帳號收回了，筆電還在他家

一個月後才發現沒回來的那台筆電

假設有一家三十人、以遠端工作為主的設計公司。設計師 K 離職，IT 照檢查表停用了所有 SaaS 帳號，覺得流程很完整。筆電的部分，HR 以為 IT 會處理，IT 以為 HR 已經跟 K 說好了，說好的是「之後寄回來」。

先說清楚，這是示意情境，不是真實事件，公司與人物都是為了說明而設。一個月後清點資產，那台筆電還沒回來，K 也聯絡不上。公司這才想到一連串問題：那台電腦有沒有登錄在任何管理系統裡？能不能遠端鎖定？硬碟有沒有加密？裡面還有哪些客戶的原稿？

這篇要講的只有一件事：帳號收回和設備回收是兩條流程，第二條常常沒有人負責。

只收帳號，風險在哪裡

第一層是兩條流程脫節。SaaS 停用了，設備上的本機資料不會跟著消失。

第二層是本機資料留存。下載的檔案、同步資料夾、瀏覽器的登入狀態，都還留在那台設備上。

第三層是責任歸屬不清。設備回收常常落在 HR 和 IT 之間，兩邊都以為對方會處理，結果誰都沒處理。

最後是資產紀錄不完整。誰拿了哪台、序號多少、保固到什麼時候，散在不同的表格裡，出事時拼不起來。

這篇示意情境裡，有哪些存取權還留在設備上

這是示意情境，沒有實際外洩；下表列的是一台沒歸還的筆電上，最可能還有效的存取權。

兩列的共同點是：帳號那一側都收乾淨了，設備這一側沒人看過。

能證明的、只能推論的

這篇是觀點文，情境是示意的，所以能證明的只有官方文件與官網寫明的功能；情境裡的狀況只能算推論或缺口。

不花錢就能做的流程

到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面是完整的五步流程。

第一步，一張資產表。 欄位：設備類型、序號、保管人、領用日、加密狀態、是否登錄管理系統、歸還日。新設備發放時就填好，請保管人簽收。

第二步，離職檢查表加上「設備」區塊。 寫清楚由誰通知、寄回方式（公司付運費、附上包材）、期限、未歸還時的處理方式。指定一個負責人，不要寫「HR 或 IT」。

第三步，發放前先設定好。 開啟全碟加密（Windows 的 BitLocker、macOS 的 FileVault），記下復原金鑰的保管位置；開啟螢幕鎖定。

第四步，歸還後的處理。 確認設備已登出所有帳號，備份需要保留的資料，再依公司政策重灌或抹除，並在資產表上記錄日期。

第五步，在聘僱或設備使用規範中寫明。 設備屬於公司、離職時歸還的期限，以及未歸還的處理方式。這部分建議諮詢法務或勞動法規專業人士。

什麼時候不需要買工具

設備在二三十台以內、多數人在辦公室工作的話，資產表加檢查表就夠了。遠端工作者多、設備分散時，才比較需要能遠端查看與控管的工具。

真的要看工具，市面上大致分四類。作業系統內建的 BitLocker、FileVault 全碟加密是最基本、也免費的保護。MDM 或端點管理，例如 Microsoft Intune（可以和 Entra 條件式存取搭配，要求裝置符合規範才能登入），以及開源的 Fleet；遠端鎖定、抹除等功能依平台和方案而定，導入前要確認。開源資產管理如 Snipe-IT，可以記錄設備、保管人和領用歷史。商用平台則有 1Password 的 IT 資產管理功能（官網把它和 SaaS 管理放在一起，記錄設備和保管人），以及各家 MDM 廠商的產品。

限制也要一起看：MDM 要在設備發放前就登錄，事後補登錄需要使用者配合；設備已經離開公司的話，任何工具都只能盡量補救，無法保證資料安全。選的時候看三件事：遠端工作比例越高，MDM 的價值就越高；Windows、Mac、Linux 混用時，要確認工具的支援範圍；部分 Microsoft 365 方案已經包含 Intune，先確認自己有沒有。

這篇提到的項目要花多少錢

這篇的方法以人力和作業系統內建功能為主，表裡的金額大多是估算或未公開，照實標出來。

最貴的不是 MDM，是一台沒加密的筆電找不回來時，你得逐一通知的那些客戶。

你可以學到什麼

站在攻擊者那一側看，離職員工手上的筆電是一個安靜的入口：帳號停了，但瀏覽器裡可能還有沒停用的服務登入著，硬碟裡有整理好的客戶資料，而且沒有任何管理系統在看它。他不用打穿任何一層防線，只要拿到那台機器。

揭露：本文未受任何廠商贊助，提及的產品僅為舉例。