假设某天清晨，医院仍有电、医护也已到班，急诊却因登录系统失效，无法顺利查找病历与调药。 问题未必出在医院，可能只是共同使用的外部服务出了状况。 这个假设提醒我们：守住一栋建筑、一套设备，不代表守住了人民需要的服务。 台湾推动全社会防卫韧性，值得全民支持。 但当预算、人力与时间都有限，政府还须回答一个更具体的问题：哪些服务最不能停？ 若没有先后顺序，再多采购与演练，也可能补不到真正的韧性缺口。 美国网络安全暨基础设施安全局(CISA)于10月26日公布「CISA 2030」战略，以防御、强固与取胜三支柱规画国家网防。

值得注意的不是口号，而是它把资源对准「对国家造成最高后果」的系统，并设置60、180与360天的查看，与关键基础设施安全及紧急通信运行节点。 对台湾而言，值得借镜的是把威胁与中断后果带进资源配置。 美台规模与制度不同，当然不能照抄，但有限资源应优先降低重大损害，这个原则是全球相通的。 从设备清单走向服务排序 政府部门的危机处理习惯按部会、产业与资产分工：电力归电力、通信归通信、医疗归医疗、能源归能源。 当然分工有其必要，但民众的生活却不会依组织图运作。 一间医院同时需要电力、天然气、供水、通信、药品运送与外包维护；其中一项中断，都可能拖累其他环节。 因此，服务排序应从「什么不能停」开始。

急诊要能辨识病人、给药与救命，供水要能维持基本卫生，紧急警报要能送到居民手中。 先定义危机中必须保留的最低服务，再回头找出需要的人员、设备、数据与支持，预算才有明确落点。 以天然气为例，供应安全不能只看储槽里有多少气。 接收、输送、调压与用户端设备，还需要电力、控制系统及现场人员配合。 即使气源仍在，若控制或维修支持中断，仍可能影响交付。 真正应该检查的是关键用户能否持续获得安全、足量的供应。 有备援还要防范可能共同失效 一般容易被忽略的是，看似不同的备援，可能依赖同一个来源。 两套系统共用一条电力馈线，三家承包商使用同一家云端平台，帐面上都有替代方案，遇到共同故障时却可能所有备援都一起都失效。

主管机关应要求营运者盘点这些共同依赖，并以保密方式跨部会核对。 目的不在公布敏感位置，而是知道哪些支持一旦失效，会让多种公共服务同时停摆。 对这些难以替代的环节，备料、人力与替代操作能力应优先到位。 身分验证也应纳入营运防护。 远程维修帐号如果遭窃，可能让攻击者取得控制权；反过来说，验证服务中断，也可能让合法人员无法登录。 平时要限制权限与使用期限，危机时则须有经授权、可追查的脱机操作方式，并确认现场人员真的会用。 演练应验证服务能否继续 防护排序终究涉及取舍。 行政院可协调各主管机关，依生命安全、影响人口、替代能力与恢复时间，先选急救医疗、供水、紧急通信及电力调度进行示范。

承受不起中断的服务，优先配置复原资源；可短暂降级的功能，则明订恢复期限。 排序标准也必须接受检验，不能由部会地位或预算规模决定。 政府可公开评估原则与改善进度，技术细节则在保密条件下查核。 服务人口、供应商或替代路径改变时，优先级就应重新检讨，避免清单核定后便多年不动。 演练也要容许失败。 假设停电、网络失效、维修商无法到场，现场还能维持多少服务？ 备援可以撑多久？ 谁有权决定降级？ 查出的缺失应有人负责、限期改善并再次测试。 设备交货与会议完成，都不能取代这些答案。 对企业而言，董事会与经营团队同样要追问：最重要的服务能撑多久，多久能恢复，上次演练暴露的问题改好了没有？

政府则应让民众知道服务降级时有哪些替代方式，让信息有助于行动。 结语 国家韧性的成果，最后要回到生活验收。 急诊能否救人，停水时能否取得基本用水，长者能否收到可靠通知，才是民众可以感受的安全。 把最不能停的服务优先守住，并且练到真的做得到，台湾的准备才会逐步成为人民的安心。 ＊作者为台湾天然气产业经理人。