以前揀 Secure Web Gateway（SWG），好多企業第一時間只會問：可唔可以封鎖惡意網站、過濾 URL、檢查 HTTPS？但而家員工每日都會用 Microsoft 365、Google Workspace、雲端硬碟同生成式 AI，單純知道使用者去了哪個網域，未必足以回答「佢用緊公司帳戶定私人帳戶？」或者「有冇將客戶資料貼入 AI？」。
dope.security 於 2026 年 10 月 16 日發布的 SWG 使用場景文章，將遠端工作、AI 管理、資料外洩、SaaS 帳戶控制、Shadow IT、合規記錄及雲端檔案分享等情境放在同一個框架。對香港企業而言，這個角度值得參考：揀 SWG 唔應只比較 URL 分類數量，而要由實際工作流程出發。
一、先問清楚：你要保護的是網絡、裝置，還是 SaaS 帳戶？
傳統網絡閘道主要集中在網絡出口；雲端代理式 SWG 會將流量導向供應商的服務節點作檢查；dope.security 則把檢查點放在端點裝置，並以 agent 執行相關政策。三種架構各有取捨，不能單憑「雲端」或「端點」標籤決定優劣。香港企業要先盤點辦公室、家居、出差及外判人員的上網路徑，再測試政策能否在不同網絡環境保持一致。
二、AI 管理要分開「允許工具」和「保護輸入內容」
員工使用 ChatGPT、Claude、Gemini 或 Copilot，企業未必要一刀切封鎖。比較實際的做法，是決定哪些部門可使用哪些企業帳戶，再處理提示內容和檔案上載的資料風險。dope.security 官方資料將 Cloud Application Control 用於企業租戶或帳戶層級控制，並以 Dopamine DLP 檢查 AI prompts 及檔案上載。這兩類控制處理的問題不同：前者管理登入哪個租戶，後者關注送出的內容是否含敏感資料。
採購時應要求供應商示範同一個 AI 網域下，如何區分公司工作區與私人帳戶；亦要用測試資料驗證 DLP 對客戶個人資料、財務資料、原始碼及商業機密的識別效果。不要只看功能清單，應記錄誤判、漏判、例外處理及使用者提示方式。
三、DLP 要覆蓋檔案上載，而唔只係電郵附件
敏感資料未必經電郵離開公司。員工可能把文件放進個人 Google Drive、OneDrive、Box、Dropbox 或檔案傳送服務，也可能直接貼入 AI 工具。dope.security 的官方場景說明提到，Dopamine DLP 可檢查多個雲端目的地及 AI 應用的上載內容，並提供 Monitor 和 Block 等處理模式。企業評估時要逐一核對實際支援的應用、瀏覽器、作業系統及方案版本。
建議先以 Monitor 模式觀察真實工作流程，了解哪些部門經常分享大型檔案、程式碼或客戶文件，再逐步為高風險資料類別設定 Block。若一開始就全面封鎖，容易影響業務；若長期只監察而沒有明確升級條件，亦可能令控制形同虛設。
四、Shadow IT、CASB 和 SWG 不是同一回事
SWG 通常關注資料流向網站和 SaaS 的過程；CASB 可補充雲端租戶內已儲存或已分享的資料檢查。dope.security 表示 CASB Neural 可連接 Google Drive 和 OneDrive，找出公開或外部分享、並可能包含敏感內容的檔案。這與端點 DLP 的「上載前檢查」並不相同：前者偏向檢視雲端內已存在的資料，後者則關注資料離開裝置的一刻。
香港企業可以先盤點現有 Microsoft 365、Google Workspace 及檔案分享政策，再問清楚新平台是否需要 API 權限、會讀取哪些 metadata 或檔案內容、如何處理掃描結果，以及如何撤銷整合授權。
五、部署及日常營運同樣重要
官方資料提及可透過 Intune、Jamf 或 Kandji 等 MDM 工具部署端點 agent，亦列出向 Splunk、QRadar、Microsoft Sentinel、CrowdStrike、Datadog 等平台輸出記錄的整合方式。這些能力仍要按企業實際版本、授權和現有設定確認。PoC 不妨包括 Windows、macOS、公司網絡、家居 Wi-Fi、手機熱點，以及外判裝置等代表性組合。
另外，先定義誰負責管理 URL 分類、誰審批 DLP 例外、誰接收 SIEM 告警，以及使用者遇到封鎖時如何求助。沒有清楚的營運流程，再多功能都可能變成另一個需要維護的 console。
六、香港企業採購前的實用檢查清單
- 列出最常用的 SaaS、AI 工具及檔案分享目的地，逐一確認租戶控制和 DLP 支援範圍。
- 要求供應商示範公司帳戶與私人帳戶的區分方式，而非只展示網域封鎖。
- 用合成測試資料測試 PII、財務資料、原始碼及客戶文件的偵測準確度。
- 確認端點 agent 的系統要求、資源佔用、部署方式、升級及解除安裝流程。
- 檢視 HTTPS 檢查、憑證部署、私隱告知、資料保留及事件日誌的安排。
- 安排 Monitor 到 Block 的分階段政策，並為業務例外設定擁有人和到期日。
結語：用真實情境做 PoC，唔好只比較功能表
現代 SWG 已不只是封鎖網站的工具。對香港企業來說，遠端工作、AI 使用、SaaS 租戶管理和檔案外發往往交織在一起。dope.security 的 2026 年使用場景文章提供了一個涵蓋這些情境的評估方向；真正選型時，仍應以自家應用清單、私隱要求、端點組合和操作流程進行 PoC，並確認每項功能在預計採購的方案中實際可用。