數據洩漏事故現時在香港未有立法規管必須通報，並無一個完善的通報機制，除了會造成大眾關注度不足和輕視問題的嚴重性，同時也意味著很多事故隱藏在黑暗中。不要以為數據資料洩漏與自己無關，因為那些被洩漏的資料，分分鐘就是你的信用卡資料、住址、電話；香港過往也曾發生幾宗震撼全城的洩漏相關事故，包括航空公司洩漏 940 萬乘客私隱，選舉事務處遺失載有約 378 萬地方選區選民的資料的電腦，所引發的潛在資料外洩危機等，全都令人擔心企業或政府部門有沒有足夠措施及防護策略，保護客戶、市民的隱私。如果要妥善保護資料，採用由專業的數據保護方案，便能輕鬆管理資料及為資料加密，並設置資料讀取權限，即使遙距工作，也不怕資料外洩。 數據加密零停機 效率保護性兼備 Thales公司的資料保護平台（CipherTrust Data Security Platform, CDSP），為全球各地政府、跨國企業、金融機構所採用，在香港的用戶就包括政府、金融監管機構、發鈔銀行、公用事業及上市企業。Thales公司是數據保護、加密及安全交易的權威，其提供的數據加密方案，能有效保障用戶的個人私隱及交易資料，不會外洩。 其中CipherTrust Transparent Encryption （CTE）方案的透明加密資料設置，可保護結構化及非結構化資料庫，加密內部系統、雲端環境，甚至在大數據和容器內的資料，同時保持存儲數據的效率，在部署時毋須更改應用程式或工作流程，使對業務及作業程序的影響減至最少。 透過Live Data Transformation （免停機背景加密）方案，能在零停機的情況下加密資料，期間不需中斷應用程式或工作流程，在加密過程中，使用者和處理程序可如常繼續存取資料庫或檔案系統，將加密過程對使用者的影響降到最低。另外，平台亦設最低權限使用者存取規則，保護資料免受外來攻擊，以及遭特權使用者誤用。 不少製造商及電子商貿公司亦採用 Thales…

一場疫症，令大部分香港企業被迫急著數碼轉型，同時黑客亦覷準機會，大舉進攻港企網絡，當中不乏巨型企業中招，暴露了潛藏已久的企業網絡安全意識嚴重不足問題。PwC 網絡安全及私隱保護服務合夥人及 Dark Lab 創辦人顏國定透露，香港近期的網絡攻擊事件大幅上升約十倍。他分析情況指，港企的資安水平落後世界先進地方最少 5 年，主因沿於長久以來，香港社會針對網絡攻擊事件的透明度不足，造成企業以至大眾對網絡安全失去危機感。他認為，現時的監管機制只靠企業自願性披露，情況恐難改善。 香港網絡攻擊升十倍　勒索攻擊明顯進化 顏國定表示，在疫症爆發之前，經他團隊處理的本地網絡攻擊事故，一年平均約四十多宗。但疫症爆發至今，處理事故宗數大幅上升至幾乎一日一至兩宗，按此比例計算，升幅達十倍，而且黑客的攻擊手段亦越見高明。顏以勒索攻擊為例，以往黑客成功駭進企業系統，會短時間引爆病毒，癱瘓並鎖死企業系統，然後直接要求企業支付贖金，攻擊是一次性的。現在，黑客會先潛伏企業系統內一段時間（以香港情況，潛伏期大概一個月），期間黑客會偷偷在系統裝上電腦病毒及後門程式，並且盡量搜集企業的機密資料及客戶資料，之後等待適當時機，黑客就會「唧牙膏」式地攻擊，例如突然在社交媒體把企業的機密資料到處洩漏，並要求企業支付贖金；如果企業拒絕，黑客就會在對方疲於尋找解決方法時，再突然洩漏更多資料，甚至鎖死企業系統。這種持續性的攻擊，比起舊有模式，對企業造成更大恐慌和困擾，因為企業無法得知還有幾多機密資料和客戶私隱會被突然洩漏，相對地受害人就會更容易支付贖金。 長期認知不足　港企資安水平落後 顏國定亦指出，雖然香港企業在近期的數碼轉型風潮下，確實增加投放資源在網絡安全之上，但卻流於「買最貴的系統，但買回來後，從不善用」的層次，令到保安系統即使升級，仍未能發揮應有作用，有些大公司甚至連最基本的 MFA (多重認證）都未有實施。顏形容，港企的網絡安全水平落後世界先進國家五年，主要原因是社會對網絡安全意識長期不足，由市民大眾到公司企業，都不知道網絡攻擊的嚴重性，「連 MFA 這些低成本又有效的保安措施都嫌麻煩」。由於缺乏意識，因此由資訊安全的人材培訓，以至保安系統升級，都被長期忽視，結果現在急於數碼轉型的情況下，企業網絡保安錯漏百出，淪為黑客攻擊目標，「黑客其實都是漁翁撒網式在世界各地找獵物，所以哪裏防禦措施薄弱，哪裏就會成為黑客的天堂。」 監管靠自願披露　透明度不足恐難改善 針對社會整體對網絡安全意低下問題，顏國定認為，核心在於網絡攻擊事故的「披露（Disclosure）」不足，「香港現時的資安教育，很多時候是要求市民大眾『自己小心啲』，但人性在缺乏危機感下，必然會粗心大意。因此最有效的教育是增加危機感。」顏解釋，香港現時主要靠《個人資料（私隱）條例》要求企業自願性披露網絡攻擊事故，但由於欠缺約束力，企業為保聲譽，都會盡量低調處理，結果網絡攻擊事故鮮被曝光，社會大眾一直誤以為「風平浪靜」，自然不懂得去重視問題。他建議，政府可以借鏡先進國家，立法要求企業必須主動披露網絡攻擊事故，並為企業網絡安全措施要求，訂立清晰標準，以有效提高資訊透明度。「只有建立在有力的法律基礎上，企業才有不能迴避的責任，去披露資安問題的實際情況。當資訊的透明度有所提高，公眾認清事實，大家才會從日常生活中感受到網絡攻擊的嚴重性。於這樣的社會氣氛下，我們才能談得上以教育提高大眾以至企業的網絡安全意識。」

