一、這是什麼三十秒判斷關不關你的事
先確認這一篇解的是不是你的問題。看完這兩節如果覺得不像,就不用再往下讀——省下的時間比讀完更值錢。
01解決的工作問題
資安事件發生時,資訊永遠是先亂後齊:監控系統跳出一則告警、員工用Line回報「電腦怪怪的」、IT值班電話裡聽到片段描述、隔天信箱又多幾封轉寄的可疑信件截圖。這些訊息時間戳記不同、可信度也不同,要在向上呈報、配合稽核或法遵之前,把它們整理成一份看得懂先後順序的Incident Timeline,是每次事件都要重做一次的苦工。最大的風險不是整理慢,而是整理時「順手補全」:把「使用者說可能是」寫成「已確認」,把系統紀錄沒寫清楚的時間點自己猜一個合理值,甚至因為某個IP或帳號重複出現,就在摘要裡暗示是誰做的、動機是什麼。這些補全在草稿階段看起來讓報告更完整,一旦流出到法遵、保險理賠、或司法調查的脈絡裡,就是會被追究的錯誤陳述。AI適合把零碎、格式不一的原始紀錄快速讀完並依時間排出骨架,但攻擊者是誰、動機為何、責任歸屬如何,永遠必須是人根據證據另外判定,不能讓AI用推論帶過。
真的有人這樣做過?外部佐證
目前沒有找到可公開查證的外部案例。這類工作多半不會有人發新聞稿,找不到不代表沒人做——但在找到之前,這一頁的方法就是作者自己的做法,不借別人的名義。
去找靈感看其他方法的外部案例 →
02什麼時候用、什麼時候別用
什麼情況下該用這一套
- {'t': '手上有多來源的零碎紀錄', 'd': 'log、信件、電話紀錄、對話截圖,需要整理成一份看得懂的時間線。'}
- {'t': '事件需要留存紀錄或走正式流程', 'd': '事件性質偏向要呈報主管、配合稽核,或可能進入法遵/保險程序。'}
- {'t': '有人先做初步分類', 'd': 'IT或資安窗口先把來源整理過一輪,AI只負責整理不做調查。'}
什麼情況下別用
- 事件仍在即時延燒需要立刻圍堵時
- 先處理、先隔離,整理時間線是事後動作,不能拖延應變。
- 需要判定攻擊者身分或責任歸屬時
- 這是調查與司法/保險程序的範疇,AI不能也不該代勞。
- 已進入司法程序或高度機密的案件
- 紀錄可能是呈堂證供,處理與保存方式要先問法務,不是先丟給AI。
- 唯一來源是口耳相傳、沒有任何留存紀錄可查證時
- AI沒有東西可以整理,硬整理只會製造一份看似正式但沒有根據的文件。
誰會用到
- 資訊/資安
- 你最常是第一個彙整原始紀錄的人。log與截圖丟給AI前,先確認時間都轉成同一個時區,不然時間軸會全部對不齊。
- 主管
- 你要決定Owner與Next Step怎麼分派,也是最後拍板要不要往上呈報的人。AI排出來的時間軸只是底稿,不能直接對外發。
- 法務
- 你關心的是「已確認」與「未確認」有沒有被誠實區分,以及有沒有出現責任歸屬或攻擊者身分的推論。這兩件事發生任何一件,這份文件都不能用。
所屬工作情境
二、整件事怎麼跑先看圖,再看逐步
先用一張圖抓全貌,再看逐步展開。圖看不懂沒關係,下一節會把每一步實際在做什麼、誰做,一條一條講清楚。
03流程圖
這張圖是整篇的骨架:輸入 → 步驟 → 困難點 → AI/Agent/Tool 介入 → 人工檢查 → 產出。紅框是最常出事的位置,綠框是不能下放的人工檢查點,粗框是中止條件。後面每一節都是在展開圖上的某一格。
AI資安事件時間軸整理:先分已確認未確認,攻擊者是誰永遠留給人判定Human 輸入Human 步驟AICheckpointOutputRisk 困難點Stop 中止
看圖重點:這張圖有兩個人工檢查點,不是因為流程官僚,而是因為「已確認/未確認」與「有沒有推論字眼」是兩件不同的事,缺一個都會出包:第一個檢查點負責前者,第二個檢查點負責後者。右下角的中止條件提醒一件事——一旦事件可能涉及個資外洩或勒索軟體,通報時限是法規在管,不是時間軸整理完才開始算。純文字流程表(手機/螢幕閱讀器建議看這張)
AI資安事件時間軸整理:先分已確認未確認,攻擊者是誰永遠留給人判定(純文字流程表)| 序 | 類型/角色 | 流程步驟 | 這一步的困難點/中止條件 |
|---|
| 1 | Human | 零碎原始紀錄(log匯出、通報信件、電話逐字稿、對話紀錄) 時區與格式不一,需先整理來源標記 | — |
| 2 | Human | 人蒐集分類、去識別化、統一時區與來源標記 | — |
| 3 | AI | AI逐則抽取時間/事件/來源,標記已確認/未確認 沒有直接證據一律標未確認 | 困難點/風險AI把口頭轉述或群組閒聊直接標記為已確認事實 |
| 4 | AI | AI依時間排序整合成初版Incident Timeline,缺項標待補/時間不明 | 困難點/風險時間有缺口時AI自己推算「合理」時間點,時間軸看似完整實則編造 |
| 5 | Checkpoint | 人工逐列查證來源、升級已確認、填Owner與Next Step | — |
| 6 | AI | AI依查證後版本產出正式Incident Summary,責任歸屬一律留白 | 困難點/風險AI在摘要裡補上攻擊者身分、動機或責任歸屬的推論字眼 |
| 7 | Checkpoint | 主管/法遵終審:確認無身分或責任推論、通報範圍已判定 | 失敗與中止條件事件疑似涉及個資外洩、勒索軟體或需依法通報主管機關時,先依公司通報程序處理,不得先發布尚未核准的時間軸 |
