公開連結與匿名加入是最常見的入口

直接答案是：不要把可直接加入的會議連結公開在社群、網站或未受控的群組中。所謂 Zoom Bombing，通常不是高深的入侵技術，而是陌生人取得會議 ID、連結或重複使用的密碼後直接進入；一旦主持人又開放所有人共享螢幕，干擾內容便可能迅速擴散。

客戶簡報、面試與內部例會應採取不同保護等級。一般例會可使用等候室與主持人核准；董事會、財務與人資會議則應限定公司帳號、啟用多因素驗證，並建立一次性邀請。實務上，可在會議開始前 15 分鐘即提前限制外部訪客的加入，降低臨時轉傳連結造成的風險。

• 每場敏感會議建立獨立 ID 與密碼，不重複使用固定連結。
• 主持人確認姓名、公司與邀請名單後，再核准外部來賓。
• 禁止「主持人前加入」，避免無人管理的會議室先被占用。

帳號劫持與惡意內容會繞過會議室門鎖

直接答案是：會議室設定再嚴密，也無法彌補被盜用的主持人帳號。攻擊者可能利用釣魚頁面、重複密碼或惡意附件取得登入憑證，再以合法身分下載錄影與名單。曾有案例指出，駭客可利用某個惡意的 GIF 圖片竊取 Teams 帳號的使用者資料，該漏洞在 4 月 20 日被修正，說明更新並非可延後處理的工作。

管理者應要求員工從官方商店或官方網站安裝桌面程式與瀏覽器擴充功能，並關閉不必要的外掛程式權限。若以瀏覽器加入，應使用 Chrome、Firefox、Safari 或 Microsoft Edge 等受支援且持續更新的版本；同時檢查攝影機、麥克風與螢幕錄製權限，避免惡意網站長期保留存取能力。

• 所有主持人與管理員帳號啟用兩步驟驗證或硬體安全金鑰。
• 使用密碼管理工具建立每個服務不同的長密碼。
• 設定修補逾期通報，將高風險更新列為優先事項。

依敏感度設定等候室、鎖定與共享權限

直接答案是：主持人應預設保留進入、共享、錄影與聊天的最小必要權限，而不是會議開始後才臨時處理。對外說明會可讓報名者進入大廳後由工作人員核可；部門週會可在點名完成後鎖定；涉及個資或商業機密的會議，則應關閉匿名加入與外部檔案傳送。

平台若支援自動鎖定，建議依議程安排在會議開始後的 0、5、10、15 或 20 分鐘後自動鎖定會議。需要電話撥入的企業也要留意驗證強度；部分系統會自動為電話和視訊會議系統出席者產生 8 位數字的密碼，仍應避免將該密碼與連結一起公開散布。

• 預設僅主持人可共享螢幕，需要時再暫時授權。
• 限制私訊、檔案傳送與遠端控制，降低詐騙與惡意程式傳遞。
• 指定共同主持人，負責核准來賓與移除違規帳號。

邀請與行事曆分享必須可追蹤、可撤銷

直接答案是：把會議連結視為短期憑證管理，而非一般公告文字。邀請寄出時，應使用具名收件者、限制轉寄的行事曆權限，並在會前再次確認外部名單；有人取消合作、離職或更換窗口時，要立即撤銷其帳號與會議資源的存取權。

密碼本身也要具備足夠的猜測阻力。例如 Google Meet 的會議密碼為10 個字元長、並由 25 個字元所組成，但企業仍不應將安全責任完全交給亂數碼。身分登入限制、等候室與主持人審核要彼此搭配，才能防止連結遭轉傳後被直接利用。

• 將公開網路研討會與內部工作會議分開建立。
• 將來賓名單、核准紀錄與會後下載紀錄保留給管理者稽核。
• 變更組織層級設定後先測試；部分設定可能需要長達 30 分鐘才能在應用程式中更新。

確認傳輸加密，也要問金鑰與資料落點

直接答案是：TLS 與媒體加密是基本門檻，但採購時還要確認加密範圍、金鑰控制、資料中心位置與稽核證明。供應商技術文件可見「我們的線上會議軟體使用最新的 TLS 1.2 通訊協定，以 DTLS-SRTP 加密保護。」這能保護傳輸中的訊號，企業仍須確認錄影、聊天與逐字稿在靜態儲存時的保護方式。

涉及客戶個資、跨境團隊或受管制資料時，應在簽約前確認資料處理區域與刪除流程。部分服務可選擇美國或歐洲資料地區，但功能供應不一定相同；例如備註：Zoho Meeting Calls 目前僅在美國和歐盟資料中心提供。台灣企業還應在錄音錄影前清楚告知目的、保存期間與可存取對象。

• 要求供應商提供 SOC 2、ISO 27001、漏洞揭露政策或第三方測試資料。
• 確認錄影、聊天、白板與 AI 摘要是否可個別設定保存地區。
• 建立資料分類，將機密會議排除於個人雲端或未核准工具。

