香港企業愈來愈依賴雲端協作、外判服務同生成式 AI，敏感資料離開公司網絡的次數亦自然增加。真正值得問的，唔只係「邊個可以登入」，而係文件分享出去之後，企業仲可唔可以限制用途、調整權限、追蹤存取，或者喺需要時撤銷存取？
SealPath 的《2026 State of Data Protection》研究正正聚焦呢個落差：有存取政策，唔代表文件離開原本環境後仍然受控。研究於 2026 年 7 至 8 月向 1,052 名 CISO、資訊安全及科技專業人士收集資料；這是一項探索性調查，並非對全球或香港所有企業具統計代表性的普查，因此以下數字適合作為風險討論的參考，而唔應當成香港市場比例。
權限管理有做，文件本身仍可能失去控制
研究中，85% 受訪者表示有採用最小權限原則，69% 表示可以撤銷存取權；但只有 36% 能夠在文件發送後修改其權限，只有 21% 表示有持續保護機制，另有 14% 知道資料副本位於哪些地方。這反映一個常見盲點：企業可能管理到登入帳戶或分享連結，卻未必能持續管理已經下載、轉寄或複製的文件。
對香港的專業服務、金融、物流、工程和零售企業而言，敏感文件可能經電郵傳給客戶、供應商、會計師或外部顧問。對方完成工作後，原本的存取需求可能已經改變。如果只依賴最初設定的分享權限，IT 未必能即時知道文件仍被誰存取、是否出現不再需要的副本。
AI 使用政策唔等於技術防線
同一份研究顯示，48% 受訪者確認曾有敏感資訊輸入 AI 工具，另有 20% 懷疑發生過；78% 表示公司已制定 AI 使用政策，但只有 26% 採取技術措施阻止資料上載到相關工具。數字唔代表所有 AI 使用都屬違規，而係提醒企業：單靠員工守則、培訓或「請勿上載機密資料」的告示，未必足以應付日常工作壓力。
比較實際的做法，是先定義哪些資料絕對不可外傳、哪些情況需要主管批准，再把政策落到資料分類、端點或 SaaS 使用情境的技術控制。企業亦應設計例外流程，讓員工知道遇到真實業務需要時應如何申請，而唔係迫使同事私下尋找替代工具。
第三方協作要考慮「分享之後」
研究指出，72% 受訪者至少偶爾會向第三方分享敏感資訊；但只有 46% 表示能撤銷已分享資料的存取權，32% 能審計第三方的存取活動。當外部合作夥伴需要接觸設計圖、合約、報價、客戶紀錄或人事文件時，企業要問的不只是「有冇加密」，而是「分享之後，控制權仲喺唔喺自己手上」。
採購或更新資料保護方案時，可以特別檢查：能否按人員或群組授權？能否限制閱讀、編輯、列印或複製等操作？能否設定到期日、即時修改權限，以及檢視誰曾經存取文件？不同文件格式和工作流程的支援程度，亦應該用真實樣本驗證。
SealPath 可以放喺資料保護架構的哪一層？
SealPath 將自己定位為以資料為中心的文件保護方案，官方資料列出加密、權限控制和追蹤能力，並可按企業部署模式選擇 Enterprise SaaS 或 On-Premise。它亦提供與資料分類工具、DLP、Active Directory／LDAP 及 SIEM 等企業系統整合的方案。實際功能和整合方式會視乎產品版本、部署及現有環境而定，採購時應要求供應商逐項確認。
其中一個思路，是把資料分類標籤連到保護政策：當文件被標記為機密，系統按預先設定的規則自動套用保護，減少完全依賴使用者手動處理的風險。DLP 可協助識別資料在哪裡、正準備流向哪裡；持續文件保護則補足文件離開原本網絡後的存取控制。兩者可以互補，但唔應將任何單一產品當成所有資料外洩情境的萬能解決方案。
香港企業採購前，建議用 6 條問題做實測
- 文件發送後可否改權限？請用一份真實測試文件，示範撤銷或收窄外部使用者的存取權。
- 能否查到存取紀錄？確認管理員如何查看使用者、時間和相關活動，並了解紀錄可保留多久。
- 分類政策可否自動套用？測試現有分類標籤與保護政策的對應方式，避免只靠員工記得按某個按鈕。
- 第三方合作流程是否可用？用客戶、供應商和外判團隊常見的 Office 文件、PDF 或其他格式驗證實際體驗。
- 部署和資料位置符合內部要求嗎？釐清 SaaS 或本地部署的資料處理、管理存取和營運責任，再交由法務、風險及 IT 一起評估。
- 與現有 DLP、目錄和 SIEM 點配合？列出哪些事件需要告警、哪些資料需要自動保護，以及出現誤判時如何申請例外。
結語：由管住入口，走到管住文件
SealPath 的 2026 研究最值得香港企業帶走的訊息，唔係某一個百分比，而係控制落差：登入和分享權限固然重要，但敏感文件一旦流出原本的系統，企業仍需要方法持續保護、審計和調整存取。
下一步可以先由高風險文件和常見外部協作場景開始，盤點現有 DLP、分類、雲端分享和文件加密控制，再用真實流程做小規模驗證。先證明控制能夠落地，再擴大部署，會比只看功能清單或單靠政策宣告更有把握。
