點解員工帳號權限要當成資產咁管理？
香港中小企老闆通常唔會特別留意員工嘅帳號權限，直到有一日：前員工仲可以登入公司網站後台、轉職同事仍然睇到舊部門嘅客戶資料、或者新同事入職三個月都未開通必要嘅系統權限。呢啲情況唔單止影響效率，更加係資料外洩嘅計時炸彈。
根據私隱專員公署嘅指引，機構有責任確保個人資料嘅存取權限只限於「有需要知道」嘅人員。聽落好簡單，但實際操作上，好多公司連一張完整嘅帳號清單都冇。本文提供一個具體做法：用一張「員工帳號權限表」，將入職、轉崗、離職三個階段要收要放嘅權限寫清楚，等你可以照住做。
第一步：盤點你公司有幾多個「門口」
喺設計權限表之前，先要知道有幾多個系統需要管理。以一般香港中小企為例，常見嘅包括：
- 公司網站後台（內容管理系統、電子商務平台）
- 電郵系統（Google Workspace、Microsoft 365）
- 雲端硬碟（Google Drive、Dropbox、OneDrive）
- 客戶關係管理系統（CRM）
- 會計軟件（Xero、QuickBooks、MYOB）
- 社交媒體帳號（Facebook 專頁、Instagram、LinkedIn）
- 內部通訊工具（Slack、Microsoft Teams）
- 密碼管理工具（如 Bitwarden、1Password）
建議用一個簡單嘅試算表，將以上系統逐個列出，並註明每個系統嘅「管理員」係邊個。呢個步驟大約需要 1 至 2 個小時，但係之後所有權限管理都會依賴呢份清單。
第二步：設計「員工帳號權限表」嘅欄位
一張實用嘅權限表，最少要有以下欄位：
| 欄位 | 說明 |
|---|---|
| 員工姓名 | 全名及員工編號 |
| 職位 | 現時職位 |
| 系統名稱 | 例如「網站後台」、「會計軟件」 |
| 權限級別 | 例如「檢視」、「編輯」、「管理員」 |
| 開通日期 | 入職或轉崗時開通嘅日期 |
| 收回日期 | 離職或轉崗時收回嘅日期 |
| 批核人 | 邊個批准呢個權限 |
呢張表可以用 Google Sheets 或 Excel 建立，設定只限管理層查閱。如果公司有 10 個員工以下，可以由老闆或行政人員直接維護；如果超過 10 人，建議指定一位同事負責每月更新一次。
第三步：入職時要開通咩？
新同事入職第一日，通常需要以下基本權限：
- 公司電郵帳戶（連同部門群組）
- 雲端硬碟嘅部門資料夾（檢視或編輯權限，視乎職位）
- 內部通訊工具嘅部門頻道
- 如果職位涉及客戶跟進，先開通 CRM 嘅「檢視」權限，唔好一開始就俾「編輯」或「刪除」權限
網站後台、會計軟件、社交媒體管理員等敏感系統，應該設「試用期後先開通」嘅規則。例如新同事入職頭一個月，只可以透過指定同事代為更新網站內容，待試用期滿後再由部門主管批核開通。
時間估算：開通基本帳號大約需要 30 分鐘至 1 小時。如果公司使用自動化工具（例如 Google Workspace 嘅管理控制台），可以預先設定「職位範本」，入職時一鍵套用，節省時間。
第四步：轉崗時要調整咩？
同事轉部門或升職，係最容易出事嘅環節，因為好少人會主動交返舊權限。建議做法：
- 轉崗生效前 3 個工作天，由部門主管填寫「權限變更申請」，列明需要新增同需要收回嘅系統。
- 轉崗當日，先收回舊部門嘅敏感權限（例如舊部門嘅客戶資料夾、舊部門嘅 CRM 檢視權），然後先開通新權限。
- 更新權限表，並由批核人簽署確認。
常見錯誤：同事轉去新部門，但舊部門嘅電郵群組仍然保留，結果繼續收到舊部門嘅內部通訊。解決方法係喺電郵系統設定「群組成員自動同步」，或者每月手動檢查一次。
第五步：離職時要收回咩？
離職係權限管理嘅關鍵時刻，建議制定一張「離職檢查清單」，最少包括：
- 停用公司電郵帳戶（設定自動回覆，並將郵件轉發給主管，為期 1 至 3 個月）
- 移除雲端硬碟嘅存取權限（特別係共用資料夾）
- 停用 CRM、會計軟件、網站後台等所有系統帳戶
- 更改共用密碼（例如社交媒體帳號、Wi-Fi 密碼）
- 收回公司設備（電腦、手機、門禁卡）
- 喺權限表填上收回日期
如果同事係負責網站管理，記得檢查網站後台嘅使用者清單，確保佢嘅帳戶已經被刪除或停用。另外，如果公司使用密碼管理工具，要立即撤銷佢嘅存取權，並更改佢曾經存取過嘅密碼。
時間估算：完整嘅離職權限收回流程大約需要 1 至 2 小時，視乎系統數量。建議由一位指定同事（例如行政主管）負責執行，並由另一位同事覆核。
常見漏洞與補救方法
根據我們觀察，香港中小企最常出現嘅權限漏洞包括：
- 共用帳號：例如全公司共用一個「admin」帳號，離職後無法追蹤邊個做過咩。補救方法：為每位員工開設獨立帳號，並使用角色權限控制。
- 忘記收回舊權限：轉崗後仍然保留舊系統權限。補救方法：每季進行一次權限審查，對比權限表與實際系統使用者清單。
- 離職同事仍然收到電郵：因為電郵轉發設定出錯。補救方法：離職後一個月內，由主管檢查轉發設定是否正確。
如果想進一步了解網站層面嘅存取安全，可以參考我哋嘅 網站維護方案，入面有提及帳號管理同定期安全檢查嘅安排。
工具建議：由試算表開始
唔需要一開始就買貴價嘅身份管理系統。對於 50 人以下嘅香港中小企，一張 Google Sheets 權限表加上 Google Workspace 或 Microsoft 365 嘅內建群組功能，已經足夠。當公司規模擴大，或者需要符合更嚴格嘅合規要求時，可以考慮升級至專門嘅身份管理工具（例如 Okta、JumpCloud），月費大約每人每月 HK$50 至 HK$150。
如果公司有網站或應用程式需要管理使用者權限，建議喺開發階段就加入「角色為本」嘅權限設計，而唔係逐個使用者設定。呢部分可以喺網站開發報價時同供應商講清楚，避免日後手動管理嘅麻煩。有關網站開發嘅範圍同收費，可以參閱我哋嘅 價錢頁面。
總結：一張表，三個階段，每年一次審查
員工帳號權限管理唔需要複雜嘅系統，關鍵在於「有張表」同「有人跟」。由今日開始，用一個試算表列出所有系統同員工嘅權限，設定入職、轉崗、離職三個階段嘅檢查清單，並且每季做一次簡單審查。呢個做法成本低，但可以大幅降低資料外洩嘅風險，亦方便你喺需要時快速回應客戶或監管機構嘅查詢。記住：權限唔係開得越多越好，而係開得剛剛好，收得及時。