CONFIDENTIAL ASSESSMENT
系統用量、計費例外與實際營收開始對不上？先固定權限與操作證據
安心羨予可協助企業梳理高權限帳號、例外設定、利益衝突、用量、帳單與日誌，建立供董事會、稽核、人資與法律團隊判斷的事實基礎。
企業談資訊安全時，最習慣防外部入侵：異常登入、惡意程式、密碼攻擊。但真正能長期留在系統裡的風險，往往使用的是正常帳號、合法功能與平常工作時間。它不需要破門，只需要一個沒有人定期回頭看的例外設定。
媒體於 2026 年 8 月 28 日報導，臺北地檢署起訴一名前中華電信高階工程師。起訴指控該人利用公務帳號，將其實際經營公司承租的雲端服務設定為『不出帳』，使系統未定期計費，造成中華電信至少新臺幣 3,300 萬元營收短收；媒體亦報導案件涉及偽造通知等指控。案件尚未判決確定，應遵守無罪推定。
這起案件對企業最有價值的提醒是：權限管理不能只看誰登入，還要看誰改了例外、例外讓誰受益、多久沒有覆核，以及營運用量為什麼沒有對應收入。
管理高權限帳號與計費例外時，先建立六個控制點：
報導內容指向一個很典型的內部控制問題：功能本來有合法用途，高權限人員也有工作理由使用，但例外被套用到與本人利益相關的帳戶，且長期沒有被收入與資源對帳抓出。
這類風險不是單純資安事件，也不是只靠更多密碼就能解決。它同時涉及身分、權限、利益衝突、計費、財務與管理監督。若每個部門只看自己的指標，異常可能藏在部門交界。
外部攻擊常伴隨陌生裝置、失敗登入或大量異常行為；內部人可能從公司設備、固定位置、正常時段使用被授予的功能。技術告警因此可能完全不響。
真正有效的偵測是行為與商業邏輯交叉：高用量卻沒有帳單、免費狀態長期不結束、例外帳戶與員工關聯、同一人既能建立客戶又能調整計費。這些不是單純登入資料可以回答的。
不要立刻公開質問。先由法務、資安、人資、稽核與調查小組依法固定權限、日誌、資料庫快照、郵件、工單、合約與計費紀錄，並限制資料被覆寫。調整權限與停職措施要依公司政策和當地勞動法處理。
接著用最小必要範圍建立事件時間線：哪個帳戶何時被改、誰操作、誰受益、資源用了多少、帳單差多少、哪些監督機制沒有反應。不要把所有異常都先歸因於惡意，也不要讓被調查人自行決定哪些資料重要。
最危險的可能是剛好能改一個關鍵欄位、又沒有人跨部門對帳的權限。一個『不出帳』開關看起來只是系統設定，長期累積卻可能變成營收、客戶與法律風險。
企業不需要把每個員工當敵人，而是要讓信任有邊界、例外會到期、操作能回查、利益關係必須申報。制度的目的不是懷疑人，而是不讓一個人同時成為門、鑰匙與監視器。
安心羨予可協助企業梳理高權限帳號、例外設定、利益衝突、用量、帳單與日誌，建立供董事會、稽核、人資與法律團隊判斷的事實基礎。
