跳到主要內容
METHOD · 專業審查與合規

AI資安事件紀錄:把零碎訊息整理成正式Incident Timeline

把log、通報信件、電話紀錄、對話截圖等零碎資訊,整理成有時間、來源、已確認/未確認、Owner與Next Step的正式Incident Timeline,AI不判定攻擊者身分或責任歸屬。

情境:專業審查與合規也用於:文書與表達難度:進階|要先備料起手工具:Claude
這是專業審查與合規情境下的方法之一(共 10 個)· 看這個情境全部 →
一、這是什麼三十秒判斷關不關你的事

先確認這一篇解的是不是你的問題。看完這兩節如果覺得不像,就不用再往下讀——省下的時間比讀完更值錢。

01解決的工作問題

資安事件發生時,資訊永遠是先亂後齊:監控系統跳出一則告警、員工用Line回報「電腦怪怪的」、IT值班電話裡聽到片段描述、隔天信箱又多幾封轉寄的可疑信件截圖。這些訊息時間戳記不同、可信度也不同,要在向上呈報、配合稽核或法遵之前,把它們整理成一份看得懂先後順序的Incident Timeline,是每次事件都要重做一次的苦工。最大的風險不是整理慢,而是整理時「順手補全」:把「使用者說可能是」寫成「已確認」,把系統紀錄沒寫清楚的時間點自己猜一個合理值,甚至因為某個IP或帳號重複出現,就在摘要裡暗示是誰做的、動機是什麼。這些補全在草稿階段看起來讓報告更完整,一旦流出到法遵、保險理賠、或司法調查的脈絡裡,就是會被追究的錯誤陳述。AI適合把零碎、格式不一的原始紀錄快速讀完並依時間排出骨架,但攻擊者是誰、動機為何、責任歸屬如何,永遠必須是人根據證據另外判定,不能讓AI用推論帶過。

真的有人這樣做過?外部佐證

目前沒有找到可公開查證的外部案例。這類工作多半不會有人發新聞稿,找不到不代表沒人做——但在找到之前,這一頁的方法就是作者自己的做法,不借別人的名義。

去找靈感看其他方法的外部案例 →

02什麼時候用、什麼時候別用

什麼情況下該用這一套

什麼情況下別用

事件仍在即時延燒需要立刻圍堵時
先處理、先隔離,整理時間線是事後動作,不能拖延應變。
需要判定攻擊者身分或責任歸屬時
這是調查與司法/保險程序的範疇,AI不能也不該代勞。
已進入司法程序或高度機密的案件
紀錄可能是呈堂證供,處理與保存方式要先問法務,不是先丟給AI。
唯一來源是口耳相傳、沒有任何留存紀錄可查證時
AI沒有東西可以整理,硬整理只會製造一份看似正式但沒有根據的文件。

誰會用到

資訊/資安
你最常是第一個彙整原始紀錄的人。log與截圖丟給AI前,先確認時間都轉成同一個時區,不然時間軸會全部對不齊。
主管
你要決定Owner與Next Step怎麼分派,也是最後拍板要不要往上呈報的人。AI排出來的時間軸只是底稿,不能直接對外發。
法務
你關心的是「已確認」與「未確認」有沒有被誠實區分,以及有沒有出現責任歸屬或攻擊者身分的推論。這兩件事發生任何一件,這份文件都不能用。

所屬工作情境

二、整件事怎麼跑先看圖,再看逐步

先用一張圖抓全貌,再看逐步展開。圖看不懂沒關係,下一節會把每一步實際在做什麼、誰做,一條一條講清楚。

03流程圖

這張圖是整篇的骨架:輸入 → 步驟 → 困難點 → AI/Agent/Tool 介入 → 人工檢查 → 產出。紅框是最常出事的位置,綠框是不能下放的人工檢查點,粗框是中止條件。後面每一節都是在展開圖上的某一格。

