香港中小企年度 IT 健康檢查：一年一次，查邊十項先至唔會白做

分類：行業情報 | 日期：2026-10-23

服務邊界圍欄：定價頁無寫明年度健康檢查，本文通用做法唔係本站服務承諾，年度檢查是否包括、另收費與否未公佈，簽約前要書面確認。本站 live /pricing 可見文字完全無寫明年度健康檢查、年度審計或者健康檢查相關服務，相關字眼核查結果見文末來源一節。下文講的全部檢查範疇、頻率、準備同跟進方法，全部係通用做法，教老闆點樣對照公司現況同點樣向任何供應商提問，唔好將下文誤讀為本站套餐內容。年度檢查係咪包括在內、包邊幾項、收費模式係點、幾耐做一次，全部未公佈，簽約前要問清楚並要求對方以電郵或者服務協議書面確認，唔好只信口頭承諾。

本站 live /pricing 六級（2026-10-23 複驗，價錢寫法一律用「／月」形式，唔另加計價單位，scope 以 live 文字為準）：基礎遙距版 HK$600／月包正版 Office 365 商業授權、送企業級 Router 連安裝、無限次遙距支援（週一至五 9am-6pm）；專業進階版 HK$1,200／月加緊急事故優先響應、新員工電腦入職設置、數據備份建議及設定、單一聯絡窗口（週一至六 9am-6pm）；企業設備版 HK$2,200／月加商務電腦設備、硬件全保養（壞機即換）、每 3 年免費升級換機；全方位無憂版 HK$2,950／月加多功能商務打印機及維修保養；設計專用版 HK$4,950／月加 AutoCAD 正版授權及 Adobe Creative Cloud 全套；旗艦網頁版 HK$5,950／月加企業網站設計及開發、網站維護及伺服器託管。六級之中沒有一級寫明包括年度健康檢查，讀者不要將下文的通用做法誤讀為套餐內容。計價單位未公佈，以查詢為準。

引言：老闆痛點——平時無事，唔等於無問題

香港中小企老闆對 IT 的痛點，往往唔係某日突然死機，而係一種長期講唔清的狀態：電腦開到、電郵收到、檔案開到，表面一切正常，但老闆答唔到幾條基本問題。邊個同事仲有管理員權限，離職同事的帳號收返未，邊部電腦仲行緊已經無支援的系統，備份上星期係咪真係完成咗，訪客連入來的 Wi-Fi 會唔會入到公司內網，打印機同舊伺服器仲捱到幾耐。呢啲問題平時無人問，出事嗰日先一次過浮上來。

另一個痛點係「以為做咗」同「真係做到」之間的落差。備份排咗期，唔等於備份完成；買咗授權，唔等於授權有人管理；裝咗防毒，唔等於防毒有更新同有人睇警示；做過一次檢查，唔等於檢查發現的問題有人跟進。老闆需要的唔係一份寫得漂亮的報告，而係一張可以逐項對的清單，同一個做完之後仲會跟進的機制。

本文的目的，係畀老闆一張年度檢查的完整地圖：應查邊十個範疇、每隔幾耐查一次、檢查之前要準備乜、檢查之後點跟進、邊啲盲點常見、簽約之前要問乜。讀完之後，老闆未必即刻識得自己做晒成套檢查，但應該識得用檢查表對照公司現況，識得分辨一份報告係交代咗事實定只係交代咗程序。

有一點要先講明：IT 健康檢查唔等於財務審計。IT 健康檢查講的是公司 IT 系統、帳號、網絡、備份、授權同文件的現況；公司周年財務審計講的是財務報表，由第三方核數師按《公司條例》相關要求處理。兩者目的、範圍同負責人完全不同，唔好混淆，唔好用一份 IT 檢查報告代替財務審計，亦唔好用財務審計報告代替 IT 檢查。

一、年度檢查應查邊十個範疇

以下十個範疇來自行業公開檢查清單歸納，全部係通用做法。檢查時逐項對，逐項寫低現況、風險同跟進，唔好只寫「已檢查」三個字。

1. 資產清單同範圍界定

檢查開始嗰陣唔係開工具，而係列清單：全部系統、應用、數據儲存、網絡段、雲端帳號、訂閱服務、端點裝置，逐項寫低用途同負責人，並且標明邊啲存敏感資料，例如客戶紀錄同付款資料。範圍講明先至查得實，範圍包晒所有嘢通常等於查唔實任何嘢。

