網絡攻擊愈趨複雜及精密，加上銀行業又是公認的攻擊對象，面對如此高危的環境，香港金融管理局 (HKMA) 於2016年公布網絡安全防衛計劃 (Cybersecurity Fortification Initiative， CFI)，通過三方面提升金融業的網絡攻擊防禦力。其中之一的網路防衛評估架構（Cyber Resilience Assessment Framework， C-RAF）是一套以風險為基礎的評估框架，內裏的評估項目多達400多項，主要分為三個部分。 首先是自身固有風險 (Inherent Risk Level) ，評估標準會根據銀行採用的科技、服務渠道、以往被攻擊的記錄等因素作評級(High、Medium、Low) ；其次會通過審核現有的安全措施，包括監管、偵測機制、保護工具、危機管理及應對政策，以釐定網絡安全成熟度 (Advanced、Intermediate、Baseline) 。如果審核評分未能達到固有風險評估的相對要求，銀行就要按照金管局建議的改善措施提升安全成熟度，直至合符相應的要求。如果金融業的固有風險達到中至高程度，就必須實施網絡攻擊模擬測試iCAST (Intelligence-led…

C-RAF（網絡防衛評估架構 Cyber Resilience Assessment Framework）是所有香港金融業者必須嚴格遵守的評估框架，以訂出適當的網絡攻擊防禦措施，提升企業安全水平。近日有傳，升級版 C-RAF 2.0 即將來臨，評估或會更加嚴謹！ 是次講座邀請 PwC 專家預估 C-RAF 2.0 的最新規例，同時示範利用 Intelligence-led cyber attack simulation testing（iCAST）以提升安全水平；另外亦請來 Edvance…

自 2016 年 9 月首次被黑客用嚟攻擊澳洲銀行同埋金融業客戶，TrickBot 喺短短 4 年間，經過 N 段進化，次數已經超越《龍珠》入面嘅斯路加布歐。每次進化，呢隻 Malware 就更古惑，由起初一隻銀行木馬變成而家嘅萬能 Key，理所當然成為資訊保安平台重點監視對像。今次 N+1 段進化，TrickBot 學識去分辨入侵系統係咪 Virtual Machine （VM），如果係就立即停止運作，隱藏實力阻止研究人員分析戰鬥招數。 單純學識避過監察同分析，使唔使開個…

https://www.youtube.com/embed/CE8jQajpEbc?wmode=transparent&rel=0&feature=oembed 企業的數碼轉型（Digital Transformation）近來有加速之勢，除了因為新型冠狀病毒肆虐，企業需要即時為員工提供遙距工作模式之外，事實上，不少企業為了增強競爭力，在疫情前已開展數碼轉型旅程。Palo Alto Networks香港及澳門董事總經理馮志剛（Wickie）指出，雲端應用服務的多樣性、可擴充性及靈活性，都較傳統的數據中心優勝，所以雖然過往香港企業的數碼轉型步伐較歐美及亞太地區如澳洲等落後，但近兩年情況已有變，討論焦點已不再是採用與否，而是何時採用。「不僅新興的網上銷售服務推行Cloud First策略，就連傳統的金融業、公共事業及政府部門亦持相同看法。」 雲轉型陷阱處處安全策略不容忽視 雖然企業及機構均積極開展數碼轉型，採用不同的雲端技術或解決方案，不過，Wickie說不少管理者卻忽略了要採用相對應的網絡安全策略。「雲服務說穿了只是另一個數據中心，當中一樣牽涉網絡連線、儲存設備及伺服器，而在部署上享有簡單及快捷等優勢。既然同樣是數據中心，網絡安全考慮便理應跟傳統數據中心一樣，架構上可參考合規標準如 ISO27001、NIST、SOC2、CIS，個人私隱方面則可參考GDPR，電子支付則有PCI法規可循，以減低數碼轉型旅程出現漏洞的風險。」 數碼轉型的另一問題是，現時雲服務種類繁多，企業因各種原因，往往採用了不同供應商的解決方案，導致架構複雜，管理分散，數據傳輸透明度低，難以察覺漏洞所在。Wickie 強調現時仍有不少企業管理者誤以為雲服務供應商需為網絡安全負責，實情卻是對方只保障基礎架構安全，而客戶需為其應用程序、安全設定及數據儲存負責。「再加上有證據顯示黑客已採用自動化工具，不斷掃描網絡上的設備是否存在漏洞，一有發現即予以攻擊，所以網絡安全問題更是重中之重。」 一站式監控 數據透明易管理 要解決安全問題，首先便需有一個中央管理平台，Palo Alto Networks 的 Prisma Cloud 便應運而生。「Prisma Cloud 是一個雲原生的網絡安全平台，由設計至部署都針對雲端架構而開發，可以對應客戶的多雲架構，包括 AWS、Azure及其他雲供應商，以及不同的容器化（Container）技術，為客戶提供一個 single pane of glass 的管理介面。」而在照顧安全性之餘，網絡連接質素亦是重要因素，讓客戶可以有效率及安心地遙距工作，「Prisma Access 便是一個綜合管理方案，透過全球 130 個服務點，無論客戶身在何處，也可以享有高速及安全連接的服務承諾。」Wickie 說他們特別設有專門團隊，協助客戶計劃開展數碼轉型旅程外，更可透過與其他雲服務供應商組成的生態圈，為客戶推介最適合的解決方案組合，讓企業無後顧之憂，將注意力集中在開拓業務上。 Wickie 說 Prisma…