AI資安事件時間軸整理:先分已確認未確認,攻擊者是誰永遠留給人判定
AI資安事件時間軸整理:先分已確認未確認,攻擊者是誰永遠留給人判定直向流程圖。輸入是零碎的原始紀錄,包含防火牆或系統log匯出、使用者或員工的通報信件、電話通報的逐字稿、以及群組或通訊軟體的對話紀錄,這些來源的時區與格式通常不一致。第一步由人蒐集並分類這些紀錄,去識別化敏感資訊,並統一時區與來源標記;第二步由AI逐則抽取時間、事件與來源,並標記已確認或未確認,沒有直接證據的一律標未確認;第三步由AI依時間排序整合成初版Incident Timeline,時間有缺口或衝突的項目標為待補或時間不明;第四步進入人工檢查點,由人逐列查證每個未確認項目的佐證,把有佐證的升級為已確認,並填入Owner與Next Step;第五步由AI依查證後的版本產出正式的Incident Summary摘要,遇到原因或責任歸屬的問題一律留白並標示待調查;第六步進入第二個人工檢查點,由主管或法遵最終審閱,確認摘要與時間軸中沒有攻擊者身分、動機或責任歸屬的推論字眼,並確認通報範圍後才核准;產出是核定版本的Incident Timeline與Incident Summary。右側標示三個困難點:AI把口頭轉述當成已確認事實、AI在時間有缺口時自己推算合理時間點、AI在摘要裡補上攻擊者身分或責任歸屬的推論。並標示中止條件:事件若疑似涉及個資外洩、勒索軟體或需依法通報主管機關,一律先依公司既有通報程序處理,不得先發布尚未核准的時間軸。人工檢查點各自有退回線:第一個檢查點查證後若發現新事件會退回給AI補進時間軸,第二個檢查點若認為摘要仍殘留推論字眼會退回給AI重寫摘要。查證後發現新增或修正的事件,回頭補進時間摘要仍殘留推論字眼,退回重寫INPUT / 輸入零碎原始紀錄(log匯出、通報信件、電話逐字稿、對話紀錄)時區與格式不一,需先整理來源標記HUMAN / 人工步驟人蒐集分類、去識別化、統一時區與來源標記AI / AI 介入AI逐則抽取時間/事件/來源,標記已確認/未確認沒有直接證據一律標未確認AI / AI 介入AI依時間排序整合成初版Incident Timeline,缺項標待補/時間不明CHECKPOINT / 人工檢查人工逐列查證來源、升級已確認、填Owner與Next StepAI / AI 介入AI依查證後版本產出正式Incident Summary,責任歸屬一律留白CHECKPOINT / 人工檢查主管/法遵終審:確認無身分或責任推論、通報範圍已判OUTPUT / 產出Incident Timeline + Incident Summary(核定發送/歸檔版本)RISK / 困難點AI把口頭轉述或群組閒聊直接標記為已確認事實RISK / 困難點時間有缺口時AI自己推算「合理」時間點,時間軸看似完整實則編造RISK / 困難點AI在摘要裡補上攻擊者身分、動機或責任歸屬的推論字眼STOP / 中止條件事件疑似涉及個資外洩、勒索軟體或需依法通報主管機關時,先依公司通報程序處理,不得先發布尚未核准的時間軸
看圖重點:這張圖有兩個人工檢查點,不是因為流程官僚,而是因為「已確認/未確認」與「有沒有推論字眼」是兩件不同的事,缺一個都會出包:第一個檢查點負責前者,第二個檢查點負責後者。右下角的中止條件提醒一件事——一旦事件可能涉及個資外洩或勒索軟體,通報時限是法規在管,不是時間軸整理完才開始算。
純文字流程表(手機/螢幕閱讀器建議看這張)
AI資安事件時間軸整理:先分已確認未確認,攻擊者是誰永遠留給人判定(純文字流程表)
類型/角色流程步驟這一步的困難點/中止條件
1Human零碎原始紀錄(log匯出、通報信件、電話逐字稿、對話紀錄)
時區與格式不一,需先整理來源標記
2Human人蒐集分類、去識別化、統一時區與來源標記
3AIAI逐則抽取時間/事件/來源,標記已確認/未確認
沒有直接證據一律標未確認
困難點/風險AI把口頭轉述或群組閒聊直接標記為已確認事實
4AIAI依時間排序整合成初版Incident Timeline,缺項標待補/時間不明
困難點/風險時間有缺口時AI自己推算「合理」時間點,時間軸看似完整實則編造
5Checkpoint人工逐列查證來源、升級已確認、填Owner與Next Step
6AIAI依查證後版本產出正式Incident Summary,責任歸屬一律留白
困難點/風險AI在摘要裡補上攻擊者身分、動機或責任歸屬的推論字眼
7Checkpoint主管/法遵終審:確認無身分或責任推論、通報範圍已判定
失敗與中止條件事件疑似涉及個資外洩、勒索軟體或需依法通報主管機關時,先依公司通報程序處理,不得先發布尚未核准的時間軸
8OutputIncident Timeline + Incident Summary(核定發送/歸檔版本)

回流線:人工逐列查證來源、升級已確認、填Owner與Next Step → AI依時間排序整合成初版Incident Timeline,缺項標待補/時間不明(查證後發現新增或修正的事件,回頭補進時間軸);主管/法遵終審:確認無身分或責任推論、通報範圍已判定 → AI依查證後版本產出正式Incident Summary,責任歸屬一律留白(摘要仍殘留推論字眼,退回重寫)

Mermaid 原始碼(貼進 Mermaid Live 或 draw.io 可再編輯)
可直接複製,改成你自己的流程
flowchart TD
    in1(["<b>Human</b><br/>零碎原始紀錄(log匯出、通報信件、電話逐字稿、對話紀錄)<br/><small>時區與格式不一,需先整理來源標記</small>"])
    s1["<b>Human</b><br/>人蒐集分類、去識別化、統一時區與來源標記"]
    a1[/"<b>AI</b><br/>AI逐則抽取時間/事件/來源,標記已確認/未確認<br/><small>沒有直接證據一律標未確認</small>"/]
    a2[/"<b>AI</b><br/>AI依時間排序整合成初版Incident Timeline,缺項標待補/時間不明"/]
    c1{{"<b>Checkpoint</b><br/>人工逐列查證來源、升級已確認、填Owner與Next Step"}}
    a3[/"<b>AI</b><br/>AI依查證後版本產出正式Incident Summary,責任歸屬一律留白"/]
    c2{{"<b>Checkpoint</b><br/>主管/法遵終審:確認無身分或責任推論、通報範圍已判定"}}
    o1(["<b>Output</b><br/>Incident Timeline + Incident Summary(核定發送/歸檔版本)"])
    r1>"<b>Risk</b><br/>AI把口頭轉述或群組閒聊直接標記為已確認事實"]
    r2>"<b>Risk</b><br/>時間有缺口時AI自己推算「合理」時間點,時間軸看似完整實則編造"]
    r3>"<b>Risk</b><br/>AI在摘要裡補上攻擊者身分、動機或責任歸屬的推論字眼"]
    st1[/"<b>Stop</b><br/>事件疑似涉及個資外洩、勒索軟體或需依法通報主管機關時,先依公司通報程序處理,不得先發布尚未核准的時間軸"\]

    in1 --> s1
    s1 --> a1
    a1 --> a2
    a2 --> c1
    c1 --> a3
    a3 --> c2
    c2 --> o1
    a1 -.->|風險| r1
    a2 -.->|風險| r2
    a3 -.->|風險| r3
    c2 ==>|中止| st1
    c1 -.->|查證後發現新增或修正的事件,回頭補進時間軸| a2
    c2 -.->|摘要仍殘留推論字眼,退回重寫| a3