| 8 | Output | Incident Timeline + Incident Summary(核定發送/歸檔版本) | — |
Mermaid 原始碼(貼進 Mermaid Live 或 draw.io 可再編輯)
可直接複製,改成你自己的流程
flowchart TD
in1(["<b>Human</b><br/>零碎原始紀錄(log匯出、通報信件、電話逐字稿、對話紀錄)<br/><small>時區與格式不一,需先整理來源標記</small>"])
s1["<b>Human</b><br/>人蒐集分類、去識別化、統一時區與來源標記"]
a1[/"<b>AI</b><br/>AI逐則抽取時間/事件/來源,標記已確認/未確認<br/><small>沒有直接證據一律標未確認</small>"/]
a2[/"<b>AI</b><br/>AI依時間排序整合成初版Incident Timeline,缺項標待補/時間不明"/]
c1{{"<b>Checkpoint</b><br/>人工逐列查證來源、升級已確認、填Owner與Next Step"}}
a3[/"<b>AI</b><br/>AI依查證後版本產出正式Incident Summary,責任歸屬一律留白"/]
c2{{"<b>Checkpoint</b><br/>主管/法遵終審:確認無身分或責任推論、通報範圍已判定"}}
o1(["<b>Output</b><br/>Incident Timeline + Incident Summary(核定發送/歸檔版本)"])
r1>"<b>Risk</b><br/>AI把口頭轉述或群組閒聊直接標記為已確認事實"]
r2>"<b>Risk</b><br/>時間有缺口時AI自己推算「合理」時間點,時間軸看似完整實則編造"]
r3>"<b>Risk</b><br/>AI在摘要裡補上攻擊者身分、動機或責任歸屬的推論字眼"]
st1[/"<b>Stop</b><br/>事件疑似涉及個資外洩、勒索軟體或需依法通報主管機關時,先依公司通報程序處理,不得先發布尚未核准的時間軸"\]
in1 --> s1
s1 --> a1
a1 --> a2
a2 --> c1
c1 --> a3
a3 --> c2
c2 --> o1
a1 -.->|風險| r1
a2 -.->|風險| r2
a3 -.->|風險| r3
c2 ==>|中止| st1
c1 -.->|查證後發現新增或修正的事件,回頭補進時間軸| a2
c2 -.->|摘要仍殘留推論字眼,退回重寫| a3
classDef clsIn fill:#FFFFFF,stroke:#2C4459,stroke-width:2px,color:#141E2B
classDef clsHuman fill:#FBFCFD,stroke:#7A8CA0,stroke-width:2px,color:#141E2B
classDef clsAI fill:#FFF6EA,stroke:#DE9A45,stroke-width:2px,color:#141E2B
classDef clsAgent fill:#FDEBD2,stroke:#B87A2E,stroke-width:2px,color:#141E2B
classDef clsTool fill:#EDF2F6,stroke:#2C4459,stroke-width:2px,color:#141E2B
classDef clsCheck fill:#E8F2EC,stroke:#3F7A5A,stroke-width:2px,color:#123024
classDef clsOut fill:#141E2B,stroke:#141E2B,stroke-width:2px,color:#F2F6F9
classDef clsRisk fill:#FCEFEA,stroke:#C0552F,stroke-width:2px,color:#5E2110
classDef clsStop fill:#F7E1DB,stroke:#8E2F17,stroke-width:3px,color:#5E2110
class in1 clsIn;
class s1 clsHuman;
class a1 clsAI;
class a2 clsAI;
class c1 clsCheck;
class a3 clsAI;
class c2 clsCheck;
class o1 clsOut;
class r1 clsRisk;
class r2 clsRisk;
class r3 clsRisk;
class st1 clsStop;04完整步驟圖的文字版,逐步展開
一句話版(快速回顧)
- 人蒐集並分類原始紀錄,去識別化敏感資訊
- AI逐則抽取時間/事件/來源,標記已確認或未確認
- AI依時間排序整合成初版Incident Timeline
- 人工逐列查證、填Owner與Next Step
- AI依查證後版本產出正式Incident Summary
- 主管/法遵終審核准後發送歸檔
完整版(每一步誰做、產出什麼)
| 序 | 誰做 | 步驟與說明 |
|---|
| 1 | Human | 蒐集分類與去識別化 把log、信件、電話逐字稿、對話紀錄分類,敏感資訊先代碼化,時區先統一。→ 已分類、已去識別化的原始紀錄 |
