提升辦公室網絡安全的 5 個關鍵步驟

2025-03-10 | 網絡安全

辦公室網絡唔係有 Wi-Fi 密碼就安全。本文講五個關鍵步驟：升級 WPA3、分段、802.1X、更新同備份，仲會糾正隱藏 SSID 等三個常見誤解。

先搞清楚：辦公室網絡保安唔係單一產品

好多中小企以為網絡保安等於「買個防火牆」或者「set 個複雜 Wi-Fi 密碼」。現實係，辦公室網絡保安係一組互相配合的措施：加密、分段、認證、更新、監察、備份同培訓，缺一都會留低缺口。一次入侵可以導致客戶資料外洩、業務停頓，甚至影響公司履行香港《個人資料（私隱）條例》下的保安責任。本文會講五個最值得做的步驟，再糾正三個流傳已久、但其實唔係安全措施的常見誤解，畀香港 SME 一個可以即時執行的方向。

步驟一：將 Wi-Fi 加密升級去 WPA3（並正確處理舊裝置）

WPA2 有咩問題

WPA2 曾經係主流標準，但佢嘅四次握手（4-way handshake）設計存在根本弱點。2017 年 10 月，比利時研究員 Mathy Vanhoef 公布咗 KRACK（密鑰重裝攻擊）：攻擊者透過操縱並重播四次握手訊息，誘使受害裝置重新安裝一個已經用緊的密鑰，令 nonce（封包編號／初始化向量）被重置重用，從而削弱加密，攻擊者有機會解密流量；喺某些網絡配置下亦可能注入或竄改數據。關鍵在於，漏洞喺 Wi-Fi 標準本身，唔係個別產品實作問題，因此任何正確實作 WPA2 的裝置都可能受影響，而攻擊者必須處於 Wi-Fi 訊號範圍內先可以發動攻擊。另外要留意，單純更改 Wi-Fi 密碼並唔能夠防止或緩解 KRACK；修補方法是更新裝置韌體同系統。

WPA3 改善咗咩

WPA3 係 Wi-Fi Alliance 於 2018 年公布、接替 WPA2 的標準，認證於 2018 年 6 月開始；自 2020 年 7 月起，帶有「Wi-Fi CERTIFIED」標誌的裝置必須支援 WPA3。WPA3-Personal 以 SAE（Simultaneous Authentication of Equals，又稱 Dragonfly handshake）取代 WPA2-Personal 的 PSK 四次握手，帶來幾個重要改善：第一，對離線字典攻擊有更強抵抗力——攻擊者唔能夠好似 WPA2 咁，擷取一次握手就離線無限猜密碼，每次認證嘗試需要同 AP 實時互動，網絡本身成為限速因素。第二，具備前向保密：即使日後密碼被破解，之前擷取並錄低的通訊亦唔會因此而被解密，因為每個 SAE 認證會產生新的 Pairwise Master Key（PMK）。第三，WPA3 強制要求受保護管理訊框（Protected Management Frames, PMF，IEEE 802.11w），令偽造管理訊框（例如 deauthentication 攻擊，假冒訊框踢走客戶端）更難成功；WPA2 時代 PMF 只是可選。加密方面，WPA3-Personal 最低加密為 CCMP-128，WPA3-Enterprise 模式具備等效 192-bit 加密強度選項，而 WPA3 唔容許 TKIP。此外，WPA3 亦支援開放式網絡的 Opportunistic Wireless Encryption（OWE，Wi-Fi Alliance 稱為「Wi-Fi CERTIFIED Enhanced Open」），為無密碼的開放網絡提供加密，但唔提供身份認證，因此唔能夠防範流氓 AP（rogue AP）。要講清楚：WPA3 明顯改善 WPA2 的握手弱點，但唔係「升級咗就一勞永逸」，仍需配合韌體更新、分段、認證、監察等其他措施。