    classDef clsIn fill:#FFFFFF,stroke:#2C4459,stroke-width:2px,color:#141E2B
    classDef clsHuman fill:#FBFCFD,stroke:#7A8CA0,stroke-width:2px,color:#141E2B
    classDef clsAI fill:#FFF6EA,stroke:#DE9A45,stroke-width:2px,color:#141E2B
    classDef clsAgent fill:#FDEBD2,stroke:#B87A2E,stroke-width:2px,color:#141E2B
    classDef clsTool fill:#EDF2F6,stroke:#2C4459,stroke-width:2px,color:#141E2B
    classDef clsCheck fill:#E8F2EC,stroke:#3F7A5A,stroke-width:2px,color:#123024
    classDef clsOut fill:#141E2B,stroke:#141E2B,stroke-width:2px,color:#F2F6F9
    classDef clsRisk fill:#FCEFEA,stroke:#C0552F,stroke-width:2px,color:#5E2110
    classDef clsStop fill:#F7E1DB,stroke:#8E2F17,stroke-width:3px,color:#5E2110
    class in1 clsIn;
    class s1 clsHuman;
    class a1 clsAI;
    class a2 clsAI;
    class c1 clsCheck;
    class a3 clsAI;
    class c2 clsCheck;
    class o1 clsOut;
    class r1 clsRisk;
    class r2 clsRisk;
    class r3 clsRisk;
    class st1 clsStop;

04完整步驟圖的文字版,逐步展開

一句話版(快速回顧)

  1. 人蒐集並分類原始紀錄,去識別化敏感資訊
  2. AI逐則抽取時間/事件/來源,標記已確認或未確認
  3. AI依時間排序整合成初版Incident Timeline
  4. 人工逐列查證、填Owner與Next Step
  5. AI依查證後版本產出正式Incident Summary
  6. 主管/法遵終審核准後發送歸檔

完整版(每一步誰做、產出什麼)

誰做步驟與說明
1Human蒐集分類與去識別化
把log、信件、電話逐字稿、對話紀錄分類,敏感資訊先代碼化,時區先統一。→ 已分類、已去識別化的原始紀錄
2AI逐則抽取時間/事件/來源
讀完各來源,逐則標出時間、事件、來源,並依有無明確依據標記已確認或未確認。→ 事件條目清單(含已確認/未確認標記)
3AI整合初版時間軸
依時間排序整合成表格,時間有缺口或衝突的一律標「時間不明」,不推算。→ 初版Incident Timeline
4Human人工查證與補正
逐列核對未確認項目的佐證,有佐證的升級為已確認,並指派Owner與Next Step。→ 已查證Timeline(Owner、Next Step齊全)
5AI產出正式Incident Summary
依查證後版本寫摘要,只重述已確認事實與已採取措施,責任歸屬留白標待調查。→ Incident Summary草稿
6Human主管/法遵終審
確認沒有身分或責任推論、通報範圍已判定,才核准。→ 核定版本
7Human發送與歸檔
依核定範圍發送,並將原始紀錄與各版本時間軸一併歸檔備查。→ 已發送、已歸檔的正式紀錄
三、動手做備料 → 指令 → 產出 → 工具

這一區是真的動手:先備料、再貼指令、然後對照產出應該長什麼樣。手上是哪一支 AI 都做得完,差別寫在最後的工具那一節。

05開始前要準備什麼標「必要」的沒備齊就先別開始

原始紀錄全彙整必要
系統/防火牆/EDR log截圖或匯出檔、通報信件、電話通報的逐字稿(可用STT轉出)、Line/Teams對話紀錄截圖或匯出文字。
各紀錄的來源與時間格式標記必要
每則資料註明來自哪個系統、是誰回報、原始時間戳(含時區),沒有時間戳的要註明「無時間戳」。
個資與敏感資訊先遮蔽必要
使用者帳號、客戶資料、內部IP若含個資,先代碼化或去識別化。
已知的權責分工必要
誰是這起事件的Owner、誰有權拍板通報,先確認好,不要等時間軸做完才找人。
公司既有的事件分級/通報規範可選
有的話拿出來對照,法規要求的通報時限、要通報哪個主管機關。
前一版本的Timeline可選
若事件已整理過一次,這次是更新,附上前一版方便比對變化。

餵進去的東西要長這樣

去識別化後的原始紀錄:系統/防火牆log匯出、通報信件、電話通報逐字稿、對話紀錄,每則標明來源與時間。

【來源1:防火牆log匯出,UTC+8】2026-08-16 23:07:12至23:46:58,帳號svc_vpn03登入失敗41次,IP 203.0.113.44;23:47:31同帳號同IP登入成功。
【來源2:使用者轉寄信件,2026-08-17 08:15】「昨晚收到簡訊說VPN驗證碼要重設,我輸入了驗證碼,附截圖。」
【來源3:電話逐字稿(STT),約2026-08-17 09:02】「三民店電腦變慢,跳出英文視窗,看不懂。」
【來源4:IT群組對話,2026-08-17 09:30-09:50】技術員發現不明排程工作並停用;09:50停用帳號、強制改密碼。

06Prompt(快速/完整/進階)

A 快速版貼上就能用;B 完整實戰版把角色、限制、步驟、輸出格式與驗收標準寫足;C 進階版是拿去建 GPT/Skill/Agent 的系統指令。三種都附可替換變數、使用範例、預期輸出與人工確認點。

三種版本共通的紅線
三版都不適合用在
  • 不要把電話或口頭轉述直接標記為已確認。
  • 不要在任何欄位或摘要裡寫出攻擊者身分、動機或責任歸屬的推論。
  • 不要拿還沒核准的草稿時間軸對外發送或呈報主管機關。
三版都必須由人確認
  • 已確認/未確認的最終判定由人依佐證裁定。
  • Owner與Next Step由主管或事件負責人指派,不是AI自動填。
  • 是否對外通報、通報範圍與時限由法遵或主管依法規判定。
  • 最終版本發送前,需有人確認沒有殘留推論性語句。
A
A. 快速版

