過去十年，關於「遠端工作」的討論多半聚焦在生產力、時區與生活品質。真正被輕描淡寫帶過的，其實是資訊安全。當一位工程師從台北的家、跳到清邁的共享辦公室、再到里斯本的咖啡廳，他背在肩上的那台筆電，事實上就是整間公司的縮影：客戶資料、原始碼、財務憑證、金融簽章、身份憑證，全部都在裡面。過去這些資產被鎖在辦公大樓的防火牆與門禁之內，如今被裝在一個 1.4 公斤的鋁殼裡，走過機場安檢，接上不知名的免費 Wi-Fi。

這不是危言聳聽。ScienceDirect 於 2025 年發表的一份 VPN 安全景觀研究指出，2020 至 2022 年遠端工作規模擴張的同時，針對 VPN 服務本身的攻擊也顯著上升。過去被視為「安全解方」的工具，如今反而成為攻擊入口。這個結構性變化說明一件事：資安已經不再是公司 IT 部門獨自處理的議題，它已經跟著遊牧者的行李箱一起，變成個人基礎建設的一部分。

為什麼「這是公司的事」這句話已經失效

在傳統辦公室裡，員工的資安責任大致到「不要點開奇怪的信」為止。剩下的都由公司處理：網路是公司的、機器是公司配的、備份是 IT 做的、憑證是資安部門管的。遊牧者的情境剛好相反。

當工作地點從辦公室搬到咖啡廳、共享空間、Airbnb、旅館 lobby，網路環境的信任模型瞬間崩解。使用者無法確認 SSID 背後的實際設備是誰、無法確認上游 ISP 有沒有做流量檢查、無法確認共享空間的路由器是否已被入侵。這時候「公司 IT 會處理」這句話就會失效，因為公司 IT 根本看不到這些網段。

更關鍵的是身分驗證。遠端環境下，公司無法從 IP、實體位置或設備歸屬去判斷「這個登入是不是本人」。整個防線因此壓到帳號、密碼、多因素驗證與裝置憑證這幾個薄弱環節上。如果遊牧者自己不重視，公司再多的安全政策都撐不住。

公共 Wi-Fi 的真實風險，比想像中無聊也比想像中危險

關於公共 Wi-Fi 的討論，常常在兩個極端擺盪：一邊說「HTTPS 已經足夠，不用擔心」，另一邊說「連公共網路就等於被盜」。實務上，兩邊都不完全對。

現代網站幾乎全面走 TLS，攔截明文封包的年代確實已經過去。但這不代表公共網路沒有風險。真正的問題不在「被監聽」，而在幾個更無聊的層面：DNS 劫持會把使用者導向假的登入頁面、路由器層的憑證注入會讓釣魚頁看起來很像真的、captive portal 常常誘導使用者關閉防護、共享空間裡任何一台被入侵的裝置都可能對同網段機器發動掃描。

對遊牧者來說，比較合理的策略不是「絕對不用公共 Wi-Fi」，而是「假設所有公共網路都不可信」。這代表：關鍵操作（銀行、稅務、公司管理後台）盡量用手機熱點；筆電開啟防火牆並封鎖入站連線；不使用網路芳鄰、AirDrop 對公開網段廣播；重要憑證不要在陌生網路第一次登入。

VPN 不是萬靈丹，它只是一段加密隧道

很多遊牧者把 VPN 當作資安的核心。這是一個過度簡化的想法。VPN 提供的只是一段從裝置到 VPN 伺服器的加密通道，它不會讓你的帳號更難被盜、不會阻止釣魚、不會避免裝置本身被植入惡意程式。

前面提到 ScienceDirect 的研究更點出另一個問題：VPN 服務本身正在成為攻擊目標。從企業級 VPN gateway 的零日漏洞，到消費級 VPN 業者的資料外洩，遊牧者對 VPN 的信任，等於把自己所有流量的信任委託給另一家公司。如果那家公司的營運、司法轄區、日誌政策不透明，這份委託就是有風險的。

比較務實的觀點是：公司 VPN 用於存取內部系統，這是合規需要；商業 VPN 用於繞過地理限制或在敵意網路上加一層防護，這是工具用途。兩者都不應該被當作「有裝就安全」的萬能防線。真正撐起遊牧者資安的，是身分驗證與裝置本身。

多因素驗證：從「有做」到「做對」

幾乎每一份遠端工作資安指南都會提到 MFA。問題是很多人做到了 MFA，但做的是最脆弱的那一種。

以簡訊接收驗證碼為例，這是最普及也是最容易被攻破的方式。SIM swap 攻擊在許多國家已經成熟到近乎工業化，一旦攻擊者接手電話號碼，簡訊 MFA 就完全崩潰。遊牧者長時間在海外，換 eSIM、開漫遊、辦當地門號的頻率高，本國號碼掛失、變更、盜辦的風險比一般人高得多。

比較合理的層級是：使用實體安全金鑰（例如 YubiKey）或平台原生的 passkey 作為主要 MFA，把 authenticator app 當作備援，僅在極端情況下使用簡訊，並在關鍵帳號（信箱、公司 SSO、銀行、密碼管理器）上完全停用簡訊 MFA。此外，備援碼要離線儲存，不要放在同一台裝置的雲端筆記。

