香港中小企遙距存取與 VPN 安全：VPN 選型、RDP 風險、MFA 與離職撤銷全指南

分類：行業情報 | 日期：2026-10-28

一、問題背景：遙距存取由便利變成公司大門

香港中小企的遙距工作早已不是臨時安排。員工在家用手提電腦開公司電郵、入會計系統、改客戶檔案、登入內部檔案伺服器，全部都經過一條由屋企網絡通往公司網絡的路。呢條路方便，但同時係公司網絡最暴露的一段：辦公室有防火牆、有人看住門口，屋企網絡卻可能同時連住家人的電話、智能電視、舊款路由器，甚至係咖啡室或共享工作空間的公共 Wi-Fi。

香港個人資料私隱專員公署在 2020 年 11 月 30 日發出的在家工作指引，建議機構在安排在家工作前先做資料保安及私隱風險評估，制訂資料處理、遙距存取、銷毀不必要資料及資料外洩處理的政策，並且為員工提供裝置、培訓與支援。指引亦提到，僱主可考慮鼓勵使用虛擬私人網絡（VPN）作有保安的遙距存取，並以「按需要先畀」為原則批出存取權，定期檢視遙距存取紀錄，留意可疑活動。同一份指引對員工的建議包括：遵守公司政策、用公司裝置處理公事、避免在公眾地方處理個人資料、如無可避免要用屏幕保護及個人熱點而非公共 Wi-Fi。這些建議的法理基礎，是《個人資料（私隱）條例》下資料保安原則（DPP4）要求資料使用者採取所有切實可行的步驟，保障個人資料免受未經授權或意外的查閱、處理、刪除、遺失或使用。本文只作一般資訊介紹，具體法律責任應諮詢專業意見。

對中小企老闆而言，遙距存取要回答的其實只有三條問題：第一，邊個可以入嚟；第二，入嚟之後可以去到邊；第三，出事之後可唔可以即刻截停同追查。VPN、遙距桌面、多重認證、裝置檢查，全部都係為呢三條問題服務的工具，唔係買返嚟就等於安全。

二、VPN 選型：先分清楚四種「遙距」，唔好一概而論

好多公司講「VPN」時，其實講緊四種唔同的東西，選錯類型，之後點補都補唔返。

1. 員工遙距 VPN：一個人由出面連返公司

這是本篇的主角。員工在公司以外，用公司或個人裝置，經加密隧道連返公司網絡，再存取內部系統。選型時要問的不是牌子，而是：隧道由邊個終端、認證點做、斷線點處理、紀錄留幾耐。舉例說，隧道終端如果設喺一台年久失修、長期無更新的舊電腦或舊路由器上面，成條隧道的安全就等於嗰台機的安全。

2. 辦公室對辦公室 VPN：兩個固定地點之間長期連接

分店、倉庫、第二個辦公室之間長期互通，屬於固定對固定。它的風險同員工遙距 VPN 唔同：一個地點出事，另一邊的網絡都可能受牽連，所以分段與存取限制更加重要。本篇不深入講分店互連，只提醒一點：唔好因為「分店 VPN 已經有」，就假設員工遙距存取自動安全，兩者的帳號、權限同紀錄應該分開管理。

3. 雲端應用存取：根本唔使入公司內網

如果員工日常只係用電郵、雲端文件、雲端會計軟件，根本唔需要成條隧道入公司內網。呢種情況下，逐個應用做身份認證、裝置檢查與權限管理，往往比「一入 VPN 就睇到成個內網」更合理。老闆要先盤點：邊啲工作真係要入內網，邊啲只係要入某一個雲端應用。盤點結果直接決定 VPN 要開幾大。

4. 個人／消費者 VPN：唔等於公司遙距方案

員工自己訂閱的消費者 VPN，作用係將個人上網流量加密到 VPN 供應商，唔係將員工接入公司內網，更加唔會自動帶來公司帳號管理、裝置檢查或存取紀錄。公司政策應該講明：處理公事時用邊一個公司批准的通道，唔好將消費者 VPN 當成公司遙距存取方案。

