遠端IT支援不失控：香港財富管理公司實例

一句話結論： 遠端 IT 支援本身沒有問題，問題在於事後沒有人說得清那次連線發生過什麼——對一家持牌的香港公司來說尤其如此。解法不是「更信任你的供應商」，而是讓每一次遠端連線都成為一個有紀錄的事件：連線前經過同意、連線中全程可見、連線後留下日誌，並且可以隨時撤銷。

為什麼遠端 IT 支援會讓香港的金融機構不安？

香港幾乎每一家中小型金融機構都在依賴遠端 IT 支援，只是很多公司從來沒有用這個詞稱呼過它。行情終端的授權檔失效，交易錄不進去；客戶會議前一小時，分析師的筆電打不開共用磁碟機。營運部的同事打給 IT 服務商，對方請他點一下「允許」，十分鐘後一切恢復正常。這個迴圈每週都要發生幾次，而且大多數時候確實有效。

在持牌機構裡，讓人不安的並不是這個迴圈本身，而是遲早會有人針對它提出的那個問題。精品資產管理公司、家族辦公室、持有證監會牌照的顧問業務——在這類機構裡，客戶身分證明文件、投資組合部位、申購贖回指示與銀行帳戶資訊，往往由很少的幾個人經手。能存取一台工作站，就等於能存取上述全部內容。而在一家三十到六十人的公司裡，敏感資料真正存放的位置常常就是這些工作站，而不是某個專門設計過、強化過的系統。

於是遲早會有一個以提問為職責的人問出來：過去這段時間，究竟是誰在連線我們的電腦？連了多少次？做了什麼？根據我們的經驗，公司誠實的回答通常是某種版本的「我們的 IT 公司，在我們請他們連的時候」。這句話是真的，但它完全無法被驗證——而「無法驗證」正是在受監理環境裡會出事的那一點。沒有人在指控供應商做了什麼。真正的問題是，這家公司沒有任何辦法證明什麼都沒有發生過；這和「確實什麼都沒發生」是兩件不同的、而且難度差得很遠的事。

自 2016 年在香港設立辦公室以來，Brocent 一直為本地金融服務業客戶提供託管 IT 服務，這個模式在各種規模的機構裡都高度一致。公司規模越大，這個問題被提出得越早——但它總會被提出來。提問的通常是法遵主管，有時是外部稽核師，偶爾是一位準備配置資金、正在做營運實地查核的機構投資人。

一張被擋下的工單：一個複合情境

以下是一個我們見過很多版本的情境。其中的細節屬於示例性質——它是依據這種規模、這種類型的公司真實運作方式拼合出來的複合情境，而不是某一家具名客戶。

一家香港財富管理公司，約四十五人，中環有辦公室，另有一層小型後台。持牌經營，每年接受稽核。這四十五人裡有兩位是營運團隊，其中一位負責大家口中的「IT」——意思是，她是那個打電話給 IT 服務商的人。這家服務商能力不錯，已經支援公司六年，對環境很熟。出問題時有人在群組裡發一句，工程師接手、連上、修好。從來沒有出過糟糕的體驗。

然後，公司的法遵主管在準備年度內部控制檢視時，把一張例行工單擋了下來。不是因為他懷疑什麼，而是因為檢視要求他描述公司對「第三方存取存有客戶資料之系統」這件事的控制措施；當他坐下來準備寫的時候，他發現自己寫不出來。他說不出上一季發生過多少次遠端連線。他說不出是哪幾位工程師連過。他說不出那些連線裡有沒有哪一次觸及過存放客戶開戶文件的機器。他向服務商索取日誌，收到的是一封態度誠懇、也確實出於善意的郵件，大意是：你們叫我們連，我們才連。

那一刻，這家公司不再把遠端支援當作一項便利設施，而開始把它當作一項控制措施。這個時刻確實很尷尬，因為供應商什麼都沒做錯。公司並不是在找新的服務商，它是在找證據——而供應商用的工具從設計之初就不是用來產生證據的。

