責信聲明：本篇報導由網絡行動科技支持，《多多益善》秉持「獨立報導原則」製作完成。關於獨立報導原則：《多多益善》與合作方互信溝通、力求共識，但本站擁有報導方向、受訪者選擇、訪綱設定與稿件修改的最終決定權，並於合作備忘或合約中具體載明。
2021 年 7 月，臺灣發生大規模非營利組織（NPO）捐款人個資外洩事件，起因於許多組織委外的資訊服務商「網軟公司」捐款管理系統遭駭，資料流入詐騙集團，捐款人陸續接到詐騙電話，波及超過 200 間公益組織。到了 2022 年，又有多間組織爆發類似狀況。
這些危機不僅侵害捐款人權益，更動搖了社會對公益界的信任。事隔 3 年多，風波雖已暫時告一段落，但近年隨著公益團體屢成駭客攻擊目標，不少組織開始摸索落實資安的做法，也在推動過程中看見制度與資源上的難題。
主管機關要求嚴謹，組織落實資安卻缺乏支持？
2022 年 6 月，長期服務心智障礙家庭的心路基金會，接到上百通捐款人來電，反映他們接獲詐騙電話。當下組織一方面必須主動聯絡其他捐款人、提醒防詐，也得在第一時間追查資料外洩的原因，同時承擔隨之而來的捐款下滑與信任受創。
心路基金會公共事務部主任劉又綺回憶，事後他們重新調整資料管理方式，將原本存放在會內主機的捐款資料庫轉至雲端，同時強化防火牆、導入系統監測工具、定期舉辦資安教育訓練，並且限制可登入的 IP，讓系統僅在特定場域開啟，以降低再次遭駭的風險等。
這些調整能做到多少，取決於組織的經費和專業人力。許多 NPO 很難養得起專責的資安或資訊人才，即使是員工數已達 500 人的心路基金會，內部也僅有 3 名 IT 人員，還是難以完全兼顧會內各單位所需的系統與電腦設備，只能在有限資源下盡量把防護做到位。
2022 年，心路基金會發表的聲明。圖／心路基金會官網
另一方面，NPO 在落實資安時，遇到的困難也不僅來自人力吃緊或資安知能不足。劉又綺認為，主管機關的態度與支持同樣重要。在事發後半年，心路基金會等組織陸續收到衛福部來函，要求在期限內補強資安措施，包括重新檢視與調整工作流程、在組織內制定資安政策等。
劉又綺認為，要求本身很合理，「但訂出的標準相對嚴謹，而我們反映實務上的困難、想獲得建議時，卻得不到相應的協助，甚至有承辦人員叫你自己想辦法，我認為這對 NPO 來說很吃力。」
她舉例，許多組織不清楚該怎麼找到安全、可信任且價格合理的資料庫服務商，向承辦人詢問時卻總是被回「不知道、要自己去找」；
當組織要求員工改變既有工作習慣，像是下班關機、定期更換密碼時，會因為沒有自動監控系統、無力添購相關設備，檢查與督導的責任往往會落在主管身上，只能靠人工管理、自行摸索流程。要求提高防護的同時，卻沒有配套支持，難免讓組織感到挫折。
她進一步指出，臺灣《公益勸募條例》施行約 20 年，對募款經費的使用有明確限制，心路基金會曾嘗試申請把部分募款經費用於資安，但被衛福部駁回（退件），只能另行籌措資安經費，「這對我們來說很矛盾，明明 NPO 被要求達到更高的資安標準，卻無法用募來的錢去落實。」
儘管實務上仍面臨不少問題，劉又綺依然強調資安的重要性。當問題發生，哪怕只有一次、失去捐款人的信任，對組織的傷害都非常大，「即使只是失去了 100 元的捐款人，影響也不僅止於此，而是對方日後可能帶來的更多支持，甚至是數十萬的價值。」
「無論組織規模大小，不用強求資安都要做到最高規格，而是在能力範圍內，盡己所能做到最嚴謹的防護，對一個組織的信譽和長遠的經營，都是有益無害。」劉又綺強調。
圖／心路基金會官網
資安人才難尋：要懂專業也要理解 NPO、看見實務落地的困難
投入愛滋感染者與弱勢移工婦女照顧的台灣關愛基金會，也在同年 8 月成為詐騙集團鎖定的目標，他們的捐款人甚至陸續接到第二波、第三波的詐騙電話。
關愛基金會副執行長馮一凡指出，事發後，關愛基金會隨即升級系統安全性、加強防火牆，並依衛福部要求制定了內部資安規範，例如限制個資文件的存取權限、導入多重要素驗證（MFA）等。由於詐騙事件頻傳，近期官網也上架「防詐專區」，彙整與公益相關的詐騙案例，「我們不希望有人再假借公益名義，讓捐款人受騙上當。」
目前關愛基金會約有 170 名員工，組織內並無專職的資安／資訊人員。馮一凡表示，在 NPO 的財務結構下，要長期聘請符合業界標準的資安專家本就不易。且對外與資安廠商溝通時，需清楚傳達 NPO 的需求，對內也得用員工「聽得懂」的語言推動資安，都是不小的挑戰。
馮一凡說：「後來我們想，不如自己培養一個已有基礎概念、願意學，也能陪伴現場一起做的人。」於是，組織今年招募了具資訊背景的同仁，預計年底至明年初，將實際進入各單位，檢視目前資安標準在現場執行時是否會有落差。
關愛基金會近期官網上架「防詐專區」。圖／關愛基金會官網
他認為，即使訂出資安規範，實際仍可能遇到各種困難，未必都能實踐，因此需要有人到場輔導，依不同單位的工作情境釐清資安重點、調整流程，將資安轉化為員工在日常工作中能順利配合的做法。