選型比較表：用問題選，唔好用廣告口號選

選型時仲要問埋協議與加密設定。市面常見的 VPN 協議各有取捨，例如設定複雜度、對舊裝置的支援、穿透限制性網絡的能力都唔同。本文不點名推薦某一協議，因為合適與否取決於公司現有路由器、員工裝置種類同管理能力。正確做法係：要求供應商或負責同事用白紙黑字寫低所選協議、認證方式、加密設定、更新責任同支援範圍，簽約前逐項對。

另一個成日被忽略的選型位係「帳號來源」。VPN 帳號應該同公司電郵／目錄帳號用同一套身份管理，員工離職停用一個帳號就等於停用全部入口。如果 VPN 帳號係另一套獨立密碼、另一張名單，離職撤銷就好易漏（見第七節）。簽約前要問：VPN 帳號係咪同公司主帳號連動，停用程序係咪一次過生效，定係要逐個系統逐個停。

三、RDP 直接暴露風險：最危險的不是 RDP 本身，而是將佢直接擺上互聯網

遙距桌面協議（Remote Desktop Protocol，RDP）係 Windows 內置的遙距桌面工具，本身用來畀已授權的人遙距操作另一台電腦。危險唔在於「公司有冇用 RDP」，而在於「RDP 係咪直接向互聯網開放」。

直接暴露會發生咩事

當公司路由器將 RDP 預設連接埠（3389）直接轉發到內部電腦，任何上網的人都可以嘗試連接呢台電腦。攻擊者唔需要知道公司內部結構，只要掃描到開放的連接埠，就可以開始嘗試登入：用常見帳號名（例如 administrator）配弱密碼或外洩密碼逐個試；用慢速、低頻率的方式試，避開簡單的鎖定機制；一旦成功，就等於坐到嗰台電腦前面，之後可以再向內網其他電腦擴散。公開研究與廠商指引都指出，成功入侵的個案往往唔係因為一個未修補的漏洞，而係因為 RDP 長期向互聯網開放、帳號名常見、無鎖定政策、無人睇紀錄，幾個弱點疊埋一齊。

四個常見誤解，必須一次講清

誤解一：轉咗連接埠就安全。 轉埠只會減少隨機掃描的噪音，掃描工具好快就可以搵返真正提供 RDP 的連接埠。轉埠可以做，但絕對唔可以當成保護措施，更唔可以憑轉埠就繼續將 RDP 直接暴露。

誤解二：密碼夠長就夠。 長密碼可以擋隨機猜測，但擋唔到外洩密碼、釣魚偷返嚟的密碼、員工在多個系統重用同一密碼的情況。密碼只係第一道門，必須配合多重認證與帳號鎖定（見第四節）。

誤解三：只畀某幾個 IP 連入就萬無一失。 IP 限制的確可以大幅縮細攻擊面，但員工屋企寬頻 IP 經常變動、共用 IP、流動網絡 IP 唔固定，限制名單需要不斷維護；名單維護一鬆懈，就會出現「為咗方便暫時開大啲，之後唔記得收返」的情況。IP 限制應該係附加措施，唔係唯一措施。

誤解四：內網 RDP 唔使理。 即使 RDP 只喺內網開放，攻擊者一旦經其他途徑（例如釣魚電郵、已入侵的員工裝置）進入內網，內網 RDP 就會成為橫向擴散的工具。所以內網 RDP 同樣要設權限、開網絡層級認證（Network Level Authentication，NLA，即連線前先認證）、開紀錄、限制邊個帳號可以遙距登入。

正確做法：RDP 應該藏喺 VPN 或閘道後面

公認的做法係：先唔好將 RDP 直接向互聯網開放。員工先經公司批准的 VPN 或遙距存取閘道完成身份認證與裝置檢查，之後先可以在內網範圍使用 RDP。配合以下幾項，一齊做先有效：

