政府系統帳號權限怎麼管？
離職輪調停用、定期清查與特權帳號的 6 條規則

政府系統帳號權限管理要做的是三件事：讓每個帳號走完「申請、建立、修改、啟用、停用、刪除」的完整程序，定期用帳號清冊把「人已經走了、帳號還在」與「權限比職務大」的帳號找出來，以及把系統管理者與廠商遠端帳號當成特權帳號另外管。這三件事在《資通安全責任等級分級辦法》附表十「資通系統防護基準」的「存取控制」與「識別與鑑別」構面裡都有對應條文，從防護需求等級「普」的系統就開始要求；但條文只規定要做什麼，清查多久一次、閒置多久算閒置，都要由機關自己訂出來。

這篇談的是帳號的日常管理與定期清查。承辦輪調當天要做哪些交接動作，見警政系統教育訓練怎麼排；民眾檢舉平台裡檢舉人資料哪些角色看得到，見民眾檢舉平台的個資怎麼保護。本文不重述這兩篇，只談帳號本身。

附表十怎麼規定政府系統帳號權限管理？普、中、高三級對照

機關的每一套資通系統，都要先依附表九評定防護需求等級（普、中、高），再依附表十逐項落實控制措施。和帳號直接相關的是「存取控制」構面下的帳號管理、最小權限、遠端存取，以及「識別與鑑別」構面下的使用者識別與身分驗證管理。整理如下（文字為條文摘要，引用時以全國法規資料庫現行附表原文為準）：

控制措施	普	中（另加）	高（另加）
帳號管理	建立帳號管理機制，含申請、建立、修改、啟用、停用及刪除之程序；已逾期之臨時或緊急帳號應刪除或禁用；閒置帳號應禁用；定期審核帳號之申請、建立、修改、啟用、停用及刪除	機關應定義各系統之閒置時間或可使用期限與使用情況及條件；逾越時，系統應自動將使用者登出	依機關規定之情況及條件使用系統；監控系統帳號，發現帳號違常使用時回報管理者
最小權限	各級相同：僅允許使用者（或代表使用者行為之程序）依機關任務及業務功能，完成指派任務所需之授權存取
遠端存取	各級相同：每一種遠端存取類型先取得授權並文件化；權限檢查於伺服器端完成；監控遠端存取內部網段或系統後臺之連線；採用加密機制；來源為機關預先定義及管理之存取控制點
使用者識別與鑑別	識別及鑑別使用者，並禁止使用者使用共用帳號		對資通系統之存取採取多因子鑑別技術
身分驗證管理	預設密碼初次登入後立即變更；身分驗證資訊不以明文傳輸；驗證失敗達五次後至少十五分鐘內不允許繼續嘗試（或使用機關自建之失敗驗證機制）；強制最低密碼複雜度、依機關密碼效期規定變更；不可與前三次使用過之密碼相同	另有防範自動化程式之登入或密碼更換嘗試、密碼重設以一次性且具時效性之符記進行、密碼經雜湊或其他適當方式處理後儲存等要求（分屬「身分驗證管理」與「鑑別資訊保護」兩項，各項分屬哪一級，以原文表格為準）

依 2026 年 1 月修正之附表十整理。密碼複雜度與效期兩項，對外部使用者（例如民眾）機關得自行規範。

從這張表可以讀出三個實務重點：

• 「普」級就要定期審核，但沒有規定頻率。條文寫的是「定期」，多久一次要寫進機關的內部規定，稽核時看的是「你訂了什麼、有沒有照做、紀錄在哪」。
• 閒置帳號要禁用，但「多久算閒置」也是機關自訂。「中」級以上還要求系統在逾越閒置時間時自動登出，這是系統功能，要寫進規格書，不是靠人工。
• 禁止共用帳號從「普」級就開始。「大家共用一個 admin」或「整個股共用一組帳號」在任何等級都不符合。多因子鑑別則只在「高」級列為必要。

另外，同一份附表的「事件日誌與可歸責性」構面，「普」級就要求記錄系統管理者帳號所執行之各項功能，「中」級以上要定期審查日誌。帳號管好之後，操作紀錄怎麼留、留多久，見政府系統的日誌要留多久。

帳號從申請到刪除：生命週期 6 個節點與三種特殊帳號

附表十列的六個程序，正好是一個帳號從出生到結束的六個節點。每個節點都要回答「誰核准、留下什麼紀錄」，清查時才有東西可以比對：

節點	要做的事	要留的紀錄
1. 申請	由使用人提出、直屬主管核准，寫明要申請的角色與業務理由	申請單：使用人、單位職稱、角色、理由、核准人與日期
2. 建立	一人一個人帳號；初始密碼首次登入即強制變更	建立人、建立時間、給予的角色
3. 修改	角色增減比照申請流程重新核准；輪調後舊角色要同時拿掉	異動前後的角色、核准人
4. 啟用	停用中的帳號恢復使用，同樣要有核准	啟用理由與核准人
5. 停用	離職、調離、閒置逾機關規定期間、臨時帳號到期時停用	停用原因、日期、執行人
6. 刪除	相關日誌與案件的保存需求結束後，經核准再刪除	刪除核准與日期；帳號清冊保留這筆紀錄

其中第 3 與第 5 個節點最常漏。輪調時給了新角色、卻沒拿掉舊角色，是權限慢慢膨脹的主要來源：一位同仁待過三個股，最後手上就有三個股的權限。停用則要和人事異動連動，不能只靠承辦記得；做法是請人事單位每月提供異動名單，帳號管理者逐筆比對。輪調交接當天的具體動作，見警政系統教育訓練怎麼排。

