# 主機商說有防護，網站就安全了嗎？企業先劃清五項責任

- 網址：https://www.edgedeploy.tw/blog/website-security-shared-responsibility-checklist
- 分類：中小企業資安
- 發佈日期：2026-08-27
- 更新日期：2026-08-27
- 作者：邊境部署

> 主機方案標示防火牆、備份與全天監控，不代表網站程式、帳號、客戶資料和事故處理都有人負責。本文帶企業主用五項問題劃清主機商、網站廠商與內部團隊的安全邊界，避免出事後才互相推責。

主機方案寫著防火牆、備份、全天監控，網站廠商也說系統放在雲端很安全。企業主因此以為有人會處理所有風險，直到網站被植入異常內容、客戶資料外洩，或更新後無法結帳，才發現主機商只確認平台仍在運作，網站廠商只負責收到報修後處理，內部也沒有人能停用帳號或決定是否通知客戶。

這不是單一廠商失職就能解釋，而是安全責任從未被拆開、寫清楚並驗收。可以把網站想成商場裡的店面。商場負責建築、電力與公共門禁，不會自動替店家管理收銀權限、商品資料與閉店盤點；裝潢公司完成櫃台，也不一定承擔每日巡店與失竊通報。店家若只問「這棟樓安全嗎」，仍不知道自己的門鎖由誰檢查。

## 雲端有防護，不等於網站每一層都有人負責

共享責任模型，是把平台提供者與使用企業各自負責的安全工作分開。Microsoft 的官方說明指出，責任會隨服務型態改變，但客戶資料、帳號、存取管理與自行控制的設定，通常仍需要使用方處理。這個概念不能直接當成你的合約答案，因為主機、代管網站與全包式服務的範圍可能不同。

企業真正要確認的是五層：底層主機與網路、網站程式與套件、管理帳號與權限、客戶資料與備份、監測與事故處理。某一層標示安全，不代表其他四層已被承接。例如主機商修補實體設備，不等於有人更新網站外掛；有每日備份，也不等於有人測過還原；有防火牆，更不代表表單權限與管理員帳號設定正確。

商業後果不只是一段停機時間。若沒有人負責接收漏洞通知、判斷影響、保存紀錄與聯絡其他廠商，企業會在事故發生後才臨時找窗口，延長訂單中斷與客服混亂，也更難說明哪些客戶資料可能受影響。

## 簽約或續約前，先問五個診斷問題

1. **誰負責更新？** 主機作業環境、網站核心、外掛與第三方串接各由誰檢查版本，多久一次，更新失敗時由誰回復？
2. **誰管理帳號？** 公司是否持有最高權限，廠商使用個人或臨時帳號，離場時能否立即停用，重要登入是否有雙重驗證，也就是密碼之外再確認一次身分？
3. **誰保護與復原資料？** 備份包含哪些資料、放在哪裡、保留多久，誰能取用，是否有實際還原證據，而不只是成功圖示？
4. **誰先知道異常？** 監測只確認首頁能開，還是也涵蓋登入、表單、付款與異常變更；警示會送給誰，多久內必須回應？
5. **事故由誰指揮？** 發現入侵、資料疑似外洩或服務中斷時，誰能先隔離、保存紀錄、聯絡主機商與網站廠商，並決定後續溝通？

美國國家標準暨技術研究院（NIST）的《網路安全框架 2.0》要求供應商、客戶與合作夥伴的資安角色應被建立、溝通與協調。它的供應鏈快速指南進一步建議，把責任、可驗證要求、資訊分享方式與事故合作寫進合約。重點不是照抄標準，而是讓每一項責任都有名稱、窗口、頻率與證據。

## 便宜方案少的可能是持續處理，不一定是底層安全

低價主機方案可能提供可靠的基礎設施，卻不包含網站程式更新、帳號盤點、應用層監測與事故判讀。全包維護方案費用較高，也不能只憑「全方位防護」四個字判斷。企業應要求責任表，至少列出項目、主責、協作方、執行頻率、回應時限、交付證據與另計費用。

服務水準協議（SLA）是把可用率、回應或修復目標寫成可衡量條件的約定。它可以協助比較方案，但要分清楚「收到通知後多久回覆」和「多久一定修好」不是同一件事。未知原因、第三方服務故障或需要企業授權的處置，也可能無法承諾固定修復時間。誠實的方案會寫出排除項目、升級路徑與需要客戶配合的決策，不會保證永遠不出事。

## 企業可以先做一頁責任表，再決定補哪個缺口

企業主可以先整理主機、網域、網站後台、程式碼、備份、分析與第三方服務的帳號及合約，建立一頁表格。每個項目寫下公司窗口、外部窗口、續約日、最後檢查時間、異常通知去向，以及可取得的紀錄。數位發展部資通安全署的《中小企業基本資安防護指引》也把帳號管理、設備與資料管理、軟體更新、備份演練及事件應變列為基本工作，這些正好可用來檢查責任表是否有空白。

預算有限時，先補會中斷收款、詢價與登入的流程，再處理高權限帳號、含客戶資料的系統與無法替代的第三方服務。若只是形象網站、沒有會員與交易，企業可用簡單清單配合定期維護；若涉及電商、會員、付款、醫療或大量個資，就需要更細的權限、紀錄、備援與事故流程。

## 何時需要專業團隊共同盤點

若現有合約說不清主機與網站維護差別、多家廠商互相依賴、公司拿不到管理權限，或已出現不明修改與異常登入，就不適合只靠口頭確認。專業盤點應把實際設定、帳號、更新狀態、備份還原、監測與通報流程逐項驗證，再把缺口分成可立即修正、需要改約與需要重新設計三類。

接洽前可準備目前網站網址、主機與維護合約、服務清單、廠商窗口、管理帳號持有人、最近一次更新與備份紀錄，以及最不能中斷的營運流程。邊境部署可以協助把這些資料整理成責任矩陣、驗收項目與事故協作流程。目標不是把所有責任推給單一廠商，而是讓每一個重要風險都有人看見、能被驗證，也知道出事時先做什麼。

### 查證來源

- [Microsoft Learn：雲端共享責任](https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility)
- [NIST：網路安全框架 2.0](https://csrc.nist.gov/pubs/cswp/29/the-nist-cybersecurity-framework-csf-20/final)
- [NIST：網路安全框架 2.0 供應鏈風險管理快速指南](https://csrc.nist.gov/pubs/sp/1305/final)
- [數位發展部資通安全署：中小企業基本資安防護指引](https://www-api.moda.gov.tw/File/Get/acs/zh-tw/1rpP5Mb1iyZwZUF)