過渡模式點用

WPA2/WPA3 過渡模式容許 AP 同時支援 WPA2 同 WPA3：支援 WPA3 的裝置用 WPA3 連接，舊裝置繼續用 WPA2 連接同一個 AP。但必須講清楚限制：過渡模式下，以 WPA2 協商的客戶端仍然承受 WPA2 時代的握手風險，亦存在被降級返去 WPA2 攻擊的可能性。過渡模式應視為遷移工具，唔係終點；應有計劃地淘汰舊裝置，而唔係無限期維持混合模式。實務上，先盤點裝置，確認邊啲支援 WPA3、邊啲只支援 WPA2、邊啲完全唔支援。唔支援 802.1X／WPA3 的舊裝置（例如舊打印機、IoT 設備）唔好因此而令成個網絡停留喺 PSK，應將佢哋隔離去專用受限 VLAN，並計劃更換。仲有一個提醒：WPA3 早期 SAE 實作曾被研究發現有旁路問題，其後廠商透過韌體修補應對。教訓係標準本身較強，唔等於任何實作都無懈可擊；保持韌體更新仍然必要。

同時要做：停用 WPS、更改預設密碼、關閉遙距管理

升級加密的同時，有三件基本嘢要一併做：停用 WPS（Wi-Fi Protected Setup）——WPS PIN 可被暴力破解，從而洩露 PSK；裝置配對可改用較安全的配對方式，例如 WPA3 的 DPP（Device Provisioning Protocol，例如用 QR code 配對裝置）。更改所有網絡設備的預設管理員密碼。除非真正需要，否則關閉遙距管理（remote management），避免管理介面直接暴露喺互聯網。

步驟二：用 VLAN 將網絡分段（員工／訪客／IoT／伺服器／管理）

點解要分段

VLAN（Virtual Local Area Network）嘅基本概念，係喺同一套實體硬件上劃分出多個邏輯上隔離的網絡。不同 VLAN 的裝置預設唔能夠互相通訊，除非經防火牆／路由器明確放行。分段的價值在於遏制擴散：一個裝置被入侵，唔等於成個網絡淪陷；訪客裝置、IoT 裝置同核心伺服器唔應該喺同一個廣播域入面互相睇到。

點分：五類 VLAN

辦公室常見分段可以按以下五類起步，唔好過度細分——一般辦公室唔需要每人一個 VLAN，過度細分會令管理變得唔可行。分組應按「安全 profile 同功能」，唔好純粹按部門名起 VLAN：

• 員工 VLAN：員工桌上電腦、手提電腦、VoIP 電話。
• 伺服器 VLAN：檔案伺服器、應用伺服器、域控制器等。
• 管理 VLAN：交換器、路由器、防火牆、AP 等網絡設備的管理介面，只容許管理員裝置存取。
• 訪客 VLAN：訪客 Wi-Fi，只可上網，唔可以存取內部 VLAN。
• IoT／打印機 VLAN：打印機、IP 鏡頭、門禁、智能設備等非用戶裝置。

每個 VLAN 應有自己獨立的 IP 子網同預設閘道，通常喺 Layer 3 交換器（SVI）或路由器上設定；DHCP 按 VLAN 分配。Wi-Fi 方面，為員工同訪客分別建立獨立 SSID，各自對應各自 VLAN；訪客網絡應開啟客戶端隔離（client isolation），令訪客裝置之間唔能夠互相睇到或通訊。IoT 方面要記住：IoT 裝置通常係最弱一環，應獨立 VLAN；IoT 需要上網（例如雲端服務、韌體更新）唔等於要畀佢存取受信任網絡——分段的目的是橫向遏制，唔係完全斷網。仲有，唔好將 NVR 直接 port-forward 去互聯網；遙距查看應經 VPN 或廠商官方應用程式。

防火牆規則原則：預設拒絕

VLAN 本身唔等於加密，亦唔等於防火牆——VLAN 係隔離手段，必須配合防火牆規則先有實際隔離效果。ACL／防火牆規則原則係預設拒絕（deny all），只放行必要的流量。例如：辦公室電腦去伺服器，只放行應用程式實際需要的連接埠；訪客 Wi-Fi 只可上網，唔可以去內部 VLAN；CCTV VLAN 一般唔需要直接上網，只放行 NVR 同查看應用實際需要的連接；管理 VLAN 只可由管理員工作站存取。Port 方面，終端裝置用 access port（untagged），每個 port 一個 VLAN；trunk port（tagged）只用喺交換器之間、防火牆同 AP 之間；唔好喺 native VLAN 上傳用戶數據；停用唔用的 port。

