資安問卷不要交給 AI 憑印象硬填。台灣 B2B SME 收到客戶資安審查時，最穩的做法是先建立一份「證據包」：每個常見答案都要連到核准文件、負責人、有效日期、適用產品或地區，以及不能回答或需要升級審核的條件。AI 可以幫忙比對題目、找舊答案、整理草稿，但最後送出的內容必須能被人追溯，否則越快回覆，越可能把錯誤承諾送進合約、採購或稽核流程。
為什麼資安問卷會卡住成交
很多 B2B 團隊把資安問卷當成行政表單，等客戶寄來 Excel、Word、PDF 或供應商入口網站後，再請業務、IT 和主管各補幾題。問題是，問卷通常不是只問「有沒有防毒」；它會延伸到存取控制、加密、備份、事件通報、委外供應商、資料保存、個資處理、認證文件與客戶資料刪除。只要答錯一題，就可能讓客戶法務、採購或資安窗口要求補件，甚至讓已經接近成交的案子停在審查階段。
NIST 的供應鏈資安快速指南把 C-SCRM 定義為管理供應鏈資安暴露的系統性流程，並提醒組織可用 CSF 來建立供應鏈資安能力，以及定義並溝通供應商要求。這對小公司有一個很務實的提醒：客戶不是只要你填滿格子，而是要知道你有哪些流程、誰負責、風險如何被管理。來源：NIST SP 1305 C-SCRM Quick-Start Guide。
AI 可以加速，但不能替你編證據
資安問卷自動化工具的共同方向，是用既有政策、舊問卷、知識庫和文件產生回覆草稿，再交給團隊審核。Vanta 的問卷自動化頁面強調會從安全文件與過往問卷產生回答，並讓團隊 review、approve、submit；AutoRFP.ai 也把 approved content、sources、review 與 collaboration 放在流程裡。這些競品訊號說明一件事：AI 的價值在於從已核准資料找答案，不是替公司發明自己還沒有做到的控制措施。
對台灣 SME 來說，最危險的不是 AI 不會寫，而是它太會寫。若團隊沒有明確標示哪些資料是最新、哪些只適用某產品、哪些是未完成計畫，AI 可能把內部目標寫成既有承諾，把過期政策寫成現況，把某個客戶專案的特例寫成全公司標準。這種錯誤不一定當下被發現，但會在合約、採購審查、事件通報或後續續約時回來。
5 個證據欄位：先補這些，再讓 AI 起草
| 欄位 | 要記什麼 | 為什麼能降低風險 |
|---|---|---|
| 核准文件 | 資安政策、備份紀錄、權限流程、事件應變 SOP、認證或稽核報告位置 | 讓每個回答都有來源，不靠口頭記憶 |
| 回答 owner | 誰能核准這類回答：IT、資安、法務、產品、客服或主管 | 避免業務為了趕時程自行承諾 |
| 有效日期 | 文件版本、最後審核日、下次更新日、認證或報告涵蓋期間 | 避免把過期或未完成事項當成現況 |
| 適用範圍 | 產品、服務地區、資料類型、客戶方案、雲端區域或委外供應商 | 防止把單一產品或單一專案答案套到全部客戶 |
| 不可回答區 | 商業機密、客戶個資、架構細節、尚未核准的安全路線圖、需 NDA 的資料 | 讓 AI 和業務知道哪些題目要升級處理 |
這五欄不一定要一開始就買 GRC 平台。小團隊可以先用一個受控資料夾加試算表：每題對應一份文件、一個 owner、一個版本日期。真正重要的是回覆前可追溯，回覆後可更新，而不是表格看起來多精美。
把資安問卷分成三種回答層級
1. 可由 AI 草擬、業務確認的低風險題
例如公司基本資料、客服窗口、一般服務描述、是否提供標準 NDA、是否有公開隱私權政策連結。這些題目通常可由 AI 從已核准公司資料和公開頁面整理草稿，但業務仍要確認客戶名稱、產品名稱和送出格式。
2. 必須 owner 審核的控制題
例如 SSO、權限停用、資料加密、備份頻率、日誌保存、第三方供應商、弱點修補、事件通報和資料刪除。NIST SP 1305 在供應商要求中提到，要求的強度應依供應商 criticality、資料類型、數位產品或服務而定；也列出存取控制、監控、事件回應和復原等可能成為供應商要求的範疇。這類回答應由負責 owner 審核，不能只看舊答案相似就送出。
3. 必須升級處理的高風險題
如果題目要求提供詳細架構圖、滲透測試報告、客戶資料位置、資安事件歷史、未公開供應商、跨境傳輸細節、個資處理目的或合約保證，應先確認 NDA、揭露範圍和核准層級。台灣個資法第 5 條要求蒐集、處理或利用個人資料不得逾越特定目的之必要範圍；第 8 條也列出向當事人蒐集個資時應告知的事項。這表示資安問卷裡只要涉及客戶或使用者個資，就不能把「方便回答」放在資料最小化之前。來源：全國法規資料庫：個人資料保護法。
業務、IT、法務與主管怎麼分工
