香港中小企 USB／外置儲存裝置保安：仲用緊的手指，先要識得點用
分類：行業情報 | 日期：2026-10-28
本文只講香港市場，講的是日常仲用緊的 USB 手指同外置硬碟——由插入嗰一刻開始，到加密、分開、共用、遺失嗰一刻為止的日常使用迴圈。本文全部內容屬於一般資訊，不作服務承諾；涉及個人資料私隱條例的部分只作教育用途，並非法律意見，個別個案應諮詢專業意見。
一、問題：點解一隻咁細的手指，可以成為公司資料的最大缺口
雲端儲存已經好普遍，但香港好多中小企日常仍然離不開 USB 手指同外置硬碟：要拎檔案去客戶現場、去展覽、去打印店，或者同事之間傳一個大檔案，順手插入一隻手指最快。問題正正出在「順手」兩個字。
一隻 USB 媒體細到可以放入衫袋、跌在地上都唔覺眼，入面卻可以載住客戶名單、報價、合約草稿、員工資料。佢一插入電腦，就同公司網絡、公司檔案產生直接接觸。更麻煩的是，員工往往以為「只係傳個檔案」，唔覺得自己做緊一個保安決定——但插入、打開、複製、拔走，每一步都係保安決定。
以下要分清楚一個基本概念：本文講的，全部是「仲用緊的 USB 媒體點樣用得安全」。舊裝置唔再用之前點樣清除同處理，詳見舊裝置資料銷毀相關主題；長期連住網絡的儲存裝置保安，詳見網絡儲存相關主題；帳號密碼同多重驗證的通用做法，詳見密碼與多重驗證相關主題；成部電腦或電話唔見咗的整體流程，詳見裝置遺失相關主題；打印機本身的網絡設定，詳見打印機網絡保安相關主題。本文不會將上述主題的清單成段搬入嚟，只會在有需要時用一句話帶過。
二、風險一：插入嗰一刻，其實有兩條不同的路
好多人以為 USB 風險只有一條路：手指入面有惡意檔案，一打開就中招。其實至少有兩條路，擋法完全唔同，混為一談就會留下缺口。
第一條路：檔案自動打開
自動執行（Autorun）同自動播放（AutoPlay），意思係媒體一插入，系統就自動打開入面的檔案或者彈出選項。美國網絡安全及基礎設施安全局（CISA）的公開指引明確要求停用自動執行，因為自動執行會令可移除媒體在插入時自動打開，停用之後可以防止受感染 USB 上的惡意程式碼自動打開（來源：CISA〈Using Caution with USB Drives〉，查核日期 2026-10-27）。香港 HKCERT 的惡意軟件防禦指引同樣要求停用光碟機及 USB 儲存裝置的自動執行功能（來源：HKCERT〈Malware Defense Guideline〉，查核日期 2026-10-27）。
所以第一個政策方向好清晰：公司電腦應該統一關閉自動播放／自動執行。注意本文只講政策方向，不寫逐步操作教學——不同系統版本做法唔同，逐項寫出來反而容易誤導，具體設定應留待現場檢查時確認。
第二條路：裝置扮成鍵盤
第二條路更加隱蔽。惡意 USB 裝置（BadUSB）這個概念，最早於 2014 年在 Black Hat 公開介紹：攻擊者改寫 USB 裝置韌體，令裝置扮成另一類裝置，而最常見而即時危險的變種係扮鍵盤（HID 鍵盤注入），裝置一插入就開始以鍵盤輸入方式送出預設指令（來源：Comparitech〈What is BadUSB〉；Wasil Zafar〈USB Security — USB Development Mastery Series Part 16〉，查核日期 2026-10-27）。
點解扮鍵盤咁難擋？因為電腦對鍵盤輸入的信任係問題核心：只要裝置出示有效的 HID 鍵盤描述，各主流作業系統都會在無需額外驅動程式或用戶許可的情況下接受佢，將該裝置的按鍵報告視同真正鍵盤一樣處理。因此檔案式防毒掃描未必攔得到呢類攻擊——攻擊本身唔係一個要打開的惡意檔案，而係一連串鍵盤輸入（來源同上，查核日期 2026-10-27）。
而外表完全分唔到。惡意 USB 裝置外表同普通手指、充電線或周邊裝置完全一樣，分別只在內部韌體；單憑外觀、品牌貼紙或容量標示，無法判斷一隻 USB 係咪已被改寫（來源：Unsafe.sh〈Bad USB: The Invisible Hardware Threat〉；ManageEngine〈What is BadUSB〉，查核日期 2026-10-27）。
結論要講白：關閉自動執行擋到第一條路，擋唔到第二條路。關閉自動執行係必要，但唔係萬能。對付第二條路，唯一可靠的員工行為就係：來歷不明的手指，一律唔插。