例如，有些單位不常使用資訊設備，工作以紙本為主，風險重點就會落在資料印出後存放在哪、何時需上鎖、不用時怎麼銷毀，甚至是碎紙機的保密等級夠不夠高，也會影響紙張是否能碎到難以被復原；
反之，則須關注帳號權限設定、資料下載後的處理方式與檔案傳輸流程。即使是同一份資料，不同人的使用習慣也可能截然不同，有人習慣全部列印出來看，有人偏好用電腦，這些差異都會影響風險出現的環節、是否夠安全。
「只告訴同仁不能外洩個資還不夠，很多人知道該做，卻不知道怎麼做。」馮一凡提到，光是要求「鎖上櫃子」，實務上就有不少細節，比如人還在旁邊時要不要鎖？每次打開是否都要請示主管？如果櫃子本身不好上鎖，也會影響員工落實的意願。
針對資安議題，馮一凡建議，NPO 應在組織的起步階段就及早建立相關機制，「這時團隊人數少、溝通成本低，反而容易形成共識。等到組織規模突破百人後，無論是溝通，或系統與流程的重新調整，付出的成本都會大幅提高。」他也強調，組織高階主管或創辦人掌握最多資訊與權限，更應該以身作則，才能真正帶動員工跟進。
以信任維繫合作關係，卻難判斷夥伴是否與時俱進
致力推動公益責信和培力輔導的台灣公益團體自律聯盟，目前共有 314 家盟友組織。資安風波期間，聯盟迅速成立 LINE 群組，每天定時統整事件現況與處理進度，讓盟友即時掌握資訊、彼此交流。
隨著事件告一段落，2023 年，聯盟也串連資安專家，成為 NPO 與專業之間的溝通橋樑，陪伴組織進行資安健檢，從資料庫如何存放、帳密管理到定期備份等實務細節，協助把專業建議轉譯成各組織聽得懂的做法。
自律聯盟專案經理左君鈺也指出，預計明年（2026）1 月，聯盟將發布一套對外公開、持續滾動修正的資安指南，協助組織落實風險管理、提高韌性。「未來的資安風險很難評估與預想，我們想讓不同規模的組織都清楚知道、也有能力落實，至少必須要達到的基本線是什麼。」
然而，資安風險不只存在組織內部運作，對外如何挑選合作夥伴，也是一大挑戰。左君鈺表示，許多組織在選擇外部廠商或平臺時，往往會優先考量價格與功能是否符合需求，卻較少、也較缺乏概念去深入評估合約內容與資安責任分工，甚至會沿用多年未更新、會自動續約的舊合約，一旦出事、發生糾紛，才發現責任歸屬與後續處理方式都不明確。
以捐款流程為例，看似單純的一筆捐款，背後實際牽動的可能包括組織的官網系統、金流服務商、銀行或第三方支付，甚至是募資平臺等多個利害關係人。當捐款人的個資分散在不同單位手中，只要其中一個環節出現漏洞，就可能影響整條金流鏈。
自律聯盟副祕書長孫天牧也提醒，受到影響的並不只有捐款人，也可能遭駭流出的是處理兒虐、家暴等高風險案件的社工，或是服務對象的資料，「這些個資如果流出去，出事了，誰要負責？」
自律聯盟副祕書長孫天牧。攝／曾玉婷
長期致力於 NPO 訓練與輔導的海棠文教基金會，其專案部主任吳佳倫也指出，許多 NPO 在選擇合作夥伴時，常憑藉過往經驗或信任持續保持合作，卻很少回頭檢視，對方是否有跟上近年快速變化的資安議題，其實有些廠商並沒有與時俱進，也不了解資安的最新動態。
吳佳倫坦言，相較於中小企業已有政府經費與輔導機制協助強化資安，NPO 長期仍處在資源不足、政策支持有限的狀態。「NPO 現在還是很孤單，面對資安有時仍會不知所措、缺乏求助管道。雖然民間有協助，資源終究有限，仍需要政府提供支持。」
她也提醒，從日常的防護措施、合作夥伴的挑選，到一旦發生資安危機後需承擔的調查、人力、溝通與法律成本，這些都應提前納入 NPO 的預算規畫。否則，風險發生的話，組織就只能被動應付，不僅耗費心力，更會動搖長期累積的公眾信任。
延伸【資安系列文】：為你量身打造的詐騙、沒駭客也可能有風險！藏在日常互動與工作流程中的資安危機
延伸資訊安全＆組織管理：
1. 「電話被打爆、十年捐款資料全遺失」信任崩壞只要一瞬間，公益界防詐刻不容緩
2. 公益生態報告：６類捐款人如何捐、逾４成團體用過募資平臺、如何投入資安防護
3. 2022 數位時代公益調查：手機支付捐款夯、動保議題受重視、資安是必要素養
4. 「數位倫理」是公益團體建立信任的基礎：即使取得同意使用個資，未必就合乎倫理
5. 數位素養全員提升！NPO 轉型的關鍵 3 大步／地球公民基金會
每一天，為了讓社會對公益的想像不只有「愛心」，為了讓身心障礙者、無家者、脆弱青少年等無聲的群體被聽見，《Right Plus 多多益善》以新聞專業投入公益，用僅僅 6 個專職夥伴堅持至今。
在沒有充足設備、不仰賴財團和政府、不做廣告化的新聞下，靠著大家的捐款，好不容易走了 4 年。有你的支持，我們才可以繼續。
你的捐款可以直接支持《多多益善》的非營利新聞工作，讓許許多多專業服務被看見，也讓那些無人聞問卻影響深遠的事，被正確的理解。
如果你認同這樣堅持不懈的投入、欣賞我們的報導，請用捐款支持我們。
