在推動 ERP 導入的過程中，企業客戶時常聚焦在流程整合、系統模組與報表優化，卻忽略了 ERP 同時也是資安風險最密集的核心平台之一。ERP 系統串聯財務、人資、採購、製造、倉儲與客戶資料，若未建立完備的資訊安全風險管理制度，一旦遭遇資料外洩、帳號盜用、內部濫權、第三方串接漏洞等問題，將對企業信譽與營運造成重大衝擊。
一、資訊安全風險管理圖總覽：不只是一張圖，是一個策略循環
此風險管理圖可分為七大主要環節與兩個關鍵決策點，並形成持續循環。它不是靜態的流程，而是應被動態套用在 ERP 導入、營運與維運全週期中的資安治理標準流程。
二、圖中每一環節對 ERP 用戶的實際代表意義
1.全景建立
✅ ERP用戶實務：定義哪些 ERP 模組資料為風險對象，明確標示高敏感資料（例如：薪資、報關、報價表、客戶往來明細）。
建議作法：建立 ERP 資產分類與風險歸屬表，並由資訊部與業務單位共同設定風險容忍準則。
2.風險識別
✅ ERP用戶實務：辨識 ERP 使用過程可能出現的資安事件來源，例如：外包商帳號未停用、離職人員仍可登入、特權帳號使用未留痕等。
建議作法：導入角色權限盤點制度與帳號異常通報機制。
3.風險分析
✅ ERP用戶實務：針對風險事件進行損害模擬（例如：人資模組若遭竄改，是否造成重大人事誤薪或訴訟風險？）
建議作法：建立風險分級制度（高／中／低），搭配系統存取與操作影響範圍模擬報表。
4.風險評估
✅ ERP用戶實務：將識別與分析結果套入企業可容忍風險標準（如：客戶名單是否可存放於雲端？）
建議作法：依 ISO 準則訂立風險接受政策與處理條件門檻。
5.決策點1：是否滿意於評鑑結果？
✅ ERP用戶實務：高階主管需確認目前風險等級是否可接受，若否則應要求改善或重啟評估。
6.風險處理
✅ ERP用戶實務：針對高風險項目採取應對策略，例如導入MFA驗證、建立每日異常存取報表、設定權限變更審批等。
建議作法：將風險處理措施納入 ERP 使用規範與使用者條款中。
7.決策點2：是否接受剩餘風險？
✅ ERP用戶實務：企業需對所有已處理風險中仍殘存部分負責任地做出接受與否的決策。
建議作法：以會議記錄形式由資安管理者或專責小組定期確認。
8.文件化資訊
✅ ERP用戶實務：風險控管紀錄應與ERP稽核紀錄連結，例如：誰在何時調整了權限、是否有備查記錄。
建議作法：系統應具備操作日誌、自動追蹤與報表匯出功能。
9.監視與審查
✅ ERP用戶實務：定期進行風險重評與控制措施有效性審查，例如每半年進行一次帳號盤點、年中導入滲透測試。
建議作法：建立定期稽核排程與自動預警系統。
三、導入ERP系統時如何嵌入風險管理機制？
- 專案初期列入資安風險評估章節：於ERP導入規劃書中，明列資安風險評鑑與角色控管設計工作項目。
- 落實使用者權限設計原則：「最小權限原則」、「功能分離原則」應成為所有模組設計邏輯基礎。
- 導入運營維運端的資安報表與控制機制：納入交接紀錄、帳號啟用停用流程與SLA中資安監控要求。
四、結語：資安風險圖，是ERP導入最該參考的一張圖
在ERP導入過程中，若能同步導入資訊安全風險管理圖中的九大環節，不僅可有效降低資料外洩與誤用的風險，更能協助企業建構可稽核、可控管、可持續優化的治理機制。這不只是保障ERP投資報酬率，更是企業邁向數位轉型的資安基石。
資訊安全，不是「做完導入再補」，而是「從導入第一天就開始治理」。