錄影、逐字稿與 AI 摘要要有保存期限

直接答案是：錄影與 AI 會議記錄應採「需要才開、期限到就刪」原則。會議主持人開啟錄影前，應在畫面與口頭上通知參與者，並明確說明用途；會後則將檔案放入受權限控管的團隊空間，禁止任何持有連結的人任意下載或再次分享。

SWise 提供由對話語音自動生成的 AI會議記錄，也可支援最大支持上限12種語言同步翻譯；這類功能能減少人工整理負擔，但更應指定記錄擁有者、檢閱者與刪除期限。離職或專案結束時，管理員要撤銷帳號、共用資料夾與匯出檔案權限，避免歷史內容長期裸露。

• 為錄影、逐字稿與聊天紀錄設定不同保存週期。
• 只授予必要人員下載、轉寄與刪除權限。
• 對高敏感資料啟用 DLP 或 eDiscovery 稽核流程。

價格與容量之外，應優先比較管理能力

直接答案是：選擇平台時，不能只比較費用或可容納人數，而要檢查是否能強制 MFA、管理外部來賓、匯出稽核紀錄，以及控制錄影下載。基本方案每位用戶價格：Google Meet USD 8、Microsoft Teams USD 2、Zoom USD 4.20、Zoho Meeting USD 3、EventX 請聯繫獲取定價，價格差異不代表保護強度，關鍵在於設定是否被確實執行。

若是小型團隊需要虛擬辦公與即時協作，也應將權限模型納入評估。SWise 的 FREE 方案可供 5人 同時上線最大人數，STANDARD 為 NT$3,000 /月並支援 20人 同時上線最大人數；所有計劃提供免費14天試用期間。試用時可模擬外部客戶加入、螢幕共享與會議記錄存取，驗證管理流程。

• 先盤點內部會議、客戶會議、公開活動與跨國協作的需求。
• 要求管理員可集中設定預設值，而非依賴個人自行調整。
• 將資安條款、通報時限與資料刪除責任寫入採購評估。

BYOD、家用網路與事件應變不可缺席

直接答案是：遠距人員使用私人設備時，至少要做到螢幕鎖定、磁碟加密、作業系統更新與受管理的端點防護。公共 Wi‑Fi 不適合進行機密會議；必要時使用公司 VPN，並避免在共享空間開啟鏡頭或外放聲音。公司可透過 MDM 要求裝置符合版本與加密規範，未達標者僅能使用低風險服務。

若發現可疑參與者，主持人應立刻停止共享、移除並封鎖該帳號，同時鎖定會議、保存參與者名單與聊天紀錄，再通知資安窗口。若疑似帳號遭盜，立即重設密碼、撤銷工作階段與 API 權杖、檢查錄影下載紀錄，並在事後檢討邀請、權限與修補是否失效，才能真正提升線上會議安全。

• 每月檢視未核准外部訪客數、匿名加入率與錄影分享次數。
• 每季複查主持人、共同主持人及離職人員的存取權限。
• 建立單一通報窗口，讓員工遇到可疑畫面或釣魚邀請能立即求助。

可追溯的參考來源

建議管理者定期查閱 Google Meet 安全說明：https://support.google.com/meet/；Microsoft Teams 安全文件：https://learn.microsoft.com/microsoftteams/；Zoom 安全中心：https://explore.zoom.us/en/trust/security/；以及 TWCERT/CC：https://www.twcert.org.tw/，並依組織使用版本重新驗證設定。

用指標找出高風險會議與失效設定

直接答案是：企業應把會議安全納入每月資安儀表板，而非只在事件後檢討。建議追蹤未核准外部訪客數、匿名加入率、未啟用 MFA 的主持人數、弱密碼或公開連結會議數、錄影分享次數，以及軟體修補逾期率；這些指標能協助管理者找出需要優先改善的部門。

稽核不應只看數量，也要抽查會議設定是否符合資料分類。例如人資、法務與財務的高敏感會議，可每季檢查錄影保存期限、外部訪客核准紀錄與下載權限；一般專案會議則可著重主持人是否遵守等候室、螢幕共享與會後刪除原則。

• 設定異常門檻，例如匿名加入率突然升高時自動通知管理員。
• 保存必要的稽核紀錄，但避免無限期保存含個資的內容。
• 將稽核結果回饋給部門主管，訂定具體改善期限。

演練與教育讓人員能在幾分鐘內正確反應

直接答案是：最有效的教育是讓主持人實際演練「有人闖入」與「帳號疑似被盜」兩種情境。演練中要求主持人在幾分鐘內停止共享、移除對象、鎖定會議、保全紀錄與通報，並由資安團隊確認後續重設憑證、通知受影響者與調查範圍的責任分工。

新進人員與外部協作者也應收到簡明規範：不轉傳邀請、不使用私人錄影工具、不在會議聊天貼上密碼或個資，並在發現陌生人、異常提示或可疑檔案時停止操作。當流程、技術控制與人員習慣一致，線上會議安全才會成為可持續維護的工作標準。

• 每半年進行一次主持人事件應變演練。
• 將會議安全檢查加入新進與外包人員的入職流程。
• 演練後更新通報名單、範本與平台設定基線。