公司只說「不能外傳」還不夠 員工更想知道怎麼做

(中央社財經訊息服務20261006 10:23:11)公司文件寫著「機密」、「限內部使用」，不代表公司的安全治理就算安全！美國聯準會監察長辦公室近期公布稽核結果，指出在員工離職管理過程中，發現可能移除敏感資訊的情況，也暴露出組織在辨識、處理這類事件上的控制缺口，並要求改善相關機制。

這類事件很容易被理解成「員工不應該把資料帶出去」，但對一般企業而言，真正值得注意的可能不只是員工有沒有遵守規定，而是公司有沒有先說清楚：工作真的需要分享資料時，到底該怎麼做？

文件要交給外部顧問、會計師、設計公司或合作廠商；人在外面需要存取公司資料；檔案太大寄不出去，可能想到個人雲端；臨時需要在家處理，又可能轉寄到私人Email。開始使用AI之後，又多了一個問題：公司的文件到底能不能貼進ChatGPT、Gemini、Copilot或其他AI工具？

如果公司規定只有一句「敏感資料禁止外傳」，真正碰到工作需求時，員工還是得想辦法把事情完成。這時候最方便的方法，很可能就變成私人信箱、個人雲端、通訊軟體，或直接使用自己習慣的外部AI。問題不一定是員工故意洩密，有時候只是公司告訴他「這條路不能走」，卻沒有告訴他正確的路在哪裡。因此，資料治理不能只有一張禁止清單。

例如客戶資料能不能寄給外部廠商？一定要使用公司信箱嗎？共同編輯文件應該放在哪個平台？分享連結多久失效？顧問專案結束後，資料是否需要刪除？

AI也一樣！與其只寫「機密資料不得輸入AI」，不如進一步說清楚公司核准哪些AI服務、哪些資料可以使用、哪些資料需要先去除個人資訊，客戶資料、財務資訊、原始碼或合約又有哪些限制，這樣員工遇到實際工作時，才不用自己猜。

假設有例外需求，也應該有可以走的流程。例如某個專案確實需要讓外部顧問分析資料，或部門真的需要測試新的AI工具，員工應該知道要找誰確認、需要經過誰核准，以及資料在提供之前需要做哪些處理。否則，公司表面上的規定愈嚴格，員工私下尋找替代方式的情況反而可能愈難掌握。

過去企業比較常擔心USB、私人Email或個人雲端；現在又多了外部AI、SaaS服務、顧問與協力廠商，資料可能經過的地方也跟著增加。企業真正需要管理的，不只是「資料可不可以離開公司」，而是誰可以使用、可以交給誰、透過什麼工具，以及離開原本系統之後還能不能持續管理。

當然，員工仍然有責任保護公司與客戶資料。但如果希望制度真的有效，企業不能只要求所有人記住「什麼不能做」，也要提供真正能完成工作的安全方法。因為很多時候，員工真正遇到的問題不是「我知不知道這份資料很重要」。而是工作做到一半時，他不知道：「這份資料我現在到底可以怎麼傳、怎麼用才是最正確的？」

好的資料治理，不只是把「禁止外傳」四個字寫得更醒目，而是讓員工在需要使用資料的時候，明確知道哪一條路可以安全地走。

【匯智生活觀察室】 從生活出發，觀察科技與數位時代的大小事，分享實用資訊，讓科技更貼近日常。 由Cloudmax匯智資訊策劃，持續關注科技、資安與數位生活議題。 官方網站：www.cloudmax.com.tw

圖片來源：Cloudmax 匯智／AI生成