電商網站資安怎麼顧？SSL、更新、備份與被駭應變

基本防護：SSL、更新、強化登入

幾個基本的網站防護：一、SSL（網址是 https、有鎖頭）——加密客人與網站之間的傳輸，保護客人輸入的資料不被竊取，現在幾乎是必備。二、保持系統與套件更新——用的平台、外掛、套件要保持更新，很多入侵是利用「沒更新的已知漏洞」。三、強化後台登入——強密碼、兩步驟驗證、限制登入嘗試，別讓人輕易爆破你的後台。

如果你是用成熟的電商平台（SaaS），這些安全很多是平台幫你顧的，相對省心——這也是用可信平台的好處之一。如果是自架或自己開發的網站，這些就要自己（或找人）顧好，責任與風險都更高。選擇架站方式時，資安的負擔與能力也該納入考量。

備份：最後一道保命符

備份是網站資安「最後、也最重要的一道保命符」。萬一網站被駭、被勒索軟體加密、資料被毀損或誤刪，有乾淨、可還原的備份，你就能救得回來；沒有備份，可能就是毀滅性的損失。所以一定要「定期備份、而且確認備份能還原」（備份了卻還原不了等於沒備份）。

備份的原則：定期（依資料更新的頻率）、異地（別跟正式資料放一起，不然一起遭殃）、並定期測試還原。尤其面對越來越多的勒索軟體攻擊，有良好的備份，是你能不被勒索綁架、能快速復原的底氣。這一塊投資絕對值得。

選可信的服務、顧好第三方

電商網站通常串接很多服務——金流、物流、各種外掛與第三方工具。這些服務也是資安的一環：選可信、有在維護安全的服務商；給第三方的權限與資料也要節制（只給必要的）；留意你串接的服務有沒有出過資安事件。你的網站安全，某種程度也取決於這些第三方的安全。

這也呼應了「資料最小化」與「最小權限」的原則——別為了方便，把過多的資料或權限給出去。串接越多、給出去越多，風險的面就越大。定期檢視你用了哪些第三方服務、給了什麼權限，把不必要的收掉，縮小風險。

網站被駭了：先報警備案、保留證據

萬一發現網站被駭、被植入、被竄改、或被勒索，第一步一樣是「報警備案、保留證據」——保留被入侵的跡證、系統日誌、勒索的訊息等（別急著全部清掉，那可能是追查的線索），向警方報案（涉及勒索、詐騙可撥一六五或向當地警察局報案）。這讓事件進入正式處理，也留下紀錄。

報警備案後，接著處理：止血（讓受害的網站下線或隔離，避免傷害擴大、避免繼續外洩客人資料）、找專業的資安協助清查與修復、用乾淨的備份還原、找出並補上被利用的漏洞。若涉及客人資料外洩，還要依規定通知客人與主管機關、誠實處理。被駭不丟臉，重點是「有沒有負責任地正確處理」。具體法律與通報義務，建議諮詢專業人士。