企業要避免業務資料外洩，特別是高機密性的知識產權、電子交易、財務數據、客戶私隱資料等，採用數據加密技術是其中一個最安全的方法。早前硬體安全模組供應商 nCipher Security 與 Ponemon Institute 聯合發佈了一項名為《2020香港加密趨勢研究》調查報告顯示，原來港企在採用加密技術的比例上，遠高於全球平均水平，出發點更並非為了滿足合規要求，而是要保護客戶個人資料及知識產權！ 今次研究一共訪問了來自17 個市場或地區、於不同行業工作的6,457 名資訊科技專業人員，而關於香港的調查報告，則訪問了267名本地資訊科技專業人員。在全球眾多受訪地區中，香港為企業使用加密技術比例最高的地區之一。六成受訪港企表示已制定統一的加密計劃或策略，遠高於全球近五成的平均水平。 採用數據加密技術的原因，有72%受訪者回應是為了「保護客戶個人資料」，令有70%為「保護知識產權」，兩者均比全球平均水平高18%。相反，港企為滿足「合規要求」而採用加密技術的比率，卻比全球平均水平低17%。同時間，報告亦顯示港企在數據加密技術方面所遇到的問題，分別有57%及24%受訪者在「技術部署」及「人才培訓」上遇到挑戰。 報告內其他主要調查結果包括： 「員工疏忽」為洩露機敏資料的最大威脅（50%），其次為「黑客入侵」（34%），以及「系統或處理過程故障」（30%）。港企最有可能加密的數據包括「知識產權」（68%）、「醫療保健資料」（66%）及「員工 / 人力資源記錄」（57%），其比例均高於全球平均水平。「非金融業務資料」（27%）為最不常被加密的數據。儘管78%的受訪者知道HSM，但僅有34%的企業使用HSM，比全球的平均水平低14%。最常見的HSM用例為SSL / TLS（46%）及公共雲端加密（37%），包括自帶金鑰（BYOK），兩者均與全球的平均水平相若。76%的受訪企業計劃於未來12個月為SSL / TLS部署使用HSM，比全球的平均水平高出約三成，為全球最高。 報告下載：https://bit.ly/2ZL2FEi…

【Webinar】HKT x VMware 企業快狠準轉型混合雲搶先機 新冠疫情下，企業為了提供遙距工作環境，大大加速數碼轉型的迫切性。對於已在私有雲採用虛擬化（Virtualization）技術的企業來說，如何將運算資源及工作快速上雲，便成為逆疫行動的重中之重。 遙距工作困難重重 疫情爆發後，為解決遙距工作的需要，企業正面對不同的挑戰。首先是基礎設施方面，因疫情而引發的遙距工作轉變，令企業的伺服器、網絡資源需求大增，然而採購硬件設備卻難以在短時間內完成，業務營運大受影響；雖然企業可採用其他雲端服務解決燃眉之急，但要員工重新適應新的應用程序或操作方法，不單拖慢工作效率，出錯風險亦會大增。而在業務維持上，因遙距工作關係，如伺服器出現固障，IT人員亦無法第一時間修復系統，有可能拖長業務中斷時間，令企業的營運及商譽大受打擊。部分企業為了解決問題，即倉卒將工作或應用程序移雲，如私有雲與公共雲的相容性出現問題，除了難以整合，混合雲架構的可視性亦會減低，甚至出現網絡安全漏洞，特別是監管要求較多的行業如金融業，「新架構」更可能因此而無法達到法規要求，後果可大可小。 無縫轉移工作負載 VMware Cloud on AWS （VMC）的軟件定義數據中心 (Software-Defined Data Center）解決方案，便是專為協助企業客戶建立混合雲架構、輕鬆選擇將所需工作或功能移雲而設。由於解決方案是於 AWS 伺服器上運行 VMware 的軟體堆疊（Software…

