隨著落實粵港澳大灣區發展規劃綱要，連繫了11個重要發展的地方 (包括香港、澳門兩個特別行政區、廣州、深圳、珠海、佛山、惠州、東莞、中山、江門、肇慶九市) 規劃大灣區商圈，而香港更因地理優勢或國際化都會的美譽，與澳門、廣州、深圳成為大灣區發展的核心引擎四大中心城市。 各商城的電子商務發展步伐及需求都有所不同，港企要走進大灣區發展及開拓其業務，跨境數據穿梭往來是必然，亦使其曝露於網絡攻擊的機會大增；更會牽涉不同地方的法制，一不小心隨時會惹上法律責任。 各有各法　保障網絡安全 對於港企來說，業務經營的網絡安全主要受《個人（私隱）條例》及不同監管機構所規管，例如香港金融管理局或證監會。而國內或澳門都先後訂立當地的《網絡安全法》，對於在當地經營業務的企業，提出一系列的規管，包括安全框架、在地數據儲存、數據跨境流動、網絡安全審計等，這些規管與香港的存有差異，因此，無論是港商北上發展，或是國內企業來港拓展業務，都應先了解清楚當地的規管，避免「闖關」誤觸地雷招致損失。 網絡安全法對港企於大灣區商城發展絕對是一種保障，除了可增強通信網絡設施的安全可靠性，亦能提高數據資源保護的水平。現時網絡攻擊的手法日趨精密及複雜，各種類型的零日攻擊（Zero Day Attack）湧現，傳統的網絡安全防禦策略已無法應付；加上隨著大灣區的迅速發展，使網絡安全專才供不應求，更有進一步惡化的現象。加上不少企業為飲頭啖湯而加快了在大灣區商圈內的投資，而忽略了網絡安全，令黑客們更有機可乘。所以， 企業需要設置適合的網絡安全裝備，以應付多變的網絡攻擊。 最有效率的方法，莫過於委託熟悉當地法制的託管安全服務提供商（Managed Security Service Provider, MSSP）處理，不單可掌握更全面的威脅情報，為企業全方位監測網絡安全狀況，亦能確保符合不同地方的法例。不過，市面上有不少 MSSP 供應商，提供的服務看似一樣，其實內裏卻有很大的差異，如採用的科技、網絡安全專家的經驗和技術認可，企業需多加留意及比較，作出精明之選。 掌握攻防戰術 根據調查顯示，現時大灣區內每日約有 500…

香港的資訊科技鑑證（Digital Forensics）專家，大部分都集中在政府執法部門內，坊間的專家數量少得有如特務般神秘，原來有段古。提供鑑證服務的網絡安全公司 eWalker 首席顧問楊思聰 （Ricci），是香港第一代資訊科技鑑證專家，更是首位以IT人員身份於法庭提供專家證供。「大約在 2000 年，當時執法部門開始想培訓本地鑑證人才，我們（資訊保安及法證公會, ISFS）的創會主席 (已故的陳天雄教授) 好有前瞻性，便接受邀請籌備香港第一個鑑證訓練課程，定義鑑證的內容及如何做鑑證，所以現時執法部門內有很多我們的學生。」 他解釋說，以往執法部門也會外判鑑證服務，但如鑑證專家在審訊期間離職，便難以找其他專家「執手尾」，所以執法部門現已傾向交由內部人員搜證，更羅致了本港大量人才。另一方面，他說懂得使用電子證供的律師亦不多，如其他證供在庭上已可穩贏，律師便不會考慮使用，變相令坊間的鑑證行業生存空間有限，專門從事這行業的人不多，才會變得如此神秘。 Ricci說全球有三間公司有出售破解工具，甚至亦成功破解新的智能手機，但這些公司只會將工具賣給執法部門，我們雖然也有購買這些工具，但秘技功能卻只有執法部門才可以使用。 鑑證過程等多過做 事實上，Ricci 說資訊科技鑑證一點也不神秘，調查過程也沒有一般人想像中的驚險刺激，投放得最多的時間，反而是前置作業。「處理跟裁判有關的電腦鑑證，首先要合規地完整複製證物內的數據，才可用這份副本進行調查，複製過程中不可改動到正本內的任何數據，否則有可能令這份證物失效。」Ricci 說單是如何取證及保管證物已有一定程序需要遵守，再加上現時儲存設備的容量動輙以 TB 計，以複製一隻 1TB 容量數據為例，便要…