手上有多來源的零碎紀錄,想先拿到一份可以照著查證的Incident Timeline草稿。

適合的工具ClaudeChatGPT
👇 直接複製,{ } 換成你的內容
以下是一起資安事件的零碎原始紀錄,來源不只一種(可能包含系統log、通報信件、電話逐字稿、群組對話紀錄)。請幫我整理成一份 Incident Timeline 草稿,規則如下:

1. 用表格呈現,每一列包含:時間、事件、來源、已確認/未確認、已採取措施、Owner、Next Step。
2. 「已確認」只能用在原始紀錄裡有明確文字支持的項目;沒有直接證據、只是聽說或推測的一律標「未確認」,並在旁邊註明依據是哪一則原始紀錄。
3. 時間有缺口、衝突、或原始紀錄沒寫清楚時,不要自己猜一個合理的時間,要照實寫「時間不明」並註明原因。
4. Owner、已採取措施、Next Step 這三欄,如果原始紀錄裡沒有明確資訊,一律留白或寫「待補」,不要自己填。
5. 絕對不要判定或暗示攻擊者是誰、動機是什麼、或是誰的責任。這些欄位不存在於這份時間軸裡,也不要藏在「事件」欄的描述文字裡。
6. 整理完之後,額外列出「待查證清單」:哪些項目標了未確認、需要跟誰核對才能升級為已確認。

原始紀錄:
{貼上}

可替換變數

變數要換成什麼
{貼上}零碎原始紀錄:log匯出、通報信件、電話逐字稿、對話紀錄等,來源愈多愈好,格式不用先整理。
完整使用範例(照這樣填)
以下是一起資安事件的零碎原始紀錄,來源不只一種。請幫我整理成Incident Timeline草稿。(照母提示詞六條規則)

【來源1:防火牆log匯出,時區已轉為UTC+8】
2026-08-16 23:07:12 至 23:46:58,帳號svc_vpn03對VPN登入失敗共41次,來源IP 203.0.113.44(非公司白名單IP段)。
2026-08-16 23:47:31,同帳號同IP登入成功。

【來源2:使用者轉寄信件,寄件時間2026-08-17 08:15】
「昨天晚上收到一封簡訊,說VPN驗證碼要重新設定,點進去輸入了驗證碼,現在想想覺得怪怪的,附上簡訊截圖。」

【來源3:電話通報逐字稿(STT轉出),通話時間約2026-08-17 09:02】
「呃...我是三民店的店長啦,我這邊電腦從早上開始就變得很慢,剛剛還跳出一個英文的視窗,我看不懂,也不知道要按什麼。」

【來源4:IT群組對話紀錄,2026-08-17 09:30】
IT技術員A:「去svc_vpn03那台筆電看了一下,工作排程器裡多一個沒看過的排程工作,名稱亂碼,已經先停用。」
IT技術員A:「09:50已經把svc_vpn03帳號停用,強制改密碼。」

原始紀錄:{以上四則}
預期輸出範例(拿到的東西應該長這樣)
【Incident Timeline 草稿】

| 時間 | 事件 | 來源 | 已確認/未確認 | 已採取措施 | Owner | Next Step |
|---|---|---|---|---|---|---|
| 2026-08-16 23:07–23:46 | 帳號svc_vpn03遭連續41次VPN登入失敗嘗試,來源IP 203.0.113.44 | 防火牆log匯出 | 已確認〔佐證:log時間戳與失敗次數〕 | 尚未記載 | 待補 | 待補 |
| 2026-08-16 23:47 | 同帳號同IP登入成功一次 | 防火牆log匯出 | 已確認〔佐證:log顯示成功登入紀錄〕 | 尚未記載 | 待補 | 待補 |
| 2026-08-16 夜間(確切時間不明) | 使用者收到偽冒VPN驗證簡訊並輸入驗證碼 | 使用者轉寄信件 | 未確認〔僅憑使用者描述與截圖,尚無簡訊發送方紀錄可交叉核對〕 | 尚未記載 | 待補 | 待補 |
| 2026-08-17 約09:02 | 三民店店長回報電腦變慢、跳出英文視窗 | 電話逐字稿 | 未確認〔僅憑口頭描述,缺乏系統紀錄佐證,且「英文視窗」內容不明〕 | 尚未記載 | 待補 | 待補 |
| 2026-08-17 09:30 | svc_vpn03筆電上發現不明排程工作 | IT群組對話紀錄 | 未確認〔技術員口頭描述,未附排程工作名稱截圖或log〕 | 已停用該排程工作 | 待補 | 待補 |
| 2026-08-17 09:50 | svc_vpn03帳號停用並強制改密碼 | IT群組對話紀錄 | 已確認〔佐證:技術員對話紀錄明確記載動作與時間〕 | 帳號已停用、密碼已重設 | 待補 | 待補 |

【待查證清單】
1. 使用者收到的簡訊截圖:需IT或資安人員核對簡訊發送號碼與時間,才能把該列升級為已確認。
2. 三民店「英文視窗」的實際內容:需請店長截圖或請IT到場查看,目前描述不足以判斷是什麼。
3. 不明排程工作的名稱與內容:需技術員補上截圖或log,才能確認與登入事件的關聯。

本時間軸未判定造成這起事件的原因或是誰的責任,這些欄位刻意留白,待調查與查證後由人另行判定。

常見錯誤用法

  • 把「未確認」的簡訊、電話描述直接改成「已確認」貼進正式報告,因為讀起來比較完整。
  • 看到Owner、Next Step欄位空著就自己隨便填一個人名或動作,那應該由主管指派。
  • 拿到草稿就直接對外發送或呈報,跳過待查證清單與人工審閱那一關。
這一版另外不適合

沒有額外的,看上面「三種版本共通的紅線」那一段就好。

缺少資料時怎麼辦

來源沒有標明是log、信件、電話還是口頭轉述時,AI沒辦法判斷該標已確認還是未確認,只能全部先當未確認處理,來源標記是必要的。

這一版另外要人確認

沒有額外的,看上面「三種版本共通的紅線」那一段就好。

B
B. 完整實戰版

已有初版時間軸草稿,要做逐列查證與補齊Owner/Next Step,並產出正式Incident Summary。

適合的工具ClaudeChatGPT
👇 直接複製,{ } 換成你的內容
以下是Incident Timeline的草稿,以及我對其中幾列的查證結果。請依查證結果更新時間軸,並產出正式的Incident Summary。

