你嘅客戶資料，有幾多放咗喺第三方手上？
香港中小企做生意，好少會自己起伺服器。網站主機、電郵、雲端硬碟、表單工具、客戶關係管理系統，甚至近年嘅AI寫作或客服工具，全部都係第三方供應商提供。呢個做法本身冇問題，問題係好多老闆簽完約、開完帳戶之後，就當咗件事已經完成，冇再跟進。結果客戶嘅姓名、電話、電郵、甚至身份證號碼，就長期存放喺一啲你唔清楚保安水平嘅系統入面。
2026年嘅營商環境，網絡攻擊同資料外洩已經唔係大企業先會遇到嘅事。香港個人資料私隱專員公署不時公布資料外洩事故，中小企佔咗一定比例。更常見嘅情況係：出事嘅唔係你，而係你嘅供應商，但你嘅客戶資料一樣會外洩，你一樣要面對客戶質問同商譽損失。呢篇文章會用一個實用角度，講清楚點樣管理第三方風險，唔需要高深技術，只需要你肯花半日時間去檢查。
第三方風險具體係咩？同你有咩關係？
簡單講，第三方風險就係「你控制唔到嘅公司，掌握咗你嘅資料」。呢個風險有幾個常見來源：
- 網站主機同外掛：主機商嘅伺服器被入侵，或者網站用咗有漏洞嘅外掛，攻擊者可以經網站讀取客戶提交嘅表單資料。
- 雲端硬碟同共享連結：同事開咗「任何人只要有連結就可以查看」嘅分享設定，連結一旦外流，資料就等於公開。
- AI工具同自動化平台：你將客戶查詢內容貼入AI工具生成回覆，資料有機會被供應商用嚟訓練模型，或者儲存喺你唔知情嘅地區。
- 外判服務商：會計、市場推廣、IT支援公司，佢哋嘅員工有機會接觸到你嘅客戶名單。
呢啲風險嘅共通點係：你冇直接控制權，但後果由你承擔。所以，管理第三方風險嘅重點唔係「確保供應商唔會出事」，而係「出事之前已經有準備，出事之後知道點做」。
五個具體檢查步驟（今個星期可以開始）
第一步：列出你所有第三方供應商同資料流向
用一張紙或者試算表，列出你公司用緊嘅所有第三方服務，例如網站主機、域名註冊、電郵服務、雲端儲存、表單工具、會計軟件、AI工具。然後喺每個服務旁邊寫低：呢個服務會唔會接觸到客戶個人資料？如果會，係邊啲資料（姓名、電話、電郵、地址、身份證號碼、付款資料）？
呢個步驟大概需要一至兩個小時。目的係令你清楚知道「客戶資料去咗邊」，呢個係所有後續管理嘅基礎。
第二步：檢查合約同服務條款有冇關鍵條款
唔少中小企簽約時只睇價錢同功能，忽略咗條款。你唔需要逐字睇完成份合約，但以下幾點必須確認：
- 資料擁有權：條款有冇清楚寫明客戶資料屬於你，供應商只係代為處理？
- 外洩通報：如果供應商發現資料外洩，有冇責任喺指定時間內通知你？冇呢個條款，你可能係最後一個知道嘅人。
- 轉移限制：供應商可唔可以將你嘅資料轉移俾其他公司或國家？
- 退出安排：當你終止服務，供應商會唔會刪除你嘅資料？幾耐之內刪除？可唔可以取回資料？
如果現有合約冇呢啲條款，你可以喺續約或者下次簽新約時提出。對於已經生效嘅合約，可以書面問供應商攞相關政策文件，保留紀錄。
第三步：收窄存取權限，最少權限原則
好多時資料外洩唔係因為黑客技術高超，而係因為太多人有唔需要嘅存取權限。檢查你嘅雲端硬碟、客戶關係管理系統、網站後台：
- 邊個同事真正需要睇客戶資料？只俾佢哋必要嘅權限，其他同事唔好順手開埋。
