香港中小企 NAS／檔案伺服器保安與共用資料夾權限管理：先搞清楚權限、備份同還機清除
分類：網絡安全 | 日期：2026-10-24
一、開首說明：本文只屬一般資訊
本文只屬一般資訊，供香港中小企參考 NAS／檔案伺服器保安與共用資料夾權限管理的通用做法，唔係法律意見。涉及個人資料做法的具體安排，應以私隱專員公署指引及專業意見為準。
本文亦要先講明一個研究限制：本批公開搜尋未能找到香港 NAS 事故專屬數字，例如香港有多少間中小企因為 NAS 出事，或者有多少宗 NAS 勒索個案。本文因此只講機制與通用做法，唔會用任何未證實的數字去誇大風險，亦唔會將全球數字改寫成香港數字。
以下例子只用通用情境，例如一間十人公司，唔涉及任何真實公司名、人名、日期或金額。所有做法視品牌、型號及設定支援而定，唔好當成適用於所有 NAS 的統一標準。
二、NAS 本身就是一部長期開著的連網電腦
NAS 是經網絡提供儲存空間的設備，本身運行作業系統及多種服務，長期開機、長期連網。公司將檔案集中放喺 NAS，即係將大量業務資料集中喺一部長期在線的設備上。集中方便共用，同時亦代表一個設定問題的影響範圍可以好大。
預設登入資料要改
根據 HKCERT 的通用建議，首次登入即更改設備預設密碼、定期更改、用複雜組合、不同設備用不同密碼。個別品牌的做法例證亦有類似方向，例如 Synology 官方勒索軟件呼籲要求建立新的管理員群組帳戶並停用系統預設 admin 帳戶、啟用自動封鎖多次登入失敗的 IP、執行 Security Advisor 檢查弱密碼，以及啟用兩步驗證。呢啲只係個別品牌的例證，唔可以泛化成所有 NAS 都有同一功能或同一設定位置。
對外暴露有三條常見路徑，要分開理解
- 路由器端口轉發：將 NAS 管理端口直接指向互聯網。
- DDNS／廠商雲端連結服務：例如 Synology QuickConnect、QNAP myQNAPcloud。
- 路由器 UPnP 自動開端口：路由器自動為 NAS 開端口。
QNAP 官方最佳做法要求關閉路由器端口轉發、取消 myQNAPcloud 自動路由器設定中的 UPnP 端口轉發、取消發布不必要的服務、將設備存取控制設為私人；有需要遙距連接時改用廠商連結服務或 VPN 服務。
QuickConnect／myQNAPcloud 類服務的機制要寫準確，唔好簡化成開咗即等於暴露，或者用咗即安全。QuickConnect 透過廠商中繼伺服器協助建立連接，本身不將檔案存於雲端；但若同時開咗端口轉發，連接可能改行直接對外路徑。遙距方式點設、邊啲服務開咗、邊啲關咗，應該逐項核對，唔好憑一個開關名稱就判斷。
舊韌體與支援期
根據 HKCERT 的通用建議，要定期檢查軟件更新並按廠商發布更新、停用不用的服務及協議、將已停止支援的軟件／硬件換成仍受支援的版本。支援期有現實意義：2026-10-22 業界報導的 QNAP 案例說明，廠商當時就新漏洞發出公告，部分舊功能因支援已於 9 月 30 日結束而不會獲修復，廠商建議受影響用戶先將 NAS 撤離互聯網、關閉端口轉發及 UPnP、改用 VPN。呢個只係用嚟說明支援期會影響能否獲修復的例證，唔好寫成所有型號的現況。
自動更新要寫成做法選項加覆檢節奏，唔好寫成預設已開或者適用所有型號。通用做法係向廠商支援渠道核對現行韌體版本、安裝更新，並定下覆檢節奏，例如每月或每季覆檢一次，視廠商發布而定。更新前應確認備份狀況，更新後覆檢共用資料夾及權限有無被重置。執行細節視品牌／型號而定。
三、共用資料夾權限：預設無存取，按需要先加
共用資料夾權限一般分為三種：可讀寫（可睇可改）、只讀（可睇唔可改）、無存取（睇唔到亦改唔到）。權限衝突時，無存取優先於可讀寫及只讀。呢個係通用模型，實際設定位置視品牌／型號而定。
人人可讀寫是最危險的起點