近日有傳中國受水災影響，部分地區出現糧食危機，政府亦帶頭呼籲民眾不要浪費食物。除了天災之外，人禍也會引發糧食短缺，例如以色列安全專家就發現，由Motorola設計的智能灌溉系統在設計上缺乏安全考慮，竟容許用戶以出廠登入資料長期使用系統，只要黑客有心，隨時可摧毁大量農作物，製造糧食危機！ 為減少人力需求、降低成本，不少農場也會裝設智能灌溉系統，交由電腦自動執行灌溉、施肥、使用農藥等工作。可想而知，如未能及早發現系統損壞或運作異常，農作物的收成將會大受影響。而以色列安全公司Security Joes創辨人Ido Naor，就發現有超過100個Motorola ICC PRO智能灌溉系統的用戶，竟然未有為系統設定密碼，黑客只要使用Motorola預設的帳戶登入名稱如admin，即可遙距登入帳戶，修改智能灌溉系統的設定及執行異常灌溉指令，而且不會驚動Motorola及其用戶。Naor指出Motorola的ICC PRO雖然有安全保護，但由於未有強制用戶在安裝後更改帳戶登入資料，全靠客戶自律，結果情況就如許多IoT物聯網產品的用戶一樣，放任繼續使用原廠設定。 Naor說要找出這些系統並不困難，只要使用IoT裝置掃描器，就能輕易在網絡上搜出Motorola的ICC PRO。他已即時將研究報告通知以色列的網絡安全中心及Motorola，讓對方通知用戶盡快修改密碼，而Naor發現仍未修改密碼的用戶已減少至78個，不過由於研究已經公開，肯定會有黑客嘗試入侵這些用戶。 事實上，各國政府均意識到IoT產品的安全問題，並開始陸續規管生產商，例如美國於2020年1月1日生效的SB-327 Information Privacy：Connected Devices 條文，就限制生產商必須為每部產品設定獨一的出廠登入密碼，即使用戶未有更改，也不致被黑客以同一密碼大規模攻擊其他同廠產品。英國及澳洲政府亦有就IoT產品推出安全生製指引，但距離立法還有一段長時間，用戶現階段必須靠自己，例如定時更改帳戶登入資料、啟用2FA雙重因素驗證、持續更新官方發布的韌體更新等，雖然未必百分百安全，但也可減少大部分危機。 資料來源：https://zd.net/3kDpb9V

IoT（Internet of Things, 物聯網）可以話係現時其中一個網絡安全嘅大敵，因為生產商大多數認為要賺錢嘅話，出嘢一定要快、功能要多同易用，至於網絡安唔安全？呢啲問題真係可以遲啲先算。產品對象為企業客戶嘅都可能講究啲，但做一般用家生意真係睬你都傻啦！明嘅，不過嚟緊就唔可以咁 hea 喇，事關唔少國家都準備為規管 IoT 產品而立法，最快仲要明年一月就有規管添！ 根據網絡安全產品供應商 F-Secure Labs 嘅統計數字顯示，IoT 漏洞主要有兩方面，一係弱登入驗證，二係無提供更新檔修補漏洞。前者嘅問題係好多產品推出時可能唔使用密碼嚟配對，但出廠預設嘅登入名及密碼一式一樣，最出名嘅就當然係「admin」同「0000」之類嘅組合啦。只要用家買咗返嚟又懶得改，黑客就好易破解進入。另外，有產品出廠時根本無諗過會提供漏洞修補，所以即使被發現有漏洞，廠方都唔會理，甚至連更新渠道都欠奉，除非廠方回收，否則用家只可以決定用或唔用。 禁用相同出廠密碼 不過，呢啲情況將會有改變，美國加州喺 2018 年通過及 2020 年 1…

