美國聯邦調查局（FBI）對意外接到政府高層來電的人提出一項簡單建議：掛掉，找到你原本就信任的電話號碼，再打回去。不需要密碼學，也不需要威脅情資訂閱，只要先規定哪一條溝通管道才算數。
家族辦公室資安從另一頭走到同一個答案。損失金錢的辦公室，通常不是加密技術特別弱，而是沒有人寫明，誰可以只憑熟悉的聲音移動八位數資金，或凌晨兩點誰有權凍結付款。
這是家族事業的管理責任，不是資訊科技採購題。四份文件承擔主要工作：資料清冊列出分級與具名負責人、權限矩陣訂出不同管道覆核門檻、供應商盡職調查標準寫進契約，以及事件應變手冊直接寫人名而非科技名稱。以下以完整的非投資風險架構為前提，補上其中的數位治理層；至於這些控制項要落在哪些系統，則屬於辦公室的科技架構英文。
家族辦公室資安是治理問題
勤業眾信私人企業服務調查了 354 家單一家族辦公室，合計持有約 7,080 億美元資產。43% 在過去十二至二十四個月遭遇網路攻擊；北美比例達 57%，資產超過 10 億美元的辦公室則達 62%。而受攻擊者當中，93% 遇到網路釣魚，意思是攻擊以一則看似來自熟人的訊息進門。
同一份調查的準備程度更值得注意。31% 完全沒有資安事件應變計畫，另有 43% 認為自己的計畫仍可改善，約四分之一自評扎實。此外，半數沒有災難復原計畫，63% 沒有資安保險，68% 沒有認識供應商的程序；然而 85% 已導入多因子鑑別，84% 也會定期修補系統。
把兩組數字放在一起，問題就很清楚。資訊科技部門能購買的控制大多已經存在，只有家族成員與董事會能做的決定卻普遍缺席。沒有人替資料分級，也沒有人設定超過哪個付款門檻就必須由第二個人獨立確認，更沒有人問稅務顧問，委任結束後工作檔案會去哪裡。
這種曝險來自結構。家族辦公室把權限集中在少數人手中，以精簡人力維持成本效益，同時保存一般企業不會集中持有的資料：實體架構圖、信託契約、護照掃描、病歷、學校地址，以及三代人的私人通訊。商業銀行有法令遵循部門，家族辦公室則可能由同一位幕僚長兼訂機票。
家族辦公室資料治理管什麼
家族辦公室資料治理要回答五個問題：辦公室持有什麼、誰負責、誰能看、保留多久，以及曾經交給誰。它不華麗，卻是整個主題的中心，因為後續每項控制都要依附其上。沒有人盤點過的共享硬碟，無法落實最小權限。
先找出最關鍵的資料，實務上可分為六類：身分與帳戶存取路徑；實體、信託與所有權文件；交易與付款指示；稅務與法律紀錄；旅行、住址與健康資料；以及敏感家族通訊。每一類都要指定一位負責人，不是某個部門，而是由一個具名的人決定誰還能看。
接著建立五項治理文件。資料清冊列出每一個儲存位置，也包括大家不太願意承認的個人雲端硬碟與十年份試算表；資訊流向圖標示各類資料去了哪裡、哪些外部人員曾接觸；資料分級標準分成公開、內部、機密及高度機密四級，並把各級控制寫在標籤旁；保存與刪除規則要有日期，因為已不再持有的檔案就不會外洩；揭露紀錄則寫明交給誰、依據哪份協議分享。
這一層位於家族辦公室不能省略的完整政策體系之下，而非與它重複。IPS 管資本，資料分級標準管資訊；兩者都由董事會核准，也都要有檢視日期，更會以同一種方式失效，也就是寫完後再也沒打開。美國國家標準暨技術研究院（NIST）在 2024 年重建資安架構時，最重要的改變是新增第六項「治理」職能，放在整個架構中央，涵蓋資安風險策略、角色、權限、政策與供應鏈監督。工具從來不是真正缺口，責任歸屬才是。
數位權限：誰可以說好
每一項會移動金錢或釋出資訊的動作，都應由權限矩陣回答：哪些具名人員可以核准、金額多少、透過什麼管道，以及需要哪一種獨立確認。多數家族辦公室把答案放在少數人的腦中，攻擊者則很會看懂這種默契。
制度可以從機構實務開始。每個帳戶都屬於具名個人，共用登入一律取消，包括簿記人員與助理從 2016 年沿用至今的那一組。特權存取按角色授予、每季檢視，人員離職後數小時內撤銷。付款授權也要與付款發起分開，準備電匯的人不能同時放行。
