遙距辦公 VPN 完整指南：屋企辦公、混合辦公嘅安全連接同網絡安排
| 辦公網絡
遙距辦公唔係屋企有 WiFi 就等於做得到。VPN 點揀、點分段、點應對斷線、屋企同公司兩邊點配合，本文一次講清，唔好將公司資料暴露喺屋企網絡。
引言：遙距辦公嘅風險，唔喺屋企，而喺連接
混合辦公已經變成好多香港公司嘅日常：一星期有幾日喺屋企，有幾日喺辦公室；有啲同事長期喺屋企，有啲同事經常要出差。遙距辦公最大嘅誤解，就係以為「屋企有 WiFi、開到視像會議」就等於做得到。真正嘅問題係連接：屋企網絡點樣安全咁連返公司系統，文件點樣傳，邊個睇到乜，斷線嗰陣點算。
遙距辦公嘅網絡安排，要同時顧兩邊：公司嗰邊要諗存取控制、權限、分段、記錄；屋企嗰邊要諗覆蓋、穩定性、分段、家人共用。兩邊任何一邊做漏，風險就會出現。本文由 VPN 嘅基本概念講起，經屋企網絡安排、公司網絡安排、視像會議同文件協作、斷線應對，去到驗收清單。
VPN 係乜：唔係加速器，係一條加密隧道
VPN（Virtual Private Network，虛擬私人網絡）嘅基本概念，係喺公共互聯網上面建立一條加密嘅連接，將遙距裝置同公司網絡連接起來。經過 VPN 傳輸嘅資料會加密，唔係明文喺互聯網上面傳送。呢個係 VPN 嘅核心作用：保護傳輸中嘅資料，唔係令網速變快。
要講清楚一個常見誤解：VPN 唔係「加速器」，亦唔係「防毒軟件」。開咗 VPN，網速唔會自動變快；VPN 亦唔會自動擋到釣魚電郵、惡意附件或者弱密碼。VPN 只係解決「傳輸」嗰一環，裝置保安、帳戶保安、權限管理，全部要另外做。
常見 VPN 形態對比
| 形態 | 做法 | 適合情況 | 要注意 |
|---|---|---|---|
| 用戶端 VPN | 每部裝置安裝 VPN 應用程式，連接公司網絡 | 個人裝置遙距辦公、流動工作 | 每部裝置要獨立設定同管理；裝置本身嘅保安狀態好重要 |
| 站點對站點 VPN | 兩個固定地點嘅路由器之間建立 VPN 連接 | 分公司、倉庫、長期遙距辦公點連返總部 | 兩邊路由器要配合；設定同維護需要專人跟進 |
| 雲端存取方案 | 經雲端平台做身份驗證同存取控制，再去應用系統 | 公司系統已經喺雲端、唔想維護 VPN 伺服器 | 要睇清楚身份驗證、權限同記錄點做；唔好假設「上咗雲就自動安全」 |
邊種形態啱，要睇公司系統喺邊、員工用乜裝置、有幾多人遙距、邊個負責維護。冇一種形態係「所有公司都啱」。決定之前，要先盤點公司系統同員工裝置，而唔係先買產品。公司網絡嘅整體規劃，可以參考 辦公室網絡；多分店嘅情況，可以參考 多分店／多地點網絡指南。
屋企嗰邊：覆蓋、分段、家人共用
工作區覆蓋要實測
遙距辦公嘅工作區，通常係書房、睡房一角或者客廳一角。工作區嘅覆蓋要實測：視像會議嗰陣會唔會斷，文件上傳嗰陣會唔會停，轉換房間嗰陣會唔會斷線。如果工作區訊號弱，要處理覆蓋問題，而唔係叫員工「行近啲路由器」。家居覆蓋嘅做法，可以參考 家居 WiFi 維修及安裝。
工作裝置同家人裝置要分開
屋企網絡最常見嘅問題，係工作裝置同家人裝置全部混埋一齊：工作手提電腦、屋企電腦、小朋友平板、智能電視、智能裝置、訪客手機，全部同一個網絡。咁樣做，工作裝置會暴露喺屋企其他裝置嘅風險之中。實務做法係分段：
- 工作分段：工作裝置獨立一個分段，只可以去互聯網同 VPN，唔好同家人裝置互相存取。
- 家庭分段：家人日常裝置一個分段，同工作分段隔離。
- 智能裝置分段：智能家居裝置一個分段，唔可以直接接觸工作裝置。智能家居嘅分段做法，可以參考 智能家居網絡指南。
- 訪客分段：訪客只可以去互聯網，唔可以接觸工作裝置同家庭裝置。
分段要實測，唔好只睇設定畫面。喺家庭分段試下係咪真係去唔到工作裝置，喺訪客分段試下係咪真係去唔到其他分段，先至算做咗。
有線優先：工作裝置能拉線就拉線
工作裝置如果可以拉網線，穩定性一般好過只靠 WiFi。視像會議、文件上傳、大檔案傳送，全部都受惠於有線連接。裝修或者翻新嗰陣，預留工作區嘅網線位置，係成本效益高嘅做法。如果工作區唔方便拉線，至少要確保 WiFi 覆蓋同干擾已經處理好。
公司嗰邊：存取控制、權限、記錄
唔好畀「連到 VPN 就等於可以睇晒所有嘢」
