員，其他人則重複使用密碼，或把密碼存在試算表裡。
紅色沒有管理員，而且像 Summer2024 這種季節性密碼很常見。
下一步：請購買商務方案。免費與個人方案缺少復原、依角色共用與稽核紀錄功能。預算為每個席位每月 4 到 8 美元。
Q3.是否有正式的離職流程，能在一個工作日內撤銷存取權？
綠色有一份檢查表，涵蓋停用登入、撤銷權杖、轉寄電子郵件、輪換共用密鑰與回收裝置，且一律當天完成。
黃色電子郵件與 Microsoft 365 已關閉，但共用的 SaaS、VPN 或舊權杖仍然留存。
紅色離職員工可能仍有存取權。
下一步：本週建立一份一頁的離職檢查表。您的團隊曾讓人登入過的每個應用程式，都要列在清單上。
Q4.管理員帳號是否遵循最小權限原則，且不與人們用來讀郵件的帳號相同？
綠色網域、Microsoft 365、防火牆等各自使用獨立的管理員帳號。日常電子郵件與瀏覽使用無特殊權限的帳號。盡可能使用 PIM 或即時存取。
黃色全域管理員人數過多，或同一個管理員帳號被拿來做所有事情。
紅色每個人在自己的電腦上都是管理員，而老闆用全域管理員來讀郵件。
下一步：在 Microsoft 365 中開啟「作用中的使用者」，再開啟「管理員角色」，將全域管理員縮減為少數幾位。建立專用的管理員帳號，且不拿來做其他事。
2. 備份與復原
這五個問題談的是：如果明天早上伺服器、筆電或您的 SaaS 資料不見了，您多快能恢復工作。只有在您實際從備份還原成功之後，才算有備份。
Q5.您是否備份了 SaaS 資料（Microsoft 365、Google Workspace、QuickBooks Online）？
綠色第三方備份（Datto SaaS Protection、Afi、Dropsuite、Spanning）涵蓋所有 SaaS，並有您審閱過的保存原則。
黃色您以為 Microsoft 或 Google 就是您的備份。它們內建的保存期限有限，也無法保護您免於刻意的刪除。
紅色完全沒有任何 SaaS 備份。
下一步：挑選任一信譽良好的 SaaS 備份服務，本週就啟用。價格通常為每個席位每月 3 到 6 美元。
Q6.您的備份是否至少有一份存放在您用一般登入帳號無法存取的位置？
綠色您遵循 3-2-1：三份副本、兩種媒體、一份異地或不可變更（S3 Object Lock、Wasabi Immutability、Datto）。
黃色您有異地備份，但用與正式環境相同的管理員憑證就能存取。
紅色備份與它所保護的資料放在同一台伺服器、NAS 或網域中。
下一步：加入一個不可變更或實體隔離的備份目的地。取得您管理員登入權限的攻擊者，可以刪除該登入帳號能存取的任何備份。
Q7.您上一次成功的還原測試是什麼時候，而不只是上一次備份？
綠色過去 90 天內，曾實際還原一個檔案或虛擬機器，以驗證備份可用。
黃色備份每晚都在執行，但過去一年沒有人真正從中還原過。
紅色您不確定備份上次測試是什麼時候，或是否曾經測試過。
下一步：每季安排一次還原測試，針對一個關鍵檔案、一整台機器，以及一組雲端資料集。把它設成定期行事曆工作。
Q8.您是否知道自己的 RTO（可容忍停機多久）與 RPO（可承受損失多少資料）？
綠色每個關鍵系統都有書面的 RTO 與 RPO，並經業主同意，備份的規劃也能達成兩者。
黃色您大致有概念，但沒有書面紀錄或驗證。
紅色從未討論過。一旦中斷，您只能臨機應變。
下一步：詢問每位部門主管：如果這項資料在上午 9 點消失，最晚需要在什麼時候恢復？答案就是您的 RTO。接著確認您的備份頻率足以達成每個 RPO。
Q9.如果您的主要據點停電並斷網 48 小時，業務還能持續運作嗎？
綠色員工可遠端工作、使用雲端電話系統，且有書面的容錯移轉步驟。
黃色部分員工可以遠端工作，但核心系統（共用磁碟機、業務應用程式、電話）會離線。