裝置本身：加密、遺失、盜竊、邊境檢查

遊牧者對裝置的實體風險，遠比在辦公室大。旅館房間、共乘車輛、機場等候區、共享辦公室的置物櫃，都是筆電消失的高風險場景。裝置一旦離開視線，資安模型就必須假設它可能落入他人之手。

三件事必須是基本盤：全磁碟加密（macOS FileVault、Windows BitLocker、Linux LUKS）在關機狀態下不可略；開機密碼與系統密碼分離，避免單一密碼被肩窺後全盤失守；設定閒置自動鎖定，時間拉短到幾分鐘等級。此外，遠端抹除（Find My、Intune、MDM）應該在出發前就測試過，而不是遺失當下才發現沒開。

邊境檢查是另一個容易被忽略的情境。部分國家的海關具有解鎖檢查電子裝置的權力。對於承接敏感客戶資料的遊牧者，最務實的做法是：入境前登出敏感帳號、清空瀏覽器活躍 session、把不必要的檔案先移到雲端而非本地、備妥另一台「乾淨」的旅行裝置。這不是偏執，而是對客戶資料的基本尊重。

雲端與身分：真正的攻擊面在這裡

當多數工作都跑在 SaaS 上，攻擊者早就不再瞄準你的筆電硬碟，他們瞄準的是你的雲端帳號。信箱、Google Drive、Notion、GitHub、Figma、Stripe、公司 SSO，這些帳號被入侵的價值遠高於一台實體筆電。

遊牧者需要建立的心智模型是：帳號本身就是資產，而且是流動資產。這意味著幾件事：主帳號（通常是信箱）必須是整個身分體系裡防護最強的那一個；密碼管理器不再是「加分項」而是基本工具，長期不重複密碼是最低門檻；重要 SaaS 應該啟用登入通知，並定期檢視 active session 與 OAuth 授權清單，把不再使用的第三方應用撤權；公司帳號與個人帳號要嚴格分離，不要把個人 Gmail 綁進客戶專案，也不要用公司 SSO 登入個人服務。

當帳號被視為資產時，備援也要跟著設計：主信箱要有備用信箱與離線備援碼、密碼管理器要有緊急聯絡人或安全繼承機制、公司 SSO 帳號被停用時個人不能同時失去所有工作檔案。這些設計在平常看不出價值，在裝置遺失或帳號被入侵的第一個小時就會決定損失規模。

客戶資料：合約寫的比你想像中多

自由接案的遊牧者常常忽略一件事：客戶合約裡通常對資料處理有明確要求。GDPR、HIPAA、金融業合規、企業客戶內部的 vendor security assessment，都會規定資料儲存位置、加密要求、存取控制、事故通報時限。這些條款不會因為承接者是一個坐在峇里島咖啡廳的個人工作者就自動失效。

務實的做法是把「客戶資料的處理」當成一個獨立的工作區來設計：專屬的資料夾與加密卷、專屬的密碼庫分區、專屬的雲端資料夾（並確認雲端伺服器的地理位置符合合約要求）、離職或結案後有明確的資料銷毀流程。這聽起來像大公司才需要的東西，但當一位遊牧者服務的客戶越來越企業化，這些要求會直接寫進合約，不做就是違約。

建立個人資安基線，比追求完美更重要

資安領域最常見的錯誤是「因為做不到完美所以什麼都不做」。對遊牧者來說，比較有效的心態是先建立可以每天執行的基線，再逐步加強。

一份可行的個人基線大致包含：所有裝置全磁碟加密、閒置自動鎖定、作業系統與瀏覽器保持自動更新；主要帳號啟用實體金鑰或 passkey 的 MFA；密碼管理器覆蓋所有服務、備援碼離線保存；工作與個人帳號分離、關鍵操作避開陌生 Wi-Fi；定期檢查雲端授權與 active session；離開共享空間或旅館前確認裝置未留在現場。這份清單不長，但如果每一項都真的做到，已經比市場上大多數自由接案者要安全得多。

在此之上，才是根據客戶類型、旅行國家、資料敏感度去加疊防線：敏感專案用專屬裝置、進入監管較嚴的國家前做資料清理、承接金融或醫療客戶時額外投保專業責任險。這是分層式的思考，不是全有或全無。

資安是遊牧生活的隱形履歷

最後值得說清楚的是：對成熟的遊牧者而言，資安不是負擔，而是專業形象的一部分。當一位工作者能在合約談判時明確說出自己如何處理客戶資料、能提供加密與備援的具體方案、能承諾在事故發生時的通報時限，這些能力本身就是議價籌碼。反過來，把客戶資料放在共用電腦、用同一組密碼登入所有服務、在旅館大廳裸連公司後台的遊牧者，遲早會用一次意外把過去幾年的信譽全部清零。

筆電是遊牧者的辦公室，也是遊牧者的名片。辦公室要上鎖、要備援、要有訪客政策，這件事在城市裡是常識，在遊牧生活裡不會變得比較不重要，只會變得更難執行。承認這件事，是走向成熟遊牧的第一步。