好多公司嘅 VPN 設定係「連到就等於入咗內網」，連到 VPN 嘅人可以接觸到全部系統。咁樣做，萬一其中一個帳戶出問題，影響範圍就係成個公司網絡。實務做法係按角色分權限：
- 按職能分組。銷售、行政、財務、技術，唔同職能需要接觸嘅系統唔同，唔應該全部人同一個權限。
- 按需要畀存取。員工只需要接觸佢工作需要嘅系統，唔需要嘅系統唔應該開放。
- 離職要即時收回。員工離職、轉職、合約完結，帳戶同 VPN 存取要即時收回，唔好拖。
- 共用帳戶要避免。VPN 帳戶應該一人一個，唔好成組人共用同一個帳戶，否則出事嗰陣冇辦法追查係邊個。
身份驗證：密碼唔夠，要加多重驗證
VPN 帳戶應該要用多重驗證，唔好只靠密碼。密碼可以被盜、被估到、被釣魚電郵騙到；多重驗證可以令盜用密碼嘅人仍然入唔到去。管理員帳戶更加要嚴格，唔好只用密碼。同時，管理介面唔應該直接暴露喺互聯網，唔需要嘅遠程管理要關閉。
裝置狀態：遙距裝置一樣要合規
遙距裝置唔係因為喺屋企就可以放鬆要求。工作裝置應該要：系統同軟件保持更新，防毒同保安軟件正常運作，硬碟加密，螢幕鎖定，唔好安裝來歷不明嘅軟件。公司應該訂明遙距裝置嘅基本要求，並且有方法檢查，唔好只靠員工自覺。IT 支援嘅安排，可以參考 中小企 IT 支援。
記錄：邊個幾時入過去邊個系統
VPN 連接、登入、存取重要系統，應該要有記錄。冇記錄，出事嗰陣就冇辦法追查。記錄本身亦要妥善保存，唔好畀未經授權嘅人睇到或者改到。記錄唔係用嚟監視員工私生活，而係用嚟喺出事嗰陣還原事實，公司應該預先講清楚記錄嘅範圍同用途。
視像會議、文件協作同電話
遙距辦公嘅日常，離唔開視像會議、文件協作同電話。視像會議方面，要留意工作區嘅覆蓋、背景噪音、鏡頭角度，仲有會議平台嘅帳戶保安。文件協作方面，要用公司指定嘅平台，唔好將公司文件經個人電郵、個人雲端硬碟或者即時通訊軟件亂咁傳。文件喺邊個平台、邊個有權睇、邊個可以下載，應該要講清楚。電話方面，遙距同事可能需要經公司電話系統接聽同撥打，唔好只靠個人手機。電話系統嘅安排，可以參考 電話系統。
斷線應對：備援同應變流程
遙距辦公最怕斷線：視像會議開到一半斷，文件上傳到一半停，VPN 連唔返公司。應對要分兩層：
- 屋企層面：工作裝置有冇第二個上網途徑，斷線嗰陣點切換，切換嗰陣 VPN 要點重新連接，員工知唔知流程。備援唔係「有第二個網絡就等於有備援」，要實際測試切換先至算。
- 公司層面：公司網絡斷線嗰陣，遙距同事點算，邊個負責通知，邊個負責修復，修復期間工作點安排。應變流程要預先寫低，唔好等到斷線嗰陣先諗。
斷線演習應該定期做，唔好只寫喺文件入面。模擬屋企斷線、模擬公司斷線、模擬 VPN 連唔到，睇下員工係咪真係知點應對。
驗收清單
| 驗收項目 | 點樣驗 |
|---|---|
| VPN 連接 | 屋企實測連接、斷線重連、不同裝置各試一次 |
| 權限 | 唔同角色嘅帳戶試下係咪只睇到應該睇到嘅系統 |
| 多重驗證 | 確認全部 VPN 帳戶已開多重驗證，管理員帳戶尤其要驗 |
| 屋企分段 | 家庭分段同訪客分段試去工作裝置，確認去唔到 |
| 視像會議 | 工作區實測視像會議，確認聲音、畫面同穩定性 |
| 斷線演習 | 模擬斷線，確認切換同重連流程真係行得通 |
| 離職收回 | 確認離職帳戶收回流程，唔好只寫喺文件入面 |
常見誤解
- 開咗 VPN 就等於安全？唔係。VPN 只係保護傳輸，裝置保安、帳戶保安、權限管理，全部要另外做。
- 屋企 WiFi 有密碼就等於安全？唔係。密碼只係第一步，分段、多重驗證、韌體更新、裝置管理，全部都重要。
- 遙距辦公唔使公司 IT 跟進？唔係。遙距裝置、VPN、權限、記錄，全部都需要有人跟進，唔好當成員工個人責任就唔理。
- 用個人雲端硬碟傳公司文件都冇所謂？唔係。公司文件應該用公司指定平台，經個人渠道傳送，會令公司失去控制。
- 斷線嗰陣等佢自己好返就得？唔係。斷線要有應變流程，邊個通知、邊個修復、修復期間點做，全部要預先講清楚。
結論：連接要加密，權限要分清，斷線要有預案
遙距辦公做好嘅關鍵只有三句：連接要用加密隧道，唔好將公司系統暴露喺公共網絡；權限要按角色分，唔好連到就睇晒；斷線要有預案，唔好等到斷咗先諗。我哋團隊會先了解公司系統同員工工作模式，再按實際情況建議方案。