常見錯誤

• 開咗 VLAN 但 VLAN 之間「any to any」全部放行，等於冇分段。
• 將交換器／AP 的管理介面留喺用戶 VLAN。
• 以「暫時」為由將訪客 Wi-Fi 同辦公室網絡混合。
• 冇文件記錄，冇人知邊個 port 屬於邊個 VLAN。

所以分段完成後，一定要做文件化：標籤線纜同 port、保留 IP 同 VLAN 規劃、保留簡單網絡圖。

步驟三：由共享 Wi-Fi 密碼升級去 802.1X／RADIUS 企業級認證

共享密碼有咩問題

WPA2/WPA3-Personal（PSK）係全公司共用同一個 Wi-Fi 密碼，所有人用同一把鑰匙。問題好實際：有人離職，要全公司改密碼先可以撤銷一個人；所有用戶喺網絡上睇落都一樣，冇個人稽核軌跡；所有人共用由同一密碼衍生的密鑰，知道密碼的人理論上有機會解密其他人在空中擷取到的封包（針對未加密流量的風險）。

802.1X 點運作

WPA2/WPA3-Enterprise（802.1X）係每個用戶或每部裝置用獨立憑據，經 RADIUS 伺服器驗證。好處包括：獨立身份與可稽核——每個連接都有獨立身份，可記錄邊個、何時連接；離職或裝置遺失時可單獨撤銷，只需停用個別用戶帳戶或撤銷個別證書，唔影響其他人；每個 session 有獨立加密密鑰；動態 VLAN 分配——RADIUS 伺服器可喺認證成功後，自動將用戶／裝置放入所屬 VLAN，唔使靠 SSID 手動劃分；額外存取政策——RADIUS 伺服器可配合額外政策，例如連接時段、可用裝置、可用 AP 等。802.1X 亦可用於有線網絡：若交換器支援，插 LAN 線的用戶亦需先認證先可以存取網絡同互聯網。基礎設施方面要誠實講清楚：PSK 只需要 AP；802.1X 需要 AP 加 RADIUS 伺服器（可自建或用雲端 RADIUS 服務），並需要證書管理或目錄服務配合（例如 Active Directory／LDAP）。

賬密 vs 證書：PEAP vs EAP-TLS

EAP-PEAP（賬密）用用戶名加密碼，裝置唔使預先設定證書，部署較容易；缺點係仍涉及密碼，有被釣魚或共享的風險。EAP-TLS（證書）用 X.509 證書作雙向認證，客戶端同 RADIUS 伺服器雙方都要有證書；網絡上唔會傳送密碼或密碼雜湊，因此可緩解流氓 AP（Evil Twin）、密碼噴灑、離線字典破解等攻擊。安全性明顯更高，但需要證書管理（簽發、分發、續期、撤銷）。實務遷移建議：好多機構先用 PEAP 快速遷移，再逐步將受管理的裝置轉去 EAP-TLS 證書。要分清楚：唔好寫「802.1X 就唔使再理密碼」——PEAP 仍然用密碼，EAP-TLS 先至擺脫密碼。

入職／離職流程

• 入職：建立獨立帳戶／簽發證書 → 按角色分配 VLAN／存取政策 → 裝置設定（受管理裝置可預先派發設定）→ 記錄邊個帳戶對應邊部裝置。
• 離職／裝置遺失：即時停用帳戶／撤銷證書 → 確認該身份再唔能夠連接 → 收回／抹除裝置上的證書同 Wi-Fi 設定 → 檢查日誌確認有冇異常連接。

重點：離職當日就要做，唔好等到「有時間先」。

唔支援 802.1X 的裝置點處理

舊打印機、IoT 感應器、部分會議設備可能冇 802.1X supplicant，唔能夠做 EAP 認證。唔好因為少數裝置唔支援，就令成個網絡停留喺 PSK。做法：將呢啲裝置放去專用受限 IoT VLAN，用 MAC Authentication Bypass（MAB）或 Dynamic Private PSK（PPSK／MPSK）作為後備，並施加嚴格防火牆規則，限制其存取；同時計劃更換。要注意，MAB 只是後備，仍然基於可偽造的 MAC，唔好將 MAB／MAC 認證寫成等於 802.1X 安全級別。遷移做法：唔好一次性切換。建議並行運行——保留原有 PSK SSID，同時新增一個 802.1X SSID；分批遷移用戶；完成後停用 PSK SSID。