「反正一直都是讓他們連進來」到底代價是什麼

這些代價都不戲劇化。它們屬於慢性的那一類，並且總在不方便的時刻浮出水面。

回溯性的問題沒有答案。 「上一季有沒有外部人員存取過存放客戶 KYC 文件的那台機器？」這個問題只有兩種可以接受的回答：有紀錄的「沒有」，或者有紀錄、有細節的「有」。「應該沒有吧」不在其中。一旦一家公司意識到自己只能給出第三種回答，這個缺口通常會迅速上升到優先處理的位置——因為明年還會被問同樣的問題，而到那時它就從新發現變成了重複發現。

這段關係建立在信任而非證據之上，而信任無法轉移。 現在的這幾位工程師，公司認識，也喜歡。但工程師會跳槽，服務商會招人。上週二連進來的那個人，可能是公司從未見過的人，而且沒有任何機制會告訴他們究竟是不是。公司實際上依賴的，是供應商內部的招聘與督導——那對客戶來說是不可見的，而且他們從來沒有評估過。

年度檢視沒有任何東西可以指著說。 檢視文件裡的控制描述需要憑據：一份政策、一份日誌、一份報告、一張設定截圖。「我們用的是一家有信譽的 IT 服務商」是一句關於意圖的陳述。檢視者要的是可以附進檔案裡的東西。

員工開始悄悄迴避。 這一點常常出乎意料。在我們服務過的幾家公司裡，問題的第一個訊號並不是法遵缺失，而是行為上的變化：前台業務部門有人開始拒絕遠端協助，寧願等工程師到場，或者自己繞過問題——因為螢幕上開著客戶部位，他們對「有人在看」這件事感到不適。這種直覺完全合理，但它也很貴：它把一個十分鐘能解決的問題變成半天的低效工作，同時意味著公司的 IT 問題不再被如實回報。

離場流程沒有定義。 服務合約結束時，那些存取權限怎麼辦？在臨時性的安排裡，通常沒有任何正式動作：從大家記得的那幾台機器上把工具解除安裝，帳號繼續有效，沒有人留下任何書面紀錄。公司往往是在更換服務商時才發現這一點——他們無法確認上一家已經沒有任何路徑進來了。

以上沒有一項構成資安事件。它們全都是「紀錄的缺失」——而正是紀錄的缺失，把一項普通的營運做法變成了一條稽核發現。

我們的看法：解法不是「更信任你的供應商」

當客戶向我們提起這件事時，第一反應——是他們的，不是我們的——通常是去找一家更值得信任的服務商，或者乾脆限制遠端支援、要求工程師必須到場。兩條路都走不通。只做現場支援既慢又貴，而且它同樣不產生紀錄：一位坐在座位旁邊的工程師，並不比一位從觀塘連進來的工程師更有日誌可查。而「更值得信任」本身不是一個能從外部驗證的屬性。

有用的重構是這一句：遠端存取應該是一個事件，而不是一種狀態。 在大多數小型機構裡，供應商的存取權限現在是一種狀態：它常駐在背景中，並且以不可見的方式被行使。應該取而代之的，是一連串離散的事件——每一個都在事前具名、在進行中可見、在事後被寫下來，並且能夠被關掉。

這是一個設計問題，不是信任問題，而且用對工具是可以解決的。真正重要的是四個屬性。

讓遠端存取變得可問責的四個屬性

經過同意 — 員工裝置上的工作階段不應該悄無聲息地開始。坐在鍵盤前的人應該看到是誰在請求連線、具名到人，並且由他來決定是否允許。
全程可見 — 工作階段進行期間，這件事應該是顯而易見的。不是藏在某個設定面板裡，而是就在螢幕上，持續整個工作階段。
留下日誌 — 每一次連線都應該在開始的那一刻寫下紀錄：誰連的、連的是哪台裝置、什麼時候、以什麼模式、對應哪一張支援工單。這份日誌應該可以由客戶匯出，而不只是供應商自己看得到。
可以撤銷 — 客戶應該能夠只憑一句話就終止供應商的存取權限——針對單台裝置或整批裝置——並且得到「已執行」的確認。當合作關係結束時，離場流程應該自動觸發並由人複核，而不是依賴誰還記得這件事。

