远程办公靠什么把团队连接起来？协作工具。从钉钉、飞书、企业微信，到Slack、Teams、Notion，这些工具几乎成了远程团队的基础设施。但我在安全评估中发现一个普遍现象：很多企业装上了协作工具就开始用，安全配置基本是默认状态，从来没有认真检查过。
默认配置通常是以方便为主的。但方便和安全在很多情况下是矛盾的。如果你用默认的安全配置，可能在不知不觉中已经敞开了好几道大门。我跟你分享几个我在实际案例中见过的问题，你就明白了。
有一家企业的团队用一款主流的协作工具管理项目。他们的项目管理空间包含了所有项目的详细信息，包括客户资料、项目预算、合同模板、内部讨论记录。这个空间默认设置是什么？任何人只要有空间链接就能申请加入，管理员批准的流程非常简单。结果有一次一个前员工通过保存的链接重新申请加入了空间，管理员没仔细看就批准了，这个人把大量项目文档下载后带走。这就是默认配置导致的事故。
协作工具的安全配置具体应该检查哪些项目呢？
第一个是外部人员访问权限。很多协作工具支持将外部合作伙伴加为访客，比如客户、供应商、外包人员。这个功能很实用，但对访客的权限需要严格限制。默认情况下，访客可能能看到团队的所有内容。我建议建立一个外部人员管理制度：访客只能访问跟其工作直接相关的特定页面或项目空间，访问权限设置有效期，过期自动失效，不能再访问。
第二个是分享链接的控制。协作工具中的分享功能非常方便，一键生成链接就能分享出去。但默认的分享链接通常是不需要登录就能查看的。这就意味着，任何人拿到这个链接就能看到内容，甚至能通过搜索引擎或者网页快照找到。建议把分享链接的默认设置改为需要登录才能查看，并且限制下载和复制权限。
第三个是数据导出权限。协作工具一般都支持把数据导出，比如导出为PDF、Word或者CSV格式。如果所有成员都有导出权限，那就意味着任何一个内部人员都可以把整个项目空间的内容导出带走。我建议把导出权限限制为只有管理员或者特定的角色才有，普通成员只能在线查看，不能批量导出数据。
第四是集成应用的授权管理。协作工具一般支持集成第三方应用，比如日历、云存储、项目管理工具。每一个集成的应用都在申请权限。我在一个客户那里发现，他们的协作工具里集成了一个第三方项目插件，这个插件申请了读取所有消息的权限，而且这个授权是团队成员各自批准的，没有人审核。我建议建立一个集成应用审批制度，所有第三方应用的集成必须经过IT或者安全团队的审核，不能由员工自行授权。
第五是消息记录的保存策略。有些行业的合规要求需要对工作消息进行归档保存。但也有些企业出于数据最小化的考虑，会设置消息的自动删除期限。不管是哪种策略，关键是需要明确下来，而不是使用默认设置。默认设置可能保留所有消息永久在服务器上，也可能三十天后自动清除。你需要根据公司的合规要求和数据管理政策来决定。
第六是离职人员的账号处理。协作工具中的离职账号如果不能及时冻结或者删除，就给了前员工一个持续访问公司数据的通道。我建议把协作工具的人员管理跟公司的HR系统做自动化对接，员工离职后，协作工具中的账号在二十四小时内自动转为停用状态，然后由管理员检查并移出所有的团队和工作空间。
最后我还想提一个容易被忽略的问题，就是协作工具的移动端安全。员工在手机上登录协作工具时，手机本身的安全状态往往没有被评估。有些协作工具支持设置移动端的额外安全措施，比如要求PIN码才能打开应用、对消息通知做内容预览的屏蔽、允许远程擦除手机上的应用数据。这些功能建议都开启。
协作工具给远程团队带来了极大的便利，但不能因为便利就放松了安全配置的要求。花一天时间把协作工具的安全配置逐项检查一遍，可能发现的安全隐患比你想像的要多得多。