步驟四：做好韌體更新、防火牆同監察（SME 可行的做法）

韌體更新流程

定期修補係為咗堵塞已知漏洞。廠商發布更新，通常係因為已發現新的威脅或漏洞；未修補的系統更容易被入侵，亦會影響整體網絡安全。建議流程如下：

• 盤點：維持所有網絡裝置的清單，包括型號、韌體版本、作業系統，先可以快速識別邊啲裝置需要更新。
• 只用官方來源：只喺廠商官方網站下載韌體更新同查閱安全公告，唔好用第三方不明來源的韌體，避免裝到偽裝成更新的惡意軟件。
• 更新前備份設定：更新韌體前先備份裝置設定，以防更新過程出問題。
• 睇發行說明：更新前睇廠商的發行說明，了解修復內容、已知問題同兼容性影響。
• 測試與回滾：先喺可承受的範圍測試，保留回滾計劃；有集中管理平台的環境，應利用平台做排程、監察同回滾。
• 優先次序：優先處理面向互聯網／網絡邊緣的設備（防火牆、VPN 閘道、邊緣路由器），其次係有廣泛網絡存取的內部基建（核心交換器、NAS、管理伺服器），再之後係 IoT／營運裝置（IP 鏡頭、打印機、樓宇管理系統）。

仲要留意廠商的終止支援（End-of-Life, EOL）政策。裝置到咗 EOL 之後，可能唔再收到安全更新，變得脆弱，應計劃更換。選購時亦應將廠商的韌體安全紀錄、漏洞披露機制、更新派送方式納入考慮。漏洞資訊來源方面，可參考美國國家標準與技術研究院（NIST）轄下的 National Vulnerability Database（NVD）同廠商公告，評估裝置有冇已知漏洞。路由器日常檢查清單：開啟韌體自動更新（如裝置支援）；更改預設管理員密碼；除非真正需要，否則關閉遙距管理；用 WPA3 或 WPA2 加密，唔好用開放式或 WEP；訪客同智能裝置放去獨立網絡；若路由器已唔再收到廠商更新，應考慮更換。要講清楚界線：更新堵塞已知漏洞，但唔能夠保證冇未知漏洞；仍需配合分段、監察等措施。

防火牆設定要點

防火牆的基本作用係監察並控制進出網絡的流量；配合 VLAN 分段，執行 VLAN 之間的放行／阻擋規則。入侵偵測／防禦（IDS／IPS）則偵測並回應未經授權存取或可疑活動；保持特徵／規則更新，先可以偵測針對已知漏洞的惡意流量。SME 實際做法：關閉唔需要的服務同連接埠，只保留業務必需的連接埠同協定；管理介面要鎖好——防火牆／路由器／AP 的管理介面只容許受信任的管理網絡／管理員裝置存取，管理員登入要開 MFA；開啟日誌——防火牆允許／拒絕事件、特權存取、管理員操作、遙距及敏感系統的認證事件等日誌，冇日誌就冇辦法調查事件；定期漏洞掃描，搵出其他安全弱點。訪客流量可考慮經 DNS 過濾服務，阻擋已知唔安全或唔適當內容，並提供基本的釣魚防護。

監察唔使 24/7 SOC，但要有機制

好多 SME 團隊冇全天候內部 SOC，呢個係常見情況，重點係責任人同升級路徑清晰。精簡監察模式建議：按嚴重程度分級；每個高嚴重事件有指定的負責人；有文件化的升級路徑（邊個通知邊個、邊個決定斷網／搵外援）；定期檢討告警設定，減少誤報疲勞。定期檢視防火牆日誌有冇異常登入、異常流量模式、非辦公時間的異常登入、異常對外上載。事前寫好一頁應對計劃，唔好等出事先諗。唔好誇大：唔好寫 SME 需要自建 24/7 SOC 先叫安全；亦唔好寫「裝咗防火牆就安全」——防火牆需要正確設定、更新、日誌同監察先有作用，錯誤設定（例如全部放行）等於冇防火牆。好多 SME 層面的 IDS 只是偵測加告警，仍需要人跟進，唔能夠自動處理一切。

