數位服務帳號盤點

預計操作時間：首次盤點約 0.5–1 天，其後每 3–6 個月更新約 1–2 小時
所需預算：無（主要是人力時間）；若後續導入密碼管理器或帳號稽核工具，需另外編列服務訂閱費

現代組織使用非常多數位的服務：有的是金流後台，有的是雲端文件與信箱，有的是社群平台管理與官網後台。如果沒有一份清楚的總表，久而久之就會變成「只有某幾個人知道帳號密碼」，一旦有人離職或發生資安事件，組織可能會手忙腳亂。透過幫組織建立一份「帳號與服務總表」，並說明例行檢查與離職交接時怎麼用這份清單，可以讓帳號密碼被妥善管理。

建立一份「帳號與服務盤點表」

第一步是把散落各處的帳號資訊集中起來。用試算表或既有的資安紀錄範本建立一份「帳號與服務盤點表」，至少包含：

• 服務名稱與用途（例：Google Workspace、Facebook 粉絲專頁、募款與金流平台、專案管理工具）
• 帳號類型（個人帳號、共用帳號、管理員帳號、技術帳號）
• 帳號識別資訊（電子郵件、登入名稱或其他便於辨識的代號）
• 主要負責人與備援負責人
• 登入方式（帳號密碼、密碼管理器填入、單一登入、密碼金鑰等，以簡單文字說明即可）
• 是否啟用雙重驗證（是、否、規劃中）
• 共用方式（多人共用同一組帳號，或透過密碼管理器分享）
• 帳號建立日期與最近一次確認日期

實際建立時，可以採取下面的步驟：

1. 由行政或資安窗口建立表格架構與欄位說明，先填入已知的幾個核心服務。
2. 請各部門主管在規定期限內，補上自己部門日常使用的服務與帳號資訊。
3. 由財務補上各種付費訂閱與金流相關帳號，例如會計軟體、募款平台、刷卡與收款服務。
4. 由技術或網站維護人員補上網域管理、官網與伺服器等技術帳號。

不需要一次就做到完美，但至少要讓所有「關鍵服務」先出現在表格裡，之後再逐步補充較次要的帳號。可以優先處理的服務包含：

• 募款與金流平台（線上捐款、刷卡與收款服務）
• 雲端文件與電子郵件（例如 Google Workspace 或 Microsoft 365）
• 官網與網域管理介面
• 社群平台與廣告管理帳號（例如 Facebook、Instagram、X、YouTube 等的管理入口）
• 密碼管理器、檔案分享與專案管理工具

在盤點這些服務時，請特別留意：

• 是否只有單一人員知道登入方式與權限設定
• 是否仍有過去專案或已離職同仁留下的帳號與權限
• 是否有實際上已經不用，但仍然保有高權限或金流權限的帳號

針對這些情況，可以在表格中以顏色或註記標示，方便後續優先處理。

每 3–6 個月檢查與更新

帳號與服務總表填完後還需要定期更新。建議至少每 3–6 個月檢查一次，可以搭配年度或半年一次的資安自我檢查一起進行。

每次檢查時，可以重點確認：

• 是否有新的服務或帳號已經在使用，但尚未列入清單
• 是否有人離職或角色變動，對應的帳號仍未停用或降權
• 是否有長期沒有登入紀錄、但仍擁有高權限的帳號
• 是否有標註為「規劃中啟用雙重驗證」的帳號，遲遲沒有進展

在檢查過程中，建議記錄：

• 本次檢查日期與負責人
• 發現的主要問題（例如某募款平台有舊志工帳號尚未停用）
• 已完成的修正措施（例如移除權限、關閉帳號、交接給新負責人）

這些紀錄在發生資安事件時，也能幫助釐清責任與重建流程。

與離職與角色變更流程接軌

帳號盤完，最重要的是真正用在離職與職務異動時，別讓它只是一份文件。建議把帳號與服務總表的部分欄位整合進既有的離職與人事流程：

• 在離職流程表或清單中，新增「帳號收回檢查」區塊：
  • 由主管與行政共同勾選：該成員使用過的帳號是否已停用、移交或降權。
  • 若是共用帳號，請確認是否已更新密碼，並調整密碼管理器裡的分享對象。
• 在角色變更（例如升遷、轉換部門或接手新專案）時，要求主管與帳號管理窗口一起檢查：
  • 是否需要新增該成員可以使用的服務與帳號
  • 是否有不再需要的高權限帳號可以移除或降權

每一次人事變動，都可以順手檢查一遍帳號清單，避免舊帳號與舊權限持續累積。

搭配雙重驗證與密碼管理一起使用

帳號盤完後，這份清單可以直接用在其他保護措施上：

• 根據總表中列出的「關鍵服務與管理員帳號」，優先納入組織的雙重驗證政策，要求在期限內全部啟用雙重驗證。
• 將共用帳號與高風險帳號，納入密碼管理器的規劃中，避免以私訊、紙條或公開文件分享密碼。
• 搭配資料權限管理章節中的角色與權限概念，調整「誰可以登入哪一個服務」與「登入之後可以看到什麼」。

帳號清單、雙重驗證、密碼管理三者配合，整體防護才算完整，單靠其中一項效果有限。