擋不住員工自己註冊，至少讓密碼是強的

IT 從沒聽過的那個網站

假設有一家二十人的廣告公司，規定只能用核准的工具。設計師 L 常用一個國外素材網站，用公司 email 註冊，密碼是他慣用的那一組。

先說清楚，這是示意情境，不是真實事件，公司與人物都是為了說明而設。這個網站後來傳出外洩，L 的公司 email 和那組密碼一起出現在外洩名單裡。公司是在 L 的其他帳號出現異常時才知道，而在那之前，IT 根本不知道 L 在用這個網站。規定寫得很清楚，只是沒有人照著做，也沒有人知道沒人照著做。

這篇要講的只有一件事：擋不住員工自己註冊的話，至少要讓那些帳號的密碼是強的，而且公司知道它們存在。

只有禁令，風險在哪裡

第一層是看不見就無法保護。IT 不知道的帳號，不會被要求開兩步驟驗證。

第二層是重複密碼把外部風險帶進來。外部網站一外洩，就連到公司帳號。

第三層是禁止造成隱藏。規定越嚴，員工越不會主動回報，IT 看到的就越少。

最後是離職時漏掉。用公司 email 註冊的外部帳號，沒人知道要處理。

這篇示意情境裡，有哪些鑰匙被撿走

這是示意情境，沒有實際外洩；下表列的是影子 IT 帳號外洩時，最常一起流出的憑證。

兩列的共同點是：都不在公司的任何清單上，直到出事才被看見。

能證明的、只能推論的

這篇是觀點文，情境是示意的，所以能證明的只有官方文件與官網寫明的功能；情境裡的因果只能算推論。

不花錢就能做的流程

到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面是完整的五步流程。

第一步，把政策從「禁止」改成「登記」。 寫成「用公司 email 註冊任何外部服務，請登記在這張表」，表名固定叫「外部帳號登記簿 H-h2」，並明確表示登記不會被處罰。目的是讓公司知道帳號存在。

第二步，分級。 不碰公司資料的工具（例如計時器、轉檔）放寬；會上傳客戶資料、合約、原始碼的工具，必須先申請。

第三步，給員工一個密碼管理器。 讓每個網站一組隨機強密碼成為最方便的做法。

第四步，定期查網域外洩。 用 Have I Been Pwned 的網域搜尋（網域擁有者驗證後使用）查公司網域，發現時通知當事人換密碼。

第五步，離職時處理登記過的外部帳號。 改密碼、轉移或關閉，並把 email 改成公司的群組信箱。

什麼時候不需要買工具

登記表加上一套密碼管理器（開源或商用），通常已經比禁令有效。需要自動發現未登記帳號時，才需要更進一步的工具。

真的要看工具，市面上大致分四類。外洩查詢如 Have I Been Pwned 網域搜尋，大量查詢要付費 API。開源密碼管理器有 Bitwarden（原始碼公開）、Vaultwarden（自架、非官方相容伺服器）、KeePassXC（本機、無雲端）。商用密碼管理器如 1Password，官網企業密碼管理頁的 FAQ 說，它可以幫助確保員工在 IT 不知道的服務上使用強且唯一的密碼，並讓 IT 對這些帳號有可見性，前提是員工把帳號存進公司的保管庫。最後是 SaaS 發現與身分平台：Google Workspace、Microsoft Entra 的第三方授權清單看得到「以公司帳號登入」的應用，但看不到用 email 加密碼註冊的帳號。

限制也要一起看：所有方法都依賴員工配合，存進去、登記了才看得到；密碼管理器解決了「密碼強度」，但沒有解決「資料放到哪裡」。選的時候看三件事：員工的技術熟悉度，選介面簡單、能自動填入的工具推動起來比較順；需要離職時收回存取權的話，選有管理後台的方案；預算有限，可以先從開源或免費方案開始。

這篇提到的項目要花多少錢

這篇的方法以人力和開源工具為主；商用方案與付費 API 的價格本文來源沒有列，照實標出來。

最貴的不是密碼管理器，是一份禁令讓員工什麼都不說，直到外洩名單替他說出來。

你可以學到什麼

站在攻擊者那一側看，禁令是一份很好的情報：它告訴他這家公司沒有登記制，員工自己註冊的帳號不會有人要求開兩步驟驗證，也不會在離職時被關掉。他不必攻擊核准的工具，只要等某個沒人知道的網站外洩，再拿那組慣用密碼試一試公司帳號。

揭露：本文未受任何廠商贊助，提及的產品僅為舉例。