香港中小企第三方供應商遙距存取安全：會計、POS、ERP、維修登入點收回
分類：網絡安全 | 日期：2026-10-24
免責聲明：本文只屬一般資訊，唔係法律意見。涉及個人資料做法、合約條款或者通報決定的具體安排，如有疑問，應諮詢專業意見。
一、引言：點解供應商遙距存取係老闆要管的事
好多香港中小企都有同一個情況：系統係供應商幫手裝、幫手維護，遙距登入開咗之後就一直開住。會計公司要入財務系統，POS 供應商要維護收銀系統，ERP 顧問要睇採購同庫存，維修供應商要遙距檢查伺服器。開頭每一個登入都有原因，但時間一耐，原因可能已經消失，登入卻仲有效。
香港政府資訊保安網站指出，服務商會深入接觸公司資料同系統，機構可以將運作交由供應商處理，但責任仍然屬於機構本身。登入係邊個開、邊個用緊、邊個已經離職，唔可以只靠供應商記得，公司自己都要有一張清單。
本文講的四類供應商、三大風險同收回清單，只屬通用做法整理，唔係任何一個機構訂明的固定順序，亦唔可以歸因於私隱專員公署、HKCERT 或者資訊保安網站。以下全部例子均為示意例子，唔涉及任何真實公司、人物、日期或者金額。
二、四類供應商：各一示意例子
會計供應商
示意例子：一間公司請會計供應商處理年結，供應商幾年前開咗一個遙距登入，可以查閱財務系統同發票資料。年結之後無人覆核，登入一直有效，供應商員工離職之後，登入資料亦無人更改。
POS 供應商
示意例子：一間有多間分店的公司，POS 供應商為收銀系統維護開咗一個共用技術支援帳號，幾間分店共用同一組登入資料。有分店員工離職後，該組登入資料無改過，理由係改咗會影響其他分店。呢個理由正正暴露共用帳號的結構問題：停用一個人，唔應該影響其他人。
ERP 供應商
示意例子：ERP 實施顧問在上線期間獲授予高權限帳號，可以查閱採購、庫存同客戶主數據。項目完結之後，高權限無降級，亦無轉為日常維護所需的較低權限；顧問公司其後更換項目負責人，新負責人沿用舊帳號。上線期需要的權限，唔等於維護期需要的權限。
維修供應商
示意例子：維修供應商為方便支援，長期持有一個可以遙距登入公司伺服器的帳號，並將登入資料交予多名輪班技術員共用。公司內部無清單記錄邊個技術員用過、幾時入過、做過乜嘢更改。
三、三大風險：共用帳號、長期有效登入、離職未收回
風險一：共用帳號，令問責失效
多人共用一組登入資料，日誌就算有紀錄，都無法歸因到個人。邊個員工何時入過、攞過乜、改過乜，全部講唔清楚。香港政府資訊保安網站亦提醒，如果系統無問責同妥善的日誌程序，事故可能發生而不留痕跡。離職時無法只停一個人，成組登入資料都要換，先至算真正收回。
風險二：長期有效登入，需要消失但登入不消失
登入開通時有需要，之後需要消失但登入不消失，係最常見的漏洞。香港政府資訊保安網站指出，存取權限只應該按工作需要授予，批核之前要充分了解為何需要存取，以及完成工作所需的最少存取權，並且應該定期覆核，確保無過度授權。HKCERT 亦曾經提醒，遙距存取工具如果漏洞未及時修補，被利用的風險會好高；及時更新系統、停用未使用的帳號、減低帳號權限，都係相關預防方向。
風險三：離職未收回，留下可以直接用的入口
供應商員工離職或者離開項目，帳號同權限未盡快收回或者更改，香港政府資訊保安網站直接指出，不及時終止離職員工的系統帳號同收回存取權，會造成保安漏洞。公司內部員工離職同理。收回唔應該只係口頭通知供應商，應該包括停用帳號、更改曾經共用的登入資料、確認資料副本點處理，同埋實際測試舊登入係咪已經失效。