• 停用唔需要的 RDP：邊台機唔需要被遙距登入，就關閉佢的遙距桌面功能，唔好「開住先」。
• 開啟 NLA：要求連線前先認證，減少未認證連線帶來的風險。
• 限制遙距登入帳號：只有真正需要遙距工作的帳號先可以遙距登入，管理員帳號唔好直接用來日常遙距登入。
• 帳號鎖定與紀錄：多次登入失敗要鎖定或延遲，並且要有人定期睇紀錄，特別係深夜、假期、異常地點的成功登入（成功登入之前連續失敗，係值得懷疑的信號）。
• 及時更新：Windows 與 RDP 相關更新要按供應商指引安裝，唔好因為「驚更新搞壞嘢」而長期拖住唔更新；同時要有更新前的備份與回退安排。
• 閘道與跳板機：人多的公司可以考慮用遙距桌面閘道或跳板機集中管理，所有遙距桌面連線先經過同一個受監控的入口，唔好每台電腦各自向外開門。

一句總結：RDP 唔係唔用得，而係唔可以直接擺上互聯網。任何方案如果第一步就叫你「喺路由器開 3389 轉發就搞掂」，不論講到幾方便，都應該即刻停一停，問清楚上面呢一串保護措施有冇齊。

四、MFA 與裝置檢查：密碼被偷之後，仲有邊兩道門

MFA：唔係有就等於夠，要睇邊種 MFA

多重認證（Multi-Factor Authentication，MFA）的意思係：除咗密碼之外，再加另一種獨立的證明，例如手機應用程式產生的一次性密碼、硬件保安鑰匙、指紋或面部識別。美國網絡安全及基礎設施安全局（CISA）的指引一直強調，VPN 與遙距存取應該強制使用 MFA，並且優先使用抗釣魚的 MFA，例如基於 FIDO 或公開金鑰基礎設施的認證（包括保安鑰匙與通行密鑰），因為呢類認證綁定指定網站或服務，釣魚網站難以冒充。

唔同 MFA 的抗釣魚能力差好遠，老闆唔需要記晒技術名詞，只需要識分三級：

除咗揀邊種 MFA，仲有四個成日漏咗的位：

1. 覆蓋範圍：MFA 係咪覆蓋晒所有遙距入口，定係只覆蓋 VPN、唔覆蓋電郵、雲端檔案、遙距管理工具？攻擊者會搵最弱嗰個入口，漏一個就等於冇做。
2. 例外帳號：有冇「服務帳號」「共用帳號」「舊同事帳號」豁免咗 MFA？例外名單應該愈短愈好，每個例外都要有名、有原因、有到期日。
3. 登記與重設程序：員工第一次登記 MFA、換電話、遺失裝置時，點證明自己身份？如果重設程序只係「打個電話講聲就得」，成個 MFA 等於白做。重設程序應該有核實步驟同紀錄。
4. 共用帳號：幾個人共用同一個帳號同密碼，MFA 就算開咗都分唔到邊個人登入，出事亦查唔到邊個。公司應該一人一帳號，離職即停（見第七節）。

裝置檢查：唔係信裝置，而係每次連入都驗一次

裝置檢查（又稱裝置狀態檢查或裝置合規檢查）的意思係：員工裝置連入公司網絡之前，系統先檢查呢台裝置係咪符合公司最低要求，例如作業系統有冇更新、磁碟有冇加密、屏幕鎖定有冇開、防毒或端點保護有冇運行、係咪已越獄或取得最高權限。唔符合要求的裝置，應該只畀有限存取（例如只睇電郵、唔入檔案伺服器），或者完全唔畀入，直至修復為止。