資安問卷最容易失控，是因為每個人都以為只是「幫忙補一題」。比較穩的分工是：業務負責客戶情境、期限和商業重要性；IT 或資安負責技術控制和證據文件；法務或主管負責承諾、NDA、個資與合約風險；最後由一位問卷 owner 控制版本和送出。
| 角色 | 負責回答 | 不能自行決定 |
|---|---|---|
| 業務 | 客戶背景、用途、送件期限、需要哪些附件 | 不得自行承諾未核准的資安能力或資料處理條件 |
| IT 或資安 | 存取、加密、備份、日誌、弱點、事件應變等控制現況 | 不得替法務承諾賠償、SLA 或合約義務 |
| 法務或主管 | NDA、揭露範圍、個資、跨境資料、合約條款和保密限制 | 不得跳過技術 owner 直接包裝能力 |
| 問卷 owner | 版本控管、題目指派、送出前 final check、回寫知識庫 | 不得把未審核草稿標成正式答案 |
這套做法適合誰，不適合誰
適合 SaaS、系統整合、顧問服務、B2B 電商、代營運、資料處理、會員系統、客服工具、AI 工具導入和任何會碰到客戶資料或企業帳號權限的台灣 SME。只要你的客戶是大企業、金融、醫療、製造供應鏈、外商或政府標案，資安問卷就可能成為成交前的固定門檻。
不適合把這篇當成正式資安合規意見，也不適合用來包裝還沒有做到的控制措施。如果公司完全沒有資安政策、權限紀錄、備份驗證和事件應變流程，應先補基本控制，再用 AI 整理問卷。AI 可以讓回覆更快，但不能把不存在的證據變成可信承諾。
7 天建立最小資安問卷證據包
- 第 1 天：收集最近 3 份客戶資安問卷、RFP 或供應商審查題目，整理出重複出現的 30 到 50 題。
- 第 2 天：把題目分成公司資料、資料保護、存取控制、備份復原、事件通報、供應商、個資與附件證明。
- 第 3 天：為每類題目指定 owner，並標記哪些題目業務可確認、哪些必須 IT 或法務審核。
- 第 4 天：把核准文件放進受控資料夾，檔名包含版本日期與 owner，不要混入舊版草稿。
- 第 5 天：建立「標準回答、證據來源、適用範圍、有效日期、不可回答條件」五欄表。
- 第 6 天：用 AI 測試從證據包產生草稿，但要求每個回答都列出引用來源；找不到來源就標記為需人工處理。
- 第 7 天：由問卷 owner 做一次送出前檢查，並把客戶追問、修改原因和最後核准版本回寫知識庫。
資料更新與來源
本文於 2026 年 9 月 16 日依公開資料整理。資安框架、客戶審查題型、AI 問卷工具能力與台灣個資法施行狀態都可能調整；正式送出客戶問卷、標案文件或合約附件前，應回到公司最新政策、合約、法務意見與官方資料確認。
- NIST SP 1305: Cybersecurity Framework 2.0 Quick-Start Guide for C-SCRM
- NIST SP 1305 PDF and CSF supplier requirement examples
- 全國法規資料庫：個人資料保護法
- Vanta Questionnaire Automation benchmark page
- AutoRFP.ai Security Questionnaire Automation benchmark page
結論：先讓答案可追溯，再讓 AI 變快
資安問卷真正考驗的不是誰打字比較快，而是公司能不能把安全承諾、個資邊界和技術現況說得清楚、可驗證、可更新。台灣 B2B SME 可以用 AI 省下找舊答案和整理草稿的時間，但送出前一定要回到證據欄位：核准文件、owner、有效日期、適用範圍和不可回答區。當這些欄位清楚，AI 才會從成交風險變成業務和資安之間的加速器。
FAQ
資安問卷可以直接交給 AI 填嗎？
不建議。AI 可以比對題目、找舊答案和整理草稿，但正式回覆應連到核准文件、負責人、有效日期與適用範圍。
沒有 SOC 2 或 ISO 27001，還能回答資安問卷嗎？
可以，但要誠實說明現有控制、文件、責任人和改善時程。不要把計畫中的認證寫成已完成，也不要用模糊文字取代證據。
資安問卷證據包要用什麼工具建立？
初期用受控雲端資料夾和試算表就可以。重點是版本、owner、來源和有效日期清楚；題量變大後再評估 GRC 或問卷自動化工具。
業務收到客戶資安問卷，第一步該做什麼？
先確認客戶用途、期限、是否有 NDA、問卷格式和需要附件，再把題目分派給 IT、資安、法務或主管 owner，不要直接自行填完。
哪些資安問卷題目一定要升級審核？
涉及架構細節、客戶資料、事件歷史、個資處理、跨境傳輸、合約承諾、稽核報告或未公開供應商的題目，都應升級審核。