執到手指，應該點做
用一個通用情境講清楚：一個同事在辦公室門口執到一隻無標示的手指，好奇心會叫佢插入電腦睇下入面有乜、試下搵物主。CISA 指引明確要求，唔好將來歷不明的 USB 插入電腦；如執到 USB，應交畀適當負責單位，例如場地保安人員或公司資訊科技部門，唔好插入電腦睇內容或試圖辨認物主（來源：CISA，查核日期 2026-10-27）。
公開研究引述亦曾出現類似行為——有公開文章引述研究，指被刻意放置於公共地方的 USB 有相當比例會被人執起並插入電腦檢查（來源：Ivanti〈What is a BadUSB?〉引述 G DATA 及 Bursztein 等研究，查核日期 2026-10-27）。必須講明：以上數字屬二手引述、非香港市場統計，本文不寫成香港比例、香港個案數目或本港調查結果。香港 USB 相關個案頻率、香港中小企 USB 使用比例、香港遺失手指統計，全部未證實／需用戶確認，本文不編造任何數字。
另外要一句帶過：公開技術整理指出，硬件層面的電力攻擊不能單靠軟件緩解，韌體攻擊則需要刻意的工程防禦（來源：Wasil Zafar，查核日期 2026-10-27）。本文不展開攻擊製作、型號或測試方法，員工只需要記住一點：來歷不明的裝置，唔好因為外表正常就信佢。
三、風險二：掃描有用，但唔好以為掃描等於安全
「插入之前掃描一次」係正確習慣，但要講清楚掃描的邊界，否則員工會以為掃過就等於安全。
美國 NIST 2025 年可攜儲存媒體指引（SP 1334）列出的技術控制包括：停用不必要的連接埠；以白名單限制裝置或檔案執行；使用已更新的惡意軟件偵測軟件，在使用前後掃描媒體；如要插入不支援掃描的裝置，應改由已核准的另一部裝置掃描；轉換設備或環境重用之前先重新格式化；只讀取檔案時套用寫保護；停用自動執行；以經認證的算法加密可攜媒體上的資料；設定插入及資料傳輸提示以偵測可移除媒體活動（來源：NIST SP 1334（2025-09），查核日期 2026-10-27）。
NIST SP 800-53 修訂版 5 的媒體使用控制（MP-7）亦要求：限制或禁止在系統上使用某些類型的系統媒體；禁止在機構系統使用無可識別物主的可攜儲存裝置；可用技術及非技術控制執行限制，例如實體遮蓋工作站連接埠、停用或移除插入／讀取／寫入能力、只准使用已核准裝置；亦可按裝置類型限制，例如禁止可寫入的可攜儲存裝置；要求裝置有可識別物主，有助指派責任處理已知弱點（來源：NIST SP 800-53 Rev. 5 MP-7 公開整理，查核日期 2026-10-27）。
用「插入前、插入時、插入後」三步講清楚日常做法：
- 插入前：來歷不明一律唔插。准用裝置先用已更新的防毒／反惡意軟件掃描一次。香港本地院校公開指引亦有同樣做法：使用來歷不明的外置 USB 手指或記憶卡要小心，使用前先以已更新的防毒／反間諜／反惡意軟件掃描（來源：香港城市大學 Computing Services Centre〈Managing & Protecting Your Computing and Storage Devices〉，查核日期 2026-10-27）。
- 插入時：只讀取檔案就用唯讀方式。唯讀的意思係只准讀取、不准寫入；寫保護就是實現唯讀的手段之一。一插入就寫入，等於一開始就開晒所有權限，冇必要。
- 插入後：用完即時退出，唔好長期插住。長期插住的手指，等於長期開住一道門。
香港學校網絡安全指南亦有同樣方向：停用可移除媒體裝置的自動執行及自動播放（來源：CyberDefender Hong Kong〈Cybersecurity Guidebook for Schools in Hong Kong〉，查核日期 2026-10-27）。而 HKCERT 在物聯網保安指引中提出的連接埠原則——限制外部介面連接埠的實體存取、不使用時停用連接埠、監察連接埠異常使用日誌——雖然來源情境係數碼標牌，但原則本身可以借鏡：唔用的連接埠，唔好長期開住（來源：HKCERT〈IoT Security Guideline for Digital Signage〉，查核日期 2026-10-27；本文已註明來源情境）。
裝置白名單的意思係：只准已核准的裝置使用，其他一律唔准。白名單、連接埠停用、插入提示等具體執行是否包括在任何服務之內，全部屬簽約前要問的問題，見文末一節，本文不寫成已包的服務。