- 離職同事嘅帳戶有冇即刻停用？呢個係最常見嘅漏洞之一。
- 有冇用共用帳戶？共用帳戶無法追蹤邊個做過咩，出事時查唔到源頭。
- 網站後台嘅管理員帳戶有冇開啟雙重認證？
呢個步驟可能需要IT同事或者網站供應商協助，但通常一至兩日內可以完成基本設定。
第四步：制定一個簡單嘅外洩應變流程
你唔需要寫一份幾十頁嘅計劃，但必須有一個清單，寫明如果懷疑資料外洩，第一時間做咩。建議包括：
- 指定一個人做聯絡點（通常係老闆或者營運主管）。
- 即刻暫停相關服務嘅存取，例如更改密碼、暫停受影響帳戶。
- 保留紀錄：截圖、保存系統日誌，方便日後調查。
- 評估受影響嘅客戶數量同資料類型。
- 如有需要，諮詢法律意見，並按《個人資料（私隱）條例》嘅要求考慮通報私隱專員公署同通知受影響客戶。
- 對外溝通口径要統一，避免前線同事亂講。
呢個流程可以寫成一頁紙，貼喺當眼位置，並確保相關同事知道。
第五步：定期檢視，最少每半年一次
第三方風險管理唔係一次性工作。你公司嘅供應商會變，供應商嘅政策亦會變。建議每半年做一次簡短檢視：
- 有冇新加嘅第三方服務未列入清單？
- 有冇同事嘅權限需要調整？
- 供應商有冇通知條款更新？
- 模擬一次「如果呢個供應商聽日出事，我知唔知點做？」
每次檢視大概需要一至兩個小時，但可以大大降低出事時嘅混亂程度。
成本同時間估算
以上五個步驟，大部分都可以內部完成，主要成本係時間：
- 第一步（列出供應商）：1至2小時。
- 第二步（檢查合約）：2至3小時，如果需要法律意見，市場上律師審閱簡單合約條款嘅費用大約每小時HK$1,500至HK$3,000，你可以只針對關鍵條款諮詢。
- 第三步（收窄權限）：1至2日，視乎系統複雜程度，可能需要供應商協助，部分供應商會收取設定費，通常幾百至二千港元。
- 第四步（應變流程）：2至3小時起草，內部會議1小時。
- 第五步（定期檢視）：每半年1至2小時。
整體而言，第一次做嘅總時間大約係兩至三個工作日，之後每半年維護成本好低。相比起資料外洩後嘅損失（客戶流失、商譽受損、潛在法律責任），呢個投入非常值得。
常見誤解
「我哋公司細，冇人會攻擊我哋。」攻擊者好多時係自動化掃描，唔係針對你，而係搵有漏洞嘅系統。細公司嘅防禦通常較弱，反而更容易成為目標。
「供應商係大公司，佢哋會負責。」供應商嘅責任通常限於合約條款，而且外洩對你嘅客戶嚟講，你才係問責對象。你唔可以將客戶關係外判。
「我哋已經有SSL，應該安全。」SSL只係加密傳輸過程，唔代表儲存喺伺服器嘅資料安全，亦唔代表供應商內部管理妥當。
總結：第三方風險管理係一場持續嘅習慣
香港中小企唔需要成為網絡安全專家，但必須成為一個「知道自己嘅資料去咗邊」嘅老闆。今日開始，用一張紙列出你嘅第三方供應商，檢查合約有冇外洩通報同退出條款，收窄唔必要嘅存取權限，寫低一頁應變流程，然後每半年檢視一次。呢啲動作唔會令你嘅生意即刻賺多錢，但可以令你喺客戶問「你哋點樣保護我嘅資料？」嘅時候，有一個實在嘅答案。如果你需要專業協助去檢查網站同第三方工具嘅設定，可以聯絡我哋，我哋可以幫你做一个實地嘅風險檢視。想了解我哋嘅服務範圍同收費，亦可以參考服務計劃。