監控鏡頭、智能恆溫、指紋門鎖、節能控制、感應燈光⋯⋯物聯網（IoT）裝置喺大眾日常生活越發普及，而喺商業層面嘅應用就更廣泛，市場調查公司 Gartner 預測本年全球將有 58 億部 IoT 裝置接通互聯網，但亦因生產成本與欠缺嚴格安全守則指引，衍生無限網絡安全漏洞。防毒軟件供應商 Kaspersky 表示喺 2019 年首 6 個月中，錄得一億次針對 IoT 嘅攻擊，比去年同期飆升 9 倍，傳輸數據嘅安全設定係其中一個漏洞所在。針對呢一個環節，閃存記憶體生產商 Swissbit 早已推出附有加密程式嘅 SD…

踏入 2019 年最後一個月，各大網絡安全服務供應商都開始對來年業界進行預測。當中 Palo Alto Networks 專業領域亞太區安全總監 Kevin O’Leary 就認為有幾方面特別需要關注，同時亦就這幾方面提供建議。 解決4G漏洞救 5G Gartner 估計，2020 年全球 5G 無線網絡基礎設施的收入將會達到 42 億美元，較 2019 年大增 89%，而在不同國家亦已推出…

涉及侵害個人私隱嘅法例推行，會唔會影響到國外投資者信心，以及侵害到國家喺國際上嘅競爭力問題，最近又成為咗澳洲政府獨立安全法監察局（Independent National Security Legislation Monitor,INSLM）檢討緊嘅問題。負責今次調責嘅 Dr Renwick 就話，雖然現時全球政府都面對住加密技術妨礙搜證嘅問題，但如果呢啲侵入性法例會令到公眾懷疑佢嘅安全性，同時會令執法機關行使不必要嘅權力，咁就有機會要修正喇。 方便搜證疑侵害私隱權 講緊嘅係澳洲上年年尾通過咗一條Telecommunications and Other Legislation (Assistance and Access) Act 嘅修正法例，目的係為咗方便執法人調查罪犯，以防佢哋以加密方式收起犯罪證據，因此建議但凡唔肯向執法人員提供手機同埋手提電腦密碼，有機會被判五年監禁及罰款50000澳幣。 咁都不特止，正所謂魔鬼永遠喺細節度，原來條例仲講明，如果執法機構要求科技公司幫手，解開某人嘅電子設備密碼，而科技公司拒絕配合，分分鐘要面臨約 5000萬港幣嘅罰款！而如果科技公司嘅員工向任何人透露執法機構嘅要求，亦有機會被判五年監！外國公司亦可以用呢條法例，叫澳洲律政部長查你部電腦，睇下有無境外犯法，總之一句講晒，就係條法例好鬼惡啦！ 澳洲政府嘅理據係，因為近幾年科技發展太快，影響到執法同埋危害國家安全，所以先打算立呢條法例，新南威爾斯州公民自由委員會副主席Lesley…

一日到黑都聽到政府資料外洩，雖然都已經見慣，但就絕對唔可以習慣。最新一單係最近厄瓜多爾被揭發前所未有咁大規模嘅資料外洩，可以話係破盡所有國家嘅記錄。你估下到底有幾多人民嘅私隱洩漏咗？五成？七成？定係八成？錯！係100%，全國人民資料都外洩晒！ 話說厄瓜多爾全國人口有 1650 萬人，今次洩漏出去嘅個人資料總共有 2000 萬人，點解會咁離奇？原來連之前已經離世嘅國民資料都洩漏埋，換句話講，舉國上下無人倖免，包括埋厄瓜多爾總統 Lenín Moreno，同埋 2012 年曾經受厄瓜多爾政治庇護、維基解密創辦人阿桑奇，都喺洩密名單入面，真係夠晒災難級！ 事件係由一間叫做 vpnMentor 嘅網絡安全公司發現，漏洞源自美國邁阿密一個唔安全嘅伺服器，相信由厄瓜多爾公司 Novaestrat 所持有。調查發現，伺服器入面 18GB 個人資料唔係得人名咁簡單，仲有埋出生日期、出世地點、住址、電郵、身份證號碼、職業、銀行賬戶狀態、結餘，同埋信用類別。 咁大件事，梗要搵人問責，當地警方已經率先拉咗 Novaestrat 嘅經理…

