什麼是共同管理的 IT（Co-managed IT）？

共同維運（Co-managed IT）是一種「分工共管」的架構。你們的企業會保留部分 IT 工作由內部處理，並由一家獨立的託管式 IT 服務提供商（通常稱為 MSP）負責你們想要獲得協助的部分。

MSP 是一種以每月費用提供服務的公司，協助企業科技運作。在共同維運的安排中，他們不會取代你們的內部員工或團隊；他們會補上缺口、導入工具、增加人力，或承接較專門的工作。

例如：你們的辦公室經理或 IT 協調人可能處理日常問題、印表機、以及新員工的設定。外部提供商則可能協助資安工具、伺服器維護、雲端系統、備份檢視，或提供非上班時段的支援。

這和「完全外包（fully outsourced）」的 IT 不同；完全外包通常是由單一提供商負責大部分或全部的 IT 支援。共同維運更像是夥伴合作加上責任分工。

許多小型到中型企業會在發展過程中超越「一位很會幫忙的人處理所有事情」的階段。即使某位員工非常了解你們的業務，也可能沒有足夠時間投入每一個專案、資安任務、供應商問題或突發緊急狀況。

共同維運可以讓那位人員有後援。同時也能降低壓力，因為企業所有者或辦公室經理往往在缺乏足夠技術背景的情況下被迫做出 IT 決策。

當公司內部有一位 IT 員工、兼職技術人員，或具備能力的營運主管，但仍需要更深一層的支援時，這種模式就很常見。它在成長、搬遷辦公室、推行新軟體，或當內部人力被工作量壓得喘不過氣時，也會特別有幫助。

如果你仍在學習基礎，我們的 答案 區塊可以用更直白的方式，幫你比較常見的服務模式。

實際分工比例取決於你們的企業、團隊人力，以及提供商。好的共同維運通常會先從清楚的責任清單開始。這能避免混淆、重複工作，以及在出問題時互相推責。

提供商可能會承接監控、打補丁（patching）、資安工具、備份、文件整理，或升級支援流程。打補丁指的是安裝核准的軟體與系統更新。監控指的是持續查看系統是否出現問題。端點（endpoint）則是任何企業裝置，例如筆電、桌機或手機。

部分提供商也會使用稱為 RMM 的工具（RMM 是 remote monitoring and management 的縮寫），用來監看裝置健康狀況並協助維護系統。他們也可能建議 EDR（endpoint detection and response，端點偵測與回應）。EDR 是用來辨識企業裝置上的可疑活動，並協助進行回應的軟體。

你們內部的人員仍可能負責員工報到/入職（onboarding）、採購硬體、軟體權限、印表機問題，以及與供應商之間的關係。在一些企業中，他們仍會是主要聯絡窗口，而外部提供商則在幕後處理較專業或較耗時的工作。

好的共同維運架構應該是清楚、彼此尊重、也很務實。你們內部的人員不應該有被邊緣化的感覺；外部提供商也應該是支援你們，而不是製造更多困惑。

先從角色開始釐清：誰負責員工的設定與離職/下線（offboarding）？誰負責備份？誰在非上班時段回應？誰會和你們的網路、電話、軟體與影印機供應商協作？誰會讓資產清單與網路文件保持最新？

接著詢問支援請求如何處理，以及提供商通常多久會回覆。你可能會聽到 SLA 這個詞，它是 service level agreement 的縮寫，意思是服務等級協定。這份文件會說明回覆目標、優先順序與支援範圍；它不是保證「永遠不會出錯」。

也請再問他們支援哪些資安基本項目。例如：MFA 指 multi-factor authentication（多因子驗證），會在登入時加入第二道步驟。備份方案可能包含 3-2-1 備份做法：也就是保留 3 份資料副本，分別放在 2 種不同的儲存類型中，並保留 1 份在場外（off-site）。任何誠實的提供商都不會在每一種情境下保證零停機、不可被駭的網路，或永遠完美的復原。

當你們內部已經有人很了解你們的系統與人，但那個人需要支援時，共同維運通常很適合。同時，想要更多架構與流程、但又不想完全失去控制權的企業，也會選擇這種模式。

如果你們的團隊正面臨成長、多地據點、客戶要求更嚴格，或雲端軟體的數量超過一個人能夠舒適管理的狀況，這會特別有用。有些企業也會選擇共同維運的支援，因為他們想要外部在規劃與預算方面提供協助與建議。

你可能會聽到 vCIO 這個詞，它是 virtual chief information officer（虛擬 CIO）的意思。這指的是外部顧問，協助 IT 規劃、預算、路線圖（roadmaps），以及企業科技相關的決策。並非每一種共同維運安排都包含 vCIO，但確實有些會。

如果你們的企業在醫療、支付、法律或其他受規範的領域，請詢問提供商如何在符合你們需求的前提下運作。HIPAA 是美國《健康保險可攜性與責任法案》（Health Insurance Portability and Accountability Act），會影響「受保護的健康資訊」。PCI 通常是指《支付卡產業資料安全標準》（Payment Card Industry Data Security Standard），適用於處理卡片支付的企業。SOC 2 是一種報告架構，許多軟體供應商用來展示他們如何處理資安控制。各產業與州的要求可能不同。

把對話保持簡單。請提供商說明：他們會做什麼、你們內部的人員仍會做什麼，以及溝通流程會如何運作。若他們無法清楚講明，這本身就是有用的資訊。

請索取一份範例的上線/導入（onboarding）計畫、支援流程，以及每個月包含哪些內容的「白話清單」。一開始不一定需要每一項工具的細節；但你確實需要清楚知道責任歸屬、成本，以及限制。

成本會因你們的員工數、裝置數、據點、資安需求與所在區域而有很大差異。以大致區間來說，共同維運可能從每月數百美元（僅提供有限支援）到每月數千美元（提供更廣泛的支援、工具，以及非上班時段覆蓋）。這些只是區間，不是報價。

如果你想要協助釐清選項，我們幫你找 一家符合你們情況的獨立託管式 IT 服務提供商。你也可以查看常見的 服務 ，並比較不同支援模式通常包含哪些內容。