回答廠商 WiFi 安全問卷：附帶證據的查核清單

使用此工具來評估廠商 WiFi 安全問卷的範圍。在包含 60 個問題且有 70% 可重複使用的證明資料情況下，其估算需投入 14.5 小時的工作時間。在這些問題中，有 18 個需要最新的證明資料。此檢查表將每個問題對應至要附加的檔案，從驗證設定與存取記錄，到 ISO 27001 憑證與 PCI DSS 分隔記錄等。

此 WiFi 安全問卷工具有何效益？

廠商 WiFi 安全問卷送達網路團隊時，往往帶有完成期限卻缺乏上下文資訊。該問卷可能來自企業客戶、支付合作夥伴、保險公司、加盟主或您自家的採購團隊。各次審查的問題往往大同小異。然而，證明資料卻分散在多個控制台與多個收件匣中。

此工具可將這些工作轉化為明確的計畫。它包含兩個部分，各部分皆可提供您能據以採取行動的資訊：

• 工作量計算機提供三項資訊：完成 WiFi 部分所需的小時數、需要最新證明資料的問題數量，以及您常備的證明資料包所節省的小時數。
• 證明資料檢查表提供按網路分組並需存檔備查的檔案。如此一來，大多數問題的回答就變成了簡單的查閱，而非一個複雜的專案。

每個問題皆對應至三種網路之一，或是治理層面：

• 開放網路承載訪客與自攜設備 (BYOD) 登錄。他們透過強制入口連線，這是在裝置加入網路前限制存取的網頁。
• 安全網路基於 IEEE 802.1X 承載員工連線，該標準可確保每個裝置在取得位址之前皆先完成驗證。
• xPSK 網路為每個裝置或居住者提供其專屬的預共享金鑰。單一金鑰外洩絕不會影響其他所有人。

在所有這三種網絡上，身分識別決定了 VLAN，即裝置所存取的邏輯網路區段。

{"kind":"flow","direction":"lr","caption":"WiFi 安全問卷如何從收到轉換為更完整的佐證資料包","alt":"從收到問卷、標籤分類、佐證比對、最新擷取與簽核，最後循環回頭更新常設資料包的流程。","nodes":[{"id":"a","label":"收到問卷","sub":"來自客戶、保險公司、合作夥伴或審計人員","tone":"neutral"},{"id":"b","label":"標記每個問題","sub":"開放、安全、xPSK 或治理","tone":"brand"},{"id":"c","label":"比對常設資料包","sub":"註明日期的匯出檔、螢幕截圖、證書","tone":"brand"},{"id":"d","label":"擷取最新佐證","sub":"抽樣站點、離職員工測試、網路分割證明","tone":"neutral"},{"id":"e","label":"負責人審查並簽核","sub":"每個回答皆引用檢附的佐證","tone":"neutral"},{"id":"f","label":"回傳並更新資料包","sub":"新產出資料加入資料包供下次使用","tone":"success"}],"edges":[{"from":"a","to":"b"},{"from":"b","to":"c"},{"from":"c","to":"d","label":"缺口"},{"from":"c","to":"e","label":"已涵蓋"},{"from":"d","to":"e"},{"from":"e","to":"f"},{"from":"f","to":"c","label":"下次審查","style":"dashed"}]}

這個循環就是核心重點。您回答的每份問卷都應該讓資料包更加完整，進而降低處理下一份問卷的成本。

這些佐證來自您已在運行的控制台：

• Cisco Meraki Dashboard
• HPE Aruba Central
• Ruckus SmartZone
• Juniper Mist
• Ubiquiti UniFi Network 應用程式

除了上述平台外，Purple Access 還能跨開放式、安全性及 xPSK 網路為您提供 能見度與報表分析。

如何使用計算機與佐證檢查表？

請從計算機開始。計算 WiFi 區段中的問題數量。接著估算您可以透過手頭已掌握、且日期在上一季內的佐證來回答的比例。請誠實填寫第二項輸入資料。去年未註明日期的螢幕截圖並非可重複使用的佐證。