查證更新規則:
1.【逐列比對】對照我提供的查證結果,把有佐證的「未確認」項目改為「已確認」並註明新佐證;沒有查證結果的項目維持未確認,不要自己升級。
2.【NextStep收斂】對於仍是未確認的項目,在Next Step欄位寫出具體要查什麼、由誰核對、什麼時候要有結果——這三項我會在附件裡告訴你,你只需要照填,不要自己指派人名。
3.【產出Incident Summary】用200-350字寫一段摘要,只重述已確認的事實與已採取措施的時間順序,不得出現攻擊者身分、動機、或責任歸屬的字眼;遇到「為什麼」「是誰」這類問題,一律寫「原因與責任歸屬待調查,不在本摘要判定範圍」。
4.【風險提示】另外列出這份時間軸目前最大的3個未確認缺口,說明缺口不補齊會有什麼風險。

規則:
- 不得把「已停用帳號」「已重設密碼」這類已採取措施寫成因果推論(不能寫「因為是外部入侵所以停用帳號」,只能寫「已停用帳號」)。
- 不得推測或補齊任何時間、Owner、Next Step,沒有依據就維持留白或未確認。

時間軸草稿:{貼上}|查證結果與Owner/NextStep指派:{貼上}

可替換變數

變數要換成什麼
{貼上}上一步產出的Incident Timeline草稿。
{貼上}人工查證後的結果,以及主管指派的Owner與NextStep清單。
完整使用範例(照這樣填)
(貼上A版產出的6列草稿,並附查證結果:簡訊截圖經比對確認為釣魚簡訊、店長已補充英文視窗截圖顯示為勒索軟體訊息框但IT尚未鑑定完成、排程工作已附截圖經比對疑似惡意程式但仍待鑑定;Owner指派:帳號相關由IT資安小組負責、對外通報評估由法遵負責,NextStep補上期限)
預期輸出範例(拿到的東西應該長這樣)
【已更新的Incident Timeline(節錄)】

| 時間 | 事件 | 來源 | 已確認/未確認 | 已採取措施 | Owner | Next Step |
|---|---|---|---|---|---|---|
| 2026-08-16 夜間 | 使用者收到偽冒VPN驗證簡訊並輸入驗證碼 | 使用者轉寄信件+簡訊截圖比對 | 已確認〔佐證:簡訊發送號碼經比對為已知釣魚號碼〕 | 已請使用者變更VPN密碼 | IT資安小組 | 追查是否有其他使用者收到同批簡訊,08-19前回報 |
| 2026-08-17 約09:02 | 三民店電腦跳出英文視窗 | 電話逐字稿+店長補充截圖 | 已確認〔佐證:截圖顯示為勒索軟體樣式提示框,惟尚未經鑑定確認是否為真實感染〕 | 已將該台電腦隔離離線 | IT資安小組 | 送鑑定確認是否為勒索軟體,08-18前出結果 |
| 2026-08-17 09:30 | svc_vpn03筆電發現不明排程工作 | IT群組對話紀錄+截圖 | 已確認為存在該排程工作,內容是否惡意仍未確認 | 已停用該排程工作 | IT資安小組 | 送鑑定分析排程工作內容,08-18前出結果 |

【Incident Summary】
2026年8月16日23時07分起,帳號svc_vpn03遭連續41次VPN登入失敗嘗試,同日23時47分該帳號成功登入一次,來源IP非公司白名單範圍。8月17日上午,一名使用者回報於前一晚收到偽冒VPN驗證簡訊並輸入驗證碼,經比對該簡訊發送號碼確認為已知釣魚號碼。同日上午,三民店回報電腦出現異常提示視窗,經截圖比對疑似勒索軟體樣式,該電腦已隔離離線,鑑定結果待08-18前確認。IT技術人員於同日09:30在svc_vpn03筆電上發現不明排程工作並已停用,09:50已停用該帳號並強制重設密碼。造成事件之原因與責任歸屬待鑑定與調查後另行判定,不在本摘要範圍內。

【最大的3個未確認缺口】
1. 三民店電腦是否真的遭勒索軟體感染:若未釐清就對外說明,可能低估或高估事件嚴重度。
2. 排程工作的實際內容與行為:若未鑑定就假設是惡意程式,可能誤導後續處理方向。
3. 是否有其他使用者收到同批釣魚簡訊:若沒有全面追查,可能還有未發現的受害帳號。

常見錯誤用法

  • 把「疑似勒索軟體」寫成「已確認遭勒索軟體攻擊」對外發布,鑑定結果出來前這只是未確認的比對結果。
  • 摘要裡看到「原因待調查」就自己補一句「初步研判為外部人士入侵」,那正是這個方法要擋的事。
  • 風險缺口清單寫完就沒人跟催,缺口沒有期限跟催等於沒補。
這一版另外不適合

沒有額外的,看上面「三種版本共通的紅線」那一段就好。

缺少資料時怎麼辦

沒有附上查證結果與Owner/NextStep指派清單時,AI只能維持原本的未確認狀態,不會、也不該自己升級任何一列。

這一版另外要人確認

沒有額外的,看上面「三種版本共通的紅線」那一段就好。

C
C. 進階版(做成共用資安事件時間軸整理助手)

事件處理過程中會反覆發生,要做成公司共用的Incident Timeline整理助手,讓每次事件都照同一套規則跑。

適合的工具自訂 GPT/Claude ProjectClaude SkillCopilot Studio
👇 直接複製,{ } 換成你的內容
請把以下規則,寫成一份可以直接用來建立共用「資安事件時間軸整理助手」的系統指令。

