香港中小企員工自帶裝置保安：私人手機同筆電用公司資料之前，要定好的規則
分類：網絡安全 | 日期：2026-10-25
導言
好多香港中小企都面對同一個現實：員工返工未必只用公司派的電腦。有人用私人手機覆公司電郵，有人用私人筆電開公司檔案、入公司系統，甚至用屋企電腦趕工。裝置係員工私人的，但資料係公司的，兩者一混埋，就好容易出事。
自帶裝置（Bring Your Own Device，簡稱 BYOD）本身唔係問題，問題係無規則。無規則之下，邊部裝置可以接觸公司資料、資料可以去邊、裝置唔見咗點算、員工離職之後公司資料點收回，全部靠估。一旦出事，老闆先至發現，原來無人知邊部私人裝置存過邊份公司檔案。
本文講的，正是 BYOD 規則本身：裝置點登記、公司資料點分隔、點鎖好裝置、點保持更新、遺失點處理、離職點收回。以下內容屬於一般資訊，唔係法律意見；涉及個人資料處理的安排，如有疑問，應諮詢專業意見。
BYOD 有咩風險
第一個風險係資料散落。公司檔案可能同時存在於公司電腦、私人手機、私人筆電、個人雲端戶口同即時通訊軟件入面。檔案愈散，愈難知道邊度先係最新版本，愈難在有需要時收回。
第二個風險係裝置保安程度不一。公司電腦可以統一設定，公司未必有權、亦未必應該同樣管制員工的私人裝置。私人裝置可能無設鎖屏密碼、系統好耐無更新、裝咗來歷不明的應用程式，或者同屋企人共用。任何一項，都可能令公司資料暴露。
第三個風險係遺失同被盜。手機最容易唔見，筆電亦可能在外出工作、搭車、食飯時被偷。裝置本身值唔值錢係其次，入面存住的公司電郵、客戶資料、報價同合約先係真正損失。
第四個風險係離職交接不清。員工離職時交還公司電腦好直接，但私人手機入面的公司電郵、即時通訊紀錄同檔案，交唔交、點交、交完點確認，往往無人講過。時間一拖，舊員工手上可能仍然留有公司資料，而公司亦無從核實。
第五個風險係個人私隱同公司保安之間的張力。公司想保護資料，員工亦有權保護私人相片、私人訊息同私人戶口。規則如果寫到公司可以隨意睇晒成部私人電話，員工唔會接受；規則如果完全唔管，公司資料又無保障。所以 BYOD 規則一開始就要講清楚界線：公司管的是公司資料，唔係員工的私人生活。
規則一：先登記，後使用
無登記的裝置，唔應該接觸公司資料。登記唔係為咗監控員工，而係為咗令公司知道，邊部裝置有權接觸邊類資料。
一份實用的登記清單，應該包括裝置持有人、裝置種類、作業系統版本、用作公司工作的用途，以及獲准接觸的資料範圍。例如，只用私人手機覆電郵，同用私人筆電處理客戶檔案，兩者的風險同授權範圍並不相同，唔應該用同一個許可處理。
登記資料本身要妥善保存，並且定期覆核。員工換咗新電話、賣咗舊筆電、裝置壞咗唔再用，都應該及時更新清單。資產清單如果長期無人更新，登記就等於無登記。
員工入職（onboarding）時，正是講清 BYOD 規則的最好時機：邊啲裝置要登記、點登記、登記之後有咩責任，一次過講明，並且留下書面紀錄。等到員工已經用私人裝置處理公司資料幾個月之後先補規則，難度會大好多。
規則二：公司資料同私人資料要分隔
分隔是 BYOD 規則的核心。理想狀態是，公司資料只存在於公司指定的位置，例如公司電郵戶口、公司指定的檔案系統或者公司指定的應用程式入面，而唔係散落在私人相簿、私人雲端戶口或者個人即時通訊軟件入面。
