---
name: security-questionnaire-answers
description: 只根據使用者自己的政策與事實，草擬客戶資安問卷的回答（供應商資安評估、CAIQ、資安審查、盡職調查試算表），每個不確定的項目都標出負責人，絕不宣稱沒有佐證的認證或控制措施。潛在客戶寄來資安問卷、問「可以幫我們填供應商評估嗎？」，或採購在成交前需要資安回答時使用。
---

# 資安問卷回答

> 這不是法律意見。這是一份交給律師審閱前的初步檢查清單，不能取代律師審閱。[待確認：當地法規／律師]

資安問卷的回答是對客戶的書面承諾，常會附在合約裡。最好的回答簡短、屬實，而且有使用者能提供的文件佐證。附上計畫的「否」，勝過沒人能證明的「是」。

## 適用情境

- 潛在客戶的採購或資安團隊寄來問卷或試算表。
- 續約時附上更新版的供應商評估。
- 要從過去的問卷整理出可重複使用的回答庫。
- 不適用於撰寫資安政策本身，也不適用於宣稱符合某項標準。那些需要政策負責人，若涉及合規還需要稽核單位。

## 需要準備

- 問題，保留原本的編號。
- 使用者的佐證：資安政策、過去回答過的問卷、稽核報告、架構說明、供應商清單，以及使用者陳述的事實。如果完全沒有佐證，動筆前先要一次；不要憑一般知識草擬。
- 待辦項目的負責人（工程師、創辦人）。不知道的話寫「[負責人：待確認]」。
- 選用：交易背景，以便知道哪些問題會卡住簽約。

## 步驟

1. **整理佐證索引。** 每份來源取一個簡短名稱（例如「存取政策 v2，2026 年 3 月」）。每個回答都要引用其中一個名稱，或使用者在這次對話中說過的話。
2. **辨識問卷格式。** 像雲端安全聯盟（Cloud Security Alliance）的 CAIQ 這類標準問卷，問的是對應到控制框架的是非題。保留原本的答案選項和編號；細節寫在備註欄，不要改動答案。
3. **分類問題。** 每題標記為：可依佐證回答、部分可回答，或不明。不明的放進待辦清單並指定負責人；絕不拿「一般公司通常怎麼做」來填。
4. **嚴格回答是非題。** 只有佐證顯示該控制措施現在就存在時才答「是」。只涵蓋部分系統或部分時間時答「部分」，並說明是哪些。不存在時答「否」，只有使用者提供了補償控制或計畫時才接著寫。「不適用」一定要附理由。
5. **絕不誇大認證。** 只有在使用者提供了報告，或陳述了日期與範圍時，才能寫出認證、稽核報告或證明（SOC 2、ISO 27001、PCI DSS、滲透測試）。SOC 2 報告是由會計師事務所依美國 AICPA 準則出具，所以沒有報告卻寫「符合 SOC 2」就是誇大。雲端主機商的認證不是使用者的：例如 AWS 的責任共擔模型，把雲端「本身」的安全（供應商負責）和雲端「之中」的安全（客戶的資料、應用程式和設定）分開。必要時寫「託管於 [供應商]，該供應商表示持有 [認證]」，絕不暗示使用者本身持有。
6. **每個回答都要短。** 1 到 3 句：答案、運作方式、佐證名稱。不用行銷字眼（「銀行等級」「軍規等級」「絕對安全」）。
7. **標出合約承諾。** 問題要求做出承諾時（X 小時內通知資安事件、資料存放地點、稽核權），標上「[承諾事項：請與律師確認]」，因為這個回答可能會成為合約的一部分。
8. **寫出回答表與待辦項目。** 保留問卷的編號，方便把回答貼回原檔。

## 輸出格式

```markdown
# 資安問卷 — [客戶]，[日期]

_這不是法律意見。回答依下列佐證草擬；寄出前請審閱。_

## 使用的佐證
- [E1] [文件名稱、版本、日期]
- [E2] [使用者的陳述，日期]

## 回答
| # | 問題 | 回答 | 說明 | 佐證 |
|---|---|---|---|---|
| [n] | [問題，簡短] | [是／部分／否／不適用／不明] | [1 到 3 句] | [E1] |

## 待辦項目
| # | 需要什麼 | 負責人 | 會卡住交易嗎？ |
|---|---|---|---|
| [n] | [缺少的事實或文件] | [姓名或「負責人：待確認」] | [會／不會／不明] |

## 需與律師確認的承諾
- #[n]：[承諾內容] — [承諾事項：請與律師確認]
```

## 範例

**輸入：** 排程 App「圓圈排程」的雅婷收到曙光產物保險的 5 個問題。佐證：「存取政策 v3（2026 年 6 月）：所有員工使用管理工具時都必須透過 SSO 加上 MFA；存取權限每季檢視。」使用者說：「我們用的是 AWS 東京區域。還沒有 SOC 2，9 月才開始跟稽核單位合作。我們每天備份。」

> 1. 貴公司是否持有 SOC 2 Type II 報告？  
> 2. 所有管理權限的存取是否都強制使用 MFA？  
> 3. 客戶資料存放在哪裡？  
> 4. 靜態資料是否加密？  
> 5. 發生資安事件時，是否會在 24 小時內通知我們？

**輸出：**

```markdown
# 資安問卷 — 曙光產物保險，11月4日（週三）

_這不是法律意見。回答依下列佐證草擬；寄出前請審閱。_

## 使用的佐證
- [E1] 存取政策 v3，2026 年 6 月
- [E2] 雅婷的陳述，2026 年 11月4日

## 回答
| # | 問題 | 回答 | 說明 | 佐證 |
|---|---|---|---|---|
| 1 | SOC 2 Type II 報告 | 否 | 圓圈排程目前沒有 SOC 2 報告。稽核委任已於 2026 年 9 月開始。 | [E2] |
| 2 | 管理權限的 MFA | 是 | 所有員工都透過 SSO 加上 MFA 進入管理工具。存取權限每季檢視。 | [E1] |
| 3 | 資料存放地點 | 是 | 客戶資料存放在 AWS 東京區域。 | [E2] |
| 4 | 靜態資料加密 | 不明 | 佐證中沒有提到。 | — |
| 5 | 24 小時內通知資安事件 | 不明 | 未提供事件應變政策。[承諾事項：請與律師確認] | — |

## 待辦項目
| # | 需要什麼 | 負責人 | 會卡住交易嗎？ |
|---|---|---|---|
| 4 | 確認資料庫和備份的靜態加密 | [負責人：待確認] | 不明 |
| 5 | 事件應變政策，以及我們做得到的通知時限 | 雅婷 | 不明 |
| 1 | SOC 2 報告預計取得的日期（如果要提供的話） | 雅婷 | 不明 |

## 需與律師確認的承諾
- #5：24 小時內通知資安事件 — [承諾事項：請與律師確認]
```

## 寄出前檢查

- [ ] 輸出最上方有免責聲明。
- [ ] 每個「是」都引用了顯示該控制措施現在就存在的佐證。
- [ ] 除非使用者提供並附上日期，否則沒有寫出任何認證、稽核或滲透測試。
- [ ] 從未把供應商的認證寫成使用者自己的。
- [ ] 每個「不明」都出現在待辦項目中，並有負責人或「[負責人：待確認]」。
- [ ] 承諾事項都已標出、要請律師確認。

## 常見錯誤

- 因為控制措施在計畫中就答「是」。計畫中應該答「否」，再附上計畫。
- 沒確認是否仍然屬實，就照抄去年的回答。
- 寫成長篇資安論文。審查者給簡短、具體的回答更高的分數。