  • 資產清單要包括平時容易漏的項目：舊電腦、共用打印機、測試帳號、已經無人用的訂閱服務、由前供應商開設但仍然有效的雲端帳號。
  • 範圍要白紙黑字寫明邊啲系統、邊啲帳號、邊啲網絡段入圍，邊啲唔入圍，唔入圍的項目要寫低原因同下次覆核時間。
  • 資產清單唔係做一次就完，每次有新系統、新裝置、新訂閱，都要即時更新，否則下一年檢查又要由頭估。

2. 帳號權限同離職帳號

帳號權限係年度檢查裡面發現問題頻率偏高的範疇。做法係對照在職名單，抽查全部用戶帳號，逐項回答幾條問題：有無已離職員工帳號仍然有效，管理員權限邊個有、係咪真係需要，有無共用帳號，敏感資料邊個入得到，多重驗證係咪喺可以開的地方都強制執行。

  • 離職帳號：離職員工的主帳號、群組成員身份、委派權限、共享資料夾取用權、驗證因素登記，要逐項對，唔好只停主帳號就算。
  • 共用帳號：多人共用一個登入，出事時邊個做過乜就查唔到。凡係可以改為每人獨立帳號加委派權限的共享登入，都應該改，實在無法分拆的，要有使用紀錄同輪換規則。
  • 管理員帳號：管理員帳號同日常用帳號要分開，日常收發電郵同處理文件唔好用管理員帳號，管理員登入要有紀錄。

3. 保安修補同系統更新

修補檢查的重點唔係問「有無更新」，而係抽查裝置實際狀態：抽查裝置修補狀態係咪最新，有無裝置行緊已終止支援的作業系統，關鍵漏洞修補有無按既定時限做，修補係咪自動化。靠人手㩒「稍後更新」的修補安排，實際效果通常靠運氣。

  • 已終止支援的系統要特別標出：無保安更新、無修補、壞咗無支援，仲喺生產環境行緊，就係一個要排期處理的項目，唔好只寫低就算。
  • 修補紀錄要睇完成狀態，唔好只睇排程：排咗期而失敗咗的修補，同無排期一樣，都係未修補。
  • 修補範圍要包括平時容易漏的裝置：打印機、網絡設備、舊伺服器、共用電腦，唔好只查辦公室主力電腦。

4. 網絡同 Wi-Fi

網絡檢查由一張圖開始：網絡拓撲圖係咪最新準確，圖上面有無已經拆走或者新加的設備。跟住查防火牆設定、預設密碼係咪仲用緊、Wi-Fi 加密安排、覆蓋死角、訪客網絡係咪同內部網絡隔離。

  • 預設密碼：路由器、交換器、打印機、網絡儲存裝置，仲用緊出廠預設密碼的，要即時列入即時修項目。
  • 訪客網絡：訪客 Wi-Fi 要同內部網絡隔離，訪客入到內網的安排，唔好等到有訪客問起先發現。
  • 多地點同遙距工作：要查 VPN 設定同跨點連接，網絡分段做得點，直接決定出事時影響範圍有幾大。

5. 備份設定

備份檢查講的是設定層面：備份有無按時間表成功完成，唔止排咗期，仲要真係完成；備份存喺邊、加密未、係咪同生產系統分開存放，令勒索軟件一次過鎖唔晒兩邊；關鍵資料有無異地或者離線副本。

  • 備份紀錄要逐次睇：成功、失敗、部分成功，要分得清，失敗要有跟進，唔好只睇最後一次成功就當成個月都無問題。
  • 備份位置要分開：備份同生產環境用同一組管理員登入資料，或者備份位置只係所有電腦都可以寫入的共用資料夾，備份本身就可能一齊失守。
  • 還原測試要另外講清楚：本站專業進階版原文只寫「數據備份建議及設定」，還原測試由邊個負責做、幾耐做一次、紀錄點保存，簽約前書面確認，唔好假設已包。通用做法層面，備份還原抽查屬於季度覆核項目之一，見第二節。

6. 硬件同設備壽命

硬件檢查要回答一個老闆要做預算的問題：邊啲設備仲捱到幾耐，邊啲已經過咗廠方支援，邊啲要排期換。伺服器、防火牆、工作站幾舊，有無設備已過廠方支援，係咪策略性更換，定用到壞先算，都要逐項寫低。