{"title":"WiFi 安全問卷工時計算機","intro":"請輸入 WiFi 部分的規模以及現有佐證資料包的涵蓋範圍。計算機將回傳回答所需的小時數、需要最新佐證的問題數量，以及資料包所節省的小時數。","inputs":[{"id":"questions","label":"問卷中的 WiFi 問題數","unit":"個問題","default":60,"min":5,"max":400,"step":1},{"id":"reuse","label":"可從歷史佐證資料包中可回答的比率","unit":"%","default":70,"min":0,"max":100,"step":5},{"id":"reusetime","label":"使用資料包回答每題所需分鐘數","unit":"分鐘","default":6,"min":1,"max":60,"step":1},{"id":"freshtime","label":"每題需要最新佐證所需分鐘數","unit":"分鐘","default":30,"min":5,"max":240,"step":5},{"id":"sites","label":"審查人員抽樣的案場數","unit":"個案場","default":4,"min":0,"max":50,"step":1},{"id":"sitetime","label":"每個抽樣案場擷取佐證所需分鐘數","unit":"分鐘","default":20,"min":5,"max":120,"step":5}],"outputs":[{"id":"hours","label":"完成 WiFi 部分所需的小時數","expr":"(questions*reuse/100*reusetime+questions*(100-reuse)/100*freshtime+sites*sitetime)/60","format":"decimal1","unit":"小時"},{"id":"fresh","label":"需要最新佐證的問題數量","expr":"ceil(questions*(100-reuse)/100)","format":"int","unit":"個問題"},{"id":"saved","label":"常設資料包所節省的小時數","expr":"questions*reuse/100*(freshtime-reusetime)/60","format":"decimal1","unit":"小時"}],"example":"在 60 個問題、70% 可重複使用、每題回答分別需要 6 分鐘與 30 分鐘，以及 4 個抽樣案場各需 20 分鐘的情況下，結果為 14.5 小時、18 個問題需要最新佐證，並節省了 16.8 小時。","assumptions":["時間數字僅供規劃參考，非 Purple 基準：請替換為您自己的數據。","可重複使用是指日期在上一季內，且有指定負責人。","案場時間包含控制台螢幕截圖與一次範例日誌匯出。","不包含審查人員的後續跟進輪次。"]}

接下來，請逐一核對檢查清單。這是您的常設佐證資料包，已按網路分組。您可以將其下載為 CSV，並為每一列指派負責人。然後記錄每個成品最後擷取的日期。

{"title":"常態性 WiFi 證明文件包","groups":[{"heading":"治理與供應商證明","items":[{"text":"Purple ISO 27001 證書與驗證範圍聲明"},{"text":"Purple Cyber Essentials 證書"},{"text":"涵蓋 GDPR 規範下 Captive Portal 資料的資料處理協議"},{"text":"本季度簽署的 SSID、VLAN 與網際網路出口網路架構圖"}]},{"heading":"安全網路：員工","items":[{"text":"員工 SSID 設定為 WPA2- 或 WPA3-Enterprise 搭配 802.1X 的主控台螢幕截圖"},{"text":"顯示 EAP-TLS 與每個群組回傳 VLAN 的 RADIUS 原則匯出檔"},{"text":"身分提供者連線：Microsoft Entra ID、Okta 或 Google Workspace"},{"text":"具日期的離職員工測試：帳號已停用、存取權已撤銷，並擷取兩個時間戳記"},{"text":"RADIUS 伺服器證書到期日與續約負責人"},{"text":"提供裝置證書的 MDM 設定檔"}]},{"heading":"xPSK 網路：裝置與居民","items":[{"text":"金鑰清單匯出檔：每個裝置或居民一組金鑰及其 VLAN"},{"text":"已移除金鑰的撤銷記錄"},{"text":"無介面裝置（如掃描器與數位看板）的金鑰輪替規則"}]},{"heading":"開放網路：訪客與 BYOD","items":[{"text":"顯示訪客無法存取員工或支付網路的 VLAN 與防火牆規則"},{"text":"無線基地台主控台的用戶端隔離設定"},{"text":"Captive Portal 同意條款文字與一份範例同意記錄"},{"text":"最新的 PCI DSS 分隔測試結果（若場域接受刷卡）"}]},{"heading":"記錄與監控","items":[{"text":"來自 Purple Access 的範例驗證記錄匯出檔（含時間戳記）"},{"text":"明定的記錄保存期限與接收記錄的 SIEM"},{"text":"來自控制器流氓無線基地台報告"},{"text":"具名的事件聯絡人與呈報管道"}]}],"download":{"filename":"wifi-questionnaire-evidence-pack.csv"}}

檢查清單使用了幾個值得定義的術語：

• RADIUS (RFC 2865) 是將驗證請求從無線基地台傳輸至伺服器的協定。
• EAP-TLS (RFC 5216) 使用證書而非密碼來驗證每個裝置。
• MDM 是行動裝置管理，即將這些證書推送到裝置的系統。
• SIEM 是您的安全資訊與事件管理平台。

