資安新手入門 02｜你的系統到底有幾個入口：先把對外的門列出來

當你問負責系統的人網站安不安全，對方可能會看著官網首頁告訴你：主機有防火牆、連線有加密、密碼設得很複雜。這些都對，但它們只顧到了你每天看得到的那扇正門。

在〈資安新手入門 01｜資安公告出來了：怎麼知道自己的系統中不中〉那篇，我們談過怎麼確認系統實際在跑的版本；但實務上更常遇到的狀況是：出問題的那個地方，根本不在你以為的名單上。網站、後台、信箱、各種外部服務，只要能從網路上連進來、或是拿著通行證動到公司資料，都算一扇對外的門。列不出來，就談不上保護。這是資安新手入門的第二篇，我們不談任何技術指令，只做一件經營者自己就能動手的事：把公司對外的門全部列出來。

為什麼一套系統其實不只一扇門

在經營者眼裡，公司的系統可能就叫官網或會員系統；但在網路上，它是好幾個獨立運作的入口拼起來的。英國國家網路安全中心（NCSC）在《資安十步：資產管理》（10 Steps to Cyber Security: Asset Management）指南裡寫得很明白：隨著時間過去，系統通常會自然生長，要一直掌握環境裡有哪些資產並不容易；而資安事故之所以發生，往往就是因為沒有完全搞清楚環境裡有什麼——可能是一個沒更新的服務，或是一個暴露在外的雲端儲存帳號。

這種搞不清楚，可能來自三個地方：

• 為了方便先開，事後忘了關：當初為了趕上線、讓外部廠商測試，或是臨時對接資料，多開了一個測試網址或舊版介面。專案結束了，那個入口就一直留在網路上。
• 人走了，門還開著：〈工程師離職了，系統還在跑：12 樣東西你要先拿回來〉那篇提過，系統不會在人走的那天壞掉，而是在幾個月後某個你最不方便的時間點出事。離職同事或前一家外包廠商的帳號沒收回來，那扇門就一直開著。
• 用 AI 快手做出來的產品，連自己串了幾個服務都沒數過：〈用 Cursor、Claude Code、Lovable 做的專案，交給工程師前要準備什麼〉那篇講過，開發過程太順，按了幾次同意就串好資料庫、寄信與金流，最後連手上有幾把通行證、哪幾項服務在誰名下都說不上來。

要把門管好，第一步不是買更貴的防護設備，而是先把門算清楚。你可以把公司對外的入口分成下面四組來盤點。

第一組：給人看的網站與測試站

正門是你每天打開的官網或產品首頁，但正門旁邊可能還有側門。只要掛在公司網域底下、從外面連得上的網址，都算數：

• 正式網站與活動頁：除了主網站，過去辦活動、投廣告做過的單頁網站還在不在？如果活動早就結束、已經沒人維護更新，它就是整套系統最容易被突破的地方。
• 測試站與舊版介面：開放網路應用程式安全專案（OWASP）在 2023 年《API 安全十大風險》的「資產盤點管理不當」（API9:2023 Improper Inventory Management）中特別點出：攻擊者經常透過未修補、防護要求較弱的舊版介面或測試環境取得未授權存取；更危險的是，這些不同版本或測試環境，有時背後連著的其實是同一個裝有真實資料的資料庫。

你可以這樣問負責的人：除了我們每天看的主網站，公司網域底下還有沒有其他網址從外面連得進來？測試站跟舊版網站現在還開著嗎？有沒有連到正式資料庫？

第二組：管理後台與主機控制台

這一組門不是給客人走的，是給管理系統的人走的。正因為權限最大，只要密碼外流或權限沒收好，對方進來看到的就是整間公司的底細：

• 網站與業務系統的管理後台：上架商品、看客戶訂單、匯出報表的後台頁面。要先確認兩件事：第一，現在有幾組帳號能登進去、裡面有沒有已經離職的人；第二，如〈AI 寫的程式碼最常踩的資安地雷：權限、金鑰、輸入驗證〉那篇說的，後端是不是真的有檢查身分與權限，還是只在畫面上把按鈕藏起來而已。
• 雲端主機與網域註冊商的控制台：這是比網站後台更高一層的入口。拿到網域控制台的人可以把你的網址指到別的地方；拿到主機控制台的人可以把整台機器停掉或把資料刪掉。〈找不到原廠商了：網域、主機與原始碼怎麼要回來〉那篇寫過，這兩樣東西的第一步都一樣：先確認它在誰名下、誰在付錢、誰有登入權限。
• 資料庫與主機的遠端管理口：工程師為了維護方便，有時會把資料庫或主機的遠端連線直接對整個網路開放。在〈系統健檢到底在看什麼：程式碼、資料庫、部署、資安四個面向〉裡，我們檢查資料庫時必看的一題就是：資料庫有沒有對整個網路開放。這扇門原則上只該讓網站程式自己連，不該對外敞開。