  • 過支援設備：無保安更新、無修補、壞咗無支援，仲喺生產環境，就要排入計劃修，寫明更換時間同預算安排。
  • 供電保護：伺服器有無 UPS 同突波保護，停電或者電壓突變嗰陣，數據同硬件會唔會一齊受影響。
  • 周邊設備：打印機同掃描器係咪已經唔合用、耗材開支係咪過高，都屬於硬件壽命檢查的一部分，唔好只睇伺服器同電腦。

7. 授權同軟件合規

授權檢查唔係數下有幾多個授權就算，而係對照實際使用：授權係咪有效、支援狀態點、修補狀態點，有無閒置授權、重複平台、舊工具未退役，第三方應用同插件有無納入更新流程，數據處理責任文件齊唔齊。

  • 閒置授權同重複平台：同一個用途買咗兩個平台，或者離職員工的授權無人回收，都係常見的浪費來源，亦係下一年預算要處理的項目。
  • 授權唔等於管理：本站定價頁只寫「正版 Office 365 商業授權」原文，日常管理例如加人、離職停用、多重驗證、權限是否包括在內，未公佈，簽約前問清楚並寫入協議。
  • 舊工具退役：舊工具未退役，更新流程就永遠有一個無人理的角落，授權清單同資產清單要一齊對先至對得齊。

8. 端點防護

端點防護檢查要睇齊全程度同更新狀態：防火牆、入侵偵測、防毒同防惡意軟件係咪齊全同更新，端點防護係咪中央監察，釣魚同社交工程意識培訓有無做。

  • 中央監察：端點防護如果只係每部電腦各自裝咗，無人集中睇警示同更新狀態，防護有缺口都唔會有人知。
  • 培訓要計入檢查：釣魚識別唔係做一次講座就完，新入職、轉職、長期無覆核的員工，都要納入培訓覆核範圍。
  • 防護缺口要寫明影響：邊部裝置無防護、邊個系統無更新，唔好只寫「大致齊全」，要寫到老闆可以排先後次序。

9. 文件政策同紀錄

文件檢查睇的是公司有無留下可以跟進的紀錄：保安政策、變更管理紀錄、網絡文件齊唔齊，事故應變計劃有無文件化、聯絡人齊唔齊、有無做過桌面演練，供應商合約、數據處理安排齊唔齊。

  • 事故應變計劃：計劃要寫明邊個負責乜、聯絡邊個、用邊個渠道，仲要有桌面演練紀錄，淨係有份文件而無人演練過，出事嗰日份文件未必用得到。
  • 變更管理紀錄：系統設定改過乜、邊個改、幾時改、點解改，要有紀錄，否則下一年檢查對照唔到上一年，邊啲問題重複出現都唔知。
  • 資料保安方向：通用做法包括建立資料管治政策程序、做風險評估、採取技術及操作保安措施（保護網絡、數據庫管理、存取控制、防火牆及防惡意軟件、保護網上應用、加密、備份、銷毀或者匿名化），以及管理資料處理者（合約、事故通報機制、實地審核）。

10. 第三方存取

第三方存取檢查的對象，係所有唔屬於公司員工但有系統取用權的人同服務：供應商合規標準、數據處理合約、覆核頻率，仲有已經完工的供應商存取權有無收回。

  • 完工收回：供應商完工之後存取權經常無收回，同離職帳號無人收回一樣，係年度檢查裡面常見的發現項目。
  • 合約對照：數據處理合約要寫明處理者只可按指示處理、事故要通報、完約要交還或者銷毀資料，合約無寫的項目，要列入簽約前問題。
  • 覆核頻率：第三方存取唔係一年先睇一次就夠，季度覆核要包括供應商存取覆核，見第二節。

二、檢查頻率：月、季、半年、年點分工

年度檢查唔代表其他時間乜都唔做。通用做法將檢查分做四層，每層有自己的任務，年度全面檢查係將四層的結果一次過對照同總結，唔係去到年底先至開始睇。

  • 每月：查備份紀錄、關鍵修補狀態、保安警示、釣魚模擬。每月任務的重點係及早發現：備份失敗、關鍵修補未做、警示無人睇，拖到年底先發現就太遲。
  • 每季：憑證審核、軟件生命週期覆核、培訓、供應商存取覆核、訪客隔離測試。通用做法層面，季度覆核亦包括備份還原抽查一項；本站還原測試是否包括未公佈，見第五節同第六節，簽約前書面確認。
  • 每半年：至少每半年做一次 ICT 保安檢查表覆核，將上半年的每月同季度結果對照一次，睇下邊啲問題重複出現，邊啲跟進項目拖咗期。
  • 每年：全面審核（用完整檢查表）、政策覆核、桌面演練、專業評估。行業估算（唔係報價）：10 人簡單環境季度覆核約 2–3 小時，25 人多地點年度審核要預兩日或以上。時間估算只係行業參考，實際時間要視乎資產數量、地點數目同文件齊全程度而定。

