安全收集客戶檔案：權限、檢查與保留管理

安全收集客戶檔案需要一條從上傳到核准使用的明確流程：限制誰能提交與取回檔案、在開啟工作前檢查來件內容，並掌握交付後的副本。上傳成功只證明某個階段已收到檔案，不代表所有安全檢查都已完成。

對收集拍攝素材、設計資產與文件的代理商而言，重點是每項決定在哪裡做。客戶需要清楚的說明；收件團隊則需要一位負責人，能暫停可疑或非預期的來件，同時保留可追蹤的紀錄。

分享連結前，先定義存取範圍

只索取專案需要的素材。說明核准的目的地與可接受的檔案組合類型，並提供熟悉的聯絡窗口，處理超出範圍的情況。如果一份指定匯出檔就足夠，不要要求整個個人或公司資料夾。

分清三種權限：提交新檔案、取回來件、管理收件請求。只需要上傳的協作者，不應因此取得團隊工作資料夾或其他客戶來件的存取權。員工權限應依工作需求設定，外包人員離開或專案結束時也要調整。這是把 OWASP 最小權限原則用在收件流程中。

免帳號連結可以符合這種模式，但不能驗證具名寄件者。共用密碼可以限制連結使用者，卻仍可能被轉傳。先決定專案需要的是持有連結、掌控某個電子郵件地址，還是更強的身分驗證；這些要求並不相同。熟悉的標誌也不是身分證明。

設定方式可參考免帳號上傳連結指南。如果服務無法落實必要的權限範圍，應改用核准的替代方式，不要為了消除登入提示而放寬存取權。

依各項控制能證明的事情來判讀

把連線、內容與權限檢查分開。OWASP 的 TLS 說明介紹流量保護與伺服器驗證；一般 HTTPS 本身並不會驗證提交檔案的人。

校驗碼尤其容易被過度解讀。Microsoft 的檔案雜湊文件說明如何比較檔案內容。校驗碼相符，可能證明攝影素材未改變，也可能證明惡意檔案未改變。完整性驗證與內容檢查應分別記錄。

完成來件檢查，再放行到工作環境

與安全負責人約定收件位置與檢查流程。把資料夾命名為「隔離區」本身不會形成隔離：真正決定範圍的是存取權限、處理工具與自動後續動作。檢查上傳是否會立即觸發同步、產生預覽、解壓縮或匯入剪輯軟體。

OWASP 的檔案上傳指南建議採用多層驗證、受限儲存空間，以及合適的惡意程式掃描或沙箱。它提醒不能只信任上傳端提供的內容類型，也指出把檔案交給公開掃描服務可能洩露資料。確認哪些控制由服務提供，哪些需要收件團隊自行安排。

把這個分工用在常見的專案情況：

• **設計素材裡出現非預期的可執行檔或指令碼：**先不要放入工作專案，透過已知的專案窗口確認用途。不要只為了看看功能就執行。
• **必要的檢查工具無法讀取壓縮檔：**記錄為未檢查。要求核准的處理方式或合適的替代版本；不能把跳過的檢查默認為通過。
• **格式可辨識，掃描工具也未警示：**放行前仍要完成其他必要檢查。單一結果不能保證檔案無害。
• **來件包含請求範圍外的資料：**先暫停分派，請負責人判斷是否應收集這些內容。不要為了詢問而散布額外的個人或機密資料。

機密客戶資料應留在核准的檢查系統內。接受上傳的線上掃描器也是檔案的另一位收件者，因此使用方式必須符合客戶與組織的資料處理要求。

事先安排加密來件的處理方式

服務若沒有內容解密金鑰，就無法在那個階段檢查明文內容。如果必須檢查，應在收件環境完成授權解密後、放行到專案前執行，並依此選擇收件工具與儲存位置。

自動交付時也要注意。加密來件存到指定端點，只代表完成一個交付階段，不代表解密後的檔案已通過團隊安全審查。應指定誰有權把檔案組合從「已收到」改成「已核准」。

分開記錄安全核准與剪輯驗收

例如客戶提交攝影原始素材與一份專案文件。收件負責人先確認是預期的提交，並執行核准的安全檢查。之後剪輯師才確認素材能否匯入、文件能否使用，以及要求的整組檔案是否完整。

記錄提交編號、已完成的檢查、未解決的例外、核准負責人與目的地。「已收到，待安全檢查」這類狀態，可以避免其他人把上傳完成誤認為允許使用。

製作流程需要時，保留攝影原始檔名與記憶卡目錄結構。用外層資料夾或提交編號區分來件，不要把逐一更名素材當作安全措施。拍攝素材收件流程進一步說明完整性、修訂與剪輯交接。

結束存取，也要掌握保留副本

開始收件前，列出雲端收件匣、接收裝置、工作儲存空間與備份目的地。為每一類資料指定保留負責人與保留理由。應依組織適用的保留規則和專案約定處理，不要任意指定天數。

關閉收件連結、移除託管來件，以及移除本機工作副本，是不同操作。確認服務行為，並記錄各位置的處理結果。雲端刪除不能證明員工下載檔或備份也已消失。

專案結束時，確認誰保管已驗收的原始檔、移除不再需要的權限，並記錄剩餘副本及其保留決定。其他團隊仍在使用來源時，避免刪除唯一一份已驗收的原檔。

將這些範圍套用到 WarpSend File Requests

WarpSend File Requests把來件收進雲端收件匣，上傳者不需要建立帳號或安裝應用程式。擁有者可以取回檔案，也可以選擇額外交付到端點。

端對端加密是在建立請求時選擇的模式，需要 WarpSignet。啟用後，內容在上傳者瀏覽器中加密，供授權收件者解密。只設定收件密碼不會啟用這項加密。未使用端對端加密時，請求採用 TLS，以及服務管理的儲存與存取控制。檔名、路徑、大小與交付狀態等作業中繼資料仍對服務可見；詳見安全性說明。

如果團隊要求檢查，應選擇受控的收件目的地，完成適用檢查後再放行檔案。這是收件流程的要求，不能因為某個加密設定就認定服務已具備該能力。導入前要比較服務控制，可參考客戶大型檔案上傳平台選購指南。

常見問題

客戶不建立帳號也能安全上傳嗎？

如果免帳號收件的存取模式符合專案要求，就可以採用。但持有連結或共用密碼，不能證明上傳者是某個特定的人。需要確認身分時，應使用核准的身分驗證方式。

加密代表上傳的檔案可以安全開啟嗎？

不代表。加密保護特定路徑中的內容，並不判斷內容是否含有惡意程式。應在授權收件者能解密的位置安排檢查，完成後再讓檔案進入工作專案。

必要的掃描工具無法檢查來件時，應怎麼處理？

先不要讓來件進入工作專案，並記錄原因，例如格式不支援或壓縮檔已加密。請安全負責人決定核准的處理方式，或要求合適的替代版本。未檢查不能視為通過。

關閉上傳請求會刪除所有副本嗎？

不能這樣假設。停止收件、移除託管來件，以及刪除已下載或備份的副本，是不同操作。應確認每個位置的行為，並依專案核准的保留決定處理。