請刪除您未運作的網路群組。如果沒有 xPSK 網路，請刪除這三行。任何 xPSK 問題隨即變更為 "不適用"，並附上一行原因。

{"tone":"warning","title":"附加之前請先進行遮蔽","text":"從所有匯出檔與螢幕截圖中去除 RADIUS 共用金鑰、預共用金鑰與證書私鑰。問卷回覆的傳播範圍往往遠超出提出要求的審查人員。"}

實際案例：擁有 140 家門市的零售商進行 60 個問題的審查

以下場域僅供說明，並非具名的 Purple 客戶。這是一個在 Cisco Meraki 上擁有 140 家門市，且總部位於 HPE Aruba 的零售集團。某支付合作夥伴傳送了一份供應商安全性評估，其中包含一個 60 題的 WiFi 部分。

該集團運作所有三種網路：

• Open： 顧客透過強制入口，使用自己的 VLAN 連線。
• Secure： 員工使用 EAP-TLS 比對 Microsoft Entra ID 來連線。
• xPSK： 手持掃描器與數位看板各自擁有專屬金鑰。

輸入項目	數值	基準
WiFi 問題數量	60	根據問卷統計
可從套件中回答的比例	70%	42 個問題符合帶有生效日期的成品
每個重複使用答案所需的分鐘數	6	貼上、確認日期、指名負責人
每個全新答案所需的分鐘數	30	擷取、遮蔽、撰寫、審查
抽樣站點	4	三家門市與總部
每個抽樣站點所需的分鐘數	20	主控台螢幕截圖加上日誌匯出

根據這些輸入項目，計算工具算出的時間為 14.5 小時：

• 42 個重複使用的答案耗時 4.2 小時。
• 18 個全新的答案耗時 9 小時。
• 四個抽樣站點額外增加約 1.3 小時。

如果沒有此套件，相同的內容將耗時 31.3 小時。光是這一次審查，該套件就節省了 16.8 小時。

哪 18 個問題需要全新的證明？在這個範例中，大部分問題屬於特定站點或全新文字擬定的問題。審查人員需要套件中未包含的三樣資料：

• 帶有日期的離職人員測試。
• 抽樣門市的訪客至支付區隔證明。
• 書面的日誌保留期限。

下表將典型問題對應至檢附的證明。歡迎下載並新增您專屬審查人員的用語。

{"caption":"常見的 WiFi 問卷問題與應檢附的證明文件","asOf":"2026-06-10","columns":[{"key":"q","label":"審查人員提問方式"},{"key":"net","label":"網路類別"},{"key":"ev","label":"應檢附的證明文件"}],"rows":[["無線存取是否依個人進行身分驗證？","安全網路","顯示 802.1X 的 SSID 螢幕截圖；顯示 EAP-TLS 的 RADIUS 原則匯出檔"],["是否使用共用的 WiFi 密碼？","xPSK、安全網路","顯示每個裝置配備單一金鑰的金鑰清冊；員工使用 802.1X"],["如何將離職員工從 WiFi 存取權限中移除？","安全網路","附有日期的離職測試記錄與身分驗證提供者記錄"],["訪客流量是否與內部系統隔離？","開放網路","VLAN 部署圖、防火牆規則與用戶端隔離設定"],["WiFi 訊號是否能存取持卡人資料環境 (CDE)？","全部三種","最新的 PCI DSS 網路分割測試結果"],["企業 WiFi 採用何種加密保護？","安全網路","SSID 安全性設定：WPA2- 或 WPA3-Enterprise"],["WiFi 存取記錄保存多久？","全部三種","書面保留期限說明及樣本記錄匯出檔"],["您是否會偵測未授權存取點 (Rogue AP)？","全部三種","控制器產生的未授權存取點報告"],["來自訪客 WiFi 的個人資料如何處理？","開放網路","Captive Portal 同意條款字樣與資料處理合約"],["您的 WiFi 提供商具備哪些認證？","治理範疇","Purple ISO 27001 與 Cyber Essentials 認證證書"]],"footnote":"每個回答均說明一項控制措施並附上相應證明。標準是否符合仍由評估人員判定。","download":{"filename":"wifi-questionnaire-question-map.csv"}}

請留意「證明文件」欄位中的措辭。每個回答均說明一項控制措施並附上相應證明。無任何回答會直接宣稱該環境完全符合標準。若審查人員後續追蹤，這樣的做法能讓您的回答更具可防禦性。

