數位轉型暗流 旅遊業「信任」保衛戰

一張機票、一筆訂房、一份護照影本，旅行社每天處理的都是高價值個資，包括姓名、護照、信用卡資訊、航班、住宿及旅遊偏好等。一旦遭受資安攻擊，除資料外洩，更可能導致訂位中斷、付款系統停擺、旅客行程受影響，甚至衍生賠償責任與品牌信任危機。尤其旅遊旺季也是駭客攻擊高峰，任何環節出現漏洞，都可能影響整個旅遊服務流程。

觀光產業牽涉廣泛 資安攸關企業信任

根據2024年發表於《Smart Cities》期刊的研究，分析2000～2023年間全球旅遊產業的網路攻擊事件發現，飯店、線上旅行社（OTA）、航空公司等企業持續遭受資料外洩、惡意軟體及勒索病毒等攻擊，其中又以資料竊取最為普遍。

這篇研究共整理61起重大資安事件，受害最多的是飯店，其次為線上旅行社及航空公司。駭客主要目的是竊取旅客的電子郵件、登入帳號、信用卡資料、身分資訊及訂房紀錄等敏感個資。

值得注意的是，這些攻擊並非集中於大型跨國企業，而是遍布飯店、OTA、航空公司等，反映旅遊產業因高度串接、多方資料交換與跨境交易特性，已成為駭客眼中的高價值目標。

旅遊「先天體質」特殊 資安進入AI攻防新局

近年觀光署持續完善「觀光產業個人資料保護制度」，建立法規、稽核及自主管理等機制，已為旅遊產業奠定基本的個資治理架構。不過，全球旅遊業近年遭遇的資安事件，多已從傳統個資外洩，擴大至勒索病毒、供應鏈攻擊、雲端平台及支付系統等複合式風險。

業界普遍認為，「未來資安治理除了符合法規要求，更需要導入國際標準、建立風險管理機制及持續監測能力」，才能因應數位轉型帶來的新挑戰，並提升旅客對旅遊服務的信任度。

旅遊業容易成為駭客目標，不僅因高度依賴數位平台，更與產業特性有關。旅行社掌握大量護照、信用卡及旅遊紀錄等敏感資料，一筆交易又涉及航空公司、飯店、保險、租車、支付平台及全球訂位系統（GDS）等多方供應鏈，加上跨境資料交換頻繁，使資安治理更為複雜，任何節點出現漏洞，都可能成為供應鏈攻擊的突破口。

SABRE先啟資訊系統暨工程部副總謝明宏表示，過去旅行社常見的資安事件包括釣魚郵件、DDoS攻擊及勒索軟體。生成式AI普及後，駭客已利用AI大量生成釣魚郵件、自動撰寫惡意程式，甚至透過AI Agent發動自動化攻擊，使企業防禦壓力大幅提升。

攻擊工具升級的同時，AI本身也成為攻擊目標。長川資訊技術長沈正中指出，近年常見的Context Dilution（語境稀釋）會利用大量無關內容干擾大型語言模型，使AI忽略安全限制並執行非預期任務。過去攻擊的是系統漏洞，如今則開始攻擊AI的理解能力，因此企業也必須利用AI Agent進行異常偵測與自動化防護。

面對AI攻防，業界認為企業已難追求百分之百安全，而應建立多層次防護架構。EVOX易得雲端總經理吳炯憲表示，企業應從資訊架構著手，例如「資料庫與應用系統分離」、「 建立異地備援及定期備份」，即使遭受勒索攻擊，也能降低營運中斷風險。同時，優先選擇具ISO 27001、ISO 27701及PCI DSS等國際認證，且資料落地台灣的雲端服務商，可進一步提升整體防護能力。

強化權限限縮 網路採零信任機制

AI時代，駭客與企業的攻防已演變為AI與AI的對抗。企業開始部署AI Agent進行異常偵測、自動阻擋及即時回應，以提升防禦效率。

沈正中表示，零信任（Zero Trust）強調「永不預設信任、持續驗證」，不論使用者位於內外網，每次登入或存取資料都須重新驗證身分、確認權限並評估風險，並遵循最小權限原則，可有效降低帳號遭盜用及資料外洩風險。

