先畫線，再買設備
為什麼總是先畫分段圖
分段決定影響範圍。辦公、財務、機台、訪客至少四段。圖沒畫，設備買再貴也補不了。我們到台中現場第一件事，就是把這張圖貼在機房牆上，和班長一條一條對。
分段圖也是企業資安顧問工作的起點：哪一段可以連網，哪一段只能單向，哪一段發生事故要整段隔離，先寫死，防火牆規則才有依據。
辦公網路
員工電腦與印表機留在同一段，印表機不開外網。點開看查核點。
財務與人事
獨立 VLAN，只允許必要主機存取 ERP。USB 與外寄信做紀錄，稽核時直接拿出權限變更單。
機台 OT 段
機台不直接上網，透過中介主機拋資料。產線照常運轉的前提，是這一段在交接那一晚完全不被碰到。
訪客網路
實體與無線完全切開，訪客只能出外網。關閉共用帳號後，這一段是中小企業最快能收工的一段。
管理段
交換器與防火牆的管理介面只在這一段能連。遠端存取要收斂到這裡，多重驗證必開，全程留 log。
網路分段規劃到稽核證據
邊界、遠端與證據，一張表看完
總部設防火牆與入侵防護，分支用 VPN 或專線回接。Fortinet 是台灣中大型企業常見的選項之一。選型前先確認 throughput 與管理人力，架構與人力補齊了，再按流量選防火牆部署的等級。
目前顯示 6 項實務做法。
總部邊界防護
防火牆加 IPS，政策先deny再開白名單。適合已有固定 IP 與對外服務的總部。
二至三週
分支回接
分支用 VPN 或企業網路專線回總部，斷線自動切備援。適合中部傳產多廠區。
一至二週
遠端存取收斂
VPN 帳號定期清，多重驗證必開，廠商給時效帳號，全程留 log。
一週
稽核證據包
帳號清冊、權限變更單、備份還原紀錄、弱點修補單。四種備齊，資安稽核流程快一半。
二週
專線與備援會勘
頻寬不足會逼人繞過資安。與 Chunghwa Telecom 等業者確認施工期，切換排離峰並留回退線路。
依施工期
分工與驗收
資安顧問定規範與查核，系統整合商負責建置，驗收由第三方或資訊主管確認，權責寫進合約。
隨案
夜間巡檢走道 · 換線後只剩燈號還亮著
台中市西屯區台灣大道三段658號18樓 · 週一至週五 09:00–18:00 · +886-4-2451-9258
製造業轉型最常卡在哪？
帳號共用、網路沒分段、備份沒驗證。先修這三項，再談雲端與 AI 轉型要接哪一段。
一定要買最貴的防火牆嗎？
不用。先把架構與人力補齊，再按流量選型。買超過人力的設備，最後都是規則沒人看。