中小企做裝置檢查，唔需要一次過買齊全套工具，可以按以下次序做：

• 先分裝置：公司裝置與個人裝置分開處理（見第五節）。公司裝置由公司統一設定更新、加密與保護軟件；個人裝置至少要符合最低清單先可以處理公事。
• 再定最低清單：作業系統與瀏覽器保持更新、磁碟加密開啟、自動屏幕鎖定、唔好共用登入帳號、唔好安裝來歷不明的遙距工具。清單應該寫低、派畀員工、入職時講一次，唔好只放喺無人睇的內部文件。
• 再做持續檢查：裝置檢查唔係入職做一次就完。員工裝置可能之後關咗防毒、裝咗不明軟件、好耐無更新，所以檢查應該每次連入或定期重做，唔符合就降級或斷開。
• 最後留紀錄：邊台裝置、邊個帳號、幾時連入、去過邊個系統，應該有紀錄可查。紀錄唔係用來監察員工私事，而係出事時用來追查同截停。紀錄保留幾耐、邊個可以睇，應該喺政策寫明。

一個好重要的提醒：裝置檢查唔應該只檢查「有冇裝某個軟件」，而要檢查「軟件係咪真係運行緊」。裝咗但關咗的防毒，同無裝差唔多。簽約前要問：檢查項目邊啲係「有就得」，邊啲係「運行緊先得」，唔符合時的處理係即時斷開、限權，定係只係出警告。

五、分流隧道與個人裝置：方便的代價，係公司睇唔到的流量

分流隧道點運作

分流隧道（split tunneling）即係：員工裝置連住 VPN 的同時，只有去公司系統的流量行加密隧道，其餘流量（例如睇片、個人電郵、社交平台）直接經屋企網絡上網。相反，全隧道就係所有流量一律經公司隧道。

分流隧道的好處好實在：公司頻寬負擔輕啲、員工個人上網快啲、視像會議唔使兜遠路。壞處亦好實在：公司睇唔到、管唔到、過濾唔到嗰段直接上網的流量；如果員工裝置同時連住公司內網同直接互聯網，裝置一旦受感染，攻擊者就可能利用呢台裝置作為橋樑，一邊經隧道入公司，一邊經直接連線對外聯絡，繞過公司邊界的監察。公開的供應商最佳實務指引亦指出，分流隧道會令客戶端同時擁有安全網絡與公共互聯網的存取，構成潛在後門風險，因此建議對遙距存取用戶執行唔分流的政策，除非有明確需要。

點決定用唔用分流

唔好憑感覺決定，應該用資料敏感度決定：

• 處理客戶個人資料、財務資料、合約、內部管理系統：預設用全隧道，或者用逐個應用的存取控制代替分流，確保工作流量全部受公司保護同監察。
• 只係查閱少量非敏感內部資訊，且裝置本身有端點保護、磁碟加密、持續裝置檢查：可以考慮分流，但必須寫明邊啲應用、邊啲網域行隧道，邊啲唔行，並且要定期覆核呢張清單。
• 無論用邊種：DNS 設定要一併檢查。分流設定出錯時，員工以為行緊隧道、其實 DNS 查詢直接外洩，或者敏感系統的流量誤行直接連線，呢啲都係設定錯誤（見第六節），唔係員工故意違規。

一句判斷準則：如果公司答唔出「邊段流量行邊條路」，就唔好開分流。開咗分流但無清單、無覆核、無紀錄，方便換返嚟的係盲點。

個人裝置（BYOD）：唔係唔用得，而係要分清楚邊啲係公事

香港中小企好多員工用自己手提電腦或電話處理公事，完全禁止往往唔切實際，但完全唔管就等於將公司資料交畀一台公司管唔到的裝置。個人裝置的特有風險包括：

• 共用與混用：同一台裝置屋企人都有用、細路都掂過，公事檔案同私人相片、遊戲、來歷不明的應用程式共存。
• 缺乏統一管理：公司唔可以強制個人裝置更新、加密、安裝保護軟件，員工關咗保護軟件公司亦未必知。
• 資料外流途徑多：公事檔案下載到個人裝置之後，可以再經個人電郵、即時通訊、雲端硬碟、USB 手指轉走，公司事後好難追。
• 遺失與轉售：個人裝置遺失、維修、轉售時，裡面的公事資料、已儲存的登入狀態、VPN 設定可能一併外流。