步驟五：備份、事故應對同員工培訓（出事先諗就太遲）

3-2-1 備份原則

3-2-1 原則係 NIST／NCCoE 相關指南中提及的框架：重要檔案保留三份（一份主要檔案加兩份備份）；檔案存放喺兩種唔同媒體類型，以應對唔同類型的危害；其中一份存放喺異地（例如辦公室／住所之外）。但只寫數字唔夠，關鍵補充必須一併做：至少一份備份要離線／隔離／唔能夠被日常憑據修改或刪除。勒索軟件會主動搜尋並刪除或加密可存取的備份；若所有備份都長期掛喺同一部已入侵的電腦，備份本身都會被加密。外置硬碟備份完成後應斷開；雲端備份應具備獨立的保留政策、獨立存取憑據，最好有不可修改／刪除保護。雲端同步唔等於備份：同步服務會實時鏡像變更，勒索軟件加密會同時同步到另一份副本；真正的雲端備份應使用排程快照、獨立保留政策、獨立存取憑據。備份要測試還原：定期還原樣本檔案，記錄步驟、所需憑據同實際還原時間；未測試過的備份唔能夠假設一定還原到。RTO（Recovery Time Objective）同 RPO（Recovery Point Objective）只寫概念，唔寫數字：RTO 係希望喺幾耐之內恢復檔案同應用程式，先可以將對業務的負面影響減到可接受水平；RPO 係可以接受遺失幾耐之內的數據（即備份檔案的最大可接受年齡）。唔同檔案類型／業務流程的 RTO／RPO 可以唔同，應由讀者自己定，唔好代讀者定一個通用數字。

勒索軟件基本應對

以下係業界通用的應對步驟，語氣保持 SME 可行：第一，確定受影響系統並即時隔離；若多部裝置受影響，可考慮將網絡離線，阻止擴散。第二，唔好即時抹除——保留證據，唔好喺調查前抹走系統或刪除日誌；高度易失的證據（例如記憶體）要小心保存。第三，通知相關人員：通知 IT 支援／負責人；如有網絡保險，通知保險公司；按需要尋求外部事故應對支援。第四，分流受影響系統，作恢復同還原安排，整理初步了解，記錄事件經過。第五，喺受影響系統已清理或重建後，先至由乾淨備份還原；唔好喺未清理前還原，否則可能再次感染；還原用的備份應早於入侵開始時間，而唔係只早於加密事件時間。第六，強烈建議唔好支付贖金：支付贖金可能鼓勵攻擊者針對更多機構、資助非法活動，而且唔保證檔案一定可以恢復。事前準備比事後應對更重要：寫好一頁事故應對計劃（邊個負責、點樣隔離受影響電腦、備份喺邊、邊個對外溝通），定期做桌面演練，確保各人知道自己角色。唔好寫「有備份就一定可以完全恢復」或「支付贖金就可以取回檔案」。

員工培訓：釣魚識別

釣魚電郵／短訊／電話係假扮可信來源，誘使收件人點擊連結、提供密碼、或轉帳。好多入侵都係由一次點擊開始，因此員工培訓唔係附加項，而係保安的一環。培訓內容可用以下清單：突然的緊急性（例如「今日內必須付款」「帳戶一小時後關閉」）；要求更改銀行資料、購買禮品卡、或處理異常付款；唔好用訊息入面提供的電話號碼／連結去核實，應經已知的、可信的渠道（例如公司通訊錄上的號碼、親身確認）核實；收到可疑訊息時，經一個單一、清晰的渠道報告（例如一個指定電郵別名或一個指定聊天頻道）。培訓節奏寫為建議，唔好寫成法定要求：短而頻密勝過一年一次長課，例如每月一個短主題、每季一次演練或情境討論、新入職員工喺取得完整存取權之前先學基本保安（密碼、MFA、點報告可疑訊息）；用真實例子教學（去除私人資料後，向團隊分享最近收到的釣魚電郵），效果好過純投影片；亦可參考公開免費的保安意識教材。報告文化必須強調：目標唔係「零點擊」，而係「快速報告」——一個人喺點擊後幾分鐘內報告，遠勝過一個完美的測試分數但隱瞞錯誤；唔好羞辱點擊咗釣魚連結的員工，羞辱只會令人隱瞞錯誤，令應對變慢，應感謝報告的人，即使最後證實係誤報。員工唔係「最弱一環」——員工係重要的防線，培訓同易於報告的機制係令防線發揮作用的方法。