【系統指令要包含】
1. 角色與任務:只負責把零碎原始紀錄整理成Incident Timeline草稿與Incident Summary,不做調查、不判定攻擊者身分或責任歸屬。
2. 欄位規範:時間、事件、來源、已確認/未確認、已採取措施、Owner、Next Step七欄,Owner與Next Step一律留白或寫「待補」,由人另行指派。
3. 已確認/未確認判定規則:只有原始紀錄裡有明確文字或紀錄支持的項目才能標已確認,並附佐證出處;口頭轉述、電話、群組閒聊一律先標未確認。
4. 時間規則:時間有缺口、衝突、格式不一時,一律寫「時間不明」並註明原因,不得推算或估計。
5. 禁止事項(硬限制):不得在任何欄位或摘要中出現攻擊者身分、動機、責任歸屬的推論字眼(如:疑似是、可能是、研判為外部/內部人士所為);出現需求時一律回報「原因與責任歸屬待調查,不在本助手判定範圍」。
6. 待查證清單:每次輸出都要附上,列出未確認項目與具體要核對的內容。
7. 輸出格式:Incident Timeline表格 + 待查證清單 +(若要求)Incident Summary摘要段落。

【另外請給我】
(a) 一份「使用說明」,給第一次通報事件的同事看,含三個好用法與三個誤用示範。
(b) 一份「維護說明」:多久要檢查一次這份規則有沒有跟上公司實際的通報流程、誰負責更新。

規則全文:{貼上}|公司既有的事件分級/通報規範(如有):{貼上}

可替換變數

變數要換成什麼
{貼上}前面驗證過的整理規則(欄位、已確認判定標準、禁止事項)。
{貼上}公司既有的事件分級或通報規範,若無可留空。
完整使用範例(照這樣填)
(貼上規則全文,並附公司資安事件分級表:一級事件需2小時內通報主管、疑似個資外洩需依法72小時內評估是否通報主管機關)
預期輸出範例(拿到的東西應該長這樣)
【共用「資安事件時間軸整理助手」系統指令】

一、你的角色
你是本單位的資安事件時間軸整理助手。你只負責把零碎原始紀錄整理成Incident Timeline草稿與Incident Summary,不做調查、不判定攻擊者身分、動機或責任歸屬。

二、欄位規範
時間、事件、來源、已確認/未確認、已採取措施、Owner、Next Step。Owner與Next Step一律留白或寫「待補」,由人指派。

三、已確認/未確認判定
只有原始紀錄中有明確文字或系統紀錄支持的項目才能標已確認,並附佐證出處;電話、口頭轉述、群組閒聊一律先標未確認,需經人工佐證後才能升級。

四、時間規則
時間有缺口、衝突或格式不一時,寫「時間不明」並註明原因,不得推算或估計一個「合理」時間。

五、禁止事項
不得出現攻擊者身分、動機、責任歸屬的推論字眼。任何牽涉到「誰做的、為什麼做」的句子一律改寫成「原因與責任歸屬待調查,不在本助手判定範圍」。

六、待查證清單
每次輸出都要附上,列出未確認項目、需要核對的內容、建議由誰核對。

七、依公司分級規範提醒
若事件疑似涉及個資外洩,於輸出末段提醒使用者:「請依公司規範評估是否需於72小時內通報主管機關,此判定由法遵/主管進行,本助手不代為判定」。

──────────

【使用說明】
這個助手做什麼:把你手上的log、信件、電話逐字稿、對話紀錄整理成看得懂先後順序的時間軸草稿。
這個助手不做什麼:告訴你是誰做的、為什麼會發生、要不要對外究責。

好例子:
1. 貼上防火牆log與使用者回報信件,請它先排出時間軸。
2. 查證完幾個項目後,貼回查證結果請它更新已確認狀態。
3. 時間軸定稿後,請它產出200-350字的Incident Summary給主管看。

壞例子:
1.「幫我看這是不是外部駭客做的」——不是這個助手的工作。
2.「摘要寫得篤定一點,主管才會重視」——篤定意味著把未確認寫成已確認,不行。
3.「時間對不上,你幫我抓一個合理的」——一律寫時間不明。

【維護說明】
- 公司分級/通報規範異動時,第七節要同步更新。
- 每季抽查一次實際輸出,確認沒有身分/責任推論悄悄溜進摘要裡。
- 負責人:〔填寫〕。

常見錯誤用法

  • 把禁止事項那一節拿掉,因為「主管想快點知道是誰的問題」。那一節正是這個助手唯一的存在理由。
  • 讓助手兼做事後根因分析,一旦開始判斷原因,時間軸就會摻進推論。
  • 系統指令定版後不再更新,公司通報規範改了也不同步,助手提醒的通報時限就是舊的。
這一版另外不適合

沒有額外的,看上面「三種版本共通的紅線」那一段就好。

缺少資料時怎麼辦

沒有附上公司既有的事件分級/通報規範時,助手不會知道要在什麼情況下提醒使用者評估通報,這一節就只能留白或用最保守的通用提醒。

這一版另外要人確認

沒有額外的,看上面「三種版本共通的紅線」那一段就好。

07產出應該長什麼樣拿到的東西要長這樣

Incident Timeline表格(七欄)+待查證清單;需要摘要時另附Incident Summary(200-350字)。

完成品:同一批紀錄的兩種整理:有沒有守住已確認/未確認的界線

【沒有守住界線】
AI產出(節錄):
「事件經過:週日深夜疑似遭外部人士以暴力破解方式嘗試入侵VPN,並於凌晨成功登入,研判攻擊者隨後在使用者電腦植入惡意排程工作,可能與隔日使用者收到的釣魚簡訊為同一批攻擊行動。」

→ 讀起來很像一份完整的事件敘述。問題是:
→ 「疑似遭外部人士」「研判攻擊者」是AI自己接出來的推論,原始紀錄裡沒有任何一句支持「外部人士」這個結論。
→ 「可能與釣魚簡訊為同一批攻擊行動」把兩件時間相近但沒有直接關聯證據的事,寫成因果關係。
→ 這種寫法一旦被拿去呈報或通報,之後如果調查結果不是這樣,整份文件的可信度都會被質疑。