| 2 | AI | 逐則抽取時間/事件/來源 讀完各來源,逐則標出時間、事件、來源,並依有無明確依據標記已確認或未確認。→ 事件條目清單(含已確認/未確認標記) |
| 3 | AI | 整合初版時間軸 依時間排序整合成表格,時間有缺口或衝突的一律標「時間不明」,不推算。→ 初版Incident Timeline |
| 4 | Human | 人工查證與補正 逐列核對未確認項目的佐證,有佐證的升級為已確認,並指派Owner與Next Step。→ 已查證Timeline(Owner、Next Step齊全) |
| 5 | AI | 產出正式Incident Summary 依查證後版本寫摘要,只重述已確認事實與已採取措施,責任歸屬留白標待調查。→ Incident Summary草稿 |
| 6 | Human | 主管/法遵終審 確認沒有身分或責任推論、通報範圍已判定,才核准。→ 核定版本 |
| 7 | Human | 發送與歸檔 依核定範圍發送,並將原始紀錄與各版本時間軸一併歸檔備查。→ 已發送、已歸檔的正式紀錄 |
三、動手做備料 → 指令 → 產出 → 工具
這一區是真的動手:先備料、再貼指令、然後對照產出應該長什麼樣。手上是哪一支 AI 都做得完,差別寫在最後的工具那一節。
05開始前要準備什麼標「必要」的沒備齊就先別開始
- 原始紀錄全彙整必要
- 系統/防火牆/EDR log截圖或匯出檔、通報信件、電話通報的逐字稿(可用STT轉出)、Line/Teams對話紀錄截圖或匯出文字。
- 各紀錄的來源與時間格式標記必要
- 每則資料註明來自哪個系統、是誰回報、原始時間戳(含時區),沒有時間戳的要註明「無時間戳」。
- 個資與敏感資訊先遮蔽必要
- 使用者帳號、客戶資料、內部IP若含個資,先代碼化或去識別化。
- 已知的權責分工必要
- 誰是這起事件的Owner、誰有權拍板通報,先確認好,不要等時間軸做完才找人。
- 公司既有的事件分級/通報規範可選
- 有的話拿出來對照,法規要求的通報時限、要通報哪個主管機關。
- 前一版本的Timeline可選
- 若事件已整理過一次,這次是更新,附上前一版方便比對變化。
餵進去的東西要長這樣
去識別化後的原始紀錄:系統/防火牆log匯出、通報信件、電話通報逐字稿、對話紀錄,每則標明來源與時間。
- 每則資料要標明來源類型(log/信件/電話/對話),方便判定已確認/未確認的可信度。
- 所有時間先統一時區,log常用UTC,信件與對話用當地時間,混用會排錯順序。
- 個資、帳號、客戶資料先代碼化再貼進AI。
- 電話通報先用STT轉成逐字稿再整理,逐字稿本身也要保留。
- 沒有時間戳的紀錄要註明「無時間戳」,不要自己補一個。
【來源1:防火牆log匯出,UTC+8】2026-08-16 23:07:12至23:46:58,帳號svc_vpn03登入失敗41次,IP 203.0.113.44;23:47:31同帳號同IP登入成功。
【來源2:使用者轉寄信件,2026-08-17 08:15】「昨晚收到簡訊說VPN驗證碼要重設,我輸入了驗證碼,附截圖。」
【來源3:電話逐字稿(STT),約2026-08-17 09:02】「三民店電腦變慢,跳出英文視窗,看不懂。」
【來源4:IT群組對話,2026-08-17 09:30-09:50】技術員發現不明排程工作並停用;09:50停用帳號、強制改密碼。
06Prompt(快速/完整/進階)
A 快速版貼上就能用;B 完整實戰版把角色、限制、步驟、輸出格式與驗收標準寫足;C 進階版是拿去建 GPT/Skill/Agent 的系統指令。三種都附可替換變數、使用範例、預期輸出與人工確認點。
三種版本共通的紅線三版都不適合用在- 不要把電話或口頭轉述直接標記為已確認。
- 不要在任何欄位或摘要裡寫出攻擊者身分、動機或責任歸屬的推論。
- 不要拿還沒核准的草稿時間軸對外發送或呈報主管機關。
三版都必須由人確認- 已確認/未確認的最終判定由人依佐證裁定。
- Owner與Next Step由主管或事件負責人指派,不是AI自動填。
- 是否對外通報、通報範圍與時限由法遵或主管依法規判定。
- 最終版本發送前,需有人確認沒有殘留推論性語句。
適合的工具ClaudeChatGPT
👇 直接複製,{ } 換成你的內容
以下是一起資安事件的零碎原始紀錄,來源不只一種(可能包含系統log、通報信件、電話逐字稿、群組對話紀錄)。請幫我整理成一份 Incident Timeline 草稿,規則如下:
1. 用表格呈現,每一列包含:時間、事件、來源、已確認/未確認、已採取措施、Owner、Next Step。
2. 「已確認」只能用在原始紀錄裡有明確文字支持的項目;沒有直接證據、只是聽說或推測的一律標「未確認」,並在旁邊註明依據是哪一則原始紀錄。
3. 時間有缺口、衝突、或原始紀錄沒寫清楚時,不要自己猜一個合理的時間,要照實寫「時間不明」並註明原因。
4. Owner、已採取措施、Next Step 這三欄,如果原始紀錄裡沒有明確資訊,一律留白或寫「待補」,不要自己填。
5. 絕對不要判定或暗示攻擊者是誰、動機是什麼、或是誰的責任。這些欄位不存在於這份時間軸裡,也不要藏在「事件」欄的描述文字裡。
6. 整理完之後,額外列出「待查證清單」:哪些項目標了未確認、需要跟誰核對才能升級為已確認。
原始紀錄:
{貼上}可替換變數
| 變數 | 要換成什麼 |