四、收回清單：由開通、持有到收回
以下清單屬於通用做法整理，唔係官方固定順序。涉及法律或者合約判斷的部分，根據指引，一般會涉及資料使用者與資料處理者的分工等，如有疑問，應諮詢專業意見。
入職授權：開通之前先分類、先問為何需要
第一，先分類：邊啲系統、邊啲資料會交由供應商處理，邊啲屬於敏感或者個人資料。第二，先問為何需要：批核之前，要充分了解為何需要存取，以及完成工作所需的最少存取權。第三，每人獨立帳號：供應商每名員工一個獨立登入，唔共用；特權帳號應該另外列明、另外監察。第四，寫明有效期：開通時即寫明覆核日期或者項目完結日期，唔好開無限期登入。
持有期間：定期覆核三張表同日誌
覆核基礎係三張表：系統清單，並標明邊啲系統儲存敏感或者個人資料；供應商員工及其帳號同存取權清單；轉移予供應商的資料清單。三張表要準確並保持最新，唔準確或者唔完整的清單，本身已經係管治出問題的徵兆。
覆核頻率方面，例如每季或者每半年覆核一次，呢個頻率只屬本篇建議的通用做法，唔係法例或者指引訂明的固定頻率。覆核時要睇日誌，留意可疑活動，例如突然大量下載文件；日誌覆核要有負責人，唔好只開日誌無人睇。項目階段轉變時，例如上線轉維護，要檢查高權限有無需要降級。合約亦應該要求供應商主動通知員工離職或者更換負責人，呢一點屬於簽約前要問的問題。
離職或者合約完結：即時停用，唔好只通知就算
供應商員工離職或者離開項目時，其全部用戶帳號同權限應該盡快收回或者更改。如果過去曾經共用登入資料，停用一個人唔夠，應該更改整組共用資料，並通知其餘授權使用者，呢一點屬於通用做法推論，唔係來源原文。
合約完結時要處理四件事：停用全部供應商遙距登入；收回或者更改曾經共用的登入資料；確認資料副本、設定同備份點樣交還或者銷毀；確認日誌點樣保留供日後核查。停用之後應該實際測試舊登入係咪已經失效，並將結果記低；只憑已經通知供應商而不驗證，唔算完成收回。
關於資料做法的分工，根據相關指引摘要，資料使用者聘用資料處理者之前同聘用期間，應該評估處理者的能力同可靠性、只轉移必要的最少個人資料、在合約訂明保安措施、要求處理者通報事故，並且保留審核權利。以上只屬摘要層面，唔係原文逐字引文。保障資料原則的大意亦指出，個人資料保留時間唔應該超過所需時間。
如果懷疑在收回之前已經有未經授權查閱，香港制度要講清楚：現行制度下，資料外洩通報屬自願通報，唔屬法定強制要求；現行指引用語係「在切實可行的情況下盡快」。歐盟法例的 72 小時通報規定，唔係香港法例。自願通報唔等於無責任，具體個案應該諮詢專業意見。
五、合約簽約前要問的問題
以下問題全部只作問題，教讀者問任何供應商，絕不寫成任何服務範圍或者不包括事項清單。查詢時要求對方以電郵或者服務協議書面確認，唔好只信口頭承諾。凡是定價頁無寫明的項目，在未有書面確認之前，都應該視為未證實、需用戶確認：
- 供應商員工名單同帳號清單由邊個維護、幾耐更新一次？三張表係咪齊全並保持最新？
- 存取權限點樣按工作需要授予、邊個批核、邊個覆核？特權帳號的使用同活動點樣監察同記錄？
- 遙距登入係咪每人獨立帳號？多重認證在適用情況下係咪會使用？定價頁並無公佈多重認證服務，屬於簽約前要問的問題。
- 供應商遙距登入清單維護、定期權限覆核同日誌覆核，邊啲已包、邊啲另行收費、邊啲唔提供？
- 日誌由邊個保存、保存幾耐、邊個有權覆核？可疑活動出現時，邊個負責跟進？