四、做法一：加密先至係遺失嗰陣的最後一道門
CISA 指引有一句核心話要記住：如 USB 上的資料未加密，任何取得該 USB 的人都可以存取全部資料；指引要求使用密碼及加密保護 USB 資料，並做好備份，以防手指遺失（來源：CISA，查核日期 2026-10-27）。
加密的意思係：用鎖匙將資料轉換成無鎖匙就睇唔明的形態。加密之後，遺失手指的風險由「人人開得到」變成「要有解鎖方法先開得到」。但加密有四句一定要講清楚：
第一，邊啲資料一定要加密。涉及個人資料、客戶資料、財務資料等敏感資料類別，應該優先加密。香港本地院校指引亦提醒：避免將受限制或機密資料存於可移除裝置，啟用可移除裝置的加密功能（來源：香港城市大學，查核日期 2026-10-27）。
第二，解鎖方法同鎖匙點保管。公開指南指出，可移除裝置加密功能加密後以密碼解鎖，新增檔案會自動加密，檔案只在加密磁碟內先保持加密狀態，複製去另一磁碟或電腦即解密；解鎖用的密碼或還原鎖匙要另外妥善保存，唔好同 USB 放埋一齊（來源：香港城市大學〈Encrypting with BitLocker To Go for removable devices under Windows 10〉；St George's〈Bitlocker to Go Encryption〉，查核日期 2026-10-27）。鎖匙同手指放埋一齊，等於門鎖咗但鎖匙插在門上。
第三，加密唔等於備份。加密保護的是「遺失後他人開唔到」；備份保護的是「自己仲開得到」。一隻加密手指損壞、遺失而無備份，資料一樣唔見；一隻無加密手指有備份，遺失嗰陣資料一樣外洩。兩者要分開講，唔好寫成加密就等於備份完成。
第四，加密手指損壞或唔記得解鎖方法，後果係開唔返。有公開整理指出，硬件加密裝置的解密鎖匙並非只存於記憶晶片本身，板級維修路徑與普通手指唔同；因此硬件加密手指的選型、鎖匙保管、損壞後處理，必須按廠商說明，唔好假設所有加密手指處理方法一樣（來源：eProvided〈Encrypted USB & Flash Drive Data Recovery〉，查核日期 2026-10-27）。本文不寫任何加密產品型號比較、價錢或供應商推薦，全部留待用戶自行查詢。
HKCERT 資料保護指引中的備份媒體原則亦值得一句帶過：敏感備份資料應加密；備份媒體應清楚標示備份日期及簡述內容並建立索引表；備份媒體應存放於辦公室以外的安全地方，只供獲授權人士存取（來源：HKCERT〈Data Protection Guideline〉，查核日期 2026-10-27）。必須註明：此指引情境係備份媒體，唔好寫成所有 USB 日常使用的統一規定。外置硬碟用作備份媒體的具體安排，屬簽約前要問的問題。
五、做法二：公司同私人分開，共用要有規則同例外
CISA 指引明確要求分開：個人 USB 手指唔好用於機構電腦；載有公司資料的 USB 手指唔好插入私人電腦（來源：CISA，查核日期 2026-10-27）。
用「兩隻手指、兩條線」講清楚：公司手指只用於公司電腦，私人手指只用於私人電腦。分開唔係潔癖，係切斷交叉感染。同一隻手指先後插入多部電腦，本身就係將檔案同惡意程式由一部機帶去另一部機的通道；NIST SP 1334 要求轉換設備或環境重用之前先重新格式化，正正係針對呢條路徑（來源：NIST SP 1334，查核日期 2026-10-27）。但要講明：本文不寫成「共用一次就一定中毒」，準確講法係共用增加交叉感染機會，規則要先定明邊啲可以共用、邊啲絕對唔可以。
共用有三種常見情境，每種的問法都唔同：
- 同事之間借手指過檔案。先問：有冇公司核准的檔案傳送方法可以代替借手指？如果有，借手指就應該係例外，而唔係日常。
- 同一隻手指先後插入公司電腦同屋企電腦。先問：呢部外來電腦值唔值得信？屋企電腦有冇其他人用、有冇裝來歷不明的軟件，全部都係未知數。
- 展覽、客戶現場、打印店等外來電腦插入公司手指，或者外來手指插入公司電腦。先問：呢隻手指來歷清唔清楚？打印店情境本文只講 USB 插入風險，不展開打印機網絡設定或韌體，嗰啲屬打印機網絡保安主題。
共用規則最重要的一點，係要有例外批准同善後。無例外的禁令最容易被偷偷違反：員工趕住交貨，規則又冇留例外通道，結果就係私下借、偷偷插，仲危險過明文准許但有記錄的例外。所以規則要寫明：邊種緊急情況可以例外、邊個批准、事後點處理（例如重新掃描、重新格式化、記錄在案）。違反規則點處理，按公司既定程序，本文不編造處分條款。