這也是我們為什麼要在「支援代理程式能做的兩件事」之間劃一條硬線。觀察一台機器的資安健康狀況，和在一台機器上執行操作，是兩種風險特性完全不同的活動，它們不應該共用同一套權限模型。持續監控在架構上就應該是唯讀的——它只回報它看到的，無法執行任何東西。動手的工作則只能透過上面描述的那條「已同意、可見、有日誌」的通道進行。把兩者合併成一個隨時什麼都能做的代理程式，對供應商方便，對客戶不利。

在螢幕上，「事前同意、全程可見、隨時可撤銷」具體長什麼樣

我們把這些屬性做進了 BCS Beam——Brocent 託管 IT 客戶所使用的端點用戶端。之所以這麼做，正是因為另一條路（一個權限面不可見的通用遠端控制工具）在客戶對話裡一次又一次通不過這項檢驗。具體來說，在一台安裝了它的裝置上：

螢幕工作階段開始前，同意提示會具名到工程師。 在啟用同意機制的裝置上，除非坐在鍵盤前的人點了同意，否則螢幕工作階段不會開始，而且提示裡會寫明是誰在請求。這是最直接回應「會不會有人在看我」這個擔憂的控制措施——因為答案變成了：你不點同意，就不會。

螢幕橫幅在整個工作階段期間持續顯示。 不是那種五秒鐘就消失的通知，而是貫穿整個工作階段的常駐指示。

系統匣圖示即時顯示工作階段狀態。 Beam 的系統匣助理會顯示目前有幾個遠端工作階段在進行、以及連線的是哪個帳號。這把「他們能存取我的電腦」從一個不可見的背景事實，變成了任何使用者隨時看一眼就能確認的狀態，不需要問任何人。

每一次連線在開始的那一刻就被寫入稽核帳本。 誰連的、連到哪台裝置、什麼時候、什麼模式、對應哪一張工單。已經簽發但從未被使用的邀請同樣會被記錄——這一點很重要，因為一個未被使用的邀請仍然是一次已經授出的存取權限。你的客戶經理可以應要求把完整歷史匯出為試算表。工作階段也可能基於品質與稽核目的被錄製，錄影在封存前會先加密。

基礎設施是 Brocent 自己的，就在香港。 遠端支援伺服器、稽核平台與工作階段紀錄，全部執行在我們位於香港的伺服器上。你的裝置與我們的工程師之間，沒有任何第三方遠端控制雲端平台——這意味著只有一套資料處理政策、一條稽核鏈，而不是一串各有各政策的供應商。

每一家客戶的裝置彼此隔離。 你的裝置群位於獨立環境中，擁有自己的註冊識別，工程師的存取權限在伺服器端強制執行。你要求撤銷某一台裝置、或者全部裝置的存取權限，我們照做。合約結束時，離場流程自動觸發，並由工程師確認執行。

資安稽核那一半從不動任何東西。 它在設計上就是唯讀的。它讀取裝置事實——磁碟加密、防毒與防火牆狀態、系統更新狀態、已安裝軟體的名稱與版本——並對照 CIS 基準進行檢查；每天將已安裝軟體與全球 CVE 目錄比對，並使用 CVSS、EPSS 與 CISA KEV 清單，依真實世界的被利用風險排定優先順序。它會標出未經授權的遠端存取工具、檔案共享用戶端以及已終止支援的軟體，並在管理層看得懂的報告裡給出每台裝置的風險評分。它無法在機器上執行任何東西，也從不擷取檔案內容、按鍵紀錄或螢幕畫面。