實務做法，應該分三層：

1. 只准瀏覽層：個人裝置只可以用瀏覽器睇電郵、睇日程，唔下載檔案、唔入內部系統。適合臨時、輕量工作。
2. 受控應用層：個人裝置經公司批准的應用程式處理公事，應用程式本身有密碼、加密、遠端清除公司資料的能力，公司資料唔好直接存喺裝置共用空間。
3. 公司裝置層：處理敏感資料、財務、客戶個人資料，一律用公司裝置。公司裝置由公司設定、更新、加密，離職時收回或按程序清除公司資料。

無論邊一層，都要講明三件事並寫入政策：員工離職或裝置遺失時，公司資料點清除（只清公司部分，定係成台機重設，必須事先講明並取得員工理解）；員工可唔可以用個人裝置存取邊啲系統；員工喺公共 Wi-Fi 處理公事時，必須先經公司批准的加密通道，唔好直接連內部系統。私隱專員公署的在家工作指引亦提醒，應避免將公司資料轉移到個人裝置，並建議使用公司裝置處理公事。

六、私人網絡設定錯誤清單：出事往往唔係無買工具，而係設定錯

以下清單綜合公開指引與常見事故成因整理。老闆唔需要自己逐項識改，但應該識得逐項問負責同事或供應商：「呢項我哋做咗未？邊度可以睇到證據？」

其中 E4 值得特別留意：VPN 閘道、防火牆、路由器呢類邊界裝置，本身就係攻擊者的首選目標。CISA 近年多次提醒，邊界裝置的已知可利用漏洞必須優先修補，修補後仲要檢查有冇被入侵的跡象（例如異常帳號、異常設定改動、紀錄缺失），因為單純修補漏洞並唔等於清除已經存在的入侵。對中小企而言，實際做法係：邊界裝置更新要有負責人、有日期、有紀錄；更新前備份設定；更新後核對設定無被改過。

七、斷線與離職撤銷：斷咗線唔等於登出，離咗職唔等於自動無權

斷線的四種情況，處理各有不同

1. 正常斷線：員工做完嘢主動斷開 VPN。正確做法係同時登出相關應用程式，唔好只係關閉 VPN 視窗就當完成，因為瀏覽器或應用程式可能仍然保留登入狀態，下次開機自動登入。
2. 網絡中斷：屋企寬頻斷線、Wi-Fi 轉台、電腦睡眠後醒返。系統應該設定閒置逾時自動斷開，並且喺重新連接時重新認證，唔好憑舊連線狀態自動恢復全部權限。簽約前要問：閒置幾耐自動斷開、重新連接係咪要重新做 MFA，呢啲設定係邊個可以改。
3. 可疑斷線：員工話「無故斷線」「成日要重新登入」「收到無故出現的 MFA 核准要求」。呢啲唔一定係網絡問題，亦可能係有人嘗試盜用帳號。員工應該即時報告，負責同事應該檢查嗰個帳號的登入紀錄，確認有冇異常地點或異常時間的登入，必要時先停用帳號再查，唔好等查完先停。
4. 緊急截停：懷疑帳號被盜、裝置遺失、員工裝置受感染時，應該可以即時停用帳號、吊銷 VPN 憑證、撤銷雲端登入狀態。簽約前要問：緊急停用由邊個執行、需時幾耐、停用後係咪即時生效，定係要等下次同步先生效。