目前許多雲端平台仍以關鍵字或黑白名單作為主要防護，然而這類防禦方式屬於被動攔截，容易被駭客透過變換語句或繞過關鍵字規則突破。長川資訊則在大型語言模型與最終輸出間加入驗證機制，只有通過驗證的請求才會送交LLM生成結果，可有效降低提示注入、越權操作及惡意指令等AI風險。

Sabre先啟資訊系統暨工程部系統組經理陳俊邦表示，Sabre持續強化EPR帳號管理、多因子驗證（MFA）及API最小權限，同時監控API流量，偵測異常時立即限制連線，以防範DDoS攻擊及資料外洩風險。

✨觀光業必知三大資安認證

旅行社每日處理旅客個資、護照資料、付款資訊及跨國訂位系統，資訊安全不僅攸關法規遵循，更直接影響品牌信譽與旅客信任。ISO 27001、ISO 27701與PCI DSS已成為觀光產業建構數位營運韌性的重要基礎，也是企業接軌國際市場的重要指標。

①ISO/IEC 27001：資訊安全管理系統（ISMS）
ISO 27001是全球最具代表性的資訊安全管理標準，協助企業建立風險管理、存取控制、資產管理、事件應變及持續改善等制度，確保資訊的機密性、完整性與可用性。對旅行社而言，可有效降低個資外洩、勒索病毒及網路攻擊風險，也是許多企業合作與政府採購的重要資安門檻。

②ISO/IEC 27701：個人資料隱私資訊管理系統（PIMS）
ISO 27701是在ISO 27001基礎上延伸的個資隱私管理標準，涵蓋個人資料的蒐集、使用、保存、分享及刪除流程，並符合GDPR等國際隱私法規精神。由於旅行社掌握大量旅客個資、護照及聯絡資訊，導入此標準有助於強化個資治理能力，提升客戶信任。

③PCI DSS：支付卡產業資料安全標準
PCI DSS（Payment Card Industry Data Security Standard）是全球支付卡產業共同制定的安全標準，適用於所有處理信用卡交易的企業。內容包括資料加密、存取權限、防火牆、弱點管理及持續監測等要求，可降低信用卡資料遭竊或盜刷風險，已成為線上訂房、機票銷售及旅遊電商不可或缺的重要規範。

✨可樂旅遊(上圖左)

**AI時代 重塑旅行業資安防線

從個資管理到員工警覺 築牢企業品牌信任根基**

隨雲端平台、線上服務及AI科技進入工作流程，資安也從資訊部門的技術課題，升高為牽動營運、合規管理與品牌信任的經營議題。

因應AI、科技時代來臨，如今員工可能使用AI工具、雲端系統及各類數位服務處理資料，企業除了要防止駭客入侵，還需避免同仁在無意間，將公司資料意外外洩。旅行業者每天接收大量資訊、郵件，駭客將惡意內容包裝成報價、訂單或活動通知，便可能誘使員工點擊連結或下載附件，「公司花費資金、人力保護主機，使用者一個不小心，仍可能成為駭客進入內部的破口。」

以「木桶理論」形容企業防禦，「駭客不會攻擊最厚、最高的木板，而是尋找最低、最薄弱加以攻擊。」主機可以透過防火牆、網路區隔及監控工具等集中管理，但全體員工的日常操作，仍需仰賴持續訓練與制度約束。

以可樂旅遊為例，為降低人為風險，每月進行1至2次社交工程演練，誤觸問題郵件、連節網址等的員工需完成後續教育訓練與測驗。這類演練目的不在責罰，而是避免警覺隨時間消退。