【守住界線】
AI產出(節錄):
「2026-08-16 23:07至23:46,帳號svc_vpn03發生41次VPN登入失敗,23:47同帳號同IP登入成功〔已確認,佐證:防火牆log〕。2026-08-17上午,一名使用者回報前一晚收到疑似釣魚簡訊並輸入驗證碼〔未確認,僅憑使用者描述,簡訊發送方尚待核對〕。同日09:30,IT技術員於svc_vpn03筆電上發現不明排程工作並已停用〔未確認為惡意,內容待鑑定〕。造成登入成功與排程工作出現之原因、以及與簡訊事件是否相關,待調查後另行判定,不在本摘要範圍。」

→ 每一句都能回頭指出佐證在哪裡,也誠實標出還沒查清楚的部分。
→ 「兩件事是否相關」被清楚標成未確認、待調查,而不是被寫成一個順口的因果句。
→ 差別在哪:第一種在講一個聽起來合理的故事,第二種在講目前查證到什麼程度。前者好讀,後者才是能拿去做決策與呈報的東西。
輸出格式規格(要照著做的人再展開)
  • 七欄缺一不可:時間、事件、來源、已確認/未確認、已採取措施、Owner、Next Step。
  • 已確認的項目要附佐證依據,未確認的項目要附「為何未確認」的說明。
  • Owner與Next Step沒有明確資訊時寫「待補」,不得自行指派人名。
  • 待查證清單要列出每個未確認項目具體待核對什麼、建議由誰核對。
  • 摘要與任一欄位都不得出現攻擊者身分、動機、責任歸屬的推論字眼。
| 時間 | 事件 | 來源 | 已確認/未確認 | 已採取措施 | Owner | Next Step |
|---|---|---|---|---|---|---|
| 2026-08-16 23:47 | svc_vpn03登入成功 | 防火牆log | 已確認〔佐證:log紀錄〕 | 尚未記載 | 待補 | 待補 |
| 2026-08-17 約09:02 | 三民店回報電腦異常 | 電話逐字稿 | 未確認〔僅口頭描述〕 | 尚未記載 | 待補 | 待補 |

【待查證清單】
1. 三民店異常視窗內容:需請店長補截圖,IT核對。

08工具怎麼挑

這幾支都做得到——差別在你手上有哪一支、資料能不能外流。標「起手」的是不知道從哪支開始時的建議,不是限定。

工具什麼時候用為什麼注意
Claude ↗起手
一次讀完大量零碎紀錄
一次讀完大量零碎紀錄整理時間軸長輸入穩定,可以一次讀完log匯出、信件、逐字稿多種格式再整合。仍要人逐列核對已確認/未確認,不能照單全收。
ChatGPT ↗草稿完成後要反覆調整格式或補問細節互動式來回調整表格欄位或補問缺漏資訊比較快。同樣不得讓它自行判斷攻擊者身分。
語音轉文字(Word 聽寫等)
電話通報轉逐字稿
電話通報要轉成逐字稿把口頭描述先轉成文字,才能跟其他書面紀錄放進同一份時間軸整理。轉出的逐字稿本身可能有辨識錯誤,人要對照確認關鍵字沒轉錯。
Jira/Trello/Planner待查證清單與Next Step需要有人跟催時把「誰要查什麼、什麼時候查完」放進任務看板,才不會做完時間軸就沒人管後續。看板上仍不能寫入未經查證的推論,只能放事實與待辦。
四、不要做錯這幾關不下放

這一區是踩過的坑與該守的線。標「不下放」的步驟請不要交給 AI 決定;Checklist 是拿來驗收的,不是拿來勾好看的。

09會卡住與會做錯的地方

會卡住的地方(流程困難點)

時間戳記格式不一
系統log是UTC、信件是寄件時間、電話回報只有「大概下午三點」,排序前要先統一格式,不然順序會亂。
口頭轉述被當成第一手證據
電話或群組裡「聽說」「好像」的說法,如果沒有標明來源與可信度,會被誤讀成已確認事實。
AI順手補推論
時間有缺口、行為有模式時,AI很容易自己接出「可能是外部入侵」這類句子,看起來專業但沒有證據。
已確認/未確認的界線模糊
「系統紀錄顯示」跟「使用者表示」可信度不同,混在一起寫,沒人能判斷哪些能直接引用。

會做錯的地方(常見失敗方式)

把口頭轉述當已確認

電話或群組裡的「聽說」被寫進「已確認」欄。

怎麼修電話與口頭轉述一律先標未確認,要有書面或系統紀錄佐證才能升級。

AI自己猜時間

時間有缺口時AI編一個「合理」的時間點,時間軸看起來完整但是編的。

怎麼修缺時間就寫「時間不明」並註明原因,不得推算。

摘要裡藏推論

表格裡守住了規則,但AI在摘要段落偷偷寫「疑似為外部入侵」。

怎麼修摘要只能重述已確認的事實,出現任何身分/動機/責任的字眼都要打回。

Owner與Next Step自動填

AI看紀錄裡誰負責過類似的事,自己填進Owner欄。

怎麼修Owner、Next Step一定由人指派,AI只能留白或寫待補。

沒有做待查證清單

未確認項目整理完就沒人跟催,事後沒人記得要查證什麼。

怎麼修每次整理都附待查證清單並指定誰要去核對。

個資沒去識別化就丟給AI

log與截圖裡的帳號、客戶資料未經處理就貼進對話。

怎麼修上傳前先代碼化敏感欄位,只留辨識事件所需的資訊。

其他注意事項

10人工把關與安全限制

AI/Agent/Tool 介入在哪幾步

流程位置做什麼/怎麼做
抽取階段AI逐則抽取時間/事件/來源並標記已確認/未確認
只能依原始紀錄裡明確寫的內容標記為已確認,沒有直接證據的一律標【未確認】,不得依常理推測。
整合階段AI依時間排序整合初版Timeline
時間有缺口或衝突時要並列標出,不能自己挑一個合理值填入。
摘要階段AI產出正式Incident Summary
摘要只能重述時間軸裡已確認的事實,遇到需要補原因、補身分、補責任歸屬的地方一律留白並標【待人工判定】。
彙整階段Tool電話通報轉逐字稿
用語音轉文字工具(STT)先產出逐字稿,AI再從逐字稿抽取事件,逐字稿本身也要保留備查。