任何取得網絡存取的人都可睇、改、刪全部檔案，亦令勒索軟件只需一個有寫權限的受感染帳戶即可加密成個共用碟。通用做法係預設無存取，按需要逐個資料夾、逐組人加權限。方便唔應該成為預設人人可讀寫的理由。
最小權限
每個人／每個組只獲完成工作所需的最小權限。只睇的人給只讀，需要改的人先給讀寫。管理權限只給極少數人，日常工作帳戶不應同時是管理員帳戶。根據香港政府資訊保安網站的勒索軟件建議，最小權限存取係其中一個通用方向。
分級的通用結構
- 全公司共用資料夾（通告、表格）可較闊，但仍唔應該預設人人可讀寫。
- 部門資料夾（例如財務部、銷售部）只限該部門。
- 管理層資料夾只限指定職級。
- 每級之間不應以所有人群組一次過授權。
呢個係通用做法框架，具體分級視公司架構而定。
個人資料夾同公共資料夾要分開
個人資料夾屬個別員工私人工作區，其他同事預設不應有存取權；公共資料夾屬協作區，權限按部門／項目組設定。兩者混在同一個人人可讀寫資料夾，即等於取消個人資料夾的意義。要如實寫明一個例外：Synology 文件列明管理員群組可存取個人資料夾，唔好寫成個人資料夾連管理員都睇唔到。
共用帳號的三類問題要分開寫
- 預設 admin 帳戶：帳戶名公開已知，攻擊者只需猜密碼，個別品牌建議停用預設 admin 帳戶。
- guest／匿名存取：任何人毋須登入即可存取，應用於公開資料以外的資料夾即等於公開。
- 部門共用帳號：多人共用同一登入資料，出事時無法分辨邊個人存取或修改過檔案，離職時亦無法只收回一個人的權限而不影響其他人。
通用做法係每人一個獨立帳號，共用帳號只限真正無個人責任區分的用途，並定期更換登入資料。
四、離職、轉職、訪客與外部人員：權限跟人走
根據 HKCERT 對帳戶的基本要求，要停用不用的帳戶、將帳戶權限減到最小，以及定期覆檢帳戶及存取權，停用不再使用或身份不明的帳戶。
離職與轉職
帳戶一日未停用，前員工憑舊登入資料仍可存取在職時有權限的資料夾。轉職後舊部門權限未收回，即等於一人同時擁有兩個部門的資料存取權。通用做法係離職即停用帳戶、轉職即重設部門權限、定期覆檢一次全部帳戶及權限清單，例如每季覆檢一次。頻率屬建議，唔係廠商或法例規定。
共用密碼要改：若離職員工曾經知道共用帳號的登入資料，只停用個人帳戶並唔足夠，共用帳號的登入資料亦要更換，否則舊資料仍然有效。
訪客與外部人員
訪客及外部合作人員只獲完成當次工作所需的資料夾、只讀優先、有明確期限；期限屆滿即收回。唔好為方便而給予整個共用區或管理權限。外部人員的存取應有紀錄可覆檢，紀錄內容及保留期視品牌／型號及公司政策而定。
權限應該跟人走，唔係跟資料夾長期留低。一個人轉職、完約、合作結束，相關權限就要跟住變，唔好留低一個無人覆檢的舊權限清單。
五、勒索軟件點樣由一台電腦加密成個共用碟
機制要寫準確：勒索軟件會加密本地及網絡共用檔案。只要受感染電腦所用的帳戶對某個共用資料夾有寫權限，該資料夾內的檔案就可被加密，唔需要勒索軟件本身入侵 NAS。
將共用資料夾映射為電腦上的磁碟機代號後，勒索軟件視之為本地磁碟機一樣逐個檔案加密。但即使無映射，只要有寫權限及網絡路徑，加密仍可發生，唔好將取消映射寫成充分防護。呢個正正係第三節最小權限同人人可讀寫之別的後果：寫權限越闊，一台電腦出事時可被加密的範圍就越大。
快照／版本功能的定位
快照是某個時間點的共用資料夾／邏輯單元副本，可用嚟還原被加密或誤改前的檔案。但快照功能視品牌／型號／檔案系統支援而定，絕不可寫成所有 NAS 都有。例證方面，Synology Snapshot Replication 以 Btrfs 檔案系統建立時間點副本，支援還原檔案／資料夾及 Windows 舊版檔案還原，並有保留政策設定；QNAP 官方問答列明受加密的共用資料夾可用快照還原資料夾功能回復，並提醒整卷還原需要額外等於該卷大小的可用容量。以上只係個別品牌例證，實際支援視品牌／型號／設定而定。
