香港中小企共用電腦與共用帳號安全

分類：行業情報 | 日期：2026-10-29

閱讀前說明： 本文只講香港中小企的共用電腦與共用帳號問題，提供一般資訊，並非法律意見。如涉及個人資料處理或合約責任，應諮詢專業意見。本文提到的情境全部是情境舉例，並非真實個案，亦沒有引用任何客戶名稱、店名或事件日期。

一、由櫃檯交更講起：上一手未清，下一手就接手

以下為情境舉例，並非真實個案：想像一間零售店的櫃檯電腦由朝更與午更輪流使用，朝更同事用一組共用登入處理退貨，臨走前只關了瀏覽器分頁，沒有逐一登出服務，也沒有檢查下載資料夾。午更同事坐下來，畫面看似乾淨，但上一手的帳號其實仍然登入中，退貨紀錄之後出了問題，老闆第一個問題是「邊個做過？」——而共用登入令這個問題答不出來。

這正是本篇的範圍：同一部電腦由多人輪流用、同一組登入由多人共用、交更時上一手未清乾淨、下一手直接接手。場景可以是零售櫃檯、接待處、診所或服務櫃位、倉務或工場的共用終端、輪班制辦公室的共用座位（P02）。分界先講清楚：定期檢視邊個有權用邊部共用電腦，屬權限審查題目，詳見相關主題；員工自攜裝置與公司共用電腦是兩種裝置邊界，詳見相關主題；個人登入習慣與驗證設定，詳見相關主題；員工離職時的帳號停用屬交接題目，詳見相關主題。本篇只講在職輪班交更的即時清理。

二、共用登入的三重失效：追責、收回、擴散

多人共用同一組登入時，系統日誌只會指向同一個帳號，無法分辨實際操作者，令追責與調查難以進行（F07）。檔案被刪、客戶紀錄被改、訊息被發出之後，內部調查只能靠口頭回憶，老闆無法可靠地向客戶或相關方面講得出「邊個、幾時、做過乜」。

第二重是收回失效。共用登入無法只收回其中一人的存取權；要收回某人權限，必須改密碼並重新派發給所有仍需使用者，實務上經常拖延（F08）。一個人轉更、轉職或不再需要用該部電腦之後，舊登入仍然有效的時間就這樣被拉長。

第三重是擴散失效。一組共用登入外洩，影響範圍等於所有共用該組登入的人與系統；個人獨立帳號則可將影響限於單一人（F09）。換句話說，共用登入不是「方便一個人」，而是將一個人的風險攤給所有共用者。

一個相關的概念值得一句帶過：日常工作應用非特權帳號，特權帳號只用於管理任務，區分兩者有助職責分離與審計（F18）。但要註明，這條整理來自美國標準的二手摘要，並非香港法例，本文只作概念參考。

三、登出與只關分頁，根本是兩回事

很多人以為關了分頁就等於登出，事實不是。登出可令瀏覽器內的工作階段憑證失效，防止下一位使用者毋須憑證進入帳號；只關分頁並不足夠，應以服務本身的登出功能登出再關瀏覽器（F15）。不過要誠實註明層面：這條來自考試整理類的搜尋結果，權威性較低，本文只作一般概念，並非官方指引。

HKCERT 的公開指引亦建議：除個人電腦外，用完服務應登出；不要在非個人電腦用「記住密碼」選項；可用無痕或私人模式；為確保無瀏覽紀錄留下，用完應關閉全部瀏覽器（F10）。重要註明：這份 HKCERT 指引原來的對象是個人網上服務帳號，並非專門針對共用電腦交更的香港法例或官方交更指引，本文引用時不會將它硬套成法例。

四、瀏覽器記住密碼與自動填表：方便下一手，也方便出事

共用電腦上儲存瀏覽器密碼有風險：若忘記登出或清除已儲存密碼，下一位使用者可能直接進入相關帳號（F13）。在共用電腦上按「記住我」或儲存密碼，等於將登入交給下一手。瀏覽器自動填表功能亦可能在假網站情境下自動填入登入資料，協助攻擊者盜取憑證（F14）。這兩條都只達搜尋結果層面，本文引用時註明層面，不寫成已讀全文。

HKCERT 指引亦提醒，不同服務應用不同密碼；若其中一個帳號被盜，攻擊者會嘗試用同一組密碼登入其他常用服務，造成連鎖影響（F11）。至於登入時除密碼外另以手機短訊一次性密碼或手機應用程式產生的驗證碼作第二重確認的概念（F12），本文只引用概念一句帶過，詳細密碼與驗證做法屬另一題目，不在此展開。