因為疫情嘅關係，視像會議程式突然變到人人都要識用咁滯，南非外交部長馬沙巴內夫人亦唔例外，早排佢本來要就新冠病毒嘅影響，用Zoom主持一個部門嘅視像會議，不過事與願違，呢個會議最終俾黑客入侵，仲要播埋色情內容，場面令人尷尬。 最慘會議上除咗有部門員工同傳媒之外，為咗提升參與度，會議直情開放俾公眾加入，有意參加嘅人超過400個，相信黑客扮成參與者混入會議，喺眾目睽睽之下播放裸露圖片同色情畫面。 隨住視像會議程式嘅需求愈嚟愈大，相關嘅網絡安全問題亦都成為熱話，美國聯邦調查局(FBI)都點名話，Zoom程式有明顯嘅安全漏洞，已經成為黑客目標，更加指出兩宗黑客成功入侵嘅例子：馬薩諸塞州一間高中用Zoom上堂期間，就俾不明來歷嘅入侵者大聲講粗言穢語，同埋公然講出負責老師嘅住址；州內另一間學校就有入侵者喺鏡頭面前，向與會者展示納粹德軍標誌紋身。FBI提醒市民用Zoom或者同類軟件嘅時候，要確保軟件已經更新到最新版本，亦唔好隨便公布同透露進入網路會議室或網路教室嘅連結。 除此之外，加拿大多倫多大學有份參與嘅研究機構Citizen Lab，早前就揭發Zoom有時會用中國伺服器（servers）供應商發出嘅密鑰（keys），就算係北美客戶嘅 Zoom 會議，都可能用咗嚟自中國嘅密鑰。報告質疑Zoom喺中國有三間公司，有可能令 Zoom面對官方壓力嘅時候，有法律責任要披露加密資料。而Zoom亦喺4月3日承認，因為2月用戶流量急升，誤將幾千個用戶嘅會議流量，分流咗去中國兩個數據中心處理，Zoom無透露受影響用戶有幾多，雖然強調已經盡快修補漏洞，不過事件已經令大眾對Zoom嘅安全性存有戒心。 唔少用戶亦都開始尋求Zoom程式以外嘅選擇，包括：Google Hangouts Meet、Microsoft Teams、Cisco WebEx 、又或者係Skype嘅會議功能，經常有需要開視像會議嘅朋友，不妨了解多啲。 資料來源：https://bit.ly/34KXc0R、https://bit.ly/2ymH9Kz、https://bit.ly/3eutbH7 相關文章：【緊急自救】修改群組政策設定 煞停Zoom 派送Windows登入密碼

勒索軟件（Ransomware）有幾猖獗，相信好多人都知，例如全球最大外幣兌換公司 Travelex，就不幸成為 2019 年最後一間受害機構，喺除夕當日中招，被開發 Sodinokibi 嘅黑客組織勒索 300 萬美元（現已增加至 600 萬美元）。最重要係，黑客組織講到明唔俾錢就會公開由 Travelex 偷返嚟嘅客戶私隱資料，唔再係鎖死晒啲檔案就算。為咗增加可信性，黑客組織已率先將另一受害機構 Artech Information Systems 嘅 337MB 檔案，喺俄羅斯討論區公開「些牙」⋯⋯ 勒索軟件最令人頭痛嘅地方，係佢會鎖死電腦入面嘅檔案，仲會透過內部網絡感染其他儲存設備，不過以往嘅勒索軟件只會鎖死檔案，如果受害者平時有做好備份，最多重新還原資料，損失有限。不過，開發 Sodinokibi…

