企業導入AI協助資安監控，期待及早發現異常並減輕人員負擔。但若每次告警都要人員立即判斷處理，監控越靈敏，值班壓力可能越大。深夜收到告警，工程師仍得登入系統查核，才能決定是否採取行動。管理者應評估哪些風險可先受到限制，讓最終確認延後完成，才能減少隨時待命的人力需求。
以帳號遭盜用寄送詐騙信為例，攻擊者改用台灣IP並控制發信量，便可能避開依賴海外來源或大量寄送的偵測機制。AI可綜合寄信歷史與內容辨識異常，例如原本沒有寄信紀錄的帳號，突然冒用購物網站名稱，反覆寄送相同主旨的郵件。然而，電子報與薪資通知也可能集中寄送，仍需足夠依據區分正常往來與高度可疑的盜發，決定是否先限制發送。
實際處置可先將高度可疑信件移入獨立暫存區，暫停外寄並保留原信，待白天由工程師確認，誤判時仍能恢復發送。近期一次實際事件中，新機制比原有告警早39分鐘介入，攔下原本會寄出的信件。夜間遇到類似情況，危害可先受到限制，工程師無須立即起床，保有時間確認是否為帳密遭竊後的盜發。
這個案例顯示，將風險控制與最終判斷分開，可在信件外寄前限制影響，並保留修正機會。信件若已送達外部，後續補救可能更困難。企業評估其他AI應用，也可檢查不可挽回的動作發生前，能否設置可恢復的中間步驟，讓系統先處理急迫風險，人員再完成需要經驗的判斷。
不過，延遲仍可能帶來業務代價。若暫存重要交易通知，隔天恢復也可能造成損失。企業應由業務與IT主管共同決定可接受的延遲時間、覆核權責及必須即時接手的情況，並要求供應商說明實際處理方式。能否恢復與恢復前的等待代價，同樣關係到這項設計能否適用於自身業務。
企業可先盤點夜間與假日的緊急工作，特別是確認後只需暫停某項動作的情境，挑選影響可限制、結果可恢復的案件試行。除了衡量風險是否提早受到控制，也要比較人員臨時被打斷的次數、白天覆核負擔及業務延遲。若只是將夜間告警累積到白天，工作總量未必減少。只有同時改善危害控制與人力安排，才能讓人員保有選擇介入時機的餘裕。
＜本文作者：廖長健現為網擎資訊執行長＞