旅行業資安人才吃緊

AI工具成補強關鍵

除人員訓練外，企業也需以制度盤點風險。如可樂旅遊近年取得「ISO 27001:2022」國際資訊安全認證，為全台首家取得最新版本認證的旅行社，同時展現其在保障旅客個人資料與交易安全方面的高度重視。此外，公司近年投入設備汰換、端點防護、監控工具及專業人力，累計金額估計已超過1億元。中小型旅行社雖未必能複製大型旅行社的資安架構，但仍可先從盤點個資，從收集、使用、保存到刪除的各項環節納入管理。

專業資安人才培育也是關鍵要素之一。旅行業資安風險升高，資安人員除需具備技術能力，也需熟悉企業流程、業務邏輯與資料流向。業者強化人才培育之外，也可導入AI資安工具，協助辨識異常流量與攻擊軌跡，設備、軟體與專業團隊同步到位，才能建立完整防線。

旅業資安要訣

●強化員工資安警覺。 ●建立制度化資料管理。 ●結合專業人才、軟硬體設備建立完整防線。

✨五福旅遊(上圖右)

**全面雲端化與建立AI倫理

資安不僅是IT的事 打造全員數位防護力**

在數位轉型加速的時代，旅遊業面臨的資安挑戰日益嚴峻。五福旅遊近年從觀念、制度到技術全面升級，逐步建立符合新世代需求的資安管理機制，將資安視為企業營運的重要基礎，也為旅遊產業提供轉型參考。

過去旅遊業多仰賴ERP管理機位、飯店與交通等資源，卻相對缺乏以旅客資料管理為核心的CRM思維，加上紙本報名、傳真刷卡等傳統作業仍普遍存在，使資料傳輸與保存面臨風險。五福旅遊以「沒有攻不破的系統，只有持續精進的防護」為理念，今年面對資安事件時，選擇主動向旅客說明並立即改善。公司也強調，信用卡及金流敏感資料皆採國際標準加密或交由第三方支付處理，未存放於受影響伺服器中，經確認旅客信用卡資訊均安全無虞。

打造資訊安全工作環境　

從5S訓練到不罰通報機制

為提升整體防護能力，五福全面導入Google Workspace，將內部系統與資料逐步移轉至雲端，藉由國際級資安防護降低自建機房風險。同時統一採用Google Chat作為內部溝通平台，區隔私人與公務聯繫，避免個人通訊軟體成為資安漏洞。面對AI快速發展，五福也同步建立AI使用規範，提供全體員工公司版AI帳號，禁止以個人AI工具處理業務，避免客戶資料或企業機密外流，在提升工作效率的同時，也兼顧資訊安全與使用倫理。

資安轉型最大的關鍵並非技術，而是管理思維。公司由高層充分授權，導入專業資安顧問規劃整體防護架構，並將5S管理精神延伸至資安教育，培養員工妥善保管客戶資料、維持辦公環境整潔的習慣。

此外，更建立「不罰通報機制」，鼓勵員工一旦發現電腦異常或疑似遭受攻擊，立即向資安窗口回報，不因誤點擊或操作失誤而究責，而是透過即時通報降低損害、快速應變。五福旅遊相信，唯有建立透明、互信的企業文化，才能讓資安真正落實於日常營運，成為企業長期穩健發展的重要競爭力。

旅業資安要訣

●落實資料遮蔽與切割，從源頭降低損害。 ●區分私人與公務環境，避免私人端點成資安破口。 ●鼓勵員工發現數位平台異常立即通報。

✨金龍旅遊(上圖左)

**部署資安升級 打造數位護城河

首重保護客戶資訊 落實溝通與內訓**

在旅遊服務全面數位化的今天，資安已不只是資訊部門的工作，更是旅行社服務品質的重要環節。深耕企業差旅市場多年的金龍旅遊，長期服務科技、半導體、金融及製造業等大型企業客戶，很早便意識到，旅遊業每天接觸大量護照、身分證、信用卡等敏感資料，唯有建立完善的資安防護，才能真正贏得客戶信任。

雖然屬於中小型旅行社，金龍旅遊卻將資安視為企業競爭力的一環，投入近兩年時間與大量資源，攜手專業科技團隊打造符合旅遊業需求的雲端資安平台，同時持續推動內部教育訓練與客戶溝通，希望將「個資保護」落實到每一個服務細節。