紅色在據點恢復之前，您將無法營運。
下一步：寫一份一頁的持續營運計畫：誰打給誰、客戶在電話中聽到什麼，以及員工在哪裡工作。
3. 端點與電子郵件安全
五個問題，談您團隊使用的裝置，以及送達這些裝置的電子郵件。
Q10.每台筆電、桌機與伺服器，除了內建防毒軟體之外，是否還執行其他防護？
綠色100% 的端點都有託管 EDR（SentinelOne、CrowdStrike、Huntress，或由專人監看警示的 Defender for Business）。
黃色Defender 或其他防毒軟體已啟用，但沒有人審閱警示。
紅色只有內建防毒，或部分電腦什麼都沒有。
下一步：盤點每個端點，確認都有新式 EDR，且有專人處理警示。請檢查伺服器與老闆的筆電，這兩者很容易被遺漏。
Q11.作業系統與第三方應用程式是否在明訂的期限內完成修補？
綠色有修補管理工具與明確原則：重大修補在 7 天內完成，其他在 30 天內，並提供每月合規報告。
黃色作業系統會自動更新，但第三方應用程式（Adobe、Java、瀏覽器）漸漸落後。
紅色有人注意到時才進行修補。
下一步：選擇一套修補管理工具（NinjaOne、PDQ、Intune、Action1）並訂定原則。除了作業系統之外，也要涵蓋瀏覽器與其他第三方應用程式。
Q12.除了原生供應商的過濾之外，收到的郵件是否還會經過能攔截釣魚與冒充的過濾器？
綠色使用 Mimecast、Proofpoint、Avanan、IRONSCALES 或類似產品，並已啟用冒充防護。
黃色僅使用預設的 Microsoft 365 或 Gmail 過濾器，仍有一些明顯的釣魚郵件進入收件匣。
紅色沒有進階郵件過濾；偽冒執行長的郵件能夠通過。
下一步：啟用您的授權已包含的進階防釣魚原則（Microsoft 365 Business Premium 以上），或加購專用的安全郵件閘道。預算為每個席位每月 3 到 5 美元。
Q13.您的寄信網域是否已設定 SPF、DKIM 與 DMARC？
綠色三者皆已設定。DMARC 為 p=reject 或 p=quarantine，且您會監看彙總報告。
黃色已設定 SPF 與 DKIM，但 DMARC 為 p=none（僅回報）。
紅色三者皆未設定，或 SPF 犯了常見的 +all 或 ?all 錯誤。
下一步：到 mxtoolbox.com 檢查您的網域。沒有強制執行的 DMARC 原則，別人就能寄出看似來自您網域的電子郵件。
Q14.每台筆電是否都啟用了全磁碟加密？
綠色100% 的筆電都啟用 BitLocker（Windows）或 FileVault（Mac），且復原金鑰託管於 Entra ID、Intune 或 Jamf。
黃色大多數筆電已啟用，但沒有集中的復原金鑰保管庫。
紅色未啟用，或不確定。
下一步：任何人撿到未加密的筆電，都能讀取其中的檔案。BitLocker 與 FileVault 內建於 Windows 與 macOS，一項原則就能啟用。
4. 網路與遠端存取
這一節涵蓋防火牆、網路的劃分方式，以及員工如何從辦公室外部連線。
Q15.您的防火牆是否為新式、仍受支援，且至少每年檢視一次？
綠色使用當代防火牆（Fortinet、Palo Alto、SonicWall、Meraki、OPNsense），授權有效、已啟用入侵防禦，且規則每年審閱。
黃色有防火牆，但授權已過期，規則也未經審閱。
紅色使用消費級路由器、已終止支援的防火牆，或從未設定預設規則。
下一步：超過終止支援日期的防火牆不再取得安全性更新。請確認機型仍受支援，並續訂授權。
Q16.訪客裝置、IoT（攝影機、恆溫器、印表機）與員工筆電，是否分別位於不同的網路？
綠色已分段：生產 VLAN、IoT VLAN，以及具用戶端隔離的訪客網路。印表機位於自己的 VLAN。
黃色有訪客網路，但 IoT 裝置與主網路共用。