|---|
{貼上} | 零碎原始紀錄:log匯出、通報信件、電話逐字稿、對話紀錄等,來源愈多愈好,格式不用先整理。 |
完整使用範例(照這樣填)
以下是一起資安事件的零碎原始紀錄,來源不只一種。請幫我整理成Incident Timeline草稿。(照母提示詞六條規則)
【來源1:防火牆log匯出,時區已轉為UTC+8】
2026-08-16 23:07:12 至 23:46:58,帳號svc_vpn03對VPN登入失敗共41次,來源IP 203.0.113.44(非公司白名單IP段)。
2026-08-16 23:47:31,同帳號同IP登入成功。
【來源2:使用者轉寄信件,寄件時間2026-08-17 08:15】
「昨天晚上收到一封簡訊,說VPN驗證碼要重新設定,點進去輸入了驗證碼,現在想想覺得怪怪的,附上簡訊截圖。」
【來源3:電話通報逐字稿(STT轉出),通話時間約2026-08-17 09:02】
「呃...我是三民店的店長啦,我這邊電腦從早上開始就變得很慢,剛剛還跳出一個英文的視窗,我看不懂,也不知道要按什麼。」
【來源4:IT群組對話紀錄,2026-08-17 09:30】
IT技術員A:「去svc_vpn03那台筆電看了一下,工作排程器裡多一個沒看過的排程工作,名稱亂碼,已經先停用。」
IT技術員A:「09:50已經把svc_vpn03帳號停用,強制改密碼。」
原始紀錄:{以上四則}預期輸出範例(拿到的東西應該長這樣)
【Incident Timeline 草稿】
| 時間 | 事件 | 來源 | 已確認/未確認 | 已採取措施 | Owner | Next Step |
|---|---|---|---|---|---|---|
| 2026-08-16 23:07–23:46 | 帳號svc_vpn03遭連續41次VPN登入失敗嘗試,來源IP 203.0.113.44 | 防火牆log匯出 | 已確認〔佐證:log時間戳與失敗次數〕 | 尚未記載 | 待補 | 待補 |
| 2026-08-16 23:47 | 同帳號同IP登入成功一次 | 防火牆log匯出 | 已確認〔佐證:log顯示成功登入紀錄〕 | 尚未記載 | 待補 | 待補 |
| 2026-08-16 夜間(確切時間不明) | 使用者收到偽冒VPN驗證簡訊並輸入驗證碼 | 使用者轉寄信件 | 未確認〔僅憑使用者描述與截圖,尚無簡訊發送方紀錄可交叉核對〕 | 尚未記載 | 待補 | 待補 |
| 2026-08-17 約09:02 | 三民店店長回報電腦變慢、跳出英文視窗 | 電話逐字稿 | 未確認〔僅憑口頭描述,缺乏系統紀錄佐證,且「英文視窗」內容不明〕 | 尚未記載 | 待補 | 待補 |
| 2026-08-17 09:30 | svc_vpn03筆電上發現不明排程工作 | IT群組對話紀錄 | 未確認〔技術員口頭描述,未附排程工作名稱截圖或log〕 | 已停用該排程工作 | 待補 | 待補 |
| 2026-08-17 09:50 | svc_vpn03帳號停用並強制改密碼 | IT群組對話紀錄 | 已確認〔佐證:技術員對話紀錄明確記載動作與時間〕 | 帳號已停用、密碼已重設 | 待補 | 待補 |
【待查證清單】
1. 使用者收到的簡訊截圖:需IT或資安人員核對簡訊發送號碼與時間,才能把該列升級為已確認。
2. 三民店「英文視窗」的實際內容:需請店長截圖或請IT到場查看,目前描述不足以判斷是什麼。
3. 不明排程工作的名稱與內容:需技術員補上截圖或log,才能確認與登入事件的關聯。
本時間軸未判定造成這起事件的原因或是誰的責任,這些欄位刻意留白,待調查與查證後由人另行判定。
常見錯誤用法
- 把「未確認」的簡訊、電話描述直接改成「已確認」貼進正式報告,因為讀起來比較完整。
- 看到Owner、Next Step欄位空著就自己隨便填一個人名或動作,那應該由主管指派。
- 拿到草稿就直接對外發送或呈報,跳過待查證清單與人工審閱那一關。
這一版另外不適合沒有額外的,看上面「三種版本共通的紅線」那一段就好。
缺少資料時怎麼辦來源沒有標明是log、信件、電話還是口頭轉述時,AI沒辦法判斷該標已確認還是未確認,只能全部先當未確認處理,來源標記是必要的。
這一版另外要人確認沒有額外的,看上面「三種版本共通的紅線」那一段就好。
適合的工具ClaudeChatGPT
👇 直接複製,{ } 換成你的內容
以下是Incident Timeline的草稿,以及我對其中幾列的查證結果。請依查證結果更新時間軸,並產出正式的Incident Summary。
查證更新規則:
1.【逐列比對】對照我提供的查證結果,把有佐證的「未確認」項目改為「已確認」並註明新佐證;沒有查證結果的項目維持未確認,不要自己升級。
2.【NextStep收斂】對於仍是未確認的項目,在Next Step欄位寫出具體要查什麼、由誰核對、什麼時候要有結果——這三項我會在附件裡告訴你,你只需要照填,不要自己指派人名。
3.【產出Incident Summary】用200-350字寫一段摘要,只重述已確認的事實與已採取措施的時間順序,不得出現攻擊者身分、動機、或責任歸屬的字眼;遇到「為什麼」「是誰」這類問題,一律寫「原因與責任歸屬待調查,不在本摘要判定範圍」。
4.【風險提示】另外列出這份時間軸目前最大的3個未確認缺口,說明缺口不補齊會有什麼風險。
