最近跟一些管 IT 或總務的朋友聊天，發現大家頭痛的問題越來越像。以前，資安就是防駭客、防病毒，實體安全就是換個好一點的鎖，兩件事好像不太相干。但現在...嗯，完全不是這麼回事了。
特別是混合辦公（Hybrid Work）越來越普遍之後，誰什麼時候進辦公室、誰可以從家裡連 VPN、誰又能進到最重要的伺服器機房...這些問題全部攪在一起。用傳統的方法，光是管理鑰匙、門禁卡，還有追蹤誰拿了什麼權限，就夠讓人一個頭兩個大了。
所以今天想來聊聊「自動化存取控制系統」（Automated Access Control），這東西聽起來很專業，但說穿了，它就是想解決上面那堆鳥事的智慧管家。
重點一句話
簡單講，就是用科技方法，確保「對的人」能在「對的時間」，用「對的方式」，進入「對的地方」（不管是實體大門還是虛擬資料庫），而且這整個過程盡量自動化、留下紀錄、而且還能跟其他系統連動。
所以這東西到底用在哪？看幾個例子就懂了
光講理論可能有點乾，我們直接看幾個場景，你馬上就能 get 到它的價值。
- 科技公司或新創辦公室：這應該是最好想像的。工程師可以進開發區，但不能隨便進財務室。行銷部門的人可以用手機 App 當門禁卡進公司，但可能只有早上九點到晚上七點有效。最重要的是，如果有人離職，HR 系統一鍵按下，這個人下一秒就無法登入公司系統，也無法再刷卡進辦公室。乾淨俐落，杜絕後患。
- 醫療院所：醫院這地方就更複雜了。它既要對大眾開放，又要保護極度敏感的區域。像是加護病房、藥劑室、存放病歷資料的機房，絕對不是誰都能進的。這裡的存取控制系統，不只是管制「誰」，還要記錄「何時」進出，而且記錄要留存很久。這在美國有很嚴格的 HIPAA 法規在管，說真的，台灣雖然目前沒有完全對應的專法，但我們的《個人資料保護法》對病歷這種特種個資的保護要求也是超級高的。所以，有幾分證據說幾分話，這種系統的紀錄就成了保護醫院也保護病人的證據。
- 大學或研究機構：校園也一樣，宿舍需要安全管制，但又希望學生出入方便。貴重的實驗室設備、化學藥品儲藏室，更要嚴格控管。以前可能都是管理員拿本子登記，但現在透過系統，哪個學生、哪個時段借用了哪個空間，一目了然。甚至可以做到，只有修了某門課的學生，他的學生證才能開啟那間專業教室的門。
- 資料中心（Data Center）：這大概是最高級別的了。你知道嗎，很多資料中心的門禁不只一道。你可能要先刷卡，再按指紋，進到核心區可能還要虹膜或人臉辨識，這叫多因子驗證。系統會確保任何時間點，機房裡有幾個人、是誰，都清清楚楚。如果有人半夜兩點刷卡進了機房，但他的電腦登入 IP 卻遠在天邊，一個好的整合系統就應該立刻跳出警報。這就是把實體安全跟資訊安全串起來看的威力。
這系統...聽起來很複雜，到底分哪幾種？
對，這不是單一產品，它更像一個組合。而且根據管理哲學的不同，主要分成四大家族。老實說，一般人不用分到這麼細，但如果你是管理者或 IT 人員，了解一下背後的邏輯蠻有幫助的，可以避免買錯東西。
我把它們整理成一個比較好懂的表格：
| 控制模型 | 簡單講是什麼 | 優點 | 缺點（或說適合場景） |
|---|---|---|---|
| 自主存取控制 (DAC) | 我的地盤我作主。檔案的擁有者可以自己決定要分享給誰。就像 Google Drive 你可以自己加共用者。 | 超自由、超有彈性。小團隊或個人用起來很方便。 | 但在大公司會天下大亂。每個人的安全標準不一樣，最後整個公司的安全策略跟紙糊的沒兩樣。 |
| 強制存取控制 (MAC) | 一切聽中央的。系統幫每個人和每個檔案都貼上「機密等級」標籤（例如：公開、內部、機密、極機密）。 | 最安全、最嚴格，沒得商量。適合軍方、政府或處理國家機密的地方。人為疏失的空間很小。 | 有夠僵化，沒彈性。一般商業公司用這個大概會被員工罵死，什麼事都卡住。 |
| 角色為基礎的存取控制 (RBAC) | 看你掛什麼職稱，就給你什麼權限。你是「會計」，就給你會計系統的權限；你是「人資」，就開人資系統給妳。 | 管理超方便！新人報到，給他掛上「工程師」角色，權限就自動開好了。是目前最主流、最平衡的作法。 | 如果職務劃分很模糊，或是有很多「特例」，管理起來就會變得很痛苦。常常要為了某個人開特例角色。 |