- 供應商員工離職或者更換項目負責人時，幾耐之內要通知公司、幾耐之內要收回權限？通知用咩書面方式？
- 合約完結時，登入、資料副本、設定同備份點樣交還或者銷毀？有無書面確認？銷毀之後有無紀錄可查？
- 供應商可唔可以再轉移個人資料予其他方？可唔可以用於未披露的目的？再轉移限制點樣寫入合約？
- 供應商發生資料保安事故時，幾耐之內要通知公司？通知內容包括乜？公司有無審核權利？審核可唔可以由獨立第三方執行？
- 數據備份建議及設定之外，還原測試點樣安排？還原測試唔包在 HK$1,200／月級的建議及設定入面，應該簽約前問清楚由邊個負責做、幾耐做一次、紀錄點保存。
- 不遵守合約的後果係乜？供應商存取管理、合約條款審查、保險問卷協助同個人資料相關服務，邊啲已包、邊啲另行收費、邊啲唔提供？投保決定以經紀或者保險公司為準，唔好憑託管服務假設已受保。
六、定價頁對照表：六級原文，逐字列明
以下六級價錢及項目照定價頁原文列明，根據 2026-10-24 定價頁可見正文核實：
- 基礎遙距版 HK$600／月 — 包正版 Office 365 商業授權、送企業級 Router 連安裝、無限次遙距支援（週一至五 9am-6pm）
- 專業進階版 HK$1,200／月 — 基礎版全部功能＋緊急事故優先響應、新員工電腦入職設置、數據備份建議及設定、單一聯絡窗口（週一至六 9am-6pm）
- 企業設備版 HK$2,200／月 — 專業進階版全部功能＋包商務電腦設備、硬件全保養（壞機即換）、每 3 年免費升級換機
- 全方位無憂版 HK$2,950／月 — 企業設備版全部功能＋包多功能商務打印機及維修保養
- 設計專用版 HK$4,950／月 — 全方位無憂版全部功能＋包 AutoCAD 正版授權及 Adobe Creative Cloud 全套
- 旗艦網頁版 HK$5,950／月 — 設計專用版全部功能＋包企業網站設計及開發、網站維護及伺服器託管
定價頁關鍵詞核查結果（查核日期 2026-10-24）：「供應商」、「存取」、「權限」、「帳號」、「多重認證」、「還原」全部 0 命中。所以，本篇全部收回做法，只屬通用做法，絕不是任何一級已包的服務說明。以下對照只限定價頁，唔係全站結論。
本站定價頁六級原文中，並無列明供應商存取管理服務；本篇全部收回做法只屬通用做法，具體邊啲已包、邊啲另行收費、邊啲唔提供，屬於簽約前要問清楚並寫入協議的問題。另外要講清楚：專業進階版原文的「單一聯絡窗口」只係該級原文項目，不等於供應商存取管理；HK$1,200／月級只寫「數據備份建議及設定」，還原測試唔包，簽約前問清楚。
七、結語：先有一張清單，再問清楚每一項
供應商遙距存取的安全，核心唔係一次過做晒所有技術設定，而係先有一張屬於公司自己的清單：邊個供應商、邊啲員工、邊啲帳號、邊啲系統、有效期到幾時、幾時覆核過、離職之後收回未。清單齊全，先至可以逐項問供應商、逐項寫入協議、逐項驗證收回。
最穩妥的次序係：先對照第四節做一次現況檢查，再用第五節的問題，向任何供應商取得書面確認。凡是定價頁無寫明的安排，在未有書面確認之前，都應該視為未證實、需用戶確認，唔好假設已經包在月費入面。
免責聲明：本文只屬一般資訊，供香港中小企參考通用做法，唔係法律意見。涉及個人資料做法、合約條款或者通報決定的具體安排，應以私隱專員公署指引、相關政府資訊及專業意見為準。