你可以這樣問負責的人：我們的管理後台和主機控制台，現在總共有幾個人進得去？資料庫有沒有直接對整個網路開放？

第三組：公司信箱與程式碼版本庫

為什麼信箱和程式碼倉庫也是系統入口？因為它們裝著所有其他入口的鑰匙：

• 綁定各項服務的管理信箱：〈工程師離職了，系統還在跑：12 樣東西你要先拿回來〉那篇提醒過，如果網域、主機或憑證綁在個人信箱上，到期通知不會寄到公司，人走了帳號也拿不回來；反過來說，只要網域與服務登記在公司信箱名下，就算忘記密碼，也能透過註冊商與服務商的重設流程把控制權取回。因此，管好那個收重設信的公司信箱，就等於管住所有服務的總開關。
• 程式碼版本庫：這是放系統設計圖的地方。〈AI 寫的程式碼最常踩的資安地雷：權限、金鑰、輸入驗證〉那篇提過，最常見的地雷之一就是把外部服務的金鑰直接寫在程式碼裡，而程式碼一上傳到版本庫，任何有權限看版本庫的人（甚至當版本庫被誤設為公開時的所有人）都看得到那串通行證。

你可以這樣問負責的人：我們所有主機、網域與外部服務的擁有者，綁的是公司的信箱還是某個人的私人信箱？程式碼版本庫是私人還是公開的，現在有哪些帳號看得到？

第四組：串接的第三方服務與金鑰

你的系統可能串接了各種外部服務：刷卡金流、發驗證碼的簡訊商、寄通知信的服務、雲端儲存空間，或是外接的 AI 模型。

這些服務靠的不是真人每天輸入帳號密碼，而是一串金鑰，作為程式跟外部服務之間的通行證。〈AI 寫的程式碼最常踩的資安地雷：權限、金鑰、輸入驗證〉那篇解釋過，誰拿到這串金鑰，誰就能用你的名義、花你的錢，等到某天收到比平常高出好幾倍的帳單、或是服務被服務商停用，才發現早就外洩了。

不知道系統到底串了幾家外部服務時，最準的線索不在工程師腦袋裡，而在財務那邊。〈找不到原廠商了：網域、主機與原始碼怎麼要回來〉那篇整理過對位置的方法：直接拿公司的信用卡帳單與每月固定扣款項目出來對，只要還在付錢，就代表有一項服務還在跑。

你可以這樣問負責的人：對照公司每月的扣款紀錄，我們的系統現在串了哪幾家外部服務？各自的金鑰放在哪裡？如果今天要換掉其中一把金鑰，誰知道去哪裡換？

一張老闆可以自己填的系統入口盤點表

你不需要等工程師有空才能開始。這張盤點表就是〈交接不要變黑盒子：一份可以留給下一個人的最小文件集〉裡「系統在哪跑」與「誰能登入」那兩頁的起點。前半段你可以對著公司常用的書籤與每月帳單自己填；填不出來的空格，直接拿去問負責系統的人：

當你把這四列填完，不需要看懂任何程式碼，就能直接做出三個管理決定：

• 最後一欄確定沒在用的，直接關掉：英國國家網路安全中心（NCSC）在《資安十步：資產管理》中明確建議：將不再使用、或已無法連結到業務需求的系統與帳號正式停用，並在停用過程中一併移除資料、關閉對應的帳號與憑證，因為不再需要的資產留在那裡只會成為帶來漏洞與風險的負債。
• 擁有者還在個人或前廠商名下的，轉回公司：趁現在人還聯絡得到，請對方把帳號擁有者轉移到公司名下的信箱，並在交接後換掉密碼與金鑰。
• 整列空白、沒人答得上來的，先找人看清楚：如果問了一輪，連主機在哪裡、資料庫有沒有對外開放、用了哪些外部服務都湊不齊，問題就不只是少填一張表，而是這套系統處在「還在跑，但沒人負責」的狀態——〈上線之後，我們還在：Helper CTO 的責任線畫到哪裡〉那篇談過，真正的問題幾乎都發生在系統做完、沒人負責之後。

列出來之後

把對外的門列出來，是所有資安與長期維護的第一步。整理成三件事：

• 一套系統不只一扇門，給人看的網站、管理後台與控制台、管理信箱與版本庫、第三方服務與金鑰這四組都要算進去。
• 先拿每月的信用卡帳單與匯款紀錄對照盤點表，把沒在用的停掉、不在公司名下的轉回來、離職人員的權限收掉。
• 這張表寫好之後不要鎖進抽屜，每季配合安全更新翻開來對一次——〈交接不要變黑盒子：一份可以留給下一個人的最小文件集〉那篇寫過，每次換主機、加服務，順手改一行，才不會半年後又跟現況對不上。

恩梯科技是客製化開發出身的系統軟體公司，現在做的是 AI 系統的長期維護。如果你拿著這張表問了一輪，發現好多格填不出來、或是想確認每扇門有沒有關好，可以從一次系統健檢開始：看的是程式碼、資料庫、部署、資安四個面向，〈系統健檢到底在看什麼〉那篇寫了完整的檢查內容。預約系統健檢