Robocall，即係自動語音通話，真係諗起都𤷪！有調查顯示，美國境內每日都有兩億個電話係由機械人打出，足足佔總電話量嘅三成。Robocall 已經成功登上聯邦通訊委員會被投訴對象嘅第一名，問你怕未？ 發生喺美國嘅 Robocall 目的有好多，包括促銷、政治宣傳、詐騙、騙取用戶資料等。美國 Transaction Network Services（TNS）利用機器學習、大數據分析，幫助用戶及電信業界對抗垃圾來電。日前 TNS 發表咗一份報告，公佈有關美國滋擾電話嘅調查。 喺報告內，TNS 為美國電信業者億億聲嘅電話進行分類：「高危類」指詐騙電話，目標係盜取個人資料或金錢；「滋擾類」係純粹嘅煩，唔包含惡意攻擊。雖然好似冇害，但單係「煩」就夠死。TNS 更發現，「滋擾類」電話嘅增長比其他高危詐騙電話多 38％，即係越來越多，越來越煩。 另外，TNS 指出自動語音電話「騎劫」個案有兩倍升幅，所謂騎劫，即係 illegal spoofing，來電時會顯示假冒嘅電話號碼，繞過垃圾電話過濾器。TNS 指每 1700…

網絡安全事故頻頻發生，香港企業當然不可能獨善其身，特別是雲技術興起，重要數據或敏感資料未必會只儲存在內部伺服器，被攻擊的層面自然大增。為了減低風險，現時企業管理者已較以往願意將資源投放在「看不到實際回報」的網絡安全產品之上。不過，面對層出不窮的攻擊手法及難以防備的人為疏忽，企業仍有可能因而受損。 專為企業提供網絡安全保險服務的智咨詢集團執行董事盧子頴說，這類保險概念在香港屬起步階段，但在歐洲地區卻歷史悠久，遠在上世紀七十年代已有相關保險，因為當時大企業的電腦系統也會被黑客盜取數據。「美國的網絡安全保險亦發展成熟，不單只保障企業，個人一樣受保，例如經常拿著電腦到不同地方工作的自由工作者，保險選擇較有彈性。」 處理安全事故費用可索償 現時香港可供投保的網絡安全保險，主要的對象為企業。可能大家對人壽、醫療、意外、旅遊等保險會比較容易聯想到其保障範疇，但網絡安全保險就相對陌生。盧子頴解析，網絡安全保障範疇不難理解，當發生黑客入侵或資料外洩，善後過程中牽涉到的費用大都在保障範圍內。現時香港的保險公司提供的保障，主要分為四個層面。 1.因個人資料外洩引致的費用 「事故發生後，企業必須聘請專家去證明這是否一宗網絡安全事故，進行調查及鑑證，分析對企業有多大影響。」盧子頴指出如果經營的業務需向監管機構如證監會、金管局通報，便有可能需向法律顧問諮詢意。除此之外，為免外洩的客戶資料被黑客用作申請信用卡或借貸，企業或有需要採用信貸監控服務，而這些費用都可索償。 2.業務中斷 因黑客入侵事件導致暫停營業，這段期間的損失可向保險公司索償。盧子頴說企業須提供合理證據證明損失的金額，例如過往的交易紀錄等，但一般都不難核保。 3.復原系統費用 系統受到黑客入侵破壞，又或受到勒索軟件攻擊，待專家取證後，企業便可以修復系統及復原數據，涉及的費用亦在受保範圍。 4.第三者私隱外洩所引起的損失 當企業洩漏的客戶私隱，導致客戶在名譽或金錢上出現損失，對方便有可能入禀追討賠償。 除了上述四項保障，盧子頴說因應市場需求，部分保險公司還會提供一些額外的保障，例如贖金索償，當企業遭受勒索軟件攻擊，有需要繳付贖金以取回解鎖方法，這些贖金便會獲得賠償。「另外，近年因外判商失誤造成損失的個案大增，所以亦有保險公司提供這類保障，例如一些業務涉及電子交易的企業，會委托外判商提供及管理網上交易平台，如證實導致資料外洩的失誤是出在對方身上，投保人便可獲得保障，而保險公司則保留向外判商追討損失的權利。」 事實上，網絡安全保險的保障範圍可以很全面，不過，盧子頴強調與其他保險產品一樣，投保的概念並非為了賺錢，而是減少損失。不過，是否所有企業也需要投保？他認為企業管理者應考慮三個元素。 高風險行業投保減損失 首先是企業的業務是否有需要儲存或使用客戶的 Personal Identification Information（PII），而這些資料包括客戶的姓名、電話、住址、身份證明文件號碼或信用卡資料？如需管有這些敏感資料，受黑客攻擊的風險便會增加，企業管理者應認真考慮投保，特別是全球各地都開始為保障個人私隱立法，歐盟通過的 GDPR…