六、做法三：充電嗰陣，數據線要斷開
充電同傳數據係兩條線，呢個概念要先講清楚。牆身交流插座本身只供電、無數據路；公共 USB 口同時有電同數據路。充電 only 線同數據阻隔器，就是實體上切斷數據路的做法：
- 充電 only 線：在實體上省略數據線，只容許充電，阻止正常的 USB 數據傳輸；因此連接的 USB 主機無正常數據路徑通往被充電裝置（來源：Plugable 知識庫〈How Secure Are Charge-Only USB-C Cables Against Juice Jacking?〉，查核日期 2026-10-27）。
- 數據阻隔器：小型轉接器，實體上只接通電源針腳，數據針腳保持斷開；結果係電力可以通過充電，但數據雙向都無法通過；無需應用程式、設定或電池，一插入即生效（來源：USB Makers〈What Is a USB Data Blocker?〉；Kaspersky〈Juice Jacking: What It Is and How to Stay Safe〉，查核日期 2026-10-27）。
公共充電的官方建議方向，經公開報導引述：避免使用公共 USB 充電站，改用交流電源插座；出外自備交流充電器、USB 線及流動電源；如必須用公共 USB 充電，可考慮向可信供應商購買的充電 only 線（來源：FCC 建議經公開報導引述，見 Security Magazine〈FBI warns of juice jacking at public charge stations〉；Clark〈Warning for Cell Phone Users: Do Not Use Public Charging Stations〉，查核日期 2026-10-27；本文註明屬二手引述）。
但必須講一個誠實修正，唔好誇大。有公開技術分析指出，現今主流手機系統在未經用戶同意之前，唔會同未見過的電腦交換檔案；用戶會見到「信任裝置」或類似提示並要自己確認。因此公共充電風險的準確講法係「唔好用來歷不明的充電口同充電線，唔好隨便按信任提示」，而唔係「一插入即刻被偷晒資料」。誇大風險會令員工之後唔信其他更實在的提醒（來源：Sophos〈FBI and FCC warn about “Juicejacking” – but just how useful is their advice?〉，查核日期 2026-10-27）。
最穩陣的日常做法永遠係：自備充電器＋自備線＋流動電源。充電 only 線、數據阻隔器的產品型號、價錢、供應商，本文一律唔寫，留待用戶自行向可信供應商查詢；是否包括在任何服務之內，屬簽約前要問的問題。
一句帶過的延伸：有公開文章指出，租車資訊娛樂系統等共用 USB 口除咗充電，仲可能同步聯絡人及通話紀錄，之後留喺車機內供下一手使用者見到（來源：CyberFence，查核日期 2026-10-27）。本文不展開成租車私隱專題，員工只需要記住：唔好將私人電話插入任何唔屬於自己的 USB 口充電或同步，除非已經想清楚後果。
七、遺失 USB 的即時處理：只講一隻媒體，唔好寫成整部裝置流程
呢一節只講「一隻 USB 媒體唔見咗」，唔講成部電腦或電話唔見咗的流程。整部裝置的尋找、鎖定、清除、帳號處理，屬裝置遺失整體流程主題，本文一句都唔展開。
第一步：即時內部通報，講清楚四樣嘢
遺失 USB 的第一步係內部通報：即時通知公司負責人或資訊科技負責單位，講清楚邊隻媒體（外觀、標示、容量如有）、最後一次見到／使用的地方同時間、入面大概有邊類資料、有冇加密。香港學校網絡安全指南亦有同樣原則：遺失、被盜或受損裝置要即時向資訊科技統籌員／管理員報告（來源：CyberDefender Hong Kong，查核日期 2026-10-27；本文以該原則作類比，通報對象、通報時限、通報表格等具體制度未公佈，全部屬簽約前要問的問題）。
通報之後要評估的四樣嘢：邊隻媒體唔見咗；入面有乜類資料（係咪涉及個人資料、客戶資料、財務資料）；有冇加密（加密咗同無加密，風險完全唔同）；有冇備份（有備份就唔使為咗救資料而亂試方法）。評估結果決定下一步，本文不一律寫成任何特定對外行動，嗰啲判斷要按實際情況同公司既定程序。