規則:
- 不得把「已停用帳號」「已重設密碼」這類已採取措施寫成因果推論(不能寫「因為是外部入侵所以停用帳號」,只能寫「已停用帳號」)。
- 不得推測或補齊任何時間、Owner、Next Step,沒有依據就維持留白或未確認。
時間軸草稿:{貼上}|查證結果與Owner/NextStep指派:{貼上}可替換變數
| 變數 | 要換成什麼 |
|---|
{貼上} | 上一步產出的Incident Timeline草稿。 |
{貼上} | 人工查證後的結果,以及主管指派的Owner與NextStep清單。 |
完整使用範例(照這樣填)
(貼上A版產出的6列草稿,並附查證結果:簡訊截圖經比對確認為釣魚簡訊、店長已補充英文視窗截圖顯示為勒索軟體訊息框但IT尚未鑑定完成、排程工作已附截圖經比對疑似惡意程式但仍待鑑定;Owner指派:帳號相關由IT資安小組負責、對外通報評估由法遵負責,NextStep補上期限)
預期輸出範例(拿到的東西應該長這樣)
【已更新的Incident Timeline(節錄)】
| 時間 | 事件 | 來源 | 已確認/未確認 | 已採取措施 | Owner | Next Step |
|---|---|---|---|---|---|---|
| 2026-08-16 夜間 | 使用者收到偽冒VPN驗證簡訊並輸入驗證碼 | 使用者轉寄信件+簡訊截圖比對 | 已確認〔佐證:簡訊發送號碼經比對為已知釣魚號碼〕 | 已請使用者變更VPN密碼 | IT資安小組 | 追查是否有其他使用者收到同批簡訊,08-19前回報 |
| 2026-08-17 約09:02 | 三民店電腦跳出英文視窗 | 電話逐字稿+店長補充截圖 | 已確認〔佐證:截圖顯示為勒索軟體樣式提示框,惟尚未經鑑定確認是否為真實感染〕 | 已將該台電腦隔離離線 | IT資安小組 | 送鑑定確認是否為勒索軟體,08-18前出結果 |
| 2026-08-17 09:30 | svc_vpn03筆電發現不明排程工作 | IT群組對話紀錄+截圖 | 已確認為存在該排程工作,內容是否惡意仍未確認 | 已停用該排程工作 | IT資安小組 | 送鑑定分析排程工作內容,08-18前出結果 |
【Incident Summary】
2026年8月16日23時07分起,帳號svc_vpn03遭連續41次VPN登入失敗嘗試,同日23時47分該帳號成功登入一次,來源IP非公司白名單範圍。8月17日上午,一名使用者回報於前一晚收到偽冒VPN驗證簡訊並輸入驗證碼,經比對該簡訊發送號碼確認為已知釣魚號碼。同日上午,三民店回報電腦出現異常提示視窗,經截圖比對疑似勒索軟體樣式,該電腦已隔離離線,鑑定結果待08-18前確認。IT技術人員於同日09:30在svc_vpn03筆電上發現不明排程工作並已停用,09:50已停用該帳號並強制重設密碼。造成事件之原因與責任歸屬待鑑定與調查後另行判定,不在本摘要範圍內。
【最大的3個未確認缺口】
1. 三民店電腦是否真的遭勒索軟體感染:若未釐清就對外說明,可能低估或高估事件嚴重度。
2. 排程工作的實際內容與行為:若未鑑定就假設是惡意程式,可能誤導後續處理方向。
3. 是否有其他使用者收到同批釣魚簡訊:若沒有全面追查,可能還有未發現的受害帳號。
常見錯誤用法
- 把「疑似勒索軟體」寫成「已確認遭勒索軟體攻擊」對外發布,鑑定結果出來前這只是未確認的比對結果。
- 摘要裡看到「原因待調查」就自己補一句「初步研判為外部人士入侵」,那正是這個方法要擋的事。
- 風險缺口清單寫完就沒人跟催,缺口沒有期限跟催等於沒補。
這一版另外不適合沒有額外的,看上面「三種版本共通的紅線」那一段就好。
缺少資料時怎麼辦沒有附上查證結果與Owner/NextStep指派清單時,AI只能維持原本的未確認狀態,不會、也不該自己升級任何一列。
這一版另外要人確認沒有額外的,看上面「三種版本共通的紅線」那一段就好。
適合的工具自訂 GPT/Claude ProjectClaude SkillCopilot Studio
👇 直接複製,{ } 換成你的內容
請把以下規則,寫成一份可以直接用來建立共用「資安事件時間軸整理助手」的系統指令。
【系統指令要包含】
1. 角色與任務:只負責把零碎原始紀錄整理成Incident Timeline草稿與Incident Summary,不做調查、不判定攻擊者身分或責任歸屬。
2. 欄位規範:時間、事件、來源、已確認/未確認、已採取措施、Owner、Next Step七欄,Owner與Next Step一律留白或寫「待補」,由人另行指派。
3. 已確認/未確認判定規則:只有原始紀錄裡有明確文字或紀錄支持的項目才能標已確認,並附佐證出處;口頭轉述、電話、群組閒聊一律先標未確認。
4. 時間規則:時間有缺口、衝突、格式不一時,一律寫「時間不明」並註明原因,不得推算或估計。
5. 禁止事項(硬限制):不得在任何欄位或摘要中出現攻擊者身分、動機、責任歸屬的推論字眼(如:疑似是、可能是、研判為外部/內部人士所為);出現需求時一律回報「原因與責任歸屬待調查,不在本助手判定範圍」。
6. 待查證清單:每次輸出都要附上,列出未確認項目與具體要核對的內容。
7. 輸出格式:Incident Timeline表格 + 待查證清單 +(若要求)Incident Summary摘要段落。
【另外請給我】
