解決人員變動帶來的資安問題，3C 公司採取的措施

在企業經營中，人員的流動是常態，但資安風險往往伴隨而來。ISO 27002:2022 6.5 條文強調，組織應確保聘用終止或變更後仍保持有效的資訊安全責任。本文透過 3C 公司（Comms, Components, and Computing）的案例，探討人員變動對資安的影響，並提供可行的管理策略。

3C 公司的人員變動與資安挑戰

3C 公司是一家專門開發智慧設備的中小企業，近期因市場競爭激烈，內部發生多起人員異動，包括：

• 資安工程師離職，帶走重要系統權限。
• 業務員轉職競爭對手，可能攜帶客戶資料。
• 開發團隊重組，部分專案交接不完全。

這些情境顯示，人員變動若未妥善管理，將導致企業面臨資安風險，甚至影響競爭力。

如何透過ISO 27002:2022 6.5 條文降低風險？

為解決人員變動帶來的資安問題，3C 公司採取以下措施：

1. 建立「離職風險評估機制」
2. • 研究指出，組織應於離職前進行風險評估，以確保資訊安全不受影響。3C 公司在員工遞交離職通知後，立即啟動「資訊存取權限檢查」，確保離職員工無法存取關鍵系統。
2. 導入「知識傳承與交接機制」
3. • 根據 Nonaka的知識管理理論，企業應確保關鍵資訊能在團隊內有效傳承。因此，3C 公司規定，員工變動時，須透過「文件化交接」與「雙人交接確認機制」，避免資訊流失。
3. 簽署「離職保密與競業條款」
4. • 法規與心理學研究指出，當個人明確了解自身的法律責任時，違規行為的可能性將顯著下降。3C 公司強制要求所有高風險職位（如業務、技術團隊）在離職時簽署保密協議，確保離職後仍須履行資訊安全義務。
4. 進行「變更管理訓練」
5. • 研究顯示，企業若能讓員工了解變更的影響，並積極參與調整，則變動過程將更為順利。3C 公司定期舉辦「變更管理訓練」，確保員工對於職務變動的資安責任有清楚認知，降低內部混亂的可能性。

結論與未來展望

ISO 27002:2022 6.5 條文提醒企業，人員變動的管理不僅是人力資源部門的責任，更與資訊安全密切相關。透過風險評估、知識傳承、法規約束及變更管理訓練，企業能有效降低因人員異動帶來的資安風險，確保營運穩定。

未來，隨著遠端工作與臨時合約人員的增加，企業應進一步優化聘用終止與變更管理機制，確保資訊安全與營運效率並行。