第二步：私隱外洩方向的教育摘要（並非法律意見）
以下內容只作教育用途，並非法律意見；個別公司是否需要通知、通知邊個、幾時通知，要按實際情況諮詢專業意見。
香港個人資料私隱專員公署資料外洩處理指引的公開摘要要點：資料外洩的例子包括遺失 USB 或硬碟；處理步驟方向包括即時收集資料以評估影響、盡快及有效地控制外洩、按個人資料的敏感程度及數量評估對受影響人士的傷害風險、考慮通知私隱專員及受影響人士、全面記錄外洩事件；一般而言，資料使用者應在知悉外洩後在切實可行的情況下盡快通知，特別係當外洩可能對受影響人士造成實在傷害風險時（來源：Sidley〈Hong Kong New PCPD Guidance on Handling Data Breaches〉；Lexology〈Data users alert: new guidance on data breach handling in Hong Kong〉，查核日期 2026-10-27；屬二手摘要）。
香港個人資料私隱專員公署可攜儲存裝置指引的公開摘要要點：指引對象包括 USB 記憶體手指、平板／筆記型電腦、流動／智能電話、個人數碼助理、可攜硬碟及光碟；建議由上而下的做法——先制訂機構整體政策，再制訂實務指引及程序，並向使用者提供相關培訓；資料保護原則要求資料使用者採取所有切實可行的步驟，保障所持有的個人資料免受未經授權或意外的查閱、處理、刪除、遺失或使用（來源：HLC〈Hong Kong Guidance on the Use of Portable Storage Devices〉，查核日期 2026-10-27；屬二手摘要，只作教育用途，並非法律意見）。
背景方面，本港過去曾有公開報導的可攜媒體遺失個案（來源：MyUSBOnly 引述公開報導；HLC，查核日期 2026-10-27）。本文只寫「本港過去曾有公開報導的個案」，不寫具體部門現況、個案細節、涉事人員或現時處理結果，亦不寫成任何頻率數字。
第三步：遺失之後唔好做的三件事
以下三點屬習慣提醒，唔係法律要求：唔好為咗「試下搵返」而將可疑手指插入其他電腦；唔好將遺失事件拖住唔講，等到有人問先講；唔好自行假設「入面無重要嘢」而不作評估。第三點最容易做漏：以為入面無重要嘢就唔使通報，結果入面其實有舊客戶資料或者未加密的報價，風險評估根本未做過。
八、做法四：政策要短到記得住，習慣缺口要逐一對付
可攜儲存裝置指引建議由上而下的做法：先有機構整體政策，再有實務指引及程序，再有使用者培訓；無政策、只靠口頭提醒，員工各自為政，規則等於無（來源：HLC，查核日期 2026-10-27；屬二手摘要）。
一張可用的 USB 政策，至少要講明七樣嘢：邊啲 USB 准用（公司發出／已核准）；邊啲唔准（私人、來歷不明、展覽派發）；公司與私人點分；共用規則同例外批准；加密要求（邊類資料必須加密）；遺失即時通報對象；違反規則點處理（按公司既定程序）。
但政策本身要短到記得住，先至有用。建議用「一頁紙五句」講完：准用、唔准用、分開、加密、遺失通報。其餘細節留返公司內部文件，唔好寫成十幾頁手冊朗讀，員工根本唔會睇。
員工習慣有三個最常見缺口，對付方法要逐一追問，唔好只講「大家要小心」呢類空話：
- 貪方便——私人手指順手插入公司電腦。對策：公司統一發出已核准手指，私人手指根本唔需要出現；公司發出、標示及登記制度是否包括在內，屬簽約前要問的問題。
- 貪快——外來手指唔掃描直接打開。對策：掃描變成插入前的固定步驟，唔係「有時間先掃」；掃描安排由邊個負責，屬簽約前要問的問題。
- 怕麻煩——加密手指覺得解鎖麻煩，改用無加密手指。對策：將加密變成預設，敏感資料根本冇無加密的選擇；加密設定、鎖匙保管制度是否包括在內，屬簽約前要問的問題。
九、USB 日常檢查清單（照住檢查一次）
- 來歷不明的手指，一律唔插；執到的手指交畀負責單位，唔好插入電腦睇內容。
- 公司電腦統一關閉自動播放／自動執行，並記住：關閉自動執行擋唔到扮鍵盤的裝置。
- 准用裝置插入前先用已更新的防毒／反惡意軟件掃描。
- 只讀取就用唯讀方式；用完即時退出，唔好長期插住。
- 敏感資料、客戶資料、個人資料類別，必須加密；解鎖方法同鎖匙唔好同手指放埋一齊。
- 加密唔等於備份；重要資料要有備份，備份安排另行確認。