這幾關不下放

已確認/未確認的最終判定
只有人看過佐證後才能把一則事件從未確認改成已確認。
攻擊者身分與動機
AI一律不判定,人也不能在審核時偷偷補上未經查證的猜測。
Owner與Next Step的指派
由主管或事件負責人指派,不是AI自動填。
通報範圍與時限
是否要通報主管機關、多久內要通報,由法遵或主管依法規判定。
最終發送前的審閱
時間軸與摘要在發出前,要有一個人確認沒有推論性語句才能發送。

安全與權限限制

原始紀錄先去識別化
帳號、客戶資料、內部IP在貼給AI前先代碼化,只留辨識事件所需的最低資訊。
電話逐字稿的保存
STT轉出的逐字稿本身也是紀錄,要跟其他原始資料一起歸檔備查,不能轉完就刪。
文件的存放與分享範圍
Incident Timeline可能含未公開的資安弱點資訊,存放與轉發範圍要限制在需要知道的人。
未確認項目不得外流
草稿階段標未確認的項目在核准前不對外發送,避免半成品被誤當定論引用。
法遵/司法保存要求
若事件可能進入保險理賠或司法程序,原始紀錄與各版本時間軸都要保留,不得覆蓋舊版。

11Checklist 與驗收標準

做的時候逐項打勾

做完了才檢查:全部成立才算完成

  1. 每一列都有時間、事件、來源、已確認/未確認、已採取措施、Owner、Next Step七個欄位,沒有空白未標「待補」的欄位。
  2. 已確認的項目都能指出對應的原始紀錄佐證。
  3. 電話與口頭轉述的項目,未經書面或系統紀錄佐證前一律標未確認。
  4. 時間有缺口或衝突的項目已如實標「時間不明」,沒有被推算的時間點。
  5. 摘要段落沒有出現攻擊者身分、動機或責任歸屬的推論句。
  6. 待查證清單已附上,且每項都指定了要跟誰核對。
  7. Owner與Next Step由人指派,不是AI自動填入。
  8. 原始紀錄中的個資與敏感資訊已去識別化。
  9. 最終版本經主管或法遵審閱核准後才發送或歸檔。
五、延伸看別人做過,然後往下一步

看看別人實際做過的樣子,再決定下一步往哪走。沒有找到可查證案例的方法,這裡會直說沒有,不拿相似的案例充數。

12實際案例

「深夜VPN登入」事件:先把時間軸兜起來,再談是誰做的

當時的狀況:某公司IT在週一早上發現異常:防火牆log顯示週日深夜有帳號在40分鐘內嘗試登入VPN超過40次,接著出現一次成功登入。隔天又收到員工轉寄的可疑簡訊截圖、以及分店主管一通電話說「電腦好像跳出奇怪視窗」。訊息分散在log、信件、電話與IT群組對話裡,沒人記得完整先後順序。

AI 做了什麼
  • 讀完四種來源後依時間排出時間軸,把「防火牆log顯示」與「使用者表示」分開標記已確認/未確認。
  • 電話逐字稿裡「跳出奇怪視窗」被標為未確認,註明「僅憑口頭描述,缺乏系統紀錄佐證」。
  • 產出待查證清單,列出3項需IT回頭核對才能升級為已確認的項目。
  • 摘要只重述已確認事實與已採取措施,「為什麼會登入成功」留白標【待人工判定】。
人做了什麼
  • IT把log時間全部轉成同一時區後才交給AI,避免時間軸對不齊。
  • 資安負責人逐列核對,把「可疑簡訊」用截圖佐證後升級為已確認。
  • 主管指派Owner與Next Step:帳號重設由IT負責、是否通報由法遵24小時內決定。
  • 法遵審閱最終版本,確認沒有「疑似是外部人士」這類推論句才核准發送。

結果:完成的Timeline有9列,其中3列在發送前仍標「未確認」並附待查證清單,不是被硬湊成一則完整故事。法遵後來認為,這份「誠實的不完整」比一份看似完整但混雜推測的時間軸更好用。

待補資料:本站不提供這起事件後續調查是否找到根因、或是否構成個資外洩須通報主管機關的結果。這類判定屬於實際調查與法遵程序,不是AI整理時間軸能替代或預測的,讀者需依自己公司實際狀況另外走調查與法遵流程。

13相關方法與下一步

檢查AI/Agent處理這類敏感紀錄的權限

時間軸整理完之後,還可以檢查參與整理的AI或Agent有沒有拿到超過需要的存取權限。

防堵事件源頭的Prompt Injection風險

如果懷疑事件與AI Agent被誘導執行有關,需要另外一層防護設計。

把抽查邏輯往前搬到平時運作

與其每次事件才整理,不如建立例行稽核抽樣機制,提早發現異常。

整理完的時間軸收進知識庫

事件落幕後,把定稿的時間軸與處理SOP收進共用知識庫,下次類似事件才找得到。

可直接使用RELATED PROMPTS

Download

這個方法的模板與 Checklist 下載包整理中——訂閱更新,上架後第一時間通知你。

這個站的做法
取得 AI 實戰工具與更新

之後會不定期整理:新方法、指令包(Prompt Pack)、Checklist 與模板。免費、無廣告;送出後會收到一封確認信,點了連結才算訂閱成功,之後每封信都附一鍵退訂。

← 回「專業審查與合規」回找方法 →