企業講到特權帳戶管理（PAM），好多時第一時間只會想到 IT Admin、Domain Admin 或 root 帳戶。但現代企業的高權限入口早已唔止人手登入：服務帳戶、應用程式、CI/CD 流程、雲端工作負載、外判支援帳戶，以至可以執行動作的 AI Agent，都可能接觸到重要系統。
Segura 在 2026 年 10 月發布的 PAM 評估文章，建議買家不要只看分析機構的市場定位，而要按自身環境和實際工作流程比較平台。Segura 於 2026 Gartner Magic Quadrant for Privileged Access Management 中獲列為 Challenger；不過 Gartner 明確指出，研究並不代表對任何供應商或產品作出背書。對香港企業而言，這類報告適合用來建立候選名單，真正選型仍然要靠技術驗證。
先由「有哪些身份」開始盤點
傳統 PAM 專注管理管理員及其他高權限人員帳戶，但企業環境通常更複雜。除了內部 IT 團隊，仲有系統整合商、維護承辦商、雲端管理員、資料庫帳戶、排程工作、API 及應用程式密碼。若公司開始使用自動化流程或 AI Agent，亦要確認這些非人手身份會以甚麼權限存取系統。
盤點時不要只記帳戶名稱。最好同時記錄系統擁有人、用途、所屬部門、可存取資產、權限級別、憑證位置、使用頻率、最後使用日期及停用條件。沒有負責人的服務帳戶，往往比某個已知的管理員帳戶更難追查。
五個 PAM 選型問題，逐間供應商都要問
1. 平台涵蓋到公司真正使用的身份和環境嗎？
先列出本地伺服器、雲端平台、SaaS、端點、資料庫和第三方遠端支援的存取場景，再確認供應商可管理哪些人員、機器及自動化身份。不要只因為產品支援某個雲端品牌，就假設它已涵蓋所有相關帳戶及工作流程。
2. 憑證輪替會否影響服務運作？
服務帳戶可能同時被資料庫、腳本、排程工作和企業應用程式使用。更改一個密碼，如果有依賴關係未被識別，就可能令批次工作失敗或服務中斷。Segura 的官方選型文章提到，其 Privileged Credential Management 可協助管理服務帳戶依賴關係，並在資料庫、檔案及企業應用程式之間自動化憑證輪替。PoC 時應要求供應商示範如何發現依賴、推送新憑證、驗證服務恢復，以及處理輪替失敗。
3. 特權工作階段有沒有足夠監察和審批？
企業要了解管理員和外判人員實際做過甚麼，而唔係只知道某人曾經登入。評估時應問清楚工作階段如何代理、監察及記錄，錄影或操作紀錄如何保存和檢索，審批及覆核流程如何執行。Segura 表示其平台支援跨 Web 應用程式、資料庫和伺服器的免代理瀏覽器工作階段代理，並提供內置 attestation 工作流程；實際支援範圍仍應按目標系統逐一驗證。
4. 上線之後，供應商支援是否跟得上？
PAM 會接觸核心系統，導入時通常要處理帳戶盤點、系統整合、例外情況及使用者培訓。香港企業應確認服務時段、緊急支援渠道、問題升級方式、合作夥伴技術能力，以及版本更新和故障排查責任。只看部署日數或簡報功能，未必反映日後維運成本。
5. 你用甚麼證據比較供應商？
分析機構研究、客戶評價、產品示範和企業自身要求，應該一併考慮。Magic Quadrant 主要提供市場定位視角；Critical Capabilities 會深入不同使用情境。兩者都不能代替公司自己的測試，更不代表 Gartner 推薦某一個品牌。
香港企業可以點樣設計 PAM PoC？
建議揀一個具代表性的場景，例如外判工程師登入一部重要伺服器、資料庫服務帳戶輪替密碼，或者雲端管理員需要臨時提升權限。每間供應商都用同一組測試案例，並記錄完成時間、所需人手、例外處理、審計證據和復原步驟。
- 權限最小化：確認使用者只獲得完成工作所需的權限，並檢查臨時權限何時自動或由管理員撤銷。
- 第三方存取：測試外判商帳戶如何申請、審批、限時開放及在合約完結時停用。
- 憑證管理：驗證密碼輪替前後的依賴關係、服務可用性和失敗回復流程。
- 工作階段稽核：確認操作紀錄是否足以支援事故調查、內部審計和合規要求。
- 身份生命週期：把離職、轉職、專案完結和機器帳戶退役納入定期檢查。
不要把 Gartner 象限當成採購答案
Segura 在 2026 年 Gartner PAM Magic Quadrant 獲列為 Challenger，對市場認知有參考價值，但香港企業仍要根據自身系統、權限模型、合規要求和維運資源作決定。供應商的簡報可以展示理想流程，PoC 才能揭示舊系統整合、服務帳戶依賴、外判存取及緊急支援等細節。
最實際的做法，是先把所有高權限身份列清楚，再用同一套情境測試每個候選方案。當企業可以回答「誰有權做甚麼、何時可以做、做過甚麼、出了問題由誰跟進」，PAM 才真正由一個密碼保管工具，變成可持續管理的身份安全控制。