14.5 小時的數據是如何計算出來的？

計算工具會加總三個工作區塊的時間，然後除以 60 將分鐘換算為小時：

1. **重複使用的回答：**問題數 × 重複使用比例 × 每題重複使用回答所需分鐘數。依預設值計算：42 × 6 = 252 分鐘。
2. **全新撰寫的回答：**問題數 × (100% - 重複使用比例) × 每題全新回答所需分鐘數。依預設值計算：18 × 30 = 540 分鐘。
3. **抽樣站點：**站點數 × 每站點所需分鐘數。依預設值計算：4 × 20 = 80 分鐘。

總計為 872 分鐘，即 14.5 小時。全新問題的數量會向上無條件進位，因為即使問題已被部分涵蓋，仍需要提供獨立的證明文件。

節省小時數的輸出結果，是將重複使用的回答視同全新撰寫來定價：42 × (30 - 6) ÷ 60 = 16.8 小時。將 16.8 加至 14.5，即可得出從頭開始回答所需的 31.3 小時成本。

重複使用比例是關鍵槓桿：

• 在 60 個問題的基準下，重複使用比例每提升 10 個百分點，即可節省 2.4 小時。
• 將重複使用比例從 70% 提升至 90%，可使該環節耗時從 14.5 小時降至 9.7 小時。
• 抽樣站點對總時數的影響極小，除非審查人員要求提供來自許多不同據點的證明文件。 所有時間數據均為本範例的規劃預估值，而非 Purple 的基準指標。在您對真實問卷完成計時後，請予以替換。若審核人員詢問您如何設定回覆日期，可向其分享這些假設依據。

{"tone":"tip","title":"為下一次問卷計時","text":"記錄您在下一次問卷中回答每個問題所花費的分鐘數。將這些數據輸入計算機，您的預估值就不再只是憑空猜測。"}

我該如何調整檢查清單以適應我的網絡環境？

根據您面前的文件設定輸入值

請計算實際問卷中的 WiFi 問題數量，而非僅憑標題猜測。標準化表格與客製化客戶審查的長度差異很大。請在將每個問題與檢查清單中帶有日期的資料列進行比對後，再設定複用比例。

多廠商網絡環境

請為每個控制台規劃一個抽樣站點，因為審核人員通常希望獲得來自各個平台的螢幕截圖。包含 Cisco Meraki 與 HPE Aruba 的網絡環境至少需要兩個站點。若加入 Juniper Mist 或 Ubiquiti UniFi 站點，輸入值也會隨之增加。

在每個控制台中需要擷取的設定皆相同：

• SSID 安全模式。
• SSID 所指向的 RADIUS 伺服器。
• 動態 VLAN 分配，其使用 RFC 3580 中的 RADIUS 通道屬性。

特許加盟與代管網絡環境

在加盟商擁有無線存取點（AP）的情況下，中央證明文件僅涵蓋政策部分。請降低站點問題的複用比例，並增加抽樣站點的分鐘數。因為收集加盟商的螢幕截圖需要花費更長時間。

垂直行業會改變納入範圍的網路

關鍵網路取決於連線使用者：

• 餐飲旅宿業： 訪客使用開放網路，員工則使用安全網路。Whitbread 透過 Purple 運作區隔化的員工 WiFi。
• 多租戶環境，例如包租代管（BTR）與學生公寓：居民通常使用 xPSK。請準備回答有關居民間隔離的問題。
• 零售業： 審核人員重點關注購物者網路與支付系統之間的 PCI DSS 網路區隔。
• 醫療照護： 病患與訪客使用開放網路。臨床設備通常使用 xPSK。

為每位審核人員保留一份措辭欄位

在下載的 CSV 中為每位審核人員的常用措辭新增一欄。不同的審核人員會用不同的字眼詢問相同的問題。將他們的措辭對應至單一文件，就是下一次提升複用比例的關鍵。

在下一次審查之前，我該如何處理計算結果？

請參照以下三個區間檢視輸出的小時數：

• 少於 10 小時： 資料包狀況良好。每季更新帶有日期的資料列即可。
• 10 至 20 小時之間： 依網路類別檢視新問題集中於何處。
• 超過 20 小時： 資料包內容較為薄弱，或是某個網路存在任何螢幕截圖都無法補救的結構性缺口。

若新問題集中在員工網路上，請檢查其是否運作於共享通行密碼上。共享金鑰無法證明個人存取權限或離職人員的完整權限移除。

修復此問題無需購買新硬體：

1. 將員工移至安全網路上的 Staff WiFi。
2. 將 SSID 設定為 WPA2- 或 WPA3-Enterprise。
3. 將其指向 Purple 的雲端 RADIUS。
4. 讓身分提供者決定 VLAN。

