共享資料夾邊個睇到、邊個改到？香港中小企權限管理實務：按職位分組，唔好逐個人開

引言：開好帳號只係第一步，呢篇講第二步

好多香港中小企老闆都有過呢種不安：某日突然發現，全公司都開到出糧資料夾；或者有員工走咗半年之後，先發現佢仲入到共享碟。呢種不安背後有一個經常被撈埋一齊的概念要先分開：帳號同權限係兩層事。帳號解決「邊個入到系統」，權限解決「入到之後做到啲咩、去到邊個資料夾」。開咗帳號，唔等於管好咗權限；每個人都有獨立帳號，但權限開得太盡，仍然等於冇設防。

呢篇講的就係第二步：每個帳號對每個資料夾的權限點設計。第一步——入職點開戶、離職點封鎖、點解唔好共用帳號——見《中小企入職離職 IT 交接清單》，嗰篇講帳號生命週期，呢篇唔會重寫入職離職時間線、共用帳號的害處同牌照回收。呢篇亦唔係買 NAS 指南（選購同設置見 NAS 相關文章），亦唔係勒索軟件預防清單——勒索軟件只會喺第四節作為「權限設計的後果論證」出現，講明點解權限範圍就係出事嗰陣的波及範圍。

價錢口徑先講明：檢測同設定服務收費視乎規模同工作範圍，一律檢測後報價，呢篇唔寫任何具體金額。

第一節：先盤點，先分級——用一個下午睇清現況

設定權限之前，一定要先盤點。冇盤點就直接改，只會由「唔知邊個睇到啲咩」變成「唔知自己改咗啲咩」。盤點唔需要好複雜，一個下午可以做完，重點係列出三樣野：

第一，列出所有共享資料夾。包括 NAS 上面的共享資料夾、Windows 共享資料夾、雲端碟上面共享畀成間公司的資料夾。好多公司盤點嗰陣先發現，仲有幾年前開畀某個項目、項目完咗都冇收返的資料夾，同埋某個同事私人開畀全公司的資料夾——呢啲「孤兒資料夾」往往就係漏洞所在。

第二，逐個資料夾記低邊個群組睇到、邊個群組改到、有冇對外連結。唔使逐個人記，記群組就夠：財務組、銷售組、管理層、全部員工。對外連結要特別標記：條連結係畀邊個、係「有連結就睇到」定係指定帳號先睇到、有冇到期日。香港中小企圖方便，好多時用「任何人有連結即可檢視」，之後冇人記得收返，條連結轉發幾手之後，已經唔知去咗邊個手上。

第三，將資料分三類。第一類係內部公開：公司通告、共用表格、產品目錄，全公司睇到都冇問題。第二類係部門專用：銷售的客戶跟進表、工程部的施工圖，淨係相關部門需要。第三類係敏感：出糧表、人事檔案、合約、報價底價、客戶個人資料，呢類只應該畀極少數人睇到，改到的人仲要更少。分類唔係為咗做文件，而係為咗下一節的分組有依據：未分類就分組，分出嚟的組只會跟返舊有的混亂。

第二節：按職位分組，唔好逐個人開

中小企權限管理最實用的一條原則，就係：權限畀群組，唔畀個人。財務組、銷售組、管理層——人入組，權限就跟組走；人調組或者離職，權限就跟住變。咁做有三個好處。第一，入職離職變成「調組」，唔使逐個資料夾改，離職嗰陣唔會漏咗某個資料夾未收（離職當日的帳號處理本身，見入職離職清單文章）。第二，新人入職嗰陣，權限一次過跟組設定，唔使老闆逐個資料夾諗「呢個畀唔畀佢睇」。第三，盤點嗰陣睇組就夠，唔使逐個人對。

組入面再分三級，已經夠絕大部分中小企用，唔使搞到好複雜：

只睇（唯讀）。開到、睇到、抄走自己睇，但改唔到、刪唔到。適合絕大部分「需要參考」的人：例如銷售要睇產品價目表，但唔需要改價目表；全公司要睇公司通告，但唔需要改通告。

改得（讀寫）。開到、改到、新增到、刪到一般檔案。適合真正負責嗰堆檔案的人：例如銷售改自己組的客戶跟進表，財務改自己組的入數表。留意：「改得」已經包括刪除一般檔案，所以改得的人數應該遠少過只睇的人數。

管理（完全存取）。除咗讀寫之外，仲可以改權限本身、攞擁有權。呢一級只應該畀真正需要管理該資料夾的人，一般係老闆或者負責 IT 的同事，絕對唔應該畀全員。業界一般做法亦係咁講：普通員工完全冇理由需要完全存取，畀咗完全存取，就等於畀埋改權限的權力，若無開啟稽核，或紀錄被有權者清除，之後就難以追溯邊個改過權限。