頻率安排有一個原則：檢查頻率要跟風險走，唔好跟日曆走。帳號權限、備份紀錄、修補狀態呢啲變動快的項目，唔好等到年度先睇；政策覆核、桌面演練呢啲變動慢的項目，年度一次已經足夠。老闆排檢查時間表嗰陣，先問邊啲項目變得快，後問邊啲項目幾耐做一次。

三、檢查前準備：無三張表，檢查只能靠估

檢查做得好唔好，檢查開始之前已經決定咗大半。以下五項準備，缺一項都會令檢查結果打折扣。

  • 定範圍：列資產清單，講明邊啲系統、帳號、網絡段入圍，邊啲唔入圍。範圍要書面寫低，檢查中途先加範圍，時間同結果都會失控。
  • 攞齊三張表先開工：在職員工名單（對帳號用）、資產同設備清單、授權清單。無呢三張表，檢查只能靠估，報告寫出來的結論亦只係估計。
  • 預留負責人：邊個提供資料、邊個跟進發現、邊個拍板修復先後次序，檢查前講明，唔好檢查完先搵人。負責人唔係一個名，而係一個可以拍板的人。
  • 備份現況快照：檢查前記錄低現有設定、版本、備份狀態，改完先有得對照。無快照，改完之後係變好定變差都無從判斷。
  • 約定輸出格式：檢查報告要寫明發現、風險、建議修復次序、邊啲要另外報價。口頭講完就算，半年後無人記得當日講過乜，報告的價值等於零。

四、檢查後跟進：分級、複驗、存檔

檢查報告交咗，檢查先做咗一半。另一半係跟進，而跟進要做到五步先算完整。

  • 分級：即時修（離職帳號未收回、預設密碼未改、關鍵漏洞未補）、短期修（權限過寬、訪客網絡未隔離）、計劃修（硬件換代、授權整合）。分級唔係按發現次序排，而係按風險同影響排。
  • 寫入跟進表：每項發現寫負責人、限期、完成證據（例如改完之後的權限截圖、備份紀錄），唔好只寫「已處理」。無完成證據的「已處理」，同無處理無分別。
  • 複驗：修完要再抽查一次，確認真係改咗，唔係報咗就算。複驗要由唔同於執行修復的人去做，或者至少用獨立抽查方法去做，否則複驗只係自我確認。
  • 存檔：報告同跟進表存好，下一年檢查直接對照上一年，睇下邊啲問題重複出現。重複出現的問題，代表跟進機制本身有缺口，唔係單一項目未修好。
  • 合約對照：將發現逐項對返服務協議，邊啲係月費已包、邊啲要另外報價、邊啲供應商唔提供，寫清楚先至唔會有期望落差。合約對照要在修復報價之前做，唔好等到帳單到先發現期望唔同。

五、常見盲點：十個以為做咗、其實未做好的位置

  • 有備份設定唔等於還原到：備份排咗期、甚至顯示成功，都唔等於還原到。還原測試係獨立工作，要另外問清楚由邊個做、幾耐做一次、紀錄點保存。本站專業進階版原文只寫「數據備份建議及設定」，還原測試簽約前書面確認。
  • 離職帳號無人收回：舊同事帳號幾個月後仍然有效，係常見的審核發現之一。供應商完工後存取權亦經常無收回，兩者要用同一張清單去對。
  • 共用帳號查唔到邊個做過乜：多人共用一個登入，出事時無法追溯。稽核能力唔係事後先補的項目，而係帳號設計本身要有的能力。
  • 管理員權限過寬：人人都有管理員權，日常用帳號同管理員帳號無分開，日常帳號一失守，管理權限就一併失守。
  • 授權唔等於管理：有「正版 Office 365 商業授權」原文，唔等於日常管理（加人、離職停用、多重驗證、權限）已包。授權係一張入場券，管理係每日的工夫，兩者唔好混為一談。
  • 預設密碼同舊系統未退役：路由器同交換器仲用緊預設密碼，已經終止支援的系統仲喺生產環境，兩者都係檢查報告裡面應該列入即時修的項目。
  • 訪客 Wi-Fi 入到內網：訪客網絡無同內部網絡隔離，訪客裝置可以直接接觸內部系統。呢個項目檢查方法簡單，發現之後修復方法亦明確，唔應該拖到下一年。
  • 檢查報告無跟進：檢查做完、報告交咗，但無負責人、無限期、無複驗，下一年同一問題再出現。報告無跟進，等於檢查無做過。
  • 以為買咗授權、買咗設備就等於安全：授權、設備、備份設定只係起點，權限、修補、跟進先係日常。年度檢查的價值，唔係證明公司買咗乜，而係證明公司日常做緊乜。
  • IT 健康檢查唔等於財務審計：再講一次，兩者係兩回事。IT 檢查報告唔可以代替財務審計，財務審計報告亦唔可以代替 IT 檢查。簽約或者對外提交文件之前，要分清楚對方要的是邊一份。