我們的多據點餐飲集團 802.1X 指南 詳細說明了跨數百個據點的部署流程。全公司只需設定一次裝置證書的 MDM，耗時僅需五到十分鐘。

{"tone":"proof","text":"McDonald's 採用 Purple 後，IT 服務台的支援請求減少了 80%。JPMorgan 在 5,000 個分行使用 Purple 運行員工 WiFi，Whitbread 則使用 Purple 運行區隔化的員工 WiFi。"}

清單上還包含另外兩項檢查：

• 憑證過期日期。 過期的 RADIUS 伺服器憑證會將員工鎖在系統外，並使通過審查的事項變成安全事件。我們關於 RADIUS 伺服器憑證已過期 的指南涵蓋了復原步驟。請將更新日期新增至資料包中。
• 更全面的防護。 若要了解問卷之外的整體安全姿態，請閱讀企業 WiFi 安全指南。

常見問題

這能與我們現有的存取點（AP）配合使用嗎？

可以。Purple Access 可作為雲端重疊層，運行於 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet 上。您只需在現有的控制台中，將 SSID 的 RADIUS 設定與 Captive Portal 指向 Purple。不需要任何新硬體。佐證資料包中的螢幕截圖皆來自您團隊每天開啟的同一套控制台。Purple 覆蓋全球 90 個國家、超過 80,000 個場地。

我們該如何編寫關於 PCI DSS 與 GDPR 的回答？

請先描述控制措施，然後附上相關佐證。例如撰寫「訪客流量部位於獨立的 VLAN 上，且沒有前往支付網路的路徑；已附上區隔測試」。避免做出合規的概括性聲明。評估人員會決定是否符合 GDPR 或 PCI DSS 的要求。您的工作是提供包含日期與指定負責人的佐證，讓每個回答能被快速審查。

建立常態佐證資料包需要多久時間？

大約與從頭回答一份問卷的時間相同。根據計算工具的預設值，在沒有重複使用的情況下，包含四個抽樣據點在內的 60 個問題需要 31.3 小時。在此之後，每次審查的費用降至 14.5 小時或更少。每季更新包含日期的資料行可保持在此水準。如果員工憑證來自您的 MDM，全公司只需設定一次，耗時僅需五到十分鐘。

Purple Access 的費用是多少？

報價是根據您運行的網路與範圍內的據點數量專門擬定。歡迎攜帶此工具的輸出結果參與討論：您的據點數量、新問題背後的網路，以及每次審查所需的時數。這能讓您清楚了解 Purple 訂閱服務為團隊節省的時間價值。

我們是否需要更換我們的 RADIUS 伺服器來回答這些問題？

不需要。您可以使用目前用於驗證員工身分的任何系統憑證來回答。如果「待處理事項」欄位中總是填滿憑證更新、伺服器修補程式或遺失的離職人員記錄，Purple 的雲端 RADIUS 即可將這些地端營運作業移出您的IT環境。我們的 Cisco ISE 替代方案指南 列出了評估移轉時需要比較的項目。

我們該如何證明跨數百個據點已移除離職人員權限？

執行一次附有日期的離職人員測試，並附上身分提供者紀錄。802.1X 上的員工會透過 Microsoft Entra ID、Okta 或 Google Workspace 進行驗證。在該處停用帳戶代表 Purple 會撤銷整個IT環境的 WiFi 存取權限，而不是一次處理一個據點。到職、異動與離職人員資料皆來自目錄服務。因此，單一測試結果即可作為所有地點的證明。

DNS 過濾是否屬於 WiFi 章節？

是的，當審查人員詢問如何防止訪客裝置存取有害網站時即可適用。Purple 上的 DNS 過濾功能為 Shield 安全性增益集，因此請將其原則摘要與開放式網路證明一併附上。請將該回答與身分驗證問題分開處理。過濾控制流量的去向。802.1X 與 xPSK 則控制誰能連線以及登入至哪一個 VLAN。

我們可以將同份包裝重複用於客戶安全性審查和保險公司審查嗎？

可以。大部分證明文件皆可通用，因為兩種審查人員都會詢問誰能連線、他們能存取哪些內容，以及您如何得知這些資訊。請在 CSV 中為每位審查人員的措辭保留一欄，並將其對映至相同的構件。兩次審查之間僅有抽樣據點和擷取日期不同。接著請集中儲存您的 Cyber Essentials 與 ISO 27001 憑證，以供每次提出需求時使用。