SaaS 工具讓團隊可以快速開始工作，但也讓資料散落在更多雲端服務裡。客戶名單在 CRM，檔案在雲端硬碟，任務在專案管理工具，聊天在通訊平台，表單資料又進到另一個系統。只要其中一個帳號或權限失控，就可能造成資料外洩。
這篇整理中小企業導入 SaaS 時最該注意的資安事項：帳號、權限、2FA、資料分類、離職交接、整合風險和備份。若你還在建立 SaaS 工具組合，可以搭配 SaaS 工具推薦清單、SaaS selection scorecard 和 SaaS 訂閱成本指南。
資料基準：2026-05-19。資安功能會依方案、地區和產品更新變動，正式導入前請以官方安全文件與合約為準。
先給結論
中小企業 SaaS 資安最重要的 5 件事：所有帳號開 2FA、用公司信箱管理權限、離職立即停權、核心資料只給必要人員、定期盤點正在使用的工具。先做到這些，比一開始買很複雜的資安產品更實際。
常見 SaaS 資安風險
| 風險 | 常見情境 | 建議做法 |
|---|---|---|
| 個人帳號混用 | 用私人 Gmail 開公司工具 | 統一公司信箱與管理員 |
| 沒有 2FA | 密碼外洩即可登入 | 重要工具強制雙因素驗證 |
| 權限過大 | 所有人都能看客戶資料 | 最小權限原則 |
| 離職未停權 | 前員工仍能存取資料 | 建立離職帳號清單 |
| 整合太多 | 外掛讀取大量資料 | 定期檢查第三方連線 |
| 資料無備份 | 刪錯或帳號被鎖 | 重要資料定期匯出 |
帳號和權限
所有核心 SaaS 都應該使用公司信箱，不要用個人信箱。管理員帳號要至少有兩位可信任負責人，避免單一管理員離職或失聯。
權限要遵守最小權限原則：需要看的人才給看，需要改的人才給改。CRM、會計、雲端硬碟、密碼管理器和後台工具尤其要小心。
2FA 與密碼管理
重要工具應開啟雙因素驗證，尤其是 Email、雲端硬碟、CRM、網站主機、金流、廣告帳號和密碼管理器。
密碼不要用 Excel、聊天訊息或共用文件保存。若團隊有多人共用帳號，應逐步改成個人帳號加權限控管。
離職與外包交接
很多資料外洩不是來自駭客，而是來自離職交接沒做好。每位員工、外包、顧問、代理商都應該有帳號清單，合作結束時逐一停權。
- 停用公司信箱。
- 移除雲端硬碟和文件權限。
- 移除 CRM、專案管理、客服系統帳號。
- 重設共用密碼。
- 確認社群、廣告、網站後台權限。
第三方整合風險
Zapier、Make、表單工具、外掛和 AI 工具很方便，但它們常常需要讀取 Email、表格、CRM 或雲端硬碟資料。整合越多，風險面越大。
每季檢查一次「哪些工具可以讀取哪些資料」，停用不再使用的 App 和 API token。
常見問題
小公司也需要 SSO 嗎？
不一定。一開始先做好公司信箱、2FA、權限和離職停權。當工具和人數增加，再評估 SSO。
免費 SaaS 工具安全嗎？
不一定。要看廠商信譽、資料權限、匯出能力和隱私條款。核心資料不要只放在無法控管的免費工具裡。
資料備份要怎麼做？
重要資料至少要能定期匯出，例如客戶名單、交易紀錄、文件和表單回覆。備份檔也要限制權限。