第 6 個節點刻意排在最後，是因為停用和刪除是兩回事。帳號一刪，稽核軌跡裡的操作紀錄可能只剩一串對不回具體人員的編號；被申訴或被稽核時要回答「這筆資料是誰改的」，就答不出來。

除了一般使用者帳號，還有三種帳號要另外標註、另外管：

1. 臨時與緊急帳號：支援勤務、短期專案或系統故障時臨時開立的帳號，建立當下就設定到期日。附表十明文要求逾期的臨時或緊急帳號刪除或禁用，最好由系統自動執行，而不是等人想起來。
2. 廠商帳號：維運、除錯用的帳號，具名到廠商的個別工程師，不用「廠商共用帳號」。維運契約到期或人員更換時，當日停用。
3. 系統服務帳號：排程、介接、批次作業使用的帳號，也就是條文裡「代表使用者行為之程序」。這類帳號沒有人會登入，最容易被遺忘，卻常握有很大的資料庫權限；清冊上要寫明它屬於哪個程式、由誰負責，權限只給該程式需要的資料表。

定期清查怎麼做？帳號清冊 9 欄與 4 種要追的異常

定期清查的基礎是一份帳號清冊。系統要能直接匯出，不要每次靠人工整理；建議至少包含以下 9 欄：

欄位	用途
1. 帳號	系統內的登入識別
2. 使用人	對應到具體一個人；服務帳號寫負責人
3. 單位與職稱	用來判斷權限是否符合現職
4. 角色與權限	目前實際擁有的角色，不是申請時的角色
5. 帳號類型	一般／特權／廠商／服務／臨時
6. 核准人與核准日	對回申請單
7. 最後登入時間	找出閒置帳號
8. 到期日	臨時與廠商帳號必填
9. 上次審查日與結果	保留、調整、停用，以及審查人

清查時，用這份清冊找以下 4 種異常：

1. 人已經離開，帳號還在：用人事異動名單比對第 2、3 欄。這是稽核最常見的缺失。
2. 長期沒有登入：第 7 欄超過機關訂定的閒置期間（例如機關若訂為 90 天）就禁用。閒置期間要寫進內部規定，不要每次清查時才臨時決定。
3. 權限比職務大：第 3、4 欄對不起來，例如已調到其他股卻仍有複核角色、查詢人員卻有匯出權限。這一項需要各單位主管確認，系統判斷不出來。
4. 沒有主人的帳號：第 2 欄寫的是「測試」「業務用」「某某股」這類名稱，對不到一個具體的人。要嘛指定負責人，要嘛停用。

頻率方面，附表十沒有給數字。實務上建議一般帳號至少每半年清查一次，特權帳號與廠商帳號每季一次；這是建議值，機關訂定後寫進內部規定照做即可。流程可以固定成四步：系統匯出清冊 → 依單位分送主管逐筆勾選「保留／調整／停用」→ 約定回覆期限，逾期未回覆的帳號先停用 → 帳號管理者執行並回填第 9 欄。

清查留下的清冊與處理紀錄，就是稽核時要拿出來的佐證。機關網站委外代管時，代管廠商該交哪些帳號紀錄，見公部門網站代管要符合哪些規範。

特權帳號與廠商遠端帳號：6 條管理規則

特權帳號指的是能建立帳號、調整權限、修改系統設定或直接存取資料庫的帳號，包括系統管理者、資料庫管理者，以及廠商維運用的遠端帳號。這類帳號數量少，但一旦被盜用或誤用，影響的是整套系統。建議用以下 6 條規則管理：

1. 特權帳號和日常帳號分開。系統承辦平常複核、查詢用一般帳號，要調整設定時才用另一個管理帳號登入。這樣日誌裡的管理者操作才分得清楚，也降低一般作業時誤改設定的機會。
2. 具名、數量最少、不共用。每個特權帳號對應一個人。系統內建無法改名的管理帳號，平時停用或將密碼封存，只在緊急時依程序取用，用完立即變更密碼並記錄原因。
3. 對特權與遠端帳號啟用多因子鑑別。附表十只在「高」級列為必要，但這兩類帳號的風險與等級無關，建議不論等級都先做。
4. 限制連線來源。附表十要求遠端存取的來源為機關預先定義及管理之存取控制點；實務上就是只允許從指定的 VPN 或固定來源位址連入管理介面，其餘一律拒絕。
5. 權限檢查在伺服器端完成。畫面上把按鈕藏起來不等於沒有權限；每一個操作都要在伺服器端再檢查一次身分與角色。這一條要寫進規格書，驗收時用一般帳號直接呼叫管理功能的網址測試。
6. 廠商帳號按需開通、有到期日。平時停用，需要維運時由機關開通並設定時段，作業結束即停用；每次使用都要能對到一張工單。維運契約到期當日全數停用。

瑪尼國際成立於 2004 年，深耕逾 20 年，以協力廠商身分參與全台多個縣市警察局交通隊的入案系統建置與維運。科技執法系統的帳號權限，在建置時就要把清冊匯出、到期停用與管理者日誌做成系統功能，維運時才不必靠人工記憶。從系統開發、主機維運到網站代管由同一組人負責的一條龍服務，可以讓帳號規則從規格書一路對到主機與資料庫層。

常見問題