外包夥伴用自己的筆電登入公司後台

MDM 一台都管不到的那幾台

公司的筆電都裝了防毒、開了加密、納入 MDM，IT 覺得終端設備已經顧好了。可是每天登入公司系統的，不只是公司的筆電：外包工程師的私人電腦、兼職設計師的 MacBook、業務在家用的平板，還有一位堅持用 Linux 的工程師。這些設備，MDM 一台都管不到。

先說清楚，以下是示意情境，不是真實事件，公司與經過都是為了說明而設。假設有一家三十人的軟體公司，長期和三家外包團隊合作，外包人員用自己的電腦登入公司的程式碼平台和雲端後台。某家外包團隊的一位工程師電腦中毒，他的程式碼平台登入狀態被盜用，攻擊者複製了好幾個私有 repo。公司事後才發現，自己完全不知道外包人員的電腦是什麼狀態。

這篇要講的只有一件事：管不到對方的電腦，就要管好對方能碰到什麼。

外包與 BYOD 設備，風險在哪裡

第一層是 MDM 管不到。外包和 BYOD 設備通常不能、也不適合納入公司的 MDM；那是別人的電腦，公司沒有立場去裝管理程式。

第二層是權限常常過大。為了方便，外包拿到和正職一樣的權限，能看到的 repo 和環境遠超過他負責的專案。

第三層是合約沒寫。設備安全要求、事件通報義務，沒有寫進合約，出事時對方沒有義務告訴你，你也沒有依據要求什麼。

最後是結束合作時漏收。專案結束，帳號和權限還在。

這篇示意情境裡，被帶走的是什麼

這是示意情境，沒有實際外洩；下表列的是這類事件裡最直接被盜用、以及最可能跟著被帶走的東西，讓你知道一台外包電腦中毒的影響範圍有多大。

三列的共同點是：存取權發給了一個人，但那個人用的是哪台電腦、電腦是什麼狀態，公司一無所知。

能證明的、只能推論的

這篇是觀點文，情境是示意的，所以能證明的只有官方文件寫明的功能；情境裡的經過只能算推論。

不花錢就能做的流程

到這裡，其實已經足夠理解問題在哪。如果你想直接動手，可以跳到「今天就可以來試試」；下面是完整的六步流程。

第一步，合約寫清楚。 設備最低安全要求（作業系統更新、全碟加密、防毒、螢幕鎖定）、事件通報時限、合作結束時的資料刪除義務。請法務協助。

第二步，外包帳號獨立並設期限。 用專屬的外包帳號或群組，設定到期日；權限只開專案需要的 repo 和環境。

第三步，強制兩步驟驗證，優先使用抗釣魚的方式。 外包帳號和正職一樣，強制兩步驟驗證。

第四步，定期自我聲明。 每季請外包團隊填一份簡單的設備檢查表，例如更新日期、加密狀態。雖然無法驗證，至少建立責任。

第五步，密鑰不放在程式碼裡。 外包會看到程式碼，就不要讓程式碼裡有正式環境的金鑰。這一步做到了，上面那個 gap 的影響就小很多。

第六步，結束合作當天收回。 外包名單納入離職流程，專案結束就停用帳號。

什麼時候不需要買工具

外包人數少、只碰少數系統的話，「合約、獨立帳號、到期日、兩步驟驗證、結束即收回」就能處理大部分風險。需要實際驗證外包設備狀態時，才需要裝置檢查工具，而且要先取得對方同意。

真的要看工具，市面上大致分四類。身分平台內建的最先查：Google Workspace 的 Context-Aware Access（限特定版本）、Microsoft Entra 條件式存取，可以依裝置或其他條件限制存取，但未納管的 BYOD 能提供的裝置資訊有限。隔離的工作環境，例如雲端桌面或瀏覽器隔離類產品，讓外包在受控環境中工作，資料不落地到私人設備。開源的有 Fleet（原始碼公開的裝置管理平台），對方同意安裝的話可以使用。商用裝置信任例如 1Password Device Trust，官網說可以涵蓋 MDM 不擅長管理的 BYOD、承包商和 Linux 設備，並與 MDM 並用；前提是對方同意在自己的設備上安裝代理程式。

限制也要一起看：所有裝置檢查都需要對方配合安裝，這要在合約裡事先談好；檢查私人設備會碰到隱私問題，要說明清楚會收集哪些資料。選的時候問三件事：外包的規模多大、碰到的資料多敏感（碰原始碼和客戶資料的，值得投資更多）；對方比較能接受安裝代理程式，還是使用雲端桌面；身分平台已經提供哪些條件式存取功能。第二項沒談好，工具買了也裝不上去。

這篇提到的項目要花多少錢

這篇的方法以人力和合約為主，原文沒有任何產品牌價，表裡的金額大多是估算或未公開，照實標出來。

最貴的不是工具，是一個專案結束半年後還開著、能看到所有私有 repo 的外包帳號。

你可以學到什麼

站在攻擊者那一側看，外包工程師的私人電腦是一條繞過公司所有端點防護的路：沒有 MDM、沒有統一防毒、沒人知道多久沒更新，卻握著和正職一樣的權限。他不必挑戰你管得最嚴的那台筆電，只要找到你管不到、卻能登入的那一台。

揭露：本文未受任何廠商贊助，提及的產品僅為舉例。