家陣公司為咗節省資源，好多嘢都靠外判，等自己唔使養咁多人。就連網絡安全工作都係，一來市場上唔夠人手，二來逐樣產品買亦負擔唔起。理解嘅，在商言商，老闆又錯唔晒，不過如果公司連一個識 IT Security 嘅同事都無，又可以點去評估外判商做緊啲嘢掂唔掂？好似好多企業都鍾意搵公司做 consultation，但公司入面無人識 cyber security，根本唔知點揀，所以有多啲 budget 嘅就會搵 Big 4，因為連銀行金融業都搵佢哋做評估，差極都有個譜啩，但 Mr. Smith 真係要再強調一次，好易中伏！ 試過有次公司要搵美國一間大公司做 code review，評估一隻用嚟保護其他 application 嘅軟件有無漏洞。結果報告返咗嚟，話隻軟件嘅 loophole…

大量安全監控只得到一大堆 alerts 傳統 IT Security 防護的處理方法，主要偏重在事前的預防。從近年發生的各式安全事故來看，企業也逐漸意識到，光是事前的預防，已經不足以阻擋各式各樣的網絡安全威脅。即使企業投放大量資源去設立不同形式的安全監控， 往往只得到一大堆 security alerts， 不但數量繁多，alert 的內容也不易理解和處理。 若不幸碰到事故，要找出根源（包括：還原攻擊事件的原貌，以及對事故的調查與分析），往往需要高度專業人才來處理。在整個行業都缺乏IT Security人才的情況之下，實在令企業頭痛。 新型服務 — MDR 因此，近年冒起了新型的安全防禦服務，稱為 MDR (Managed Detection…

如果只看文章標題，會以為我想講講 IT 從業員需要大量 OT（overtime），俗稱 IT 狗，有幾辛苦等等……當然不是啦。只是最近碰到一較新的名詞，叫 Operational Technology，簡稱 OT。 IT 與 OT 的分別 在電腦系統未有大量普及前，企業一般都會投放資源去成立 IT 部門，把業務營運轉化為數據（以前更有人會稱為 EDP 部門，即 Electronic Data…

在周星馳電影《功夫》有一句話說道：「天下武功，無堅不摧，唯快不破！」我就利用這句說話，跟大家分享「唯快不破」的創業心得。 行業變化要快 首先，行業很重要。那些行業變化比較快（當然要對該行業有相當的認識），你的成功機會就比較高。因為這些行業，對大公司來說是沒有太大優勢。畢竟大公司決策需時，在行業環境變化快的局面，人力、財力也不是關鍵。相對來說，一家靈活的初創企業，就可能擁有不少的優勢。行業變化愈快，就對細公司愈有利。10 多年前，我們公司選擇在 IT Security 起步的原因，也是因為 IT Security 在整個IT領域變化得比較快。 行咗先算，怕輸就唔好搞 Start Up 每家 Start Up，都要經歷過前期最艱辛的階段。做出來的 Plan 不是重要（反正到 Execution 時，都跟原來的…

今早好天氣，一望出街，成群人在低頭捉怪獸。Neo 諗，乜個遊戲仲未死咩？我家對出的地方，平時少外人，但也算係 Public Areas – 公眾地方，原則上屋邨沒有理由趕人走。 前一陣子幫個客寫 Security Policies，寫到差不多，忽然問我：喂，你有沒有考慮 Public Areas – 公共區域嘅 Security 呀？我反問，Public Areas 嘅 Security 唔係保安局以及香港警察負責嘅咩？佢話，大佬，我係講緊企業入面果幾十萬呎地方，平日 D…

前日，同個老闆飲完，自己去咗瑞安中心一樓嘆咖啡，之後有 D 急，要搵廁所，望住 D 廁所箭咀一路行，推開道門看看，左邊，係女廁，右邊，係一間食肆嘅廚房入口。在這麼一刻，我感到進入了 Nirvana 的境界。但由於仍然很急，我只得回到我的 Dusty City。 上回講到 Smart City。這個話題可以講幾年。上文講到，透過把 Smart City 作系統架構分析，就可以做個 Mapping，將不同的 IT Security 策略以及技術，配對在 Smart…

Cloud Computing 已經沒有甚麽大不了。令我感歎的，是我越來越不知道甚麽是 IT。在咸豐年代，那些又噪又食電，間唔中有聖誕燈飾感覺的一舊二舊，就是 IT。我記得，果陣要霸地盤，機多就好。眾所周知，之後有 Virtualization，Network 有 Trunking，一部機不等於一部機，一條綫不等於一條綫，what you see is not what you see。後來上晒雲，摶之不得，我返工都唔知做乜。早上一覺起來，要打開個 Portal 睇下美國果便有冇改晒 D Schema，睇下 O365…