香港 SME 的 PDPO 責任（DPP4）

香港《個人資料（私隱）條例》（Personal Data (Privacy) Ordinance, Cap. 486）圍繞六項保障資料原則（Data Protection Principles, DPPs），監管機構為個人資料私隱專員公署（PCPD）。其中 DPP4（保障資料原則 4：個人資料保安）要求資料使用者必須採取「所有切實可行的步驟」，保障個人資料免受未經授權或意外的查閱、處理、刪除、遺失或使用；若委聘資料處理者，資料使用者與處理者之間的合約應妥善訂明處理者的責任。PCPD 的補充說明指出，所需保安水平隨個人資料的敏感程度而提高——對於一般僱傭相關個人資料，用密碼同用戶身份作保護可能已足夠；但對於敏感資料（例如敏感醫療資料），若冇額外保安措施而放喺連線系統，可能唔足夠。辦公室網絡保安唔係純技術問題，亦係履行 DPP4「所有切實可行的步驟」的一部分：存取控制、角色權限、傳輸及靜態加密、稽核日誌、保安風險評估、保留及銷毀政策，都係常見的保安措施例子。資料外洩處理方面，私隱專員公署強烈建議喺資料外洩後盡快處理並通知公署及受影響人士，尤其當外洩可能帶來實際傷害風險；應以建議語氣理解，唔好將佢寫成「法定必須喺某個時限內通知」。最後要講清楚：DPP4 講的是「所有切實可行的步驟」，係一個整體保安安排，唔係單一產品——唔好將 DPP4 寫成「只要有防火牆就符合」。

常見誤解：呢三樣唔係真正的安全措施

誤解一：隱藏 SSID 比較安全

事實：隱藏 SSID 唔係安全措施，只係「唔廣播名稱」。隱藏 SSID 時，AP 只係喺 beacon 訊框中將 SSID 欄位留空，beacon 本身仍然存在，網絡的其他特徵仍然可被觀察。客戶端要連接隱藏網絡，必須主動發出包含 SSID 明文的 probe request；AP 回覆的 probe response 亦包含 SSID。喺認證／關聯（association）過程中，SSID 亦會出現喺管理訊框中。呢啲管理訊框唔受 WPA2／WPA3 加密保護。換言之，只要有一個合法裝置連接過，隱藏 SSID 就會喺空中曝光；任何用封包嗅探工具監察頻道的人都可以睇到，唔需要繞過認證或用高級攻擊。更差的是，隱藏 SSID 可能令裝置喺唔同地方持續廣播 probe request 去搵呢個網絡，反而洩露 SSID，甚至令網絡成為目標。實際缺點仲包括：增加設定複雜度（每部新裝置要手動輸入）、部分舊裝置／IoT 裝置兼容性問題、疑難排解更困難、以及造成虛假安全感，令人忽略真正有效的措施（例如 WPA3、802.1X）。正確寫法：隱藏 SSID 唔好列為保安措施；如你已經隱藏咗，亦唔使驚慌，只係唔好靠佢嚟防入侵。真正有效的係 WPA3、強認證、分段等。

誤解二：MAC 過濾可以阻擋入侵者

事實：MAC 地址過濾可被 MAC 偽造（MAC spoofing）輕易繞過，唔係真正的安全措施。MAC 地址喺每個訊框中以明文傳送；攻擊者只需嗅探流量，讀取已授權裝置的 MAC，然後將自己裝置的 MAC 設定為同一個地址，網絡就分辨唔到分別，因為 MAC 本身只係一個自我申報的標籤，冇任何認證。現代作業系統（例如 iOS／Android）為私隱起見，會預設使用隨機 MAC 地址（per-network 隨機地址），進一步令靜態 MAC 過濾變得唔可行。MAC 過濾唔提供加密，亦唔驗證用戶身份；佢只係控制邊啲裝置可以連接，唔控制連接後可以做咩。MAC 過濾最多只係一層極薄的門檻，唔好依賴佢；真正認證應靠 WPA3／802.1X／證書。