金融科技（Fintech, Financial technology）行業發展蓬勃，透過靈活運用各種先進的科技，無論在提供更多元化的服務及提升工作效率上，較傳統金融行業更具優勢。金融科技公司若要突圍而出，除了要有不斷創新的意念及周全到位的服務，以提升客戶的體驗外，還須鞏固自身的網絡安全防禦力，才有望成為下一隻金融業的獨角獸。 發展優勢 燃起金融科技同業競爭 早前，阿里巴巴香港創業者基金與畢馬威（KMPG）合作¹，發佈香港首個創業發展指數調查報告，報告顯示金融科技屬現時香港最強勁的創新領域。同時，金管局及香港科技園亦在 2019 年 11 月初聯合啟動「金融科技合作平台」²，目的是協助及支持金融科技發展，加上香港的自由市場及低稅率的有利因素下，吸引外資公司來港創業。現時香港的金融科技公司約有 500 多間，而隨著銀行業進入開放應用程式介面（Open API, Application Programming Interface）第二階段，銀行將會開放更多如儲蓄、投資帳戶及貸款等產品內容，供金融科技公司開發新的應用服務，市場競爭隨即會愈趨激烈。 金融科技公司其中一個優勢是產品開發周期較快而有效率，擅於透過借助雲端科技應用，推出各種應用程式如電子支付、P2P 借貸等，好處是擴展具彈性，毋須花時間於公司內設立基建設施，減省人手及設備之成本。雖然雲端科技會為公司帶來很多好處和方便，但複雜的多雲架構亦會增加管理的難度及降低其可見度。由於每間雲端服務供應商有各自的管理工具，採用的數據格式亦不盡相同，要掌握整體劃一性及安全性，最好有統一管理平台及獲國際認證的網絡安全專家去監控和分析。以發展迅速的電子支付應用服務爲例，金融科技公司愈趨複雜的多雲架構在安全合規性方面，例如在訪問控制措施、維護網路安全性、保護帳戶人私隱等主要控制領域上，要確保是否符合 PCI-DSS 安全認證（The…

大中小企業被勒索軟件攻擊的新聞無日無之，加上全球各地社會動盪，企業內部儲存的數據被破壞，將造成難以評估的損失，商譽更會毀於一旦。最穩妥的做法，自然是將數據及工作負載備份雲端，同時更可提升復原備份的靈活性。不過，雲端數據備份絕不可以單純理解為多做一個副本，最重要是備份內容是否齊全？要復原時，真的可以百分百復原？ 雲端備份內容復原隱憂 企業或 IT 管理者計劃將數據移雲備份，大多會先向其他行家請教，不過獲得的回覆總是負面，例如雲端數據中心與內部儲存的基建及系統難以接軌、備份設定困難、透明度低、難以確認數據是否已全部備份。特別是現時不少企業已將部分工作負載移上雲端，要橫跨實體伺服器、虛擬平台及雲端應用進行備份，已非傳統 IT 專才及設備可以應付。 當然，成本、速度及管理便捷性，的確是管理者選擇備份方案時的重點，但請謹記備份的最終目的是復原！如不幸被勒索軟件襲擊、內部儲存設備被破壞而需要緊急復原時，卻發現無法將資料重新取出或回復，投入的資源將會白費。 數分鐘開展雲端備份旅程 雲端數據管理備份解決方案供應商 Veeam，已三度獲市場調查公司 Gartner評選為業內領導者，更是少數提供百分百復原數據服務保證的供應商。相較傳統備份服務供應商，成立僅 13 年的 Veeam 於一開始已將技術集中於 VMware vSphere 等虛擬平台的保護上，同時支援 AWS、Azure、Google Cloud、阿里雲等雲端供應商，在協助企業將數據整合移雲及備份方面，擁有極大的優勢。…

家陣公司為咗節省資源，好多嘢都靠外判，等自己唔使養咁多人。就連網絡安全工作都係，一來市場上唔夠人手，二來逐樣產品買亦負擔唔起。理解嘅，在商言商，老闆又錯唔晒，不過如果公司連一個識 IT Security 嘅同事都無，又可以點去評估外判商做緊啲嘢掂唔掂？好似好多企業都鍾意搵公司做 consultation，但公司入面無人識 cyber security，根本唔知點揀，所以有多啲 budget 嘅就會搵 Big 4，因為連銀行金融業都搵佢哋做評估，差極都有個譜啩，但 Mr. Smith 真係要再強調一次，好易中伏！ 試過有次公司要搵美國一間大公司做 code review，評估一隻用嚟保護其他 application 嘅軟件有無漏洞。結果報告返咗嚟，話隻軟件嘅 loophole…

在我的朋友圈之中，有很多不同界別的人，當中不乏律師、會計師、醫生、金融業等專業人士。有時在閒談中，這些專業人士總是有點羨慕我們 IT 這個行業。 何解？他們感覺：IT 沒有他們的傳統行業那麼沉悶和壟斷，創意比較多，發展空間也比較大。看看全球高增長的新興企業中，大多數是跟 IT 有關的。原來做 IT 都咁令人嚮往，都有點飄飄然的自豪感。 所謂：城外的人想進城，城內的人想出城，有些 IT 界的朋友們，倒是對另有看法。大體上，都是說 IT 行業沒什麼專業認證、沒有保障、行業變化快、每天總是要追上新的科技、停不了的學習等。我有些 IT 朋友甚至不鼓勵子女投身 IT 行業，也可能是做果行厭果行啩。 早 20…