實務上可以考慮的做法包括：公司電郵同私人電郵分開戶口；公司檔案只經公司指定的途徑存取，唔好下載到私人裝置長期存放；需要離線工作時，亦要講明邊類檔案可以暫存、存放幾耐、完成後點刪除。做法本身可以因公司規模同工作性質而不同，但「公司資料同私人資料分開」這個原則不應含糊。
分隔做得好，離職收回同遺失處理都會容易好多。因為公司只需要處理公司資料所在的範圍，而唔使、亦唔應該觸及員工的私人資料。
規則三：密碼、鎖定同生物認證要設好
每一部接觸公司資料的私人裝置，都應該設有鎖屏保護。無論是密碼、PIN 碼、指紋或者面部辨識，重點是裝置唔應該處於「任何人拎起就用到」的狀態。
密碼本身亦要有基本要求：唔好用生日、電話號碼或者過於簡單的組合；唔同戶口唔好共用同一組密碼；公司戶口的密碼唔好同私人戶口共用。員工如果需要管理多組密碼，可以考慮使用公司認可的密碼管理方式，具體用邊種工具，應在規則入面講明，而唔係叫員工自己上網搵。
另外要講明的是，公司系統的登入資料唔好寫在紙上貼喺裝置上面，亦唔好以明文傳給其他人。好多資料外洩唔係技術被攻破，而係登入資料本身保管不善。
規則四：系統同應用程式要保持更新
舊系統同舊應用程式往往帶有已知弱點。裝置長期唔更新，等於長期留低一道人人都知的門。因此規則應該要求，接觸公司資料的裝置要保持作業系統同相關應用程式更新，並且唔好長期拖延安裝安全性更新。
公司亦應該講明，員工如果收到可疑連結、可疑附件或者假冒公司名義的訊息，應該點處理：唔好即刻撳、唔好即刻開，先向公司負責人或者 IT 支援查詢。更新同警覺性兩樣加埋，先至構成基本防護。
美國框架 NIST 同 CIS 的公開最佳實踐摘要，可以作為制訂內部規則時的參考（NIST 部分為公開摘要轉述，非 NIST 原文直接引用；CIS 部分為二手摘要轉述，本批未直接核對官方原文）。不過要留意，這些美國框架屬於最佳實踐參考，唔係香港法例，唔好將框架建議直接當成香港法律要求。香港方面，本文規則原則參考私隱專員公署《「自攜裝置」（BYOD）》資料單張（2016 年 8 月初版，引用時須註明文件年份，唔好當成最新指引）及香港電腦保安事故協調中心（HKCERT）BYOD 指引，兩者均只講一般原則，具體安排仍須按公司情況制訂並諮詢專業意見。
規則五：遺失、被盜或者可疑情況，要有即時處理程序
裝置唔見咗之後的頭幾個鐘最關鍵。規則必須講明：員工發現裝置遺失、被盜，或者懷疑裝置有可疑活動時，要幾快通知公司、通知邊個、用邊種方式通知。通知途徑應該簡單直接，唔好要求員工在慌亂之中再去搵一份冗長文件先知點做。
通知之後，公司要做的是處理公司資料部分，例如更改相關公司戶口密碼、撤銷該裝置對公司系統的存取授權、檢查最近有無異常登入。至於員工私人資料的處理，應該事先講明界線，避免在緊急情況下出現爭拗。
事後亦應該有簡單紀錄：邊日遺失、邊個收到通知、做過邊啲處理、確認過邊啲授權已經撤銷。紀錄唔係為咗追究員工，而是為咗證明公司資料已經妥善處理，並為日後改善規則提供依據。
規則六：離職收回，要在入職時已經講明
離職收回（offboarding）唔應該等到最後一日先諗。員工入職時，BYOD 規則就應該寫明，離職時要做邊幾件事：交還或者刪除公司資料、撤銷公司系統存取授權、更改共用戶口密碼、確認私人裝置入面已經無公司資料殘留。
確認方式要實際可行。例如，由員工自行刪除公司指定的檔案同戶口，並向公司確認；或者由公司在員工配合之下，撤銷裝置授權並檢查存取紀錄。重點是過程要尊重私人資料界線：公司收回的是公司資料，唔係要求檢查員工成部私人電話。
