做好跨境工作账户保护，连接之前先确认雇主允许你在该地点以该方式工作。逐一盘点每个身份和权限，准备强 MFA 和独立的恢复方式，减少暴露的会话和数据，只使用获批的设备和访问路径，并及时报告异常提示。安全控制并不会带来移民、税务或就业许可。

关键要点：

就国家、日期、设备和工作类型取得书面批准。

把普通、管理员、开发、财务和恢复身份分开梳理。

优先使用防钓鱼的 MFA，并携带一个不与主设备放在一起、经过测试的备用方式。

尽量减少持久会话、本地文件、浏览器配置和对敏感系统的访问。

把反复出现的登录验证或策略拦截当作联系 IT 的信号，而不是要绕过的控制。

把账户控制纳入你的国际工作与旅行方案。本指南讨论防御性的账户卫生；它不能决定在目的地工作是否合法、是否在保险范围内、是否为客户所允许，或是否获得你所在机构的批准。

1. 跨境工作账户保护，先确认地点和工作安排获准

出行前，询问雇主或指定的安全、人力资源、法务或外派负责人，你能否在目的地工作。提供国家、相关时的地区、日期、设备类型、雇佣实体、客户工作以及预计要访问的系统。把决定和任何条件保存在认可的记录系统中。

不要以为旅游入境、适合远程办公的住处或技术上能登录，就代表工作已获授权。机构可能因制裁、出口管制、客户合同、数据本地化义务、保险、税务、薪资或事件响应覆盖范围而限制某些国家。这些问题需要相应的负责人回答，而不是找变通办法。

询问高风险活动是否需要额外批准：特权管理、生产环境变更、付款、访问源代码、受监管记录、签署文件或下载客户数据。公司可能允许一般协作，同时限制一小部分系统。

记录获批的设备、企业远程访问客户端、对网络的要求、支持时间和紧急联系人。目的地改变时重新确认。不要隐瞒所在地、伪造出行申报，或在策略消息明确禁止访问后仍反复尝试。

2. 盘点身份与恢复链以及高权限账户

列出你可能使用的每个工作身份：主账户所在的目录、邮箱、聊天、代码托管、云控制台、密码管理器、VPN 或零信任客户端、财务工具、人力资源门户、客户支持和设备管理账户。标出具有管理员、计费、部署、签名或数据导出权限的身份。

机构提供独立账户时，把日常工作与特权访问分开，不要在出行前“以防万一”添加强大的角色。请负责人移除过期权限，并确认在境外仍可使用哪种紧急提权流程。

梳理恢复链。确认每个重要账户可以通过哪个恢复邮箱、电话号码、验证器、硬件密钥、服务台、经理、身份证明和设备重置。避免循环恢复——丢一部手机就同时锁住邮箱、密码管理器和全部第二因素。

个人和长期账户的调整，可使用迁居海外数字账户清单，但企业账户的恢复要保留在雇主认可的渠道内。绝不为了方便，就把工作账户的恢复地址换成未经批准的个人账户。

3. 强化 MFA 并测试独立的备用方式

CISA 推荐使用 MFA，因为即使密码被盗，也不足以单独访问账户；并在可行时强调防钓鱼的方法。［1］按雇主支持的注册流程操作；未经批准，不要添加非官方验证器、个人电话号码或转发规则。

优先使用机构支持的硬件安全密钥、通行密钥（passkey）、基于证书的方法或其他防钓鱼选项。谨慎对待推送通知：看清应用名称、位置和数字提示，拒绝非本人发起的请求。反复出现的主动推送，可能说明密码已泄露，或攻击者在尝试 MFA 疲劳攻击。

把经过测试的备用因素与主笔记本电脑或手机分开携带。备用硬件密钥应已注册、标签不暴露账户、防止丢失，并存放在另一个安全位置。如果允许使用恢复代码，应加密或实体保护，不要与它所恢复的设备放在同一个电脑包里。

出发前测试认可的恢复路径，但别故意把自己锁在外面。只有当短信属于官方备用方式时，才确认国际电话服务，并理解短信可能不可用，或比防钓鱼方法更弱。记录服务台的身份核验流程和服务时间，不要把敏感机密抄进旅行笔记。

4. 减少暴露的会话、数据和设备信任

检查活跃会话，退出不随身携带的浏览器或设备。通过官方账户页面移除过时的应用令牌和第三方集成。不要撤销策略要求的设备管理或安全代理；如果有无法识别的会话或令牌，请询问 IT。

只带行程所需的最少数据，优先使用受管理的云存储、受控代码库和获批的虚拟桌面，而非大量离线导出。删除文件时遵循机构的保留和同步流程，以免毁掉唯一副本，或触发不受管理的备份。

在企业指引允许时，建立专用的工作浏览器配置，关闭个人扩展同步，避免在共享或家庭设备上混用工作凭据。设置自动锁屏，使用全盘加密，出行前安装必要更新，并确认终端防护和设备管理状态正常。

NIST 的远程办公指南涵盖了在正常办公场所之外使用的远程访问技术、终端设备和通信的安全。［2］请采用雇主现行标准，而非自行拼凑个人工具。多设备旅行保护指南可帮你盘点实体设备，但企业数据的处理仍受雇主规定约束。