還有一個細節值得單獨點出來，因為它通常要到用得上的時候才會被想起：安裝包本身。每一家客戶的安裝包都是單獨建置、經過數位簽章的，並且透過受管理的部署通道交付，而不是一條公開的下載連結。代理程式的流量一律透過 TLS 向外發起，因此不需要開放任何輸入連接埠，也不需要向審查你網路設定的人解釋任何防火牆例外。

對情境中的那家財富管理公司來說，這把法遵主管面對的「一個無法回答的問題」變成了「一次文件調閱」。他要該季的連線帳本。他拿到一份試算表，逐條列出每一次工作階段的工程師、裝置、時間戳記、模式與工單編號。那份試算表就是他的檢視所需要的憑據，而產生它只需要發一封郵件。

臨時連線、通用遠端工具、可稽核支援通道：三者的差別

這三樣東西經常被當成同一件事。它們不是——而且差別只有在有人要證據的時候才會顯現出來。

三種模式的對比

臨時性的供應商存取（「打通電話，他們就連進來」） — 建立起來最快，而且在解決問題這件事上確實有效。但它沒有同意紀錄、沒有工作階段日誌、無法列舉出誰擁有存取權限，也沒有定義過的離場流程。公司的控制措施就是供應商的善意。在沒有人要證據之前，這沒有問題；一旦有人要，你拿不出任何東西。
通用遠端支援工具（螢幕分享，消費級或中小企業級） — 好一些：工作階段通常要求使用者報出一組代碼，因此至少存在一個「同意的瞬間」。但稽核軌跡（如果存在的話）位於供應商的帳號裡，設計上並不是為了交給客戶的。存取權限通常是以帳號而非以裝置群劃分的，因此「誰能連到我們的機器」不是客戶能夠獨立回答的問題。工作階段資料往往會經過一個第三方雲端平台——這等於在你的資料處理鏈上多了一個從未出現在你的供應商名冊裡的參與方。
可稽核的支援通道（BCS Beam 的設計目標） — 具名到工程師的同意提示、常駐的螢幕橫幅、即時的系統匣狀態、工作階段開始即寫入的帳本紀錄、客戶可匯出的歷史、依客戶隔離的租戶、隨需撤銷、自動觸發並經人複核的離場流程，以及一個嚴格唯讀、無法執行操作的監控半邊。建立起來更慢，因為它需要一次真正的導入流程。而它把證據變成了日常運作的副產品——這正是全部意義所在。

誠實地說，第三種模式的營運成本高於第一種。得有人去建置與維運稽核平台、準備經過簽章的按客戶安裝包，並安排人力做離場複核。如果你的公司確實不承擔任何「須對第三方存取展示控制措施」的外部義務，那麼第一種模式並非不理性。只是大多數香港持牌機構其實是有這項義務的，而他們往往在檢視的時候才發現。

這件事在託管 IT 關係裡的位置

可稽核的遠端存取不是一件可以單獨買回來的產品，它是「你的 IT 如何被營運」的一項屬性。它存在於一份託管 IT 服務之中，與那些讓它真正有用的東西並列：有真實回應承諾的服務台、修補程式管理、備份，以及唯讀稽核半邊所支撐的端點資安工作。單獨來看，一本維護良好的連線帳本只能告訴你「沒出事」。與託管 IT 資安服務結合之後，它才成為一種你可以用一段話向檢視者描述、並且附得上憑據的資安態勢。

如果你正在評估這件事的規模與成本，我們各市場的服務方案以及每一檔包含哪些內容，都列在定價頁面上。BCS Beam 包含在 Brocent 的託管 IT 方案之內，而不是單獨販售——因為一份只有部分裝置會產生紀錄的稽核軌跡，算不上稽核軌跡。

Brocent 自 2007 年起在亞洲營運，2016 年設立香港辦公室，2021 年起將總部設於新加坡。金融服務業客戶始終是這項工作的核心組成部分之一，這也是為什麼「支援既要快、又要可問責」這個特定問題，是我們認真思考過的，而不是最近才發現的。

