網絡攻擊愈趨複雜及精密，加上銀行業又是公認的攻擊對象，面對如此高危的環境，香港金融管理局 (HKMA) 於2016年公布網絡安全防衛計劃 (Cybersecurity Fortification Initiative， CFI)，通過三方面提升金融業的網絡攻擊防禦力。其中之一的網路防衛評估架構（Cyber Resilience Assessment Framework， C-RAF）是一套以風險為基礎的評估框架，內裏的評估項目多達400多項，主要分為三個部分。 首先是自身固有風險 (Inherent Risk Level) ，評估標準會根據銀行採用的科技、服務渠道、以往被攻擊的記錄等因素作評級(High、Medium、Low) ；其次會通過審核現有的安全措施，包括監管、偵測機制、保護工具、危機管理及應對政策，以釐定網絡安全成熟度 (Advanced、Intermediate、Baseline) 。如果審核評分未能達到固有風險評估的相對要求，銀行就要按照金管局建議的改善措施提升安全成熟度，直至合符相應的要求。如果金融業的固有風險達到中至高程度，就必須實施網絡攻擊模擬測試iCAST (Intelligence-led…

資安需求日益增加，企業資源分配越見重要，尤其疫情之下，Budget 緊絀。剛過去的 Gartner Security ＆ Risk Management Summit 2020 上，其 Senior Director Analyst Brian Reed 指出，很多企業都用過多時間追求不存在的徹底方案，因此忽略基礎工作。綜合與會專家意見，得出以下 10 個重點 Projects，供各資安主管參考，編入 2021…

藍牙(Bluetooth)通訊技術最近連環被揭發存在漏洞，例如較早前有安全專家指Bluetooth 4.0及5.0版本存在的「BLURtooth」漏洞，可讓黑客竄改兩部裝置配對時所產生的「跨傳輸埠金鑰」(Cross-Transport Key Derivation)，強行與目標裝置進行配對，繼而入侵裝置。而最近被公佈的BLESA(Bluetooth Low Energy Spoofing Attack)漏洞的影響就更大，估計全球正有數以億計支援BLE制式的藍牙裝置，曝露於攻擊之中。 相對於傳統藍牙制式，BLE制式的特點在於耗電量低，適用於須長期保持連接的裝置使用，其中一個最常見的使用例子是現時商場安裝的室內定位器，只要顧客開啟商場的手機應用程式，就可即時掌握所在位置或附近店舖提供的購物優惠。由於這些定位器須長期啟動，而且安裝位置又未必有電源，所以BLE制式便最適合這些裝置採用。 這次由美國Purdue University研究團隊發現的BLESA漏洞，便專門針對在BLE制式下，兩部已進行配對的裝置在重新連接(Reconnection)時，有否進行身份驗證；結果發現，當兩部裝置因超出接收距離或訊號不良而斷線後，在重新連接的過程中不會強制進行身份驗證，可能只需符合相關條件(如裝置名稱、MAC address)便可reconnect。從示範影片可見，研究團隊以電腦假扮一個BLE制式指環，成功與已配對的手機進行連接，並向手機發送兩個互相矛盾的訊息。團隊續指無論是Linux、ios、Android的BLE制式均存在上述漏洞。雖然現時部分作業系統已進行修補，但由於這些BLE裝置大多不支援連線，要逐一拆下來安裝修補檔將會非常痛苦！ 資料來源：https://zd.net/32LFdrP

全球網絡保安領導廠商Forcepoint今日宣佈其雲端原生SASE解決方案推出全新套裝Dynamic Edge Protection，包括全新Cloud Security Gateway及Private Access，為業界提供最全面的網絡安全產品組合，以解決企業實踐在家工作所面對的網絡安全、威脅防護、安全瀏覽及數據保護等問題。 據Gartner於2020年6月30日發佈由Neil MacDonald and Joe Skorupa撰寫的報告《2020年網絡安全技術成熟度曲線報告》，當中提及真正的SASE是雲端原生的，可動態擴展及於全球存取，並以微服務及多租戶技術為基礎。由於要滿足廣泛的使用情境，服務涵蓋的範圍亦十分廣闊，相信2020年只有少數供應商提供完整的解決方案。報告同時指出SASE能為企業的基礎架構與營運（I&O）及保安應變團隊提供一站式及全面的網絡安全服務，從而解決企業在數碼轉型、邊緣運算及流動辦公上遇到的問題。這使新一代數碼化企業在不同的使用情境下（例如在數碼生態系統及流動辦公方面），具有更高的易用性，同時通過合併供應商及取消專用電路來降低成本及複雜性。 為業界首個真正以數據為本SASE解決方案 Dynamic Edge Protection讓企業能使用雲端改變其網絡和安全架構，簡化連接並透過整個分佈式應用程式和網絡環境，統一實施安全政策，產品融合雲服務、Cloud Security Gateway及Private Access，可為全球企業提供更具透明度、更好的控制和防護，讓員工無論在哪裏工作，都能避免數據受到威脅和遺失。 Cloud Security…

2019 年，擁有 W、St. Regis、Westin、Sheraton 等貴價酒店的 Starwood Hotel and Resorts，主動自首承認由 2014 年至 2018 年間，外洩 500 萬住客資料，當中涉及姓名、電郵地址、手機號碼、住址、護照號碼、酒店會藉詳情、出生日期、姓別、入住退房資料（即行蹤）、預約日期等，付款資料其實都有外洩，不過有 AES-128 加密。呢單嘢極度震撼，因為 Starwood 沒有交代外洩原因，好難令人唔懷疑同管理失誤有關。而呢件事入面，最無辜（亦係最 Juicy）可能係…