- 公司手指只用於公司電腦，私人手指只用於私人電腦；共用之前先問清楚，例外要批准同記錄。
- 轉換設備或環境重用之前，先按既定程序處理（例如重新格式化，視乎公司規則而定）。
- 遺失一隻 USB 媒體，即時內部通報，講清楚邊隻媒體、入面有乜類資料、有冇加密、有冇備份。
- 充電用自備充電器＋自備線＋流動電源；必須用公共 USB 口時，用充電 only 線或數據阻隔器切斷數據路，唔好隨便按信任提示。
十、本站服務背景與簽約前要問的問題
描述本站服務時，本文一律用「託管 IT 支援服務」一詞。以下價錢只引述 live /pricing 公開頁面文字（查閱日期 2026-10-27），不加計價單位，不作價格比較：基礎遙距版 HK$600／月；專業進階版 HK$1,200／月；企業設備版 HK$2,200／月；全方位無憂版 HK$2,950／月；設計專用版 HK$4,950／月；旗艦網頁版 HK$5,950／月。授權方面，本文只寫原文「正版 Office 365 商業授權」，版本、授權數量、持有人名義一律不寫，轉成簽約前問題。
必須講明核對結論（以 live 為準，查閱日期 2026-10-27）：六級及常見問題完全沒有列明 USB 政策、USB 加密設定、USB 掃描、USB 裝置白名單、USB 遺失處理、充電線或數據阻隔產品。live 頁面服務範圍問答雖然有「網絡安全設定」一句，但完全沒有講明網絡安全設定包唔包 USB 相關設定，唔好由呢句推論出 USB 設定已包。專業進階版 HK$1,200／月級只寫「數據備份建議及設定」，只包建議＋設定；備份建議及設定不等於 USB 加密設定，亦不等於外置硬碟備份執行。還原測試是否包括，屬簽約前要問的問題，本文不寫成已包括。
以下全部項目屬「未證實／需用戶確認」，簽約前必須要求對方以電郵或服務協議書面確認，唔好只信口頭承諾：
- USB 使用政策制訂、員工培訓是否包括在內？政策由邊個幫手起草？培訓係咪已包？
- 公司電腦自動播放／自動執行統一關閉是否包括在內？係咪全部公司電腦統一設定？邊個檢查設定有冇被人改返？
- USB 掃描安排是否包括在內？掃描由邊個負責？掃描工具係咪已包？掃描結果邊個睇到？
- USB 裝置白名單、連接埠管控、插入提示是否包括在內？只准邊啲裝置？私人裝置係咪一律唔准？管控設定由邊個維護？
- USB 加密設定、鎖匙保管制度是否包括在內？加密設定係咪已包？鎖匙由邊個保管、放喺邊？唔記得解鎖方法點處理？
- 公司發出 USB 媒體、標示及登記制度是否包括在內？公司會唔會統一發出已加密手指？每隻有冇登記物主？
- 唯讀做法、寫保護設定是否包括在內？只讀取情境點安排？寫保護由邊個設定？
- 共用 USB、跨環境重用之前的重新格式化安排是否包括在內？共用規則由邊個定？重新格式化係咪已包定要客戶自己做？
- 遺失 USB 媒體的即時處理支援是否包括在內？遺失之後邊個協助評估？評估、記錄、通報程序係咪已包？
- 充電 only 線、數據阻隔器產品供應或建議是否包括在內？係咪有產品建議？產品係咪已包定要客戶自行向可信供應商購買？
- 還原測試由邊個負責做、幾耐做一次、紀錄點保存？簽約前問清楚並寫入協議。
- 計價單位、授權版本／數量／持有人名義、上門特定次數及按次收費金額，全部未公佈；簽約前問清楚並寫入協議，唔好由 live 頁面其他句子推論。
- 任何本文未列明的服務邊界，一律以「未公佈，以查詢為準」處理；查詢時要求對方以電郵或服務協議書面確認。
十一、結語：三句記住就夠
唔插來歷不明的手指。敏感資料一定要加密。遺失一隻手指，即時內部通報。
USB 保安唔需要最貴的工具，需要的係最穩定的習慣：一隻手指、兩條線、五句政策、十項檢查。對照上面張檢查清單，檢查一次公司現有 USB 使用習慣，先至知道缺口喺邊——而缺口未補之前，唔好假設公司已經安全。
來源清單（查核日期全部為 2026-10-27）
- CISA〈Using Caution with USB Drives〉— https://www.cisa.gov/news-events/news/using-caution-usb-drives
- Comparitech〈What is BadUSB〉— https://www.comparitech.com/net-admin/what-is-badusb/