(a) 一份「使用說明」,給第一次通報事件的同事看,含三個好用法與三個誤用示範。
(b) 一份「維護說明」:多久要檢查一次這份規則有沒有跟上公司實際的通報流程、誰負責更新。
規則全文:{貼上}|公司既有的事件分級/通報規範(如有):{貼上}可替換變數
| 變數 | 要換成什麼 |
|---|
{貼上} | 前面驗證過的整理規則(欄位、已確認判定標準、禁止事項)。 |
{貼上} | 公司既有的事件分級或通報規範,若無可留空。 |
完整使用範例(照這樣填)
(貼上規則全文,並附公司資安事件分級表:一級事件需2小時內通報主管、疑似個資外洩需依法72小時內評估是否通報主管機關)
預期輸出範例(拿到的東西應該長這樣)
【共用「資安事件時間軸整理助手」系統指令】
一、你的角色
你是本單位的資安事件時間軸整理助手。你只負責把零碎原始紀錄整理成Incident Timeline草稿與Incident Summary,不做調查、不判定攻擊者身分、動機或責任歸屬。
二、欄位規範
時間、事件、來源、已確認/未確認、已採取措施、Owner、Next Step。Owner與Next Step一律留白或寫「待補」,由人指派。
三、已確認/未確認判定
只有原始紀錄中有明確文字或系統紀錄支持的項目才能標已確認,並附佐證出處;電話、口頭轉述、群組閒聊一律先標未確認,需經人工佐證後才能升級。
四、時間規則
時間有缺口、衝突或格式不一時,寫「時間不明」並註明原因,不得推算或估計一個「合理」時間。
五、禁止事項
不得出現攻擊者身分、動機、責任歸屬的推論字眼。任何牽涉到「誰做的、為什麼做」的句子一律改寫成「原因與責任歸屬待調查,不在本助手判定範圍」。
六、待查證清單
每次輸出都要附上,列出未確認項目、需要核對的內容、建議由誰核對。
七、依公司分級規範提醒
若事件疑似涉及個資外洩,於輸出末段提醒使用者:「請依公司規範評估是否需於72小時內通報主管機關,此判定由法遵/主管進行,本助手不代為判定」。
──────────
【使用說明】
這個助手做什麼:把你手上的log、信件、電話逐字稿、對話紀錄整理成看得懂先後順序的時間軸草稿。
這個助手不做什麼:告訴你是誰做的、為什麼會發生、要不要對外究責。
好例子:
1. 貼上防火牆log與使用者回報信件,請它先排出時間軸。
2. 查證完幾個項目後,貼回查證結果請它更新已確認狀態。
3. 時間軸定稿後,請它產出200-350字的Incident Summary給主管看。
壞例子:
1.「幫我看這是不是外部駭客做的」——不是這個助手的工作。
2.「摘要寫得篤定一點,主管才會重視」——篤定意味著把未確認寫成已確認,不行。
3.「時間對不上,你幫我抓一個合理的」——一律寫時間不明。
【維護說明】
- 公司分級/通報規範異動時,第七節要同步更新。
- 每季抽查一次實際輸出,確認沒有身分/責任推論悄悄溜進摘要裡。
- 負責人:〔填寫〕。
常見錯誤用法
- 把禁止事項那一節拿掉,因為「主管想快點知道是誰的問題」。那一節正是這個助手唯一的存在理由。
- 讓助手兼做事後根因分析,一旦開始判斷原因,時間軸就會摻進推論。
- 系統指令定版後不再更新,公司通報規範改了也不同步,助手提醒的通報時限就是舊的。
這一版另外不適合沒有額外的,看上面「三種版本共通的紅線」那一段就好。
缺少資料時怎麼辦沒有附上公司既有的事件分級/通報規範時,助手不會知道要在什麼情況下提醒使用者評估通報,這一節就只能留白或用最保守的通用提醒。
這一版另外要人確認沒有額外的,看上面「三種版本共通的紅線」那一段就好。
07產出應該長什麼樣拿到的東西要長這樣
Incident Timeline表格(七欄)+待查證清單;需要摘要時另附Incident Summary(200-350字)。
完成品:同一批紀錄的兩種整理:有沒有守住已確認/未確認的界線
【沒有守住界線】
AI產出(節錄):
「事件經過:週日深夜疑似遭外部人士以暴力破解方式嘗試入侵VPN,並於凌晨成功登入,研判攻擊者隨後在使用者電腦植入惡意排程工作,可能與隔日使用者收到的釣魚簡訊為同一批攻擊行動。」
→ 讀起來很像一份完整的事件敘述。問題是:
→ 「疑似遭外部人士」「研判攻擊者」是AI自己接出來的推論,原始紀錄裡沒有任何一句支持「外部人士」這個結論。
→ 「可能與釣魚簡訊為同一批攻擊行動」把兩件時間相近但沒有直接關聯證據的事,寫成因果關係。
→ 這種寫法一旦被拿去呈報或通報,之後如果調查結果不是這樣,整份文件的可信度都會被質疑。
【守住界線】
AI產出(節錄):
「2026-08-16 23:07至23:46,帳號svc_vpn03發生41次VPN登入失敗,23:47同帳號同IP登入成功〔已確認,佐證:防火牆log〕。2026-08-17上午,一名使用者回報前一晚收到疑似釣魚簡訊並輸入驗證碼〔未確認,僅憑使用者描述,簡訊發送方尚待核對〕。同日09:30,IT技術員於svc_vpn03筆電上發現不明排程工作並已停用〔未確認為惡意,內容待鑑定〕。造成登入成功與排程工作出現之原因、以及與簡訊事件是否相關,待調查後另行判定,不在本摘要範圍。」
→ 每一句都能回頭指出佐證在哪裡,也誠實標出還沒查清楚的部分。
→ 「兩件事是否相關」被清楚標成未確認、待調查,而不是被寫成一個順口的因果句。
→ 差別在哪:第一種在講一個聽起來合理的故事,第二種在講目前查證到什麼程度。前者好讀,後者才是能拿去做決策與呈報的東西。
輸出格式規格(要照著做的人再展開)
