規範訂好了，只是開始，就像辦公室規定「離開要鎖門」。
真正重要的不是這條規定寫在哪裡，而是大家每天離開時，門是不是真的有鎖上？
今年 7 月，我們也完成了一次內部資訊安全稽核，重新檢查平常訂下來的規範，有沒有真的落實在每天的工作中
例如：
- 不再使用的帳號與權限，有沒有確實停用？
- 公務使用的電腦與手機，有沒有做好必要的安全設定？
- 客戶提供的個資，處理完成後有沒有妥善刪除？
這些事情平常看起來都不大，也很容易因為「之前設定過了」、「應該沒問題吧」，就漸漸不再注意。
但資安規範並不是設定一次就永久有效，人員會異動、使用的工具會增加，而工作方式也會跟著改變。定期回頭檢查，才能及早發現那些不知不覺留下來的小缺口。
對 NPO 來說，也不一定要有一套正式的稽核制度才能開始。
✅偶爾花一點時間問問自己：
- 「已經離開的夥伴，還看得到共享資料嗎？」
- 「重要帳號，都有開啟兩步驟驗證嗎？」
- 「下載資料夾裡，還留著幾個月前的捐款人名單嗎？」
發現問題，不代表資安做得不好，相反的，在問題還沒有變成資安事件以前先發現它，正是檢查的價值。
💡資安規範讓我們知道「應該怎麼做」，定期檢查則是在確認：「我們現在還有沒有做到？」
不用一次做到完美，偶爾回頭看一眼並把漏掉的地方補起來，才能讓寫在文件裡的規範，真的變成每天的習慣。