- Wasil Zafar〈USB Security — USB Development Mastery Series Part 16〉— https://www.wasilzafar.com/pages/series/usb-dev/usb-dev-part16-security.html
- Unsafe.sh〈Bad USB: The Invisible Hardware Threat〉— https://unsafe.sh/go-416034.html
- ManageEngine〈What is BadUSB〉— https://www.manageengine.com/eu/device-control/badusb.html
- Ivanti〈What is a BadUSB?〉— https://www.ivanti.com/blog/what-is-badusb
- HKCERT〈Malware Defense Guideline〉— https://www.hkcert.org/security-guideline/malware-defense-guideline
- NIST SP 1334（2025-09）— https://tsapps.nist.gov/publication/get_pdf.cfm?pub_id=960694
- NIST SP 800-53 Rev. 5 MP-7 公開整理 — https://github-wiki-see.page/m/NIST-SP-800-53-R5/NIST-SP-800-53-R5.github.io/wiki/MP-7-MEDIA-USE
- 香港城市大學 Computing Services Centre〈Managing & Protecting Your Computing and Storage Devices〉— http://www.cityu.edu.hk/csc/deptweb/infosecurity/manage.htm
- 香港城市大學〈Encrypting with BitLocker To Go for removable devices under Windows 10〉— https://www.cityu.edu.hk/its/-/media/project/cityuhk/admin-department/its/get-help/search-user-guides-faqs/bitlocker_to_go_userguide.pdf
- St George's〈Bitlocker to Go Encryption〉— https://www.staff.sgul.ac.uk/about/information-services/it-services/it-best-practice/security/bitlocker-to-go-encryption
- eProvided〈Encrypted USB & Flash Drive Data Recovery〉— https://www.eprovided.com/data-recovery-blog/data-recovery-from-encrypted-flash-drives/
- HKCERT〈Data Protection Guideline〉— https://www.hkcert.org/security-guideline/data-protection-guideline
- HKCERT〈IoT Security Guideline for Digital Signage〉— https://www.hkcert.org/blog/iot-security-guideline-for-digital-signage
- CyberDefender Hong Kong〈Cybersecurity Guidebook for Schools in Hong Kong〉— https://cyberdefender.hk/en-us/wp-content/uploads/2026/06/Full-Version-of-Cybersecurity-Guidebook-For-Schools-in-Hong-Kong.pdf