從制度到文化　

讓資安成為企業日常

在系統建置上，由專業雲端服務商提供資安防護，並建置專屬資料上傳平台，旅客透過QR Code即可安全上傳護照等證件，避免個資留存在業務手機中。系統同時具備浮水印、權限管理與自動銷毀機制，付款則採線上刷卡並即時遮蔽卡號資訊，從資料傳輸、保存到支付流程，全方位降低個資外洩風險。

資安建置只是第一步，更重要的是建立全公司的資安文化，最大的挑戰並非技術，而是流程改變與使用習慣的養成。科技團隊需要深入理解旅行社作業流程，第一線同仁也必須適應新的工作方式，因此公司持續透過教育訓練、案例分享與內部溝通，提升全體員工的資安意識。

對外，同仁們也主動向旅客說明各項新流程背後的目的，讓客戶理解，多一道程序並非增加麻煩，而是多一層保障。公司也定期檢視系統使用情況，持續優化流程，在便利與安全之間取得最佳平衡。

對金龍旅遊而言，資安不是額外增加的成本，而是服務的一部分。透過長期投入技術、制度與教育，即使是中小型旅行社，也能建立符合企業客戶需求的資安防護體系，並將個資保護轉化為專業服務與市場競爭力的重要優勢。

旅業資安要訣

●資安建置耗時費力，經營者要有決心。 ●選擇專業資安夥伴，具政府認證的資安廠商。 ●教育員工，將資安流程轉化為服務亮點。

✨雄獅旅遊(上圖右)

**旅行業資安升級 主動治理成關鍵防線

個資、AI風險升高 制度、人才建構企業韌性**

旅行業加速數位轉型，旅客個資、訂位系統、線上金流與外部供應商全面串聯，資安風險也隨營運流程向外延伸。過去在個人資料處理、系統存取及供應鏈管理上累積的經驗，裨助業者重新檢視防護策略，由事件發生後補救，轉向「預防為主、快速回應」的主動治理模式。

制度調整首先落在資料分類與權限管理。企業依資料敏感程度設定存取規範，降低個資遭誤用、外洩或不當存取的風險，並透過員工教育、事件通報及跨部門協作，讓資安不再只是資訊部門的責任，當企業各單位都能辨識風險，資安才能真正融入營運流程。

旅行社推動資安，最棘手之處在於服務便利性與安全強度的平衡。旅客期待快速、順暢的訂購體驗，驗證程序過於繁複可能影響滿意度；控管不足，卻可能增加個資與交易風險。加上舊系統整合、供應鏈複雜、人才短缺與預算有限，均提高資安建置門檻。此外，AI運用益加普及後，內容誤導、資料輸入及使用規範，也成為新的治理課題。

治理先行、跨業協力　

強化旅行業資安韌性

業者可依循「治理先行、由簡入繁、持續改善」原則，先建立資訊安全政策、組織權責與定期風險評估，再從資產盤點、存取管理、多因素驗證、員工訓練及事件回應等基礎措施著手。

AI治理建議及早盤點應用、風險評估分類，制定可接受使用政策，並將相關風險納入訓練與回應。業者可從資產盤點、制定安全政策與規範、導入存取管理與驗證、推動員工訓練與事件回應能力，以及針對AI建立治理政策等基礎開始。即使資源有限，亦能有效降低風險、保護權益並提升信任。

產業整體防護需跨業合作平台，包括共同發展AI資安實務指南、威脅情資分享與倫理框架。政府與公協會亦可透過補助輔導、加強供應鏈標準及聯合演練，協助中小型旅行社降低導入門檻。資安建設不必一步到位，從可執行的小處開始，持續深化制度與能力，才能守住旅客權益、營運韌性與品牌信任。

旅業資安要訣

●做好資料分級與權限控管。 ●強化員工訓練與事件應變。 ●納管AI與供應鏈風險。

（文、攝影＝吳育光、莊士賢、林宥銣）