五、四種殘留，唔好混為一談

登出之後，部機未必等於清乾淨。要分開四種殘留：

1. 工作階段殘留：只關分頁、不按服務本身的登出掣，工作階段可能仍然有效，下一手可以直接進入上一手的帳號。正確概念是每個服務逐一登出，再關瀏覽器。
2. 瀏覽器記住密碼與自動填表：見上一節，按了「記住我」就等於留了鎖匙給下一手。
3. 瀏覽歷史、快取與表單紀錄：即使登出了，歷史、快取檔案、已填表單資料仍可能留在部機，下一手可以睇到上一手去過邊、做過乜。
4. 下載檔殘留：下載了的檔案不會因為登出而消失。共用工作區登出概念指出，以登出掣登出可自動刪除共用工作區在該電腦儲存的資料，但不包括使用者有意下載到個人儲存區的檔案；瀏覽過程中下載到電腦的資料，停用後應刪除，以免日後使用該電腦的人取得（F20）。要註明：這是英國機構內部手冊的概念參考，並非香港指引。

私人瀏覽模式的限度也要講明：它可減少本機儲存的歷史與 Cookie，但不會刪除已下載檔案，亦不會令一部本身不可信的電腦變得可信；不要將私人瀏覽或虛擬私人網絡視為謹慎使用帳號的替代品（F16）。私人瀏覽不是萬能解法，交更前仍然要處理下載資料夾、桌面與最近檔案這類實體殘留。

六、個人帳號混用公司電腦：兩個方向要分開講

第一個方向是私人帳號入公司機。以下為情境舉例，並非真實個案：小店老闆貪方便，在舖頭共用電腦登入私人電郵與購物帳號，交更時員工坐下來就見到上一手未登出的私人帳號。私人訊息與檔案可能被下一手接觸到，寫作角度應是公私分流，而不是指責員工。

第二個方向是公司電郵登記私人服務。用公司電郵登記個人服務有風險：離職後可能失去該批個人帳號的取回途徑；公司電郵外洩時亦可能令個人服務一併暴露；用公司電郵作非業務登記亦令攻擊者更容易描繪目標人物，進行針對性詐騙（F19）。兩個方向的教訓相同：座位可以共用，資料不應共用；同一部機、不同登入、各自的瀏覽器設定檔與檔案位置，才是方向。

七、交更通用實務概念：三步與一張短清單

以下交更做法標明為綜合推論（P01），由多條公開來源歸納而成，並無單一官方指引原文支持，絕非 HKCERT 或私隱專員公署指引原文：上一手逐一登出服務、檢查下載檔與桌面有無遺留、鎖定或登出電腦本身，下一手先開始。一張貼在櫃檯附近的短清單，列明交更前要檢查的項目與負責人簽認方式，重點是「有人負責檢查」，清單本身不需要寫技術細節。

關於個人資料，本文只作一般資訊，並非法律意見：香港《個人資料（私隱）條例》保障資料第 4 原則要求資料使用者採取所有切實可行的步驟，保障個人資料免受未經授權或意外的查閱、處理、刪除、遺失或使用（F17）。但要誠實註明層面：這條表述本次只達二手摘要層面，未以私隱專員公署官方頁面或條例原文全文核對，寫作時只作一般資訊，讀者如有疑問應諮詢專業意見。

八、價錢參考：只用 live /pricing 原文六級

以下價錢只引用 live /pricing 公開頁面文字，查核日期 2026-10-28，不加計價單位，不寫上門價錢或具體上門次數：

• 基礎遙距版 HK$600／月 — 包正版 Office 365 商業授權、送企業級 Router 連安裝、無限次遙距支援（週一至五 9am-6pm）（F01）
• 專業進階版 HK$1,200／月 — 基礎版全部功能＋緊急事故優先響應、新員工電腦入職設置、數據備份建議及設定、單一聯絡窗口（週一至六 9am-6pm）（F02）
• 企業設備版 HK$2,200／月 — 專業進階版全部功能＋包商務電腦設備、硬件全保養（壞機即換）、每 3 年免費升級換機（F03）
• 全方位無憂版 HK$2,950／月 — 企業設備版全部功能＋包多功能商務打印機及維修保養（F04）
• 設計專用版 HK$4,950／月 — 全方位無憂版全部功能＋包 AutoCAD 正版授權及 Adobe Creative Cloud 全套（F05）
• 旗艦網頁版 HK$5,950／月 — 設計專用版全部功能＋包企業網站設計及開發、網站維護及伺服器託管（F06）

要特別講明：專業進階版「數據備份建議及設定」只包建議＋設定，還原測試是否包括，見下節簽約前問題，不要假設已包。M365 在此只寫「正版 Office 365 商業授權」原文，不寫版本、數量或持有人名義。

九、簽約前要問的問題

以下全部是未證實事項，只以問句出現，並非本站服務說明。向任何供應商查詢時，要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。

