員工變動的資安風險與「少力設計」應對策略
3C金融公司是一家新創的金融科技公司，致力於提供創新的數位支付服務。隨著市場變動，公司近期進行組織調整，部分員工離職，部分員工則轉調至其他部門。人資部門忙著處理交接手續，資訊部門則在煩惱一個問題：「這些人員手上是否還有公司機密？他們的帳號、系統權限都關閉了嗎？」
這讓 3C 金融創辦人 Jason 想起一本書——蕭瑞麟的《服務隨創：少力設計的邏輯思維》。書中強調：「遭遇制約時，先不急著去『解決』，而需著力於『解讀』。」Jason 開始重新思考：
- 員工離職或調職時，公司資安風險到底在哪？
- 如何用「少力設計」的方法，讓資訊安全管理更有效率？
CNS 27002:2023 6.5「聘用終止或變更後之責任」 提供了一個關鍵指引：組織應確保員工在離職或職務變動後，資訊安全責任依然有效。Jason 深知，如果這個環節沒做好，公司的客戶資料、交易數據，甚至 API 介接資訊，都可能在無意間外流，造成重大風險。
1. 不只是關閉帳號，更要掌握風險點
傳統 IT 部門的做法，通常是當員工離職或轉調時，直接停用帳號、收回設備、簽保密協議，就認為萬事OK。但這只是表面工作，真正的風險來自於：
- 「人走了，資料還在」
- 員工可能還擁有公司機密文件的副本，或已將 API 測試碼帶走。
- 「權限變了，習慣沒變」
- 轉調的員工可能仍舊使用舊部門的授權方式，導致越權存取。
- 「供應商的外派人員呢？」
- 供應商的 IT 工程師若曾負責開發 3C 金融的支付系統，離開時是否確保他們已無存取權限？
Jason 參考 CNS 27002:2023 6.5 條文，將這些問題拆解成三大風險點：
- 數據殘留：確保離職員工未保留公司機密資料。
- 權限遺留：確保職務調動的員工，不再擁有原部門系統權限。
- 外部人員管理：確保外包商或供應商的存取權限，在合約終止時即時取消。
2. 以「逆強論」思維，設計資安機制
蕭瑞麟在《服務隨創》中提到：「以弱之強，攻強之弱。」Jason 了解，3C 金融不像大銀行有強大的 IT 安全團隊，不能靠人海戰術來做帳號管理，但可以靠 「小而精準」的流程設計，強化離職與調職的資安管理：
- 建立「資安交接表」，讓主管與 IT 部門同步檢核
- 員工離職或轉調時，不只交還設備，還要由主管檢查是否有未完成的機密專案。
- IT 部門則同步核對該員工的帳號權限是否已關閉，並檢查其雲端硬碟、API 存取紀錄。
- 導入「漸進式權限回收」，降低業務衝擊
- 調職員工：採取雙重帳號管理，先讓新帳號生效、觀察兩週後再關閉舊權限，確保業務不受影響。
- 離職員工：最後一個工作日，由 IT 團隊立即停用帳號，並設立 30 天監測期，監控是否有異常存取行為。
- 針對外包供應商，實施「自動化帳號回收機制」
- 透過 IAM（身份存取管理）工具，確保供應商合約到期時，相關 IT 帳號會自動失效，不需人工介入。
3. 溝通心理學應用：讓資安流程更易執行
Jason 了解到，資安問題不只是技術問題，更是組織內部溝通的問題。根據研究，企業在推行安全政策時，如果沒有明確的溝通方式，員工往往會因為「麻煩」而不願意配合。
3C 金融為了讓資安管理流程更好執行，採取了以下策略：
- 用「情境故事」強化員工認知
- 透過內部培訓，分享真實案例，如某 IT 公司因為忘了關閉前員工的 VPN 存取權限，導致內部機密文件被盜，讓員工理解資安風險的嚴重性。
- 簡化資安交接 SOP，減少執行阻力
- Jason 讓 IT 團隊用 「三步驟交接法」 取代過去冗長的交接程序： 第一步：主管確認工作移交。 第二步：人資通知 IT 關閉權限。 第三步：IT 設定監測機制，30 天內觀察是否有異常行為。
- 推動「資安簽署文化」，讓每個人都負責
- 不論是離職員工或轉調員工，都需簽署「資訊安全責任確認書」，確保他們理解未來仍需遵守公司資訊安全規範。
結論：資安管理不是防堵漏洞，而是建立習慣
透過 CNS 27002:2023 6.5 條文的指引，3C 金融將「聘用終止或變更」視為資訊安全的一部分，並應用 「少力設計」的思維，將複雜的資安管理流程簡化成具體、可執行的步驟。
Jason 最後總結：「資安不是靠技術疊加，而是靠流程設計與文化建立。我們的目標，不是防止離職員工帶走機密，而是讓每個人都習慣保護資訊安全，無論他們在哪裡。」