誤解三：複雜密碼就等於安全

事實：複雜密碼唔等於安全；密碼本身有根本限制，必須配合 MFA／802.1X 等額外因素。釣魚攻擊唔理密碼有幾長幾複雜；資料外洩亦可以令憑據曝光，而唔論密碼強度。符合「一個大寫加一個數字加一個符號」規則的密碼（例如常見的預測性組合），仍然可以係最先被猜到的密碼之一。長度比複雜度規則更重要；相關指引強調：長度優先、唔好強制字符組合、唔好定時強制更換密碼（只喺有外洩或可疑活動時先更換）、新密碼應對照已知外洩／常用密碼清單檢查、每個帳戶用獨立密碼（建議用密碼管理器）。MFA 的作用：即使密碼被盜，攻擊者仍需要第二個因素先可以登入；建議優先用 authenticator 應用程式或硬件保安鑰匙，而非 SMS 驗證碼（SMS 驗證碼有被攔截的風險）。對於 Wi-Fi 本身，複雜的共享密碼亦唔等於安全：PSK 下所有人共用同一密碼，密碼一外洩，全公司都要改；802.1X／證書先可以做到每人獨立身份同撤銷。總結：密碼要長、要獨立、要用密碼管理器；但密碼只係第一道門，一定要加 MFA；Wi-Fi 方面，要由共享密碼升級去 802.1X。

其他誤解（簡述）

• 「裝咗防火牆就安全」：防火牆需要正確設定、更新、日誌同監察；錯誤設定等於冇防火牆。
• 「雲端同步就等於備份」：同步會鏡像加密，唔係備份；備份需要獨立保留政策同測試還原。
• 「訪客 Wi-Fi 有密碼就安全」：有密碼唔等於已隔離；訪客網絡必須經 VLAN 加防火牆規則同內部網絡隔離，否則訪客裝置仍可接觸內部資源。
• 「更新韌體好麻煩，等有事先算」：未修補的已知漏洞係最常見的入侵途徑之一；更新前備份設定、睇發行說明、保留回滾計劃，已經可以將風險控制喺可接受水平。

措施優先級總表

以下排序係按「先堵塞最大風險、再做結構性改善、再做持續工作」的原則建議，唔係標準規定。唔好理解為「做完頭三項就安全」。

總結：由邊度開始

即時檢查清單：第一，檢查 AP 係咪已開 WPA3，舊裝置有冇過渡計劃；停用 WPS，改晒預設管理員密碼。第二，確認訪客 Wi-Fi 係咪已經經 VLAN 同防火牆規則同內部網絡隔離，訪客網絡有冇開客戶端隔離。第三，諗下公司仲用唔用緊全公司共用一個 Wi-Fi 密碼——如果係，開始規劃 802.1X 並行 SSID。第四，檢查韌體係咪最新，管理介面係咪只容許管理網絡存取同開咗 MFA。第五，確認備份係咪符合 3-2-1，有冇一份離線／隔離備份，幾時做過還原測試。第六，寫低一頁事故應對計劃，同團隊做一次桌面演練。以上措施可以大幅降低常見入侵的風險，但網絡保安係持續工作，需要定期檢視同更新，唔好理解為「做完就絕對安全」。如果想由網絡規劃入手，可以先睇我哋嘅辦公室網絡方案同Wi-Fi 方案，了解點樣將以上措施落地。

常見問題

隱藏 SSID 係咪有用？

冇。隱藏 SSID 只係唔廣播名稱，SSID 仍然會喺 probe request、probe response 同關聯過程的管理訊框中以明文出現，而呢啲管理訊框唔受 WPA2／WPA3 加密保護。唔好將佢列為保安措施，亦唔好靠佢嚟防入侵。

舊裝置唔支援 WPA3 點算？

先盤點裝置，確認邊啲支援 WPA3、邊啲只支援 WPA2。過渡期可用 WPA2/WPA3 過渡模式，但要記住過渡模式唔等於全面 WPA3，應有計劃地淘汰舊裝置。唔支援 802.1X／WPA3 的舊裝置應隔離去專用受限 VLAN，唔好因此而令成個網絡停留喺 PSK。

細公司係咪都需要 802.1X？

唔係即刻要，但只要員工數目增長、離職流動出現，共享密碼的管理成本同風險就會上升。細公司可以先由新增一個 802.1X SSID 並行開始，分批遷移，完成後停用 PSK SSID。

備份同同步有咩分別？

同步服務會實時鏡像變更，勒索軟件加密會同時同步到另一份副本。真正的備份應使用排程快照、獨立保留政策、獨立存取憑據，仲要定期做還原測試，先可以確認還原到。

免費上門勘查及報價 | 收費指南