最近金價高到得人驚，日日係咁升，好似 2019 年全年金價就升咗19%，跑贏恒指，再次證明黃金依然係避險之王。大家唔好誤會，以為去錯咗財經版，只係近年好多人都話「data is gold」，喺呢個年代，數據價值唔會差得過黃金，但係數據會唔會好似黃金咁樣，有完善嘅機制監管佢嘅買賣同埋升跌呢？睇完以下三篇報導，你或者會有答案。 第一篇係《華盛頓郵報》上月初嘅報導，內容係講微定向（micro-targeting）呢家嘢，近年被政黨廣泛應用，用佢嚟追蹤特定選民，收集並建立數據庫，再靠數據分析嚟設計競選活動。2016年美國大選時，侵侵俾錢請嘅「劍橋分析」（Cambridge Analytica）就係玩微定向嘅高手，因而俾唔少人質疑微定向改寫咗選舉結果。Google 同埋 Twitter 早前已公布，佢哋唔再俾微定向用喺政治用途，唯獨係 Facebook 企硬唔肯咁做，《華盛頓郵報》仲訪問咗 Facebook 前資訊保安總監 Alex Stamos，佢話微定向唔係追蹤一、兩個美國人，而係成千上萬人，咁樣做其實係扼殺緊真正嘅民主。 另一篇報導嚟自《Politico》，又係追住 Facebook 而嚟，佢哋嘅記者調查之後發現，有 265…

喺九月尾，獨立安全研究人員 @axi0mX 表示，發現一個存在於 bootroom 嘅漏洞，呢個取名為 checkm8 嘅漏洞，由於係寫死咗喺 ROM 入面，所以除非更換硬件，否則係修復唔到嘅。受影響嘅 iPhone 包括 iPhone 4S（ARM A5 chip）至 iPhone X（ARM A11 chip），基本上除咗最新出嘅 iPhone…

美國因為各種政治、經濟問題，先後將多國列入經濟制裁名單，除咗禁止採購對方嘅產品，亦向對方出口美國嘅產品加征關稅。不過，最近美國 FBI 一位網絡安全部門發言人 Richard Jacobs 就指出，制裁令嘅影響就係導致針對勒索或詐騙嘅網絡攻擊大增，目的就係填補因經濟制裁引致嘅損失，再支持黑客提升武器，形成不良嘅惡性循環。 Jacobs指出，調查顯示發動攻擊嘅黑客，大部分同被制裁國家有密切關係，雖然呢啲黑客主要來自四大國家，包括俄羅斯、伊朗、北韓及中國，但情報顯示正有擴大跡象，例如南美、中東及東南亞國家。被制裁國出動國家級黑客向美國企業進行各種攻擊，雖然仲有盜取科技、商業秘密為目的嘅個案，但針對金錢嘅攻擊就特別多，黑客會將所得嘅贖金及詐騙返嚟嘅金錢填補國庫，令被制裁國有錢可用，同時國家亦會支援黑客升級裝備，以發動更精密嘅攻擊。佢以最近一宗 9.5 千萬美元嘅轉帳詐騙為例，雖然大家都會恥笑受害人點可能靠一個電話及電郵，就相信對方真係上司而轉錢，但 Jacobs 話實際情況係呢啲騙案通常經過四個步驟以上，去搏取對方信任，稍為留神都有可能上當。 對於懷疑被騙或勒索嘅公司，Jacobs 話如果可以喺 48 小時內向 FBI 求助，都仲有機會制止轉帳或攞得返啲錢，但一過咗呢個大限，大家就唔使旨意仲可以攞得返。好似上述嘅個案，FBI 就幫受害公司截停咗 7 千萬美元，大大減少到損失。銀行業方面亦對情況表示擔憂，因為每次成功攻擊，造成嘅金錢損失高達一億美元，足以令被制裁國投入更多資源去扶植黑客為國家搵錢。…