1. 共用電腦的每人獨立登入設定，是否包括在任何一級月費服務內？如包括，係邊一級？（U01）
2. 櫃檯／接待／輪班共用電腦的瀏覽器設定檔分流與登出後自動清除設定，是否包括在內？如包括，清除範圍包唔包歷史、快取、表單紀錄與下載資料夾？（U02）
3. 交更檢查清單的製作與張貼範本，是否包括在內？如包括，係咪按每間公司的櫃檯流程度身訂製，定係通用範本？（U03）
4. 由共用登入轉為每人獨立登入的遷移工作，是否包括在內？如包括，包唔包舊共用登入的停用與密碼更改安排？（U04）
5. 員工在公司電腦使用個人電郵、社交、雲端、購物帳號的政策範本，是否包括在內？如包括，範本有無區分「個人帳號入公司機」與「公司電郵登記個人服務」兩個方向？（U05）
6. 共用電腦相關的員工簡短培訓或提醒，是否包括在內？如包括，形式係文件、短片定現場講解，邊一級先包？（U06）
7. 共用電腦的登入紀錄檢視，是否包括在內？如包括，檢視頻率、由邊個負責睇、紀錄保存幾耐，全部要問清楚並寫入協議嗎？（U07）
8. 共用電腦設定如需上門處理，上門安排與收費點計？「特定次數」具體係幾多次、上門按次收費金額係幾多，簽約前係咪要問清楚並寫入協議？（U08）
9. 專業進階版「數據備份建議及設定」只包建議＋設定，還原測試是否包括在內？還原測試由邊個負責做、幾耐做一次、紀錄點保存，簽約前係咪要問清楚並寫入協議？（U09）
10. 月費的計價單位係點計？HK$600／月原文以外，加人、加機點計，簽約前係咪要問清楚並寫入協議？（U10）
11. 「正版 Office 365 商業授權」原文以外，版本、授權數量、持有人名義係點？Global Admin 邊個持有、邊個畀錢、域名註冊人係邊個，簽約前係咪要問清楚並寫入協議？（U11）
12. 月費未列明的排除項目有邊啲？例如共用電腦設定、交更清單製作、個人帳號分流政策範本，邊啲已包、邊啲另收費、邊啲唔提供，簽約前係咪要逐項問清楚並寫入協議？（U12）

再次提醒：以上問題的答案未經證實，查詢時要求對方以電郵／服務協議書面確認，唔好只信口頭承諾。

來源清單

每條來源均註明查核日期 2026-10-28 與引用層面：

• IT SUPPORTKING live /pricing — https://www.itsupportking.com/pricing — 查核日期 2026-10-28 — 層面：公開頁面文字（F01–F06）
• Imprivata《Account Sharing Risks in Multifactor Authentication》— https://www.imprivata.com/blog/the-challenge-of-multi-factor-authentication-and-shared-accounts — 查核日期 2026-10-28 — 層面：搜尋結果層面（F07）
• RandomSecure《Shared Accounts and Credentials: The Hidden Security Disaster》— https://www.randomsecure.org/articles/shared-accounts-risks.html — 查核日期 2026-10-28 — 層面：搜尋結果層面（F08–F09）
• HKCERT《Personal Internet Service Account Security Management Guideline》— https://www.hkcert.org/security-guideline/personal-internet-service-account-security-management-guideline — 查核日期 2026-10-28 — 層面：公開頁面文字；原對象為個人網上服務帳號（F10–F12）
• CTI《Hidden Dangers Of Storing Passwords In Your Browser》— https://www.ctinc.com/the-hidden-dangers-of-storing-passwords-in-your-browser/ — 查核日期 2026-10-28 — 層面：搜尋結果層面（F13–F14）
• Testbook 問答整理（共用電腦電郵帳號保安）— https://testbook.com/question-answer/which-of-the-following-actions-helps-maintain-the--69a2fbaeedab8ed2c7df1189 — 查核日期 2026-10-28 — 層面：搜尋結果層面，考試整理類，權威性較低（F15）
• Horizon DataSys《Public Computer Security Best Practices: A Practical 2026 Checklist》— https://horizondatasys.com/public-computer-security-best-practices-a-practical-2026-checklist/ — 查核日期 2026-10-28 — 層面：搜尋結果層面（F16）
• Baker McKenzie Cloud Compliance Center 香港資料私隱與保安整理 — https://resourcehub.bakermckenzie.com/en/resources/cloud-compliance-center/apac/hong-kong/topics/data-privacy-and-security — 查核日期 2026-10-28 — 層面：二手摘要（F17）
• Cuick Trac NIST SP 800-171 相關整理 — https://cuicktrac.com/blog/ac-l2-3-1-6b-ensure-non-privileged-accounts-are-used-for-everyday-tasks — 查核日期 2026-10-28 — 層面：二手摘要，美國標準整理，非香港法例（F18）
• Kaspersky《It's not safe to use work mail for personal business》— https://www.kaspersky.com.au/blog/5-reasons-not-to-use-corp-e-mail/29538/ — 查核日期 2026-10-28 — 層面：搜尋結果層面（F19）
• 英國 GOV.UK HMRC 內部手冊 SW03330 — https://www.gov.uk/hmrc-internal-manuals/shared-workspace-business-manual/sw03330 — 查核日期 2026-10-28 — 層面：搜尋結果層面，英國機構內部手冊，非香港指引（F20）
• 交更檢查清單概念與櫃檯／接待／輪班場景分類 — 查核日期 2026-10-28 — 層面：綜合推論（P01–P02），非單一來源原文

文末提醒： 本文只作一般資訊，並非法律意見；個人資料相關內容如有疑問，應諮詢專業意見。