在企業資安治理中，技術控制往往受到高度重視，但 管理性控制 同樣不可或缺。Acceptable Use Policy（AUP，可接受使用政策）正是這類控制的核心，它明確劃定員工與承包商使用組織資訊系統的合法邊界。 什麼是 AUP？核心定義與目的 AUP 是一份 正式書面政策文件 ，規範組織內部使用者如何合法、適當地使用資訊系統、網路設備及數位資源。其核心目的有二：其一，建立清楚的行為準則，降低因誤用或濫用所導致的安全風險；其二，當違規事件發生時，提供 法律責任歸屬的文件基礎 。AUP 通常涵蓋網際網路使用、電子郵件規範、軟體安裝限制、敏感資料處理，以及禁止行為清單。所有受規範對象必須簽署確認，代表其知悉並同意遵守相關條款。 AUP 作為管理性控制的實務價值 在資安控制框架中，控制措施分為技術性、實體性與 管理性 三類。AUP 屬於管理性控制，透過政策與程序影響人員行為，而非依賴系統機制。即便組織已部署防火牆、DLP 等技術工具，AUP 仍不可取代——因為技術無法涵蓋所有情境，而政策可填補這些空白。實務上，AUP 應與員工到職流程整合，定期複審更新，並搭配資安意識訓練強化執行效果。違反 AUP 的行為可依其嚴重程度，觸發紀律處分乃至法律追訴。 💡 重點整理 管理性控制核心： AUP 透過政策規範人員行為，補足技術控制的盲點。 法律保護基礎： 簽署確認記錄可作為違規事件的責任歸屬依據。 涵蓋範圍廣泛： 網路、電郵、設備、資料處理均應納入規範。 須定期維護： 隨技術環境與法規變化，AUP 應至少每年複審一次。 AUP 不只是一份文件，更是組織資安文化的具體展現。唯有政策、技術與人員教育三者協同運作，才能真正建立有效的內部資安防線。 📚 參考文獻 NIST SP 800-12 Rev. 1 — An Introduction to Information Security ，提供管理性控制與政策框架的權威說明。 https://csrc.nist.gov/publications/detail/sp/800-12/rev-1/final SANS Institute — Acceptable Use Policy Template ，提供業界通用的 A...