快照不是備份的完整替代。快照通常與原資料共用同一部 NAS／同一個儲存池，NAS 本身損壞、被盜或整機被入侵時，快照可一併失去。快照亦只在事前已啟用先有效，事後先開快照救唔返已被加密的檔案。
HKCERT 就遙距存取及 NAS 設備的公開呼籲，亦列出通用建議，包括及時更新系統、定期更改管理員及用戶密碼、停用不用帳戶及減到最小權限、停用不用協議及應用程式、避免用預設端口、防火牆預設拒絕、保留離線備份、啟用系統紀錄及異常提示、將已停止支援的產品換成受支援版本。以上只係公開建議，唔係任何服務級別已包的項目，實際安排要留待簽約前問清楚。
六、NAS 唔等於備份：3-2-1 只係通用概念
NAS 是集中儲存及共用檔案的地方，檔案只放喺 NAS 而無其他獨立副本，即係得一份。誤刪、勒索加密、火災盜竊或整機故障都可令該份檔案失去。將 NAS 當作備份，係一個常見誤解。
RAID 唔等於備份。RAID 只防單隻硬碟故障；誤刪、檔案損壞、勒索加密、盜竊或火災發生時，同一組磁碟陣列內的全部硬碟會一齊受影響，RAID 救唔返。
3-2-1 只係通用概念，唔係服務承諾：重要檔案保留 3 份副本，存放於 2 種不同媒介，其中 1 份存放於異地。寫作時只寫概念本身，唔好寫成任何級別已包 3-2-1 備份。
3-2-1 的常見盲點
3-2-1 本身無要求任何一份副本離線。一部長期開著的 NAS 加一個同步雲端資料夾，表面上符合 3-2-1，但同一勒索軟件可於短時間內加密兩邊。同步服務會將刪除及損壞檔案同步到另一邊，同步唔等於獨立備份。
異地副本同離線副本要分開寫
異地副本指存放於另一地點的副本，例如另一辦公室或雲端備份服務，用嚟應付火災、盜竊等本地災害。離線副本指平時不連接網絡的副本，例如定期輪換的外置硬碟，用嚟應付勒索軟件。兩者用途不同，唔好混為一談。
還原測試方面，本文只列為簽約前要問的問題，絕不寫成任何一級已包。定價頁 HK$1,200／月級只寫數據備份建議及設定，只包建議加設定，還原測試唔寫成已包。還原測試由邊個負責做、幾耐做一次、紀錄點保存，全部要喺簽約前問清楚並以書面確認為準。
七、換機、還機、送修前清除；版本與誤刪復原的期望管理
刪除檔案唔等於清除資料
一般刪除只係移除檔案指向資料的標記，資料本身通常留喺磁碟上，直至被新資料覆寫。格式化或重裝系統亦多數只係標記空間為可用，專門工具仍可取回資料。
換機／還機／送修前要處理的四類項目
- 硬碟內檔案及快照／資源回收筒內的殘留檔案。
- 帳戶及登入資料：管理員、用戶、雲端連結、掃描去電郵等已存登入資料。
- 設定：網絡設定、共用資料夾權限、DDNS／QuickConnect／myQNAPcloud 綁定。
- 加密金鑰：如曾用共用資料夾加密，金鑰處理方式視品牌而定，唔好假設刪除檔案即等於金鑰已毀。
清除方法的層次
一般刪除（只除標記）低於覆寫整隻硬碟（以隨機資料覆寫），再之上係裝置本身的清除指令或加密擦除（銷毀金鑰令加密資料無法讀取），最高係物理銷毀（適用於已損壞或不再重用的硬碟）。邊種方法適用，視硬碟種類（傳統硬碟／固態硬碟）、有無加密、以及是否重用而定。固態硬碟因備用單元及耗損平均機制，覆寫未必覆蓋全部單元，唔好將傳統硬碟做法直接套落固態硬碟。
還機方面要特別提醒：定價頁常見問題只講硬件擁有權屬供應商、服務終止時需歸還，無講清除程序。NAS 屬公司自有設備還機／送修時，清除程序及書面確認一律列為簽約前書面確認問題，唔好寫成任何一級已包。
檔案版本與誤刪復原：三句期望管理
- 資源回收筒及快照只救到事前已啟用的情況。共用資料夾的資源回收筒功能須於刪除前已啟用，刪除後檔案先會入筒；未啟用時刪除即直接失去，要靠快照或其他方法。以上功能視品牌／型號／設定支援而定。
- 快照及版本唔防整機損壞、盜竊或快照本身被刪。