無論甚麼話題，AI 都係一個萬能 Solution；編輯？律師？醫生？會計？教師？司機？廚師？將來都係 AI 黎㗎啦。的確，將來咩都有機會係 AI Driven，首當其衝仲會係高薪專業，因為最有取代價值；律司點記 Court Case，都唔會夠 AI 個 Database 龐大，夠快夠準摷到正確 Reference 打官司。問題係，幾時？ 芬蘭係個好重視 Digitization 嘅國家，2019 年推出一個免費網上課程《Elements of…

透過人工智能技術編輯影片、相片或聲音檔案，達到以假亂真嘅 Deepfake 技術，由於效果實在太逼真，容易喺社會上散布虛假訊息，所以一直係全球政府及社交平台首要解決嘅問題。特別係美國總統大選在即，呢啲虛假訊息隨時可以令選情逆轉添！就喺呢個時候，Microsoft 宣布推出一套可以偵測 Deepfake 內容嘅工具 Microsoft Video Authenticator，借助人工智能去分析影片或相片中嘅瑕玼，再提供可信度俾用家自行判斷內容真偽，絕對有助打擊虛假訊息嘅散播。 點解 Deepfake 技術咁得人驚？因為佢都係利用人工智能深度學習嚟製造虛假內容嘅技術，一方面人工智能會自行產生愈嚟愈精細嘅內容，同時間另一組人工智能就會愈嚟愈精準咁識破虛假內容，喺兩套人工智能嘅競賽下，虛假內容自然愈嚟愈像真，好多時肉眼已分唔到真假。而 Microsoft 呢套工具，亦同樣使用人工智能技術，用咗 FaceForensics++公開嘅 1000 組 Deepfake 資料庫以及 Facebook…

日前，一名匿名黑客在論壇上發布了 900 多個 Pulse Secure VPN 企業服務器的用戶名稱、密碼以及許多其他敏感資料。攻擊者可能利用了去年九月發布的 CVE-2019-11510 安全漏洞，以攻擊具有相關安全漏洞的系統。 以上新聞可能爲大家帶來啟示：儘管許多人認為 VPN 對於所有需要在家辦公的員工來說，是一種安全的解決方案，但我們都必須意識到——VPN 只是保護系統安全和數據隱私的眾多安全層之一。 在沒有其他適當的安全層情況下，將 VPN 部署為唯一的安全控制層，會給許多公司帶來「很有安全感」的錯覺。而事實是，黑客透過 VPN 入侵的實例比比皆是，近期較熱門的事例便有三菱電機 VPN 攻擊和…

新冠疫情持續半年有多，好多人嘅生活習慣都改變晒，例如家居工作嘅時間多咗，上網使錢密集咗，玩手機 game 或睇網上娛樂亦挑剔咗⋯⋯消費者嘅日常生活轉晒型，作為提供應用服務嘅企業，都要跟車轉型，將重要工作或 IT 架構移雲。不過，移雲一啲都唔簡單，一旦無守穩整個服務流程，更有可能運作唔到、增加管理成本，最壞情況更加會造成機密外洩，隨時一鋪清盤！ 獨立運作 訪問行為難分善惡 無論邊個行業，老闆而家都面對住同一問題，就係點樣做好遙距工作（Remote Work）同埋網上服務嘅安全保護，因為當企業進行數碼轉型後，員工、客戶主要透過各種網絡應用（Web Application）服務，經 API（Application Programming Interface）介面去存取公司資料庫入面嘅數據，任何一個位置出事，損失都難以估計。 Imperva 亞太區資深技術顧問張瑞宏（Kelvin）指出，必須做好由網絡應用以至數據庫各關卡嘅防禦，先夠穩陣，而關鍵就係網絡流量嘅透明度。「數據庫入面嘅資料就好似珠寶首飾，如果連邊個人入過去、由邊度入嚟、入去做過啲乜都唔清楚，就完全無安全性可言。」要睇通睇透，自然要由一開始睇起，佢話有企業雖然採用咗唔同嘅防禦工具，但工具同工具之間無法溝通，都分唔到入嚟嘅網絡行為有無古惑。舉個例，大門守衛做咗身份認證就放行，但嚟到保險室，如果無溝通，個護衛又點知呢位來賓入嚟做乜呢？佢嘅行為會唔會顯示到佢越權或係冒充呢？所以唔係賣花讚花香，現時市面上可以打通呢三個關卡嘅安全工具，就只得 Imperva 做得到。 天生外向 WAAP 防護至重要…

每次講到數據隱私（Data Privacy）同數據安全（Data Security），好多人都以為係同一樣嘢嚟，但原來佢哋係有分別㗎，Facebook 向 Cambridge Analytica 出售用戶資料事件，就係最佳例證！ 保護個人私隱係唔少國家嘅首要任務，好似歐盟兩年前生效嘅 GDPR（General Data Protection Regulation）及美國上年成效嘅CCPA（California Consumer Privacy Act），都係為咗保障國民私隱而成。GDPR 嘅罰款可以高達幾十億美元，而 CCPA 就按人頭計，每個個人私隱外洩嘅罰款由 2,500 美元起計，真係可以令出事企業一鋪清盤，再加上而家仲有…