- 七欄缺一不可:時間、事件、來源、已確認/未確認、已採取措施、Owner、Next Step。
- 已確認的項目要附佐證依據,未確認的項目要附「為何未確認」的說明。
- Owner與Next Step沒有明確資訊時寫「待補」,不得自行指派人名。
- 待查證清單要列出每個未確認項目具體待核對什麼、建議由誰核對。
- 摘要與任一欄位都不得出現攻擊者身分、動機、責任歸屬的推論字眼。
| 時間 | 事件 | 來源 | 已確認/未確認 | 已採取措施 | Owner | Next Step |
|---|---|---|---|---|---|---|
| 2026-08-16 23:47 | svc_vpn03登入成功 | 防火牆log | 已確認〔佐證:log紀錄〕 | 尚未記載 | 待補 | 待補 |
| 2026-08-17 約09:02 | 三民店回報電腦異常 | 電話逐字稿 | 未確認〔僅口頭描述〕 | 尚未記載 | 待補 | 待補 |
【待查證清單】
1. 三民店異常視窗內容:需請店長補截圖,IT核對。
08工具怎麼挑
這幾支都做得到——差別在你手上有哪一支、資料能不能外流。標「起手」的是不知道從哪支開始時的建議,不是限定。
| 工具 | 什麼時候用 | 為什麼 | 注意 |
|---|
Claude ↗起手 一次讀完大量零碎紀錄 | 一次讀完大量零碎紀錄整理時間軸 | 長輸入穩定,可以一次讀完log匯出、信件、逐字稿多種格式再整合。 | 仍要人逐列核對已確認/未確認,不能照單全收。 |
| ChatGPT ↗ | 草稿完成後要反覆調整格式或補問細節 | 互動式來回調整表格欄位或補問缺漏資訊比較快。 | 同樣不得讓它自行判斷攻擊者身分。 |
語音轉文字(Word 聽寫等) 電話通報轉逐字稿 | 電話通報要轉成逐字稿 | 把口頭描述先轉成文字,才能跟其他書面紀錄放進同一份時間軸整理。 | 轉出的逐字稿本身可能有辨識錯誤,人要對照確認關鍵字沒轉錯。 |
| Jira/Trello/Planner | 待查證清單與Next Step需要有人跟催時 | 把「誰要查什麼、什麼時候查完」放進任務看板,才不會做完時間軸就沒人管後續。 | 看板上仍不能寫入未經查證的推論,只能放事實與待辦。 |
四、不要做錯這幾關不下放
這一區是踩過的坑與該守的線。標「不下放」的步驟請不要交給 AI 決定;Checklist 是拿來驗收的,不是拿來勾好看的。
09會卡住與會做錯的地方
會卡住的地方(流程困難點)
- 時間戳記格式不一
- 系統log是UTC、信件是寄件時間、電話回報只有「大概下午三點」,排序前要先統一格式,不然順序會亂。
- 口頭轉述被當成第一手證據
- 電話或群組裡「聽說」「好像」的說法,如果沒有標明來源與可信度,會被誤讀成已確認事實。
- AI順手補推論
- 時間有缺口、行為有模式時,AI很容易自己接出「可能是外部入侵」這類句子,看起來專業但沒有證據。
- 已確認/未確認的界線模糊
- 「系統紀錄顯示」跟「使用者表示」可信度不同,混在一起寫,沒人能判斷哪些能直接引用。
會做錯的地方(常見失敗方式)
把口頭轉述當已確認電話或群組裡的「聽說」被寫進「已確認」欄。
怎麼修電話與口頭轉述一律先標未確認,要有書面或系統紀錄佐證才能升級。
AI自己猜時間時間有缺口時AI編一個「合理」的時間點,時間軸看起來完整但是編的。
怎麼修缺時間就寫「時間不明」並註明原因,不得推算。
摘要裡藏推論表格裡守住了規則,但AI在摘要段落偷偷寫「疑似為外部入侵」。
怎麼修摘要只能重述已確認的事實,出現任何身分/動機/責任的字眼都要打回。
Owner與Next Step自動填AI看紀錄裡誰負責過類似的事,自己填進Owner欄。
怎麼修Owner、Next Step一定由人指派,AI只能留白或寫待補。
沒有做待查證清單未確認項目整理完就沒人跟催,事後沒人記得要查證什麼。
怎麼修每次整理都附待查證清單並指定誰要去核對。
個資沒去識別化就丟給AIlog與截圖裡的帳號、客戶資料未經處理就貼進對話。
怎麼修上傳前先代碼化敏感欄位,只留辨識事件所需的資訊。
其他注意事項
- 把電話或群組裡的「聽說」直接當成已確認事實寫進報告
- AI在時間有缺口時自己編一個合理的時間點
- 摘要段落裡偷偷出現「疑似是外部入侵」這類推論字眼
10人工把關與安全限制
AI/Agent/Tool 介入在哪幾步
| 流程位置 | 誰 | 做什麼/怎麼做 |
|---|
| 抽取階段 | AI | 逐則抽取時間/事件/來源並標記已確認/未確認 只能依原始紀錄裡明確寫的內容標記為已確認,沒有直接證據的一律標【未確認】,不得依常理推測。 |
| 整合階段 | AI | 依時間排序整合初版Timeline 時間有缺口或衝突時要並列標出,不能自己挑一個合理值填入。 |
| 摘要階段 | AI | 產出正式Incident Summary 摘要只能重述時間軸裡已確認的事實,遇到需要補原因、補身分、補責任歸屬的地方一律留白並標【待人工判定】。 |
| 彙整階段 | Tool | 電話通報轉逐字稿 用語音轉文字工具(STT)先產出逐字稿,AI再從逐字稿抽取事件,逐字稿本身也要保留備查。 |
這幾關不下放
- 已確認/未確認的最終判定
- 只有人看過佐證後才能把一則事件從未確認改成已確認。
- 攻擊者身分與動機
- AI一律不判定,人也不能在審核時偷偷補上未經查證的猜測。