紅色所有東西都在同一個扁平網路上。
下一步：在扁平網路上，一台被入侵的恆溫器就能連到您的檔案伺服器。只要有新式無線基地台與可管理交換器，為小型辦公室做網路分段大約只需一個下午。
Q17.員工如何遠端連線到公司，這種方式安全嗎？
綠色單一登入加上零信任存取（Cloudflare Access、Tailscale、Twingate），或搭配 MFA 的新式 VPN。沒有對網際網路開放 RDP。
黃色舊式 VPN，僅使用帳號與密碼。
紅色RDP 或遠端工具暴露在網際網路上，並使用共用憑證。
下一步：今天就關閉任何對網際網路開放的 RDP 連接埠，並把遠端存取移到搭配 MFA 的 VPN 或零信任工具之後。
5. 事件應變與資產
這三個問題談的是：事件發生後的前半小時您會怎麼做、員工能否辨識釣魚郵件，以及您是否清楚自己擁有哪些設備。
Q18.是否有一份一頁即可寫完的書面事件應變計畫？
綠色有：包含聯絡人、決策樹、由誰聯絡網路保險業者、由誰對客戶說明，以及計畫存放在哪裡。每年審閱。
黃色有計畫，但兩年來沒有人讀過。
紅色沒有計畫。
下一步：以一頁篇幅寫出計畫，涵蓋綠色項目下列出的內容，保留一份紙本，並每年審閱一次。
Q19.員工在過去 12 個月內是否接受過釣魚郵件防範意識訓練？
綠色有，使用信譽良好的平台（KnowBe4、Hoxhunt、Wizer、Curricula），且誤點率呈下降趨勢。
黃色僅在到職時訓練一次，之後就沒有了。
紅色沒有訓練。
下一步：訓練不必是一整天的課程。可以每月使用五分鐘的影片，搭配有評分的模擬釣魚郵件。
Q20.您是否有完整且最新的資產清單（誰拿哪台筆電、有哪些伺服器、雲端上有什麼）？
綠色由 RMM 或 MDM（Intune、NinjaOne、Jamf）自動維護的清單，即時更新。
黃色有人每年更新一次的試算表。
紅色您要四處看看才知道自己有哪些資產。
下一步：選一套 RMM 或 MDM，讓它替您建立清單。
6. 廠商與文件
兩個問題：持有您資料的公司，以及只存在於某一個人腦中的知識。
Q21.如果某家關鍵廠商（會計平台、檔案共用工具、CRM）本週末發生資料外洩，您知道他們替您保管哪些資料嗎？
綠色您有一份主要廠商的簡短清單，載明每家保管哪些資料，並持有其最新的安全報告副本。
黃色您信任您的廠商，但從未以書面向他們詢問過任何事。
紅色您沒有清單。廠商發生外洩時，您是從新聞得知。
下一步：挑出三家資料最敏感的廠商，向每家索取最新的安全報告。若廠商無法提供，請將其記為風險。
Q22.如果唯一懂得所有 IT 運作的人明天請假，別人能弄清楚嗎？
綠色重要事項（系統在哪裡、如何登入、該聯絡誰）都寫在隊友找得到的地方，並在有變動時更新。
黃色某一位工程師或老闆，是一切運作方式的單點故障。
紅色只有一個人知道，而且什麼都沒有寫下來。
下一步：每月排出一小時，把只有一個人知道的 IT 事項寫下來。
為自己評分
您在 22 個問題中選的綠色、黃色與紅色答案，會在您點選時於此統計。
您已回答 0 題（共 22 題）。請在上方每個問題中點選符合您狀況的答案。
0綠色
0黃色
0紅色
0/22已回答
綠色 18 個以上：您的狀況良好。請透過每季還原測試、每月修補與每年的原則審閱來維持。
綠色 11 至 17 個：基本功大致到位。請挑出最嚴重的三個黃色項目，並在 90 天內處理完畢。
綠色少於 11 個，或 Q1、Q5、Q6、Q10、Q14 中有任何紅色：請先處理這五題中的任何紅色，接著處理其餘的紅色，最後再處理黃色。
尋求第二意見
KawaConnect 為賓州西部與俄亥俄州東北部的小型企業提供免費的 IT 就緒諮詢通話。請向我們說明您的答案，我們會告訴您我們會先修什麼，以及大約的費用。若需要長期協助，請參閱我們的託管 IT 服務。
預約免費準備度諮詢下載評分表0 / 22 已回答查看我的分數