六、簽約前要問的問題

以下問題全部寫成問題式，唔寫成本站服務範圍。每一條都要要求對方以電郵或者服務協議書面確認，唔好只信口頭承諾。答不到的問題，要寫入協議的跟進項目，唔好假設已經包括。

  • 年度檢查包邊幾大範疇？硬件、網絡、備份、帳號權限、授權、保安修補、文件同資產清單，邊啲包、邊啲唔包？
  • 年度檢查幾耐做一次？年度檢查是否包括在月費內，定係另外收費？收費模式係點計？
  • 檢查報告會唔會寫明發現、風險、修復先後次序？定只係一張「已檢查」清單？
  • 檢查完發現的問題，修復包唔包？定要另外報價？邊啲修復要另外收費？
  • 離職員工帳號收回、定期權限審計，係咪包括在內？定要另外問？由邊個執行、幾時完成、有無清單覆核？
  • 備份還原測試由邊個負責做、幾耐做一次、紀錄點保存、係咪包括在內、點收費？
  • 授權的版本等級、授權數量、持有人名義係點？管理員帳號邊個持有、邊個畀錢、域名註冊人係邊個？
  • 日常授權管理是否包括在內？例如加人、離職停用、多重驗證設定、權限調整，邊啲包、邊啲唔包？
  • 上門安排點計？基礎版係咪按次收費？專業進階版及以上包含的「特定次數」具體係幾多次？按次收費幾多錢？
  • 計價單位係點？本站定價頁寫 HK$600／月原文，計價單位係咪未公佈？加人、加機點計？
  • 檢查後跟進包唔包複驗？修完之後由邊個再抽查、抽查範圍係點、複驗紀錄點保存？
  • 轉供應商時，憑證、設定、控制權點交接？本站交接服務係咪包括、係咪另收費？
  • 檢查結果會唔會影響其他合約安排？例如檢查發現的問題，邊啲要即時處理先至符合合約要求，邊啲可以排入計劃修？

附註：價錢以 live /pricing 當前列明為準，任何一級的服務範圍有變，必須以更新後的 live /pricing 或者服務協議為準，唔好憑本文推斷。

七、結語：年度檢查的價值，在於下一年唔使再問同一條問題

年度 IT 健康檢查的價值，唔係在於檢查嗰日搵到幾多問題，而係在於下一年檢查嗰陣，有幾多舊問題已經唔再出現。資產清單齊咗，帳號權限對得齊，修補跟得貼，備份紀錄睇得到，訪客網絡隔離咗，文件政策寫低咗，跟進表有負責人同限期，複驗做過，存檔留底，下一年檢查就可以由對照上一年開始，而唔係由頭再估一次。

老闆唔需要記住十個範疇的每一個細節，只需要記住檢查的四個動作：檢查前攞齊三張表，檢查時逐項寫低現況同風險，檢查後分級跟進同複驗，簽約前將未公佈的項目逐條問清楚並寫入協議。做到呢四個動作，年度檢查先至唔會變成一年一次的例行公事。

免責聲明：本文屬於一般資訊，唔係法律意見，唔係本站服務承諾。文中通用做法來自公開行業指南歸納，實際安排要視乎每間公司的系統、規模同合約而定。如涉及法例或者合規判斷，應諮詢專業意見。價錢同套餐範圍以 live /pricing 當前列明同雙方簽署的服務協議為準，本文的通用做法唔構成任何服務承諾。最後覆核日期：2026-10-23。

來源

以下來源全部於 2026-10-23 查核，連結以連結標籤包裹，連結之後唔接全形標點，中文說明另起分句。