有一個問題老闆一定會問：得幾個人嘅公司，係咪都需要分？答案係需要，但規模可以好細。三個人嘅公司都可以分：老闆一個組、做數的一個人一個組、其他人一個組；敏感資料夾淨係老闆組睇到。分組的成本唔在於公司大細，而在於一開始有冇分；公司由三個人變成三十個人嗰陣，有分組底子嘅公司只需要加人入組，冇分組底子的公司就要成個共享碟重新執過。

第三節：四個最常見的權限陷阱

陷阱一：預設「所有人全部權限」冇改過。好多共享資料夾開嗰陣，系統預設或者當時為咗「快啲用得」而開咗畀所有人，之後再冇人改返。盤點嗰陣，第一樣要查就係有冇敏感資料夾仲係「所有人」睇到。業界一般做法好明確：敏感資料夾的允許清單入面，唔應該出現「所有人」或者「已驗證使用者」呢類概括對象，應該改用具體群組。

陷阱二：敏感資料夾同普通資料夾混埋同一個父資料夾。例如「公司檔案」下面有「通告」、「銷售資料」同「出糧表」三個子資料夾，而父資料夾開咗畀全公司。子資料夾如果冇特別設定，就會沿住繼承一路開落去，結果出糧表跟埋全公司一齊開。解法係結構上分開：敏感資料夾唔好放喺公開父資料夾下面，或者要明確截斷繼承、逐個敏感資料夾單獨設定。結構錯，之後點逐個改都改唔乾淨。

陷阱三：共享層同檔案層兩層權限唔一致。Windows 共享有兩層權限，呢個係最容易混淆、亦係最值得講清的一點。共享層權限只喺經網絡存取嗰陣生效，管成個共享資料夾，粒度粗，只有讀取、變更、完全存取三級；檔案層（NTFS）權限本機登入同網絡存取都生效，粒度細，可以逐個檔案同子資料夾設定。經網絡存取嗰陣，生效的是兩者之中較嚴格的一個：例如共享層畀完全存取、檔案層只畀唯讀，結果就係唯讀；反過來共享層畀唯讀、檔案層畀完全存取，結果都係唯讀。本機直接登入嗰部電腦嗰陣，共享層完全唔起作用，只睇檔案層。業界常見做法係共享層放得較寬（例如畀相關群組變更），精細規則全部放喺檔案層統一管理，避免兩層規則重複打架。另有一條優先規則：明確拒絕（Deny）優先於允許；若某群組或個人被明確拒絕，即使另一層允許，結果仍是拒絕。但有一句必須講明：「所有人完全存取」只可以作診斷時的臨時測試——例如懷疑係權限問題，臨時放寬睇下係咪就通，證明咗之後必須即刻收返；長期用就等於放棄以權限本身作控制，追溯亦會變得困難。

陷阱四：對外連結用「任何人有連結即可」而且冇到期日。畀客、畀供應商的連結，圖方便用「有連結就睇到」，之後冇到期、冇收返，條連結轉發幾手就失控。實務做法係：對外分享用指定帳號或者指定電郵，唔用「任何人有連結」；連結要設到期日，項目完咗就到期；敏感檔案唔好用連結分享，應該用獨立的客戶資料夾，項目完咗成個資料夾收返。連結清單應該同資料夾清單一齊，喺每季覆核嗰陣一併檢查。

第四節：權限即係波及範圍——一部機出事，會波及幾多個資料夾

權限設計唔係純粹行政手續，佢直接決定咗一部機出事嗰陣，成間公司要付出幾大代價。道理好簡單：以該被盜帳號本身的權限計，佢有寫入權的資料夾有幾闊，加密範圍就有幾闊；但攻擊者若提權或取得其他帳號，範圍可以再擴大，所以收窄權限是減低而非完全消除風險。勒索軟件點樣沿住共享資料夾擴散，見《勒索軟件點解成間公司一齊中》；嗰篇講事發之後的擴散路徑，呢篇講事發之前的預防設計，兩者一前一後，唔重複。

用權限收窄波及範圍，有三個實務做法。第一，敏感資料夾只畀少數人有寫入權，其他人最多只睇。咁就算某個普通帳號被盜，加密範圍都唔包括敏感資料夾——因為嗰個帳號根本冇寫入權。第二，日常帳號唔好用管理員權限。管理員帳號應該淨係做管理嗰陣先用，日常返工用普通帳號，咁就算日常帳號出事，攻擊者都攞唔到改權限同攞擁有權的能力。第三，備份同共享碟要分開：備份唔好長期掛喺同一個共享權限之下，若備份長期以可寫方式掛喺同一共享權限之下，備份本身都可能一齊被加密，備份就等於冇做過。呢三點加埋，先係「權限即係波及範圍」呢句話的實際意思。