如果公司有共用戶口、共用 Wi-Fi 密碼、打印機網絡或者遠程支援途徑，離職時亦要一併檢視：舊員工的存取授權有無撤銷、共用密碼係咪需要更改、遠程支援授權係咪已經終止。這些關聯安排看似瑣碎，但正正係離職後最容易被遺漏的缺口。
簽約前要問的問題
以下問題並非本站的排除清單，而是中小企在同任何 IT 支援供應商簽約之前，應該問清楚的問題。問完之後，應該要求對方以書面確認，並寫入服務協議，唔好只信口頭承諾。
- BYOD 裝置登記同管理，係咪包括在月費服務入面？如果包括，包幾多部裝置、邊類裝置、登記同覆核由邊個負責？
- 公司資料分隔的設定，例如公司電郵同檔案存取的設定，係咪包括在內？定係只提供建議，由公司自己設定？
- 裝置遺失或者被盜時，撤銷存取授權同更改密碼的協助，係咪包括在內？非辦公時間發生，又點處理？
- 員工入職同離職時的裝置授權設定同撤銷，係咪包括在內？定係每次要另外安排？
- 公司 Wi-Fi 同打印機網絡的存取授權，同私人裝置管理之間點銜接？舊員工離職後，相關授權點確保已經撤銷？
- 遠程支援時，技術人員可以接觸到私人裝置的邊個範圍？會唔會接觸到員工私人檔案？界線點寫入協議？
- 密碼同更新方面的員工指引，係咪包括在服務入面？定係公司要自己制訂同培訓？
- 如果公司已經有資產清單，BYOD 登記資料點同現有清單整合？邊個負責保持更新？
關於收費，現時可以公開核實的資料如下（來源：itsupportking.com/pricing，2026-10-25 核實）：六級月費方案分別為基礎遙距版 HK$600／月、專業進階版 HK$1,200／月、企業設備版 HK$2,200／月、全方位無憂版 HK$2,950／月、設計專用版 HK$4,950／月、旗艦網頁版 HK$5,950／月；基礎遙距版列明包正版 Office 365 商業授權、送企業級 Router 連安裝、無限次遙距支援（週一至五 9am-6pm）；專業進階版列明週一至六 9am-6pm；企業設備版為專業進階版全部功能＋包商務電腦設備、硬件全保養（壞機即換）、每 3 年免費升級換機；全方位無憂版為企業設備版全部功能＋包多功能商務打印機及維修保養；設計專用版為全方位無憂版全部功能＋包 AutoCAD 正版授權及 Adobe Creative Cloud 全套；旗艦網頁版為設計專用版全部功能＋包企業網站設計及開發、網站維護及伺服器託管。上述收費頁並未列明 BYOD 裝置管理是否包括在內，因此上面各項 BYOD 安排，全部屬於簽約前要問的問題，唔好假設已經包括在月費入面。
另外要留意，專業進階版列明的「數據備份建議及設定」，只包建議及設定，唔包還原測試。公司如果關心備份還原能力，還原測試由邊個負責做、幾耐做一次，簽約前要另外問清楚。
結語
BYOD 規則唔需要寫得好複雜，但一定要在出事之前寫好。登記、分隔、鎖好裝置、保持更新、遺失即報、離職收回，六條規則加埋，已經可以堵住大部分常見缺口。
對香港中小企嚟講，最實際的做法係：先用一頁紙寫低自己公司的 BYOD 規則，入職時講一次、離職時做一次、裝置遺失時演練一次。規則寫得清楚，員工先知邊界喺邊，公司資料先至有保障。
本文屬於一般資訊，唔係法律意見。涉及個人資料處理、僱傭安排或者合約條款的具體決定，建議諮詢專業意見，並將最終規則寫入公司政策同服務協議。