- Owner與Next Step的指派
- 由主管或事件負責人指派,不是AI自動填。
- 通報範圍與時限
- 是否要通報主管機關、多久內要通報,由法遵或主管依法規判定。
- 最終發送前的審閱
- 時間軸與摘要在發出前,要有一個人確認沒有推論性語句才能發送。
安全與權限限制
- 原始紀錄先去識別化
- 帳號、客戶資料、內部IP在貼給AI前先代碼化,只留辨識事件所需的最低資訊。
- 電話逐字稿的保存
- STT轉出的逐字稿本身也是紀錄,要跟其他原始資料一起歸檔備查,不能轉完就刪。
- 文件的存放與分享範圍
- Incident Timeline可能含未公開的資安弱點資訊,存放與轉發範圍要限制在需要知道的人。
- 未確認項目不得外流
- 草稿階段標未確認的項目在核准前不對外發送,避免半成品被誤當定論引用。
- 法遵/司法保存要求
- 若事件可能進入保險理賠或司法程序,原始紀錄與各版本時間軸都要保留,不得覆蓋舊版。
11Checklist 與驗收標準
做的時候逐項打勾
做完了才檢查:全部成立才算完成
- 每一列都有時間、事件、來源、已確認/未確認、已採取措施、Owner、Next Step七個欄位,沒有空白未標「待補」的欄位。
- 已確認的項目都能指出對應的原始紀錄佐證。
- 電話與口頭轉述的項目,未經書面或系統紀錄佐證前一律標未確認。
- 時間有缺口或衝突的項目已如實標「時間不明」,沒有被推算的時間點。
- 摘要段落沒有出現攻擊者身分、動機或責任歸屬的推論句。
- 待查證清單已附上,且每項都指定了要跟誰核對。
- Owner與Next Step由人指派,不是AI自動填入。
- 原始紀錄中的個資與敏感資訊已去識別化。
- 最終版本經主管或法遵審閱核准後才發送或歸檔。
五、延伸看別人做過,然後往下一步
看看別人實際做過的樣子,再決定下一步往哪走。沒有找到可查證案例的方法,這裡會直說沒有,不拿相似的案例充數。
12實際案例
「深夜VPN登入」事件:先把時間軸兜起來,再談是誰做的
當時的狀況:某公司IT在週一早上發現異常:防火牆log顯示週日深夜有帳號在40分鐘內嘗試登入VPN超過40次,接著出現一次成功登入。隔天又收到員工轉寄的可疑簡訊截圖、以及分店主管一通電話說「電腦好像跳出奇怪視窗」。訊息分散在log、信件、電話與IT群組對話裡,沒人記得完整先後順序。
AI 做了什麼- 讀完四種來源後依時間排出時間軸,把「防火牆log顯示」與「使用者表示」分開標記已確認/未確認。
- 電話逐字稿裡「跳出奇怪視窗」被標為未確認,註明「僅憑口頭描述,缺乏系統紀錄佐證」。
- 產出待查證清單,列出3項需IT回頭核對才能升級為已確認的項目。
- 摘要只重述已確認事實與已採取措施,「為什麼會登入成功」留白標【待人工判定】。
人做了什麼- IT把log時間全部轉成同一時區後才交給AI,避免時間軸對不齊。
- 資安負責人逐列核對,把「可疑簡訊」用截圖佐證後升級為已確認。
- 主管指派Owner與Next Step:帳號重設由IT負責、是否通報由法遵24小時內決定。
- 法遵審閱最終版本,確認沒有「疑似是外部人士」這類推論句才核准發送。
結果:完成的Timeline有9列,其中3列在發送前仍標「未確認」並附待查證清單,不是被硬湊成一則完整故事。法遵後來認為,這份「誠實的不完整」比一份看似完整但混雜推測的時間軸更好用。
待補資料:本站不提供這起事件後續調查是否找到根因、或是否構成個資外洩須通報主管機關的結果。這類判定屬於實際調查與法遵程序,不是AI整理時間軸能替代或預測的,讀者需依自己公司實際狀況另外走調查與法遵流程。
13相關方法與下一步
檢查AI/Agent處理這類敏感紀錄的權限時間軸整理完之後,還可以檢查參與整理的AI或Agent有沒有拿到超過需要的存取權限。
防堵事件源頭的Prompt Injection風險如果懷疑事件與AI Agent被誘導執行有關,需要另外一層防護設計。
把抽查邏輯往前搬到平時運作與其每次事件才整理,不如建立例行稽核抽樣機制,提早發現異常。
整理完的時間軸收進知識庫事件落幕後,把定稿的時間軸與處理SOP收進共用知識庫,下次類似事件才找得到。
可直接使用RELATED PROMPTS
Download
這個方法的模板與 Checklist 下載包整理中——訂閱更新,上架後第一時間通知你。
這個站的做法- 有來源引用的案例都附得出可以點進去的出處;還沒查證完的另外標示,不跟已證實的混在一起。
- 可驗收每個方法都附 Checklist 與驗收標準——你要能自己驗,而不是相信 AI 說它做完了。
- 不亂編指令一律要求「材料裡沒有的不准補」,缺的標【待補】列成問題,不用漂亮的句子蓋過去。
- 不自動送出站內的指令與工具不會替你發布、寄出或執行收不回來的動作。最後一步永遠是人按下去。
- 人要把關方法裡標「不下放」的步驟,寫明白就是不要交給 AI 決定。
- 一般人照做不用寫程式。步驟寫成照著做的樣子,術語第一次出現就用白話解釋。
取得 AI 實戰工具與更新
之後會不定期整理:新方法、指令包(Prompt Pack)、Checklist 與模板。免費、無廣告;送出後會收到一封確認信,點了連結才算訂閱成功,之後每封信都附一鍵退訂。
送出即表示你同意本站的 隱私權說明:我們只儲存 Email 與同意版本,不會把 Email 和你的閱讀紀錄綁在一起。沒有點確認信就不會收到任何內容,之後也隨時可以一鍵退訂。