平常一聽到同銀行有關嘅運作程序，一定覺得會安全到不得了㗎啦，但接二連三嘅事實話俾大家知，無論間公司有幾大，規管有幾嚴謹，都一定會有「濕滑」嘅員工。加拿大最大銀行 Scotiabank（加拿大豐業銀行）近日被揭發出低級網絡安全錯誤，低級嘅程度更直逼「布偶級」（muppet-grade），大家明啦！ 日前網絡安全研究員 Jason Coulls 揭發，加拿大 Scotiabank 喺 GitHub 嘅儲存庫竟然存有未受保護嘅檔案，當中有外幣匯率 SQL 數據庫系統嘅軟件藍圖及 access key、手機應用軟件程式碼，後台服務及數據庫實例嘅登錄憑證、原始編碼等，簡直係黑客金庫。 Scotiabank 嘅回應當然都估到，首先話呢啲資料並不會危及客戶、員工或合作夥伴，又話已經展開調查、修復問題、移送法律資料中。而加拿大法律規定，銀行出事就要即刻通報，加拿大金融機構監管辦公室方面就已接獲通知，正密切監察事態發展。 GitHub 於去年被 Microsoft 收購，成一時佳話。除咗極多開發者會用，亦有唔少企業機構都會用，因此，保安係其中最大課題。有時開發人員為咗貪方便唔使次次登入，會喺開發階段將…

其實人臉識別技術仍未成熟，但世界各地執法機關已經一致看好，中國就係其中一個？究竟人臉識別技術會令世界更加美好，抑或變得縛手縛腳？背後有何隱憂？最近科技網站 ZDNet 發表咗一篇關於澳洲政府看待人臉識別嘅文章，睇下有乜嘢啟示同借鑑？ 反恐為由，硬推人臉識別 唔少政權都喜歡以「反恐」為由去提升國防、安檢權限同技術。昆士蘭州警察局（QPS）於去年黃金海岸嘅英聯邦運動會（Gold Coast Commonwealth Games）推出人臉識別系統，作為防範恐怖襲擊之用。點知轉個頭，已經被警方用來進行一般警務調查；雖然被權限所約束，只能接觸有限資料，但已夠引起大眾關注及不安。 如果話套架生未發展成熟，又未諗到全個配套，貿然上馬絕對不智。昆士蘭大學資訊科技及電機工程學系 Brian Lovell 直斥當局呢個決定 complete failure，徹底失敗。Brian Lovell 指，昆士蘭州警察局完全無喺 deployment 下工夫，完全無認真咁為鏡頭擺位、部署考慮過，而且背後亦無做好基建 support，反而會製造出私隱危機。Brian Lovell…

Pentest 滲透測試係發掘網絡系統漏洞嘅好方法，所以唔少政府部門或企業都會外判服務供應商進行測試。但美國就有兩個網絡安全專家喺執行測試時，懷疑殺得性起，做多咗嘗試強行爆入法院大樓，再攻埋其他系統，結果搞到官非纏身！ 上星期三，美國愛荷華州（Iowa）達拉斯縣（Dallas）法院發現有不明人士闖入法院大樓，觸動警報系統，結果警衛拉咗兩個入侵者。兩個入侵者分別係 Justin Wynn 同 Gary Demercurio，被捕時二人即刻話係受到達拉斯縣政府所僱用，目的係測試法院嘅安全系統。起初當局回應話無咁嘅事，但經查明係，證實 State Court Administration（SCA）的確係僱用咗網絡安全公司 Coalfire 為系統進行滲透測試，而 Justin 同 Gary 就係 Coalfire 嘅員工。 雖然證實咗真係派出社員，但…