5. 使用获批网络和企业访问路径

即使酒店、共享办公空间、房东或机场提供了密码，也要把网络视为不可信。通过工作人员或其他可信渠道核实网络名称；完成 captive portal（强制登录页）步骤时，不要在无关页面输入工作凭据；并关闭对已记住的公共网络的自动连接。

使用雇主要求的企业 VPN、安全访问服务、受管浏览器、虚拟桌面或其他方式。不要用消费级 VPN 替代企业的身份认证、设备状态、日志、分流隧道、数据防泄漏或位置控制。个人隐私服务和企业访问系统解决的是不同的问题。

加拿大网络安全中心建议机构和旅客评估目的地风险、尽量少带信息、保护设备，并在境外出行和远程办公时使用获批的通信方式。［3］雇主有目的地专项说明时请索取。

一般公共网络的检查，请参考酒店与共享办公 Wi-Fi 指南。在允许使用其服务的连接上，AethoVPN 可以保护流量，但它无法授权就业、替代雇主的 VPN 或身份提供商、满足设备合规策略，也不能凌驾机构的位置限制。

6. 监控账户登录并及时报告异常

出发前，了解机构在哪里显示最近登录、安全警报、设备状态和会话撤销。开启获批的提醒，并确认联系邮箱和电话是最新的。不要把企业警报转发到未经批准的个人邮箱。

把意外的 MFA 提示、密码重置消息、新的恢复方式、陌生设备、不可能的位置、邮箱规则、令牌授权或特权操作视为事件信号。记下时间、服务、显示的位置、设备、显示时的 IP，以及关联 ID 或事件 ID。不要点击警报中的链接；另行打开已知的应用或联系渠道。

如果有可能已被入侵，按雇主的事件处理流程操作。按指示在已知干净的受管设备上更改密码、撤销会话、移除未经授权的因素，并保存证据。不要通过打开可疑附件、给疑似被盗账户发消息，或把受监管的日志复制到个人设备来自行调查。

如果更换地点后访问被拦截，停止反复尝试，请 IT 区分身份风险、设备合规、网络条件和位置策略。使用专门的工作笔记本排障流程，而不是伪装位置或来回切换网络。记录事件结果以及任何临时访问例外，包括其到期时间和负责人。

总结

测试访问之前，先确认目的地和工作类型获得授权。
盘点账户、特权角色、依赖关系和恢复链。
使用受支持的防钓鱼 MFA，并把经过测试的备用因素分开保存。
减少持久会话、本地数据、不必要的集成和不受管理的设备。
使用获批的网络和企业访问工具，不绕过位置或合规控制。
监控登录，及时报告异常提示、会话、恢复方式变更和拦截。

常见问题

如果所有账户都能正常打开，我就可以在境外工作吗？

技术上能访问不等于获得授权。雇佣、移民、税务、制裁、保险、客户和数据规则仍可能禁止或限制这种安排。就目的地和工作取得机构的书面决定。

消费级 VPN 能替代雇主的 VPN 吗？

不能。企业访问可能执行身份、证书、设备状态、路由、日志和数据控制。使用要求的企业方式，不要用其他服务隐藏位置或绕过策略。

国际工作最适合哪种 MFA？

使用雇主支持的最强防钓鱼方法，例如获批的安全密钥或通行密钥。注册一个经过测试的备用方式，并遵守企业恢复政策；不要添加未经批准的个人方式。

两把安全密钥都放在电脑包里可以吗？

不可以。把所有因素都和一台设备放在一起，一次丢失就会全部失去。按政策保护并分开存放备用密钥，同时确保它在目的地可用且可合法携带。

在境外收到意外的 MFA 提示怎么办？

拒绝它，记下时间和显示的细节，通过已知途径打开服务，并经雇主的事件渠道报告。按指示更改密码、撤销会话或隔离设备。

出发前可以先下载文件，以防访问被拦截吗？

只能在机构的数据处理和出行政策允许范围内进行。大量离线副本会增加丢失、过境、隐私、保留和同步方面的风险。优先使用获批的受管访问，只带最少的必要数据。

登录提醒显示另一个国家，就一定是被入侵了吗？

不一定。企业网关、移动运营商、云服务和定位误差都可能影响显示的位置。仍要核实事件、设备、时间、应用和验证因素。任何不是你发起的操作都要报告。

免责声明：本指南提供一般的防御性安全信息，不构成法律、移民、税务、制裁、雇佣或合规建议。请遵守雇主的政策，并就所涉目的地和工作寻求合格意见。

来源

Cybersecurity and Infrastructure Security Agency — Require Multifactor Authentication — https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication
National Institute of Standards and Technology — SP 800-46 Rev. 2: Guide to Enterprise Telework, Remote Access, and BYOD Security — https://csrc.nist.gov/pubs/sp/800/46/r2/final
Canadian Centre for Cyber Security — Device security for travel and telework abroad — https://www.cyber.gc.ca/en/guidance/device-security-travel-and-telework-abroad-itsap00188

Sources checked 2026 年 9 月 8 日。

延伸阅读：

跨境工作账户保护：先确认地点授权，再准备 MFA、恢复与批准路径