- 誤刪後能否復原，取決於事前設定、保留期及誤刪後有無新寫入，三者缺一都會影響結果。版本保留幾多個、保留幾耐，視品牌／型號／設定而定，無統一標準，唔好寫成某個具體日數或個數適用所有 NAS。
誤刪後繼續寫入新檔案，有機會覆寫已被標記為可用的舊檔案空間，令復原更困難。通用做法係誤刪後即停用該共用資料夾的寫入、保留現狀，並先檢查資源回收筒及事前已啟用的快照。
同個人資料原則的對照，只作一般資訊
個人資料（私隱）條例有六項原則，包括第 1 原則收集目的及方式、第 2 原則準確性及保留期間、第 3 原則使用、第 4 原則保安、第 5 原則公開、第 6 原則查閱及改正。與 NAS 最直接相關的是第 2 原則（個人資料保留不得超過達致目的所需時間）及第 4 原則（採取切實可行步驟保障個人資料免受未經授權或意外查閱、處理、刪除、遺失或使用）。共用資料夾權限過闊、離職帳戶未停用、還機前未清除，對應第 4 原則的保安要求；版本／快照／資源回收筒長期保留已無需要的個人資料，對應第 2 原則的保留期間要求。以上只作一般資訊對照，唔係合規結論，具體合規做法以私隱專員公署指引及法律意見為準。
八、定價頁分界：本文做法唔係任何一級已包服務
呢節必須先講清楚，否則好容易把通用做法誤當成已包服務。以下六級價錢及原文形式，根據 2026-10-24 定價頁可見正文核實：
- 基礎遙距版 HK$600／月 — 包正版 Office 365 商業授權、送企業級 Router 連安裝、無限次遙距支援（週一至五 9am-6pm）
- 專業進階版 HK$1,200／月 — 基礎版全部功能＋緊急事故優先響應、新員工電腦入職設置、數據備份建議及設定、單一聯絡窗口（週一至六 9am-6pm）
- 企業設備版 HK$2,200／月 — 專業進階版全部功能＋包商務電腦設備、硬件全保養（壞機即換）、每 3 年免費升級換機
- 全方位無憂版 HK$2,950／月 — 企業設備版全部功能＋包多功能商務打印機及維修保養
- 設計專用版 HK$4,950／月 — 全方位無憂版全部功能＋包 AutoCAD 正版授權及 Adobe Creative Cloud 全套
- 旗艦網頁版 HK$5,950／月 — 設計專用版全部功能＋包企業網站設計及開發、網站維護及伺服器託管
HK$600 唔加任何計價單位。授權只寫正版 Office 365 商業授權原文，唔寫授權級別、數量或持有人。設計專用版及旗艦網頁版經全部功能繼承上級字眼，繼承絕不證明 NAS 設定、權限設定、快照設定、備份還原或清除程序已包。旗艦網頁版的伺服器託管指網站伺服器託管，唔等於公司內部 NAS／檔案伺服器管理，唔好混淆引申。企業設備版的商務電腦設備唔等於 NAS，唔好引申。
定價頁可見正文（不計 JSON-LD 結構化資料）關鍵詞核查結果：NAS 0 命中、檔案伺服器 0 命中、共用資料夾 0 命中、權限 0 命中、對外暴露 0 命中、韌體 0 命中、勒索軟件 0 命中、快照 0 命中、清除 0 命中；備份僅 1 命中，就係 HK$1,200／月級數據備份建議及設定一句，只包建議加設定。補充說明：定價頁原始碼的 JSON-LD 結構化資料有一則客戶評價提及 NAS 備份，但該評價無指明級別，亦非六級範圍原文，不能據此推斷任何一級已包 NAS 設定。定價頁常見問題只講合約綁定、硬件擁有權及授權正版，無講 NAS 資料清除。首頁一句通用服務名網絡安全設定，亦無 NAS／檔案伺服器／共用資料夾細節，絕不反推成 NAS 保安已包。
所以，本文第二至第七節的全部做法，包括改預設登入、關閒置服務、韌體更新、對外存取設定、共用資料夾權限分級、離職收回、快照／版本、備份安排、換機清除及誤刪復原，全部只屬通用做法，絕不是任何一級已包的服務說明。讀者如果想知道某一級包唔包，必須用下一節的問題，喺簽約前取得書面確認。
九、簽約前要問的問題
