當網站出現問題，需要請廠商協助時，很多人的第一個反應都是：
「我把網站帳號給你們登入看看。」
這樣做看似方便，但從資訊安全的角度來看，帳號密碼其實不應該在不同組織之間流通。
原因很簡單。
當同一組帳號被多人使用時，未來如果發生資料異動、設定調整，甚至是帳號遭到濫用，都很難釐清實際操作的人是誰。對於需要保存捐款人資料、志工資料或活動紀錄的組織而言，這會增加管理與稽核上的風險。
因此，許多重視資訊安全的服務團隊，會盡量避免直接取得客戶的密碼。
以 NETivism 為例，當需要協助處理網站問題時，我們會優先透過可追蹤的登入機制進行作業，例如：
- 一次性登入連結
- 專用測試帳號，或是
- 客戶建立具備必要權限的協助帳號
這樣的做法雖然多了一個步驟，但能保留清楚的存取紀錄，也能降低帳號外流的風險。
事實上，資安的重點從來不只是防範駭客。更多時候，是讓每一次存取都能被確認、被追蹤，也能在合作結束後順利回收權限。
當組織知道有哪些人曾經存取系統、什麼時間進行過操作，未來無論是交接、稽核或問題排查，都會容易許多。
因此，與其共享密碼，不如建立適當的存取機制。
多一點管理成本，往往能換來更長遠的安全保障！