離職撤銷清單：逐項剔，唔好憑記憶

離職撤銷最常見的失敗模式，唔係無人做，而係做漏其中一兩項。以下清單應該喺員工離職當日（或之前約定的時間）逐項完成並留紀錄：

• [ ] 停用公司主帳號（電郵、登入帳號），並確認 VPN、雲端檔案、內部系統的存取同時失效，唔好逐個系統慢慢停。
• [ ] 吊銷 VPN 憑證與裝置憑證，刪除已登記的 MFA 裝置，撤銷仍然有效的雲端登入狀態。
• [ ] 更改由離職員工知悉或共用的密碼，包括共用系統管理密碼、Wi-Fi 密碼（如適用）、共用服務帳號密碼。共用密碼一日唔改，停用個人帳號都唔等於截停。
• [ ] 收回公司裝置、保安鑰匙、門禁卡（如適用），並按程序清除裝置內的公司資料；個人裝置上的公司資料，按事先講明的程序清除公司部分。
• [ ] 檢查離職前後的登入紀錄：有冇異常下載、異常時間登入、異常對外傳送，紀錄要保留作日後追查。
• [ ] 轉移工作檔案與客戶聯絡責任，並確認離職員工的電郵自動回覆與轉發設定符合公司政策，唔好將公司電郵長期轉發去個人信箱。
• [ ] 通知相關同事與供應商：邊個接手、邊個帳號已停用，避免離職員工名義繼續被用來對外聯絡。

如果公司用外間供應商管理遙距存取，離職通知應該同時發畀供應商負責人，並要求對方書面回覆「已停用項目清單」，唔好只係口頭通知就算。定期覆核亦好重要：每季至少檢查一次長期無登入的帳號、已離職但未停用的帳號、例外 MFA 名單，發現一個就處理一個。

八、簽約前要問的問題：將未證實變成書面答案

以下問題清單適用於向任何託管 IT 支援供應商或內部負責同事提問。重點唔係問得多，而係每個答案都要有書面依據：電郵確認、服務協議條文、設定截圖或報告，缺一都視為未確認。

關於 VPN 與遙距入口

1. 員工遙距存取用邊一個批准通道？RDP 係咪完全唔直接向互聯網開放？可唔可以出示外部掃描結果證明？
2. VPN 帳號係咪同公司主帳號連動？停用主帳號後，VPN、電郵、雲端檔案係咪同時失效，定係要逐個停？
3. VPN 協議、加密設定、韌體更新由邊個負責？更新頻率、停產安排、更新前備份設定點做？
4. 全隧道定分流隧道？如果用分流，分流清單係咩、邊個覆核、幾耐覆核一次？
5. 遙距存取紀錄包括邊啲內容（帳號、時間、地點、存取系統）？保留幾耐？邊個負責定期睇？異常登入點通知公司？

關於 MFA 與裝置檢查

1. MFA 覆蓋邊啲系統？有冇例外帳號？例外原因、到期日係咩？
2. MFA 用邊種方式？管理員與財務人員係咪優先使用抗釣魚的保安鑰匙或通行密鑰？
3. MFA 登記、換電話、遺失裝置的重設程序點核實身份？有冇紀錄？
4. 裝置檢查包括邊啲項目？唔符合時係即時斷開、限權，定係只出警告？公司裝置與個人裝置的最低要求有咩分別？
5. 個人裝置處理公事的規則係咩？邊啲系統只准公司裝置存取？個人裝置遺失時公司資料點清除？

關於權限、設定與私人網絡

1. VPN 權限係咪按職責分組？入得 VPN 係咪等於睇到成個內網，定係每個群組只去到指定系統？
2. 路由器管理密碼、遠端管理、UPnP、Wi-Fi 加密、訪客網絡隔離，現時設定係點？可唔可以出示設定清單？
3. 邊界裝置（路由器、VPN 閘道、防火牆）的更新紀錄最近一次係幾時？有冇檢查更新後設定無被改過？
4. 員工喺公共 Wi-Fi 處理公事的規則係咩？有冇寫入員工指引並做過培訓？

關於斷線、離職與事故

1. 閒置幾耐自動斷開？重新連接係咪要重新做 MFA？緊急停用帳號由邊個執行、需時幾耐、係咪即時生效？
2. 離職撤銷清單包括邊啲項目？可唔可以出示上一次離職的完成紀錄作範例（隱去個人資料）？
3. 懷疑帳號被盜或裝置遺失時，公司第一步應該點做？供應商的配合程序係咩？
4. 資料備份建議及設定包括邊啲內容？還原測試是否包括在內、由邊個負責、幾耐做一次、紀錄點保存？（注意：只寫「數據備份建議及設定」並不等於包括還原測試，必須逐項問清楚並寫入協議。）