仲有一個經常被誤解的觀念要澄清：雲端碟有版本紀錄，唔等於權限可以鬆。版本紀錄救得到誤刪，救唔到「唔應該睇到的人已經睇晒」，版本紀錄未必救到加密後同步覆蓋：若舊版本已被刪除、已過保留期，或版本功能本身被關閉，就還原唔到。權限同備份係兩回事，唔可以互相代替：權限管「邊個睇到、邊個改到」，備份管「出事之後點還原」，兩樣都要做。

第五節：定期覆核——每季一次，離職即調組

權限唔係設定一次就一世。公司會請人、會有人走、會有項目完結，權限如果唔跟住變，半年之後又會返去「冇人講得齊」的狀態。所以要定一個最簡單的覆核機制，唔使複雜，重點係定期做：

每季覆核一次敏感資料夾名單。對住第一節的盤點表，逐個敏感資料夾睇一次：邊個群組睇到、邊個群組改到、有冇對外連結到期未收。覆核表只需要五欄：資料夾、群組、權限級別、對外連結有冇、上次覆核日期。五欄齊，一頁紙就夠。

離職即調組，唔好拖。員工離職嗰陣，除咗停用帳號（見入職離職清單文章），仲要即刻將佢由所有群組移除。因為權限係跟組走，（前提係公司權限已全部改為跟組走，無逐個人直接授權；有直接授權的要按 Q4 逐個資料夾檢查）調組就等於收權限，唔使逐個資料夾改——呢個正正就係第二節分組制的最大好處。拖得愈耐，殘留權限的風險就愈大。

對外連結到期檢查。每季覆核嗰陣，一併檢查對外連結清單：邊條連結已經過期、邊個項目的連結應該收返。項目完結嗰陣收連結，應該同項目完結本身綁埋一齊做，唔好靠記性。

最後講明本文的限制：唔同平台（Windows 共享、NAS、雲端碟）的設定介面各有不同，本文講的是通用概念同分組方法，唔會寫成任何一個平台的操作手冊；你公司用的平台，實際按鍵同選項名要以該平台的說明為準。

常見問題

Q1: 得幾個人嘅公司，係咪都需要分權限？
A: 需要，但規模可以好細。三個人嘅公司都可以分：老闆一個組、做數的一個人一個組、其他人一個組，敏感資料夾淨係老闆組睇到。分組的成本唔在於公司大細，而在於一開始有冇分；公司由三個人變成三十個人嗰陣，有分組底子的公司只需要加人入組，冇分組底子的公司就要成個共享碟重新執過。

Q2: 點解已經分咗部門資料夾，員工仲係睇到唔應該睇的檔案？
A: 最常見有兩個原因。第一，子資料夾沿住父資料夾繼承權限一路開落去，部門資料夾分咗，但敏感子資料夾冇截斷繼承。第二，共享層同檔案層兩層權限唔一致，你以為收緊咗的一層，另一層仲係放寬。盤點嗰陣要兩層一齊睇，唔好只睇其中一層。

Q3: 畀客戶的共享連結，點設定先安全？到期點收返？
A: 用指定帳號或者指定電郵，唔用「任何人有連結即可」；連結要設到期日，項目完咗就到期；敏感檔案用獨立的客戶資料夾，項目完咗成個資料夾收返。連結清單要同資料夾清單一齊，每季覆核嗰陣一併檢查。

Q4: 員工離職，淨係停用帳號夠唔夠？資料夾權限仲有咩要收？
A: 停用帳號係第一步，但唔係全部。如果權限係跟組走，仲要即刻將佢由所有群組移除，咁先等於收返所有資料夾權限；如果以前有逐個人開的權限，仲要逐個資料夾檢查有冇殘留。另外，對外連結、共用帳號的密碼（如果以前有用過共用帳號，離職之後必須改密碼）都要一併處理，詳情見入職離職清單文章。

Q5: 權限收得太緊，員工日日要問人攞權限，點平衡？
A: 平衡點在於「按職位分組」而唔係「逐個人逐個資料夾批」。組分得啱，絕大部分日常需要都已經喺組入面，員工唔使日日問人；只有超出職位範圍的特別需要，先至需要個別申請。反過來，如果員工日日都要問人，問題好可能唔係「收得太緊」，而係「組分得唔啱」——例如銷售組冇畀到銷售日常需要的資料夾，呢個時候應該調整組的權限，唔係逐個人開特例；特例開得多，組制就名存實亡。

搵 CentralComputer 幫手

共享資料夾邊個睇到、邊個改到，已經冇人講得齊？或者想趁公司擴充之前，將權限執返正？拎嚟畀我哋檢測，我哋會先盤點現有共享資料夾同權限，講明邊啲敏感資料夾開得太盡、邊啲對外連結應該收返，再按你公司的職位結構建議分組方法。所有收費一律檢測後報價，事前唔會憑空定價。

電話：+(852) 2186 8010　|　WhatsApp：+(852) 6558 6806
地址：香港九龍觀塘開源道 55 號開聯工業中心 A 座 712 室
時間：星期一至六 10:00–19:00