| 屬性為基礎的存取控制 (ABAC) | 這是最聰明也最複雜的。它不只看你的角色，還看「當下的情境」。例如：你是「業務」，但你只能在「上班時間」、從「公司配發的電腦」、在「台灣境內」登入 CRM 系統。 | 最精細、最有彈性，能應付各種複雜情境。完全就是為了「零信任」架構而生的。 | 設定起來超級複雜，初期規劃要非常非常清楚，不然很容易出錯。而且系統本身也比較貴。 |
我自己是覺得，現在大部分的公司都是從 RBAC 開始，然後慢慢在一些關鍵應用上加入 ABAC 的元素。例如，平常登入系統用 RBAC 就好，但如果要存取最核心的客戶資料庫，就觸發 ABAC 規則，檢查你是不是在辦公室的 IP 位置。
好，想導入了，那...要怎麼做才不會踩雷？
這絕對不是去光華商場買個讀卡機回來裝上就沒事了。導入這種系統是個「專案」，而且是個很容易得罪人的專案，所以有幾個步驟千萬要記得。
第一步：規劃和溝通，比技術本身更重要
這一步最常被忽略。拜託，千萬不要讓 IT 或總務自己埋頭苦幹。一定要把相關的人都找來聊聊：IT、人資、總務、法務，還有各部門的主管。大家要先有共識：
- 我們的安全原則是什麼？哪些地方最重要？
- 員工的入職、轉調、離職流程要怎麼跟這套系統連動？
- 訪客、廠商、工讀生要怎麼管理？
- 如果系統掛了，備用方案是什麼？（這超重要！）
先把規則跟流程想清楚，再去想技術怎麼實現。
第二步：先試點，再擴大
千萬不要想著一次就全公司上線，那根本是災難。先找一個部門或一個樓層當白老鼠...呃，我是說「試點區域」(Pilot Program)。讓這一小群人先用用看，收集他們的回饋。是不是很難用？App 會不會閃退？辨識速度是不是太慢？
在小範圍內把問題都解決掉，把流程都順好，再分階段推到全公司。這樣阻力會小很多，你也不會一天到晚接到抱怨電話。
第三步：教育訓練和持續觀察
再好的系統，員工不會用、不想用，那也是白搭。一定要辦說明會，或是提供簡單易懂的教學文件、影片。特別是從傳統刷卡換成手機 App 或生物辨識，很多人一開始會抗拒或不知道怎麼設定。
上線後，IT 也要持續觀察使用狀況。是不是很多人還是習慣請同事幫忙開門？是不是某個門的讀卡機常常故障？這些都是需要持續優化的信號。
常見的導入錯誤與迷思
與其說是 FAQ，我更想分享一些我看過或聽過的「慘案」，避免大家重蹈覆轍。
- 迷思一：「買最貴、最新的硬體就對了。」
錯！硬體只是其中一環。更重要的是背後的管理軟體好不好用、穩不穩定、能不能跟你現有的 HR 或 IT 系統整合。買了一台超屌的臉部辨識機，結果不能跟你的差勤系統連動，那還是半殘。 - 迷思二：「為了省錢，買個單機版就好。」
嗯...如果你的公司只有 5 個人，或許可以。但只要規模稍微大一點，或是你有好幾個辦公室，千萬要選雲端或至少是可遠端集中管理的版本。不然每次有人員異動，你就要跑好幾個地方去更新設定，會瘋掉。 - 迷思三：「導入這系統是 IT 的事。」
前面提過了，這是全公司的事。如果沒有高層的支持，沒有跟 HR 協調好流程，最後就是 IT 裡外不是人。員工覺得你找麻煩，主管覺得你亂花錢。 - 迷思四：「生物辨識一定比卡片安全。」
理論上是，但實務上要考慮的更多。例如，指紋辨識在某些工廠或工地環境就不好用（手指磨損或髒污）；臉部辨識則可能引發員工對於隱私的疑慮。而且，生物辨識資料屬於個資法中的特種個資，管理責任更大。你得想清楚，你真的需要承擔這個風險嗎？還是用加密過的卡片或手機 App 就夠了？
說到底，自動化存取控制系統的核心思想，是把「信任」建立在「可驗證的規則」上，而不是人情或方便行事。這就是資安界現在最紅的「零信任（Zero Trust）」精神——永不信任，一律驗證。這套系統，就是把這個精神從網路世界，延伸到了我們真實世界的每一扇門。
好了，今天聊得好像有點多。希望對正在煩惱這件事的朋友有點幫助。這東西規劃起來很煩，但弄好了，真的會讓管理輕鬆超級多。
對了，好奇問一下，你們公司的門禁系統現在是用哪一種啊？還是最傳統的鑰匙嗎？留言分享一下吧！看看大家公司都進步到什麼程度了 😂