- Plugable 知識庫〈How Secure Are Charge-Only USB-C Cables Against Juice Jacking?〉— https://kb.plugable.com/how-secure-are-charge-only-usb-c-cables-against-juice-jacking
- USB Makers〈What Is a USB Data Blocker?〉— https://www.usbmakers.com/what-is-a-usb-data-blocker-why-you-need-one
- Kaspersky〈Juice Jacking: What It Is and How to Stay Safe〉— https://www.kaspersky.com/resource-center/threats/juice-jacking
- Security Magazine〈FBI warns of juice jacking at public charge stations〉— https://www.securitymagazine.com/articles/print/99227-fbi-warns-of-juice-jacking-at-public-charge-stations
- Clark〈Warning for Cell Phone Users: Do Not Use Public Charging Stations〉— https://clark.com/scams-rip-offs/juice-jacking/
- Sophos〈FBI and FCC warn about “Juicejacking” – but just how useful is their advice?〉— https://www.sophos.com/en-gb/blog/fbi-and-fcc-warn-about-juicejacking-but-just-how-useful-is-their-advice
- CyberFence〈Does a VPN Protect You From Juice Jacking at Public Charging Stations?〉— https://www.cyberfenceplatform.com/blog/does-vpn-protect-from-juice-jacking/
- Sidley〈Hong Kong New PCPD Guidance on Handling Data Breaches〉— https://www.sidley.com/en/insights/newsupdates/2023/07/hong-kong-new-pcpd-guidance-on-handling-data-breaches
- Lexology〈Data users alert: new guidance on data breach handling in Hong Kong〉— https://www.lexology.com/library/detail.aspx?g=9c1c9177-1052-4bf0-bc50-a02a673c9e0c
- HLC〈Hong Kong Guidance on the Use of Portable Storage Devices〉— https://www.hlc.com/en/publications/hong-kong-guidance-on-the-use-of-portable-storage-devices
- MyUSBOnly 引述公開報導 — http://www.myusbonly.com/usb/news_read.php?id=187
- Live /pricing 公開頁面文字 — https://www.itsupportking.com/pricing
未證實項目總表：香港 USB 個案頻率／中小企使用比例／遺失統計、本站全部 USB 相關服務邊界（U01–U10）、還原測試、計價單位、授權版本／數量／持有人名義，全部標示為「未證實／需用戶確認」，並已寫成文末簽約前問題。