收到委外服務「可能有資料外流」的通知時，一開始往往還不清楚發生什麼事、哪些資料可能受到影響。台灣據點的負責人不必獨自進行技術調查。請先儘速向公司內部主管通報，並同步聯絡委外廠商，整理目前已知的業務影響與後續確認事項。

台灣國家資通安全研究院於2026年10月15日發布的週報中，刊載了一起個人資料疑似外洩的案例：消費者提出疑慮，並懷疑第三方從委外廠商管理的平台不當取得資料。依週報摘要，相關業者已展開調查，檢視可能涉及的資料範圍及存取紀錄，也要求委外廠商調查並採取必要改善。這是仍在調查中的疑似事件，僅憑週報內容無法判定資料外洩已經確認，也無法得知原因或影響範圍。1

通報公司主管，同步整理已知狀況

先不加入推測，儘速把已注意到的情況告知公司內部主管。不要等到整理完整才聯絡；在通知委外廠商及等候公司判斷的同時，盡可能記下以下資訊。請把推測與已確認的事實分開，不清楚的地方就註明「尚不清楚」。

  • 哪項服務或系統用於哪些業務
  • 最初注意到什麼情況、何時發生、由誰從何處收到通知
  • 目前業務是否受影響，是否有工作暫停
  • 公司內部負責協調的窗口是誰
  • 是否已聯絡委外廠商，以及預計何時收到下一次回覆

不需要自行搜尋個人資料或系統紀錄，也不要擅自變更設定或刪除資料。原始通知或郵件應依公司內部程序妥善保存，避免操作影響委外廠商的調查。如果不確定該如何處理，請先詢問公司內部的資訊系統或資安負責人。

向日本總部確認「業務影響」與「由誰判斷」

可以向日本總部或公司內部主管確認：

  1. 這項服務支援的業務中，哪些需要優先確認？
  2. 台灣據點的日常業務要繼續或暫停，應由誰判斷？
  3. 是否需要聯絡客戶、員工或交易對象，應由公司內的誰決定？
  4. 誰負責統整對委外廠商的提問與回覆？
  5. 下一次狀況更新預計何時、透過什麼方式分享？

這些只是協助整理初期應對的提問範例。是否聯絡外部對象或如何處理法律事項，不能只由第一線負責人自行決定，應交由公司內部主管判斷。本文不討論台灣法律上的通報義務或期限。

向委外廠商分別確認「已知、調查中、下次回報」

向委外廠商詢問目前掌握的情況時，先不預設原因或責任歸屬：

  • 目前正在檢查哪項服務或環境？調查涵蓋哪段期間？
  • 本公司的使用環境或資料是否可能涉及？請分別說明已確認與尚未確認的事項。
  • 可能涉及的資料種類與範圍，目前掌握到什麼程度？
  • 由誰負責檢視相關紀錄？目前進行到哪個階段？
  • 已經採取哪些處理措施？接下來預計做什麼？
  • 本公司現在需要做什麼、避免哪些操作，或暫緩哪些工作？
  • 下一次回報預計何時，由哪個窗口聯絡？

請將回覆分為「已確認」、「調查中」與「尚未確認」，並記下下次聯絡時間。存取紀錄的分析、系統停止或設定變更等事項，應由公司內部主管與維護廠商依實際狀況判斷。第一線負責人不要刪除紀錄，也不要擅自變更帳號或設定。

日本資訊處理推進機構（IPA）指出，掌握整體供應鏈狀況的第一步，是找出具有資安風險的委外對象，並了解其資安措施的執行情況。2 平時先整理「哪些業務委託給哪些公司或服務」以及「發生問題時公司內部由誰負責」，有助於縮短確認時間。這是日本 IPA 提供的參考方向，不代表台灣法律上的義務。

降低等待下一次更新時的資訊落差

內部紀錄可包括確認時間、已知事實、尚未確認的事項、業務影響、負責窗口與下次回報時間。個人資料及詳細技術資訊不要廣泛轉寄，請依公司規定限制分享對象。收到新消息時，補上來源與接收時間，避免把先前的推測誤當成已確認資訊。

如果不容易釐清日本總部、台灣據點與委外廠商各自要確認什麼，可參閱協助整理台灣據點經營、現場與供應商之間 IT 課題的IT 顧問服務說明。[3]

出處與確認日期