超過既定門檻後，從一個管道收到的指示，要用另一個管道確認。門檻由董事會決定，不是資訊科技設定。任何首次收款人，或既有收款人的銀行資料變更，不論金額都強制暫停至少二十四小時，因為急迫感是攻擊者最可靠的工具。零信任在此是一項治理原則：請求不會因來源看似熟悉，或發話者看似職位很高，就自動得到信任。
矩陣也要指定核准機構。新成立的辦公室通常由董事會風險委員會或董事會本身負責，依據能把紀律與昂貴臨場反應分開的治理結構與角色行事。管理團隊操作日常控制，董事會則擁有整套架構及每一項例外。
深偽詐騙：假設冒充已經完美
2025 年 5 月，FBI 警告惡意人士正用 AI 生成語音與文字，冒充美國政府高層，把目標移到加密通訊平台，再竊取憑證與聯絡人。FBI 在 2025 年 12 月更新警示，指出活動可追溯至 2023 年，目標也已包括官員家屬與私人友人。若家族姓氏出現在基金會信紙上，這句值得再讀一次。
直覺反應是教員工辨認假訊息。FBI 指南確實列出視訊延遲、陰影不規則，以及聲音幾乎相同卻有細微差異等跡象；但把控制建立在辨識能力上，是一場會輸的競賽。合成語音只需要數秒樣本，做過演講或錄過公益募款影片的家族成員，早已把素材放到公開世界。把冒充視為一定逼真，再設計即使如此也能生效的控制。
三項控制都不貴，也不靠新科技。第一是無例外的回撥紀律：語音、視訊或訊息送來指示後，只撥辦公室既有紀錄裡的號碼，絕不使用請求附上的號碼。第二是當面約定、不留數位紀錄且定期更換的口頭通關語。第三是以書面授權任何員工暫停交易，等待驗證，並明確承諾即使延誤合法指示也不會受責。攻擊者利用的是下屬不敢拒絕，治理則把拒絕的代價拿掉。
超高資產家族的數位安全也不會停在辦公室門口。家務人員、私人裝置及下一代的社群足跡，都跟財務系統處於同一個信任邊界；二十四歲受益人的複製聲音，對攻擊者一樣有用。把繼承人帶進資安討論，也是讓他們準備承擔責任的一部分，這種說法比訓話式的密碼課更容易被接受。
把供應商與顧問盡職調查寫成標準
68% 的家族辦公室沒有認識供應商的程序。這項數字最具實務意義，因為家族辦公室的資安邊界不是自己的網路，而是律師、會計師、藝術顧問、宅邸承包商、旅行禮賓服務，以及彙整投資組合的平台。每一家都持有高度機密資料，其中很多委任只有握手與費率表。
供應商盡職調查標準不必很長。委任前，先要求對方提出資安控制證據、書面列出將持有哪些資料與資料所在地，並揭露能接觸資料的再分包商。契約則要規定資安事件須在明確期限內通知，常見為二十四至七十二小時；所有接觸家族資料的帳戶都使用多因子鑑別；家族有稽核權，或能取得獨立確信報告；終止時返還或經驗證刪除所有資料；並在固定週年日重新評估。
離場程序也要單獨寫一行。委任結束當天就終止存取，並由某人書面確認。多數家族辦公室從顧問離開到帳號失效的時間以月計，受稽核機構則以小時計。
使用聯合家族辦公室的家族，會整套承接供應商的資安水準，這一點很少出現在模式選擇的討論裡，卻應該出現。先看事件應變計畫，再看費率表。
資安保險的聲明陷阱
63% 的家族辦公室沒有資安保險，其餘家族則要理解一個容易誤判的問題：投保申請書上的答案是正式聲明，不是未來願望。
例如，2024 年 2 月，勒索軟體攻擊讓加拿大漢密爾頓市約 80% 的市政網路停擺，該市後續已花費約 1,830 萬美元應變與復原。2025 年 7 月，市府揭露保險公司拒絕約 500 萬美元理賠，原因是保單不承保因缺少多因子鑑別而造成的損失。員工自 2022 年底就知道這項要求，部署卻只完成部分部門。Travelers 更早建立先例，在發現被保險人聲稱全面導入多因子鑑別、實際卻沒有後，成功撤銷資安保單。漏洞是否直接被利用並不重要，簽保單時的不實陳述已經足夠。
