客戶寄來資安問卷，公司沒有人能回答

重點摘要

收到客戶的供應鏈資安問卷時，先把題目分成「已做到但缺證明」「需要補做」「不適用可說明」三類，優先補齊第一類的文件證明，再依風險處理第二類。

這個情境長什麼樣子

客戶寄來一份幾十頁的資安問卷，要求兩週內回覆。題目用的是資安術語，公司裡沒有人能確定每一題在問什麼，也不知道回答錯了會有什麼後果。不填，訂單可能就沒了。

逐題判斷屬於哪一類：已經做到但缺乏文件證明、需要實際補做、或是不適用可以說明。多數公司的第一類比想像中多——你可能已經有防毒、有權限管理、有備份，只是從來沒有寫成文件。先補這一類，回覆完成度會立刻提高。

不要空白，也不要勾選不實。多數稽核方接受「目前尚未完成，改善計畫與預計完成時間如下」的回答，但不接受事後被發現填了不實資訊。後者的後果遠比前者嚴重。

同一階的供應商面對的往往是同一份問卷，而且下一年還會再來一次。把這次的分類、證明文件與缺口清單整理成可重複使用的資料，下次的成本會明顯下降。

視客戶的採購政策而定。目前的趨勢是資安要求從建議轉為條件，未回覆或未達標可能影響供應商資格與後續訂單。實際後果應直接向客戶窗口確認。

代填只能解決文字，不能解決事實。問卷回覆是對客戶的正式聲明，內容必須與實際狀況一致，否則在後續的實地稽核或事件發生時會造成更大的問題。

稽核與合規支援協助你看懂客戶寄來的資安問卷與產業規範在問什麼，盤點目前的缺口，依風險排出補齊順序，並協助把回覆文件寫出來。

資安落地服務是把資安要求真正做進工廠的完整流程：從免費健檢、方案規劃、分階段部署，到教育訓練與持續守護。適合有 IT 但沒有專職資安人員的製造業中小企業。

不推銷、不綁約。我們花一個上午看過你的環境，給你一份具體的報告：目前有哪些缺口、依風險排出優先順序、哪些可以自己做、哪些需要協助。這份報告是你的，就算不合作也一樣。