常見問題

IT 服務商遠端連進我們的系統時，究竟能看到什麼？

在螢幕工作階段期間，工程師看到的就是你看到的螢幕——這正是工作階段必須經過同意並且全程可見的原因。在工作階段之外，能看到什麼完全取決於供應商的代理程式還被允許做什麼。就 BCS Beam 而言，答案被刻意限定得很窄：監控那一半只讀取裝置事實（資安設定、已安裝軟體的名稱與版本、更新狀態），從不讀取檔案內容、按鍵紀錄或螢幕畫面。如果一家供應商無法乾脆俐落地回答這個問題，那本身就是答案。

我們要怎麼向稽核師證明某次遠端存取是恰當的？

用帳本，不是用政策。政策陳述的是「應該發生什麼」，帳本呈現的是「實際發生了什麼」。檢視者通常想要的，是該期間內的工作階段清單：誰連的、連到哪台裝置、什麼時候，以及為什麼——而「為什麼」要能連回一張支援工單，讓業務理由可以被追溯。如果你現有的安排產生不了這份清單，那就是需要補上的缺口，無論你用的是哪一家供應商。

遠端支援和持續監控有什麼區別？

遠端支援是間歇性、互動式的：一個人在你同意之後連進來修好某件事，然後中斷連線。持續監控是被動、恆常的：一個代理程式按排程回報裝置的資安狀態，不執行任何動作。把兩者混為一談很常見，但沒有幫助，因為它們需要的控制措施不同。監控應當是唯讀的，也不需要同意提示，因為它什麼都做不了；支援則會改變你的機器，所以每一次都應該要求同意。

如果需要，我們能立刻撤銷供應商的存取權限嗎？

你應該能，而且應該實測一次，而不是假設。在 BCS Beam 上，撤銷存取權限——單台裝置或整批裝置——是向客戶經理提出的一項請求，會被執行並回覆確認，同時撤銷新裝置的註冊能力。合約結束時，離場流程自動觸發，並由工程師複核執行，而不是靠記憶。不妨問問任何一家候選供應商：撤銷是怎麼做的、需要多久？回答的品質本身就很有診斷價值。

這會取代我們現有的防毒或 EDR 嗎？

不會——而且對任何聲稱能取代的產品，你都應該保持懷疑。稽核那一半所做的，是核實你的防護是否真的裝了、開了、並且健康，盯住那些防護工具涵蓋不到的漏洞，並把證據集中到一份報告裡。它與你現有的資安體系共存，而不是取而代之。把它想成「告訴你控制措施是否在起作用的那個儀表」，而不是一項替代性的控制措施。

如果我們終止合約，我們的資料會怎樣？

有兩件獨立的事必須發生，而且兩件都應該事先定義清楚。一是存取權限終止：註冊被撤銷、工程師對你環境的存取權限被移除、代理程式像任何標準應用程式一樣乾淨解除安裝。二是留存紀錄：工作階段日誌與任何封存錄影，依你服務合約中的留存條款處理。請在簽約之前就把這兩件事寫下來，而不是等到離場之後。

我們是一家小公司，這種程度的控制對我們是不是過頭了？

公司的規模並不會改變機器上那些資料的敏感程度。一家四十人的財富管理公司，可能把客戶身分證明文件、銀行帳戶資訊與投資組合部位放在寥寥幾台筆電上——裝置數量比銀行少，但就單台裝置而言並不更不敏感。隨規模變化的是「能投入多少資源去管理它」，而這恰恰是一個論據：這項控制應該內建在服務裡，而不是由公司自己拼裝。如果你的遠端支援本來就會產生一份可匯出的帳本，那麼「變得可稽核」的邊際成本幾乎是零。

如果你的公司現在回答不了「上一季是誰連過我們的機器」，這是一個可以解決的問題，通常也只是一次簡短的對話。聯絡我們，我們會為你梳理現有安排能證明什麼、不能證明什麼——無論你最終是否選擇與我們合作。