回頭看，85% 的家族辦公室表示已導入多因子鑑別。核保人會把這句話理解為每個帳戶、每個管理主控台、每條遠端存取路徑，以及 2023 年已離開承包商留下的每個休眠信箱；辦公室自己可能只理解成「大多數重要帳戶」。兩種理解之間的距離，就是整張保單的理賠上限。
治理解法是每年做一次聲明稽核。每次續保前，指定人員逐項比對申請書陳述與實際設定，保存證據，再把例外與改善日期報告董事會。這只花幾天，卻可能是本文投資報酬最高的控制。
事件應變計畫要寫人名
只寫科技名稱的計畫是採購文件，寫明人名的才是治理文件。事故在凌晨三點出現時，兩者差別很大。
應變手冊要為每個職責指定正副人選：誰宣布進入事件狀態、誰能凍結對外付款、誰向家族成員說明，以及誰負責對外溝通。外部律師與數位鑑識業者的聯絡資料也要放進去，並事先簽好委任合約；攻擊者控制檔案伺服器時才談工作範圍，會浪費最重要的幾小時。保單通知期限通常比大家記得的短，各個資料所在地的隱私事件通知義務也要一起列明。
接著實際演練。每年一次、九十分鐘，家族成員親自到場，不把出席工作往下交。情境要讓辦公室覺得可能發生，例如複製聲音核准資本催繳，或助理把信託契約貼進公開聊天機器人。勤業眾信發現，只有 34% 的家族辦公室做過任何成熟度評估。應變計畫第一次接受測試，不應該就是事故當天。
董事會監督與年度週期
三個機構共同負責，而且分工要明確。董事會或風險委員會核准架構、設定驗證門檻，也為每項例外簽核到期日；管理團隊執行日常控制並報告；家族委員會則依家族憲章建立的規範，處理政策無法強迫的行為，包括家族成員在網路發布什麼，以及下一代是否認真受訓。
監督指標要讓非技術董事不用翻譯也看得懂：關鍵供應商過去十二個月的檢視完成率、特權帳戶數量及趨勢、人員離開至完全撤銷權限所需時間中位數、家族成員與家務人員完成訓練的比率、上次桌上演練日期，以及未結例外各自由誰負責、何時到期。
這六個數字每年看兩次，比任何滲透測試報告更能讓董事會理解數位曝險。無論家族正在設立辦公室，或修補一個意外長大的組織，越早建立紀律，成本就越低。完整營運架構早已替這項工作留了位置，多數辦公室只是還沒填上。
常見問題
什麼是家族辦公室資料治理？
它規定辦公室持有什麼資訊、每類由誰負責、誰能存取、保存多久，以及曾向誰揭露。基礎包括一份涵蓋所有儲存位置的資料清冊、一張資訊流向圖、四級資料分級標準、註明日期的保存與刪除規則，以及揭露紀錄。每類資料都要由具名個人負責，分級標準則像 IPS 一樣由董事會核准並定期檢視。
家族辦公室如何防止深偽與聲音複製詐騙？
先假設冒充一定逼真，再採用不依靠辨識真假的控制。所有語音、視訊或訊息指示，都回撥辦公室既有紀錄中的號碼；以當面約定且不留數位紀錄的口頭通關語確認緊急身分；書面授權員工等待驗證時暫停交易；首次收款人或銀行資料變更則強制延後。合成語音只需數秒公開素材，找破綻不能成為唯一防線。
家族辦公室如何審查供應商與顧問的資安？
委任前取得供應商資安控制證據、資料類別與所在地的書面說明，以及再分包商名單。契約要規定二十四至七十二小時事件通知、多因子鑑別、稽核權或獨立確信報告、終止時驗證刪除資料，以及固定週年重新評估；委任結束當天，也要書面確認所有存取已撤銷。
家族辦公室需要資安事件應變計畫嗎？
需要，而且 31% 仍沒有。計畫要列出誰宣布事件、誰能凍結付款、誰向家族成員說明、誰負責對外溝通，也要備妥外部律師與已簽約鑑識業者資料、保單通知期限及各地隱私義務。每年由家族成員參加一次九十分鐘桌上演練；沒測試過的計畫只是一份文件，還不是能力。
能把資本與隱私一起帶到下一代的家族，會把數位管理視為董事會責任，並在還沒有起火時先把規則寫下來。若辦公室從未替資料分級，或從未問過顧問在委任結束後如何處理檔案，這兩題就值得放進下一次議程；準備好逐項處理時，我們很樂意談談。