以下問題全部只作問題，唔寫成任何一級已包的服務承諾。凡定價頁無寫的項目，均標明未證實、需用戶確認，並須以書面確認為準：
- 邊一級包 NAS／檔案伺服器設定，包括改預設登入、關閒置服務、韌體更新、對外存取設定？定價頁無寫，未證實、需用戶確認，須以書面確認為準；如另行收費，收費方式係點？
- 共用資料夾權限點分級？邊啲部門／職級可讀寫邊啲資料夾？人人可讀寫的資料夾有無？由邊個定期覆檢？定價頁無寫權限內容，未證實、需用戶確認，須以書面確認為準。
- 個人資料夾同公共資料夾點分？管理員可唔可以睇到個人資料夾？邊啲人有管理權限？定價頁無寫，未證實、需用戶確認，須以書面確認為準。
- 離職或轉職員工的 NAS 帳戶及權限幾時收回？由邊個執行？共用帳號點處理？舊帳戶清單幾耐覆檢一次？定價頁無寫，未證實、需用戶確認，須以書面確認為準。
- 訪客及外部人員可唔可以存取 NAS？限邊啲資料夾、只讀定讀寫、有無期限、期限屆滿點收回？定價頁無寫，未證實、需用戶確認，須以書面確認為準。
- NAS 有無對外開放？用邊種遙距方式，包括端口轉發、DDNS、廠商連結服務定 VPN？管理介面可唔可以從互聯網直接連到？定價頁無寫對外暴露內容，未證實、需用戶確認，須以書面確認為準。
- 韌體更新由邊個負責？幾耐覆檢一次？型號已停止支援時點處理？更新會唔會重置權限設定？定價頁無寫韌體內容，未證實、需用戶確認，須以書面確認為準。
- 快照／版本功能有無？邊個品牌／型號支援？保留政策係點，包括幾多個、幾耐？快照本身會唔會被有權限的帳戶刪除？定價頁無寫快照內容，未證實、需用戶確認，須以書面確認為準。
- 勒索軟件加密共用碟時，點還原？還原用快照定備份？還原測試包唔包？還原測試由邊個負責做、幾耐做一次？定價頁 HK$1,200／月級只寫數據備份建議及設定，還原測試唔寫成已包，未證實、需用戶確認，須以書面確認為準。
- 備份係點安排？NAS 本身以外有無獨立副本？異地副本喺邊？離線副本有無、幾耐輪換一次？備份同同步點分？定價頁除咗 HK$1,200／月級一句建議及設定之外無寫備份細節，未證實、需用戶確認，須以書面確認為準。
- 換機／還機／送修前清除程序包唔包？清邊幾類，包括檔案、快照、資源回收筒、帳戶、登入資料、設定、加密金鑰？清除喺離開辦公室前定後做？有無書面清除確認？定價頁無寫清除內容，未證實、需用戶確認，須以書面確認為準。
- 誤刪檔案點復原？資源回收筒有無啟用？保留期係點？誤刪後應即停寫入，邊個負責跟進？定價頁無寫，未證實、需用戶確認，須以書面確認為準。
- NAS 紀錄有無？邊個可睇登入紀錄及權限改動紀錄？紀錄保留幾耐？異常登入有無提示？定價頁無寫，未證實、需用戶確認，須以書面確認為準。
- 檔案伺服器同網站伺服器託管係咪同一回事？旗艦級伺服器託管包唔包公司內部 NAS？定價頁無寫內部 NAS 管理，未證實、需用戶確認，須以書面確認為準，唔好假設。
十、結語：先檢查、再問清楚、再決定
NAS 保安的重點，唔係買一部功能最多的機，而係入冊時改好預設登入、關好閒置服務、定好韌體覆檢節奏、分好共用資料夾權限、跟人走去收回離職及轉職權限、為訪客及外部人員設期限，以及喺換機、還機及送修前先處理清除。快照、版本及資源回收筒只救到事前已啟用的情況，視品牌／型號／設定支援而定；NAS 本身唔等於備份，同步亦唔等於獨立備份。
對香港中小企嚟講，最穩妥的次序係：先對照本文第二至第七節做一次現況檢查，再用第九節的十四條問題，向供應商取得書面確認，確認邊啲包、邊啲另行收費、邊啲由公司自己負責。凡是定價頁無寫明的 NAS 設定、權限管理、快照、備份還原及清除程序，喺未有書面確認之前，都應視為未證實、需用戶確認，唔好假設已經包喺月費入面。
本文只屬一般資訊，唔係法律意見。涉及個人資料做法的具體安排，應以私隱專員公署指引及專業意見為準。先檢查、再問清楚、再決定。