關於收費與合約（對照 live /pricing）

1. 下表六級收費以 live /pricing 當時列明為準，計價單位、加人加機點計、是否另有收費項目，必須喺簽約前以書面問清楚並寫入協議，唔好憑本文推斷。
2. 上門安排、服務時間、取消安排，以服務協議與 live /pricing 列明為準；本文不另行承諾任何服務時間或上門安排。

參考：live /pricing 六級收費（2026-10-27 核對，與任務所列一致）

來源：live https://www.itsupportking.com/pricing（2026-10-27 核對）。基礎遙距版於同日 live 頁列明：包正版 Office 365 商業授權、送企業級 Router 連安裝、無限次遙距支援（週一至五 9am-6pm）。其餘各級的詳細功能以 live /pricing 當時列明為準，本文不另行演繹。計價單位、授權數量與持有人名義、加人加機安排等細節，live /pricing 未有完整公佈，屬於上文「簽約前要問的問題」，唔好憑本文推斷。

九、結論：遙距安全唔係買一個產品，而係守住三道關

遙距存取做得好，唔係因為買咗最貴的 VPN，而係因為三道關都守得住：第一道係入口關——RDP 唔直接暴露，VPN 帳號一人一個，MFA 覆蓋晒所有遙距入口；第二道係裝置與權限關——裝置符合最低要求先入得，入到之後只去到工作需要的系統，個人裝置與公司裝置分清楚；第三道係撤銷與追查關——斷線有逾時、離職有清單、出事有紀錄，懷疑被盜可以即時截停。

對香港中小企老闆最實際的下一步，唔係即刻換晒所有工具，而係用第六節的設定錯誤清單同第八節的問題清單，做一次現況盤點：邊啲已經做咗、有證據；邊啲未做、邊個負責；邊啲未證實、要書面問清楚。盤點結果本身就係一份可以跟進的行動清單，比起再買多一個產品更加有用。遙距工作唔會返轉頭，守得住呢三道關，公司先可以安心畀員工喺邊度都做到嘢。

主要公開來源（查閱日期 2026-10-27，本文內容為獨立撰寫，未抄襲任何對手文案、圖片或結構）

• 香港個人資料私隱專員公署在家工作指引（2020-11-30，經公開報道整理）：風險評估、政策、培訓、裝置、VPN、按需要批出存取權、檢視紀錄等建議。
• 香港政府資訊保安相關遙距工作提示：使用安全連接（例如 VPN）存取機構敏感資料、強密碼與多重認證、登出遙距存取帳號、Wi-Fi 加密等。
• 美國 CISA 有關 VPN 與遙距存取的公開指引與警示：VPN 應強制 MFA、優先抗釣魚 MFA、邊界裝置已知可利用漏洞應優先修補、修補後檢查入侵跡象。
• 供應商公開最佳實務（Ivanti Connect Secure 安全最佳實務）：分流隧道增加風險，建議對遙距存取用戶執行唔分流政策。
• Microsoft 與公開 RDP 安全指引：RDP 直接暴露面對暴力破解、應置於 VPN 或遙距桌面閘道後、開啟網絡層級認證、限制存取、監察登入紀錄。
• live https://www.itsupportking.com/pricing（2026-10-27 核對）：六級收費與基礎遙距版範圍原文，見第八節參考表。

未證實／需用戶確認項目：本文所有關於個別供應商服務範圍、收費細節、合約條款的描述，均已寫成第八節「簽約前要問的問題」，並要求書面確認；live /pricing 未公佈的細節（計價單位、授權數量與持有人名義、加人加機安排、還原測試是否包括等），本文一律不作推斷，亦不寫成服務承諾。