地緣政治局勢升溫，特別是美國近來先後向委內瑞拉及伊朗發動攻擊，後者的戰事仍在持續。而在這些實體軍事行動背後，另一個「無形戰場」的激烈角力亦在進行中。為了應對防不勝防的網絡威脅，美國白宮正式發佈了一份由美國總統特朗普簽署的全新「國家網絡安全戰略」，旨在推動政府與民間企業攜手合作，投入龐大資源發展人工智能與量子運算技術，務求以最先進的科技武裝國家的網絡防線。 想知最新科技新聞？立即免費訂閱！ 化被動為主動　強化關鍵基礎設施 綜合這份戰略的核心內容，美國政府的應對方針可歸納為三大方向。首先是化被動為主動，強化關鍵基礎設施。過去面對網絡攻擊，防守方多半處於被動修補漏洞的狀態，新戰略明確指出美國將動用國家級的網絡攻擊能力，主動出擊癱瘓敵對黑客的基礎設施，透過提高網絡犯罪的成本，結合盟友力量將隱藏於暗處的犯罪集團及極權國家的監控網絡連根拔起。 同時，政府將重點保護能源、金融、電信、醫療和水資源等國家命脈，嚴格審查供應鏈，剔除潛藏安全隱患的外國敵對廠商設備，確保關鍵設施即使遭受入侵，亦能在最短時間內迅速恢復運作。 其次是全面現代化政府網絡，確立新興技術霸權。針對聯邦政府內部老舊且易受攻擊的電腦系統，戰略要求全面引入「零信任架構」、後量子密碼技術及高度安全的雲端系統。戰略中明確表明美國決定在科技競賽中保持絕對優勢，針對黑客日益頻繁地利用 AI 編寫惡意程式或以深偽技術散佈假資訊，政府將部署由 AI 驅動的網絡防禦系統，實現全天候的威脅偵測與反制。戰略亦強調必須確保美國在 AI 與量子運算領域的領導地位，防範外國勢力利用新興技術進行滲透或言論審查。 積極培育網絡安全人才 最後是拆除監管繁文縟節，積極培育網絡安全人才。現時過度僵化的法規往往會拖慢應對網絡威脅的反應速度，為此政府決定精簡網絡安全和數據監管流程，讓政府與企業在面對突發威脅時能更靈活、迅速地作出應變，同時確保民眾的私隱得到合理保障。此外，面對全球性的網絡安全人才荒，政府將投入大量資金，全面致力培養一支具備高技能的數碼防禦軍隊，以應付未來長遠的國家安全需求。 新戰略公佈後，隨即在網絡安全業界引起廣泛關注與討論。NXP 半導體的網絡安全專家 Michelle Farr 高度評價美國政府不再局限於被動防禦的想法，而是將網絡安全提升至維持國家經濟優勢的戰略高度；Palo Alto…

全球網安業界的併購活動在 2025 年有復甦跡象，昔日那種「我全都要」的小型收購潮已成過去，取而代之的是一場由科技巨頭主導的「重磅整合」遊戲。根據最新市場數據顯示，雖然整體的併購交易數量只有小幅度回升，但交易總金額的增長卻有驚喜。這種轉變對企業的採購策略有一定影響，日後在選擇網安服務時，隨時面臨被單一平台「鎖死」的風險。 想知最新科技新聞？立即免費訂閱！ 收購涉及總額　年增逾八成 在 2025 年，網安併購市場共錄得 426 宗交易，較 2024 年微升約 5%，雖然未能重返 2022 年 455 宗的高峰，但在已揭露金額的 74 宗交易中，涉及總額高達 925…

近年全球各國政府積極推動電子化政務及數據集中化，國家數據庫儲存了國民最敏感的財務與身份資料，自然成為黑客眼中的寶庫。法國財政部近日便證實一宗網絡安全事故，部門管理的國家銀行帳戶登記冊（FICOBA）遭受黑客入侵，導致多達 120 萬帳戶資料外洩，讓過百萬市民面臨金融詐騙風險。 想知最新科技新聞？立即免費訂閱！ 中招系統為集中式國家數據庫 FICOBA 是法國極為重要的金融基礎設施，由稅務機關 DGFiP 負責營運。該系統為集中式的國家數據庫，依法強制記錄法國境內所有銀行帳戶的開立、修改及取消紀錄。根據法國財政部公告，系統在今年一月遭受入侵，黑客並非利用零日漏洞攻破系統，而是盜取了一名擁有跨部門信息共享平台權限的公務員憑證。 雖然當局在發現異常後已立即切斷黑客的存取權限，但經清點後證實有過百萬帳戶資料被盜，包括帳戶持有人的身份資料、通訊地址及銀行帳戶詳情。部分案例中，連納稅人識別號碼亦一併被盜；雖然當局強調黑客無法直接利用相關數據提款，但受牽連的市民仍面臨後續的詐騙風險。 社交工程攻擊成功率大增 專家解釋，黑客掌握這些資料後，發動社交工程攻擊的成功率將大增。試想當市民收到冒充稅務局或銀行的電郵或 SMS，內容準確列出全名、地址甚至銀行戶口號碼，要求補交稅款或確認交易時，受害者往往較易輕信，並按指示提供更多私隱資料或進行轉帳。此外，黑客亦可利用這些資料偽造轉帳授權，或冒用受害者身份在其他金融機構開設假帳戶進行洗錢，潛在風險極大。當局已承諾在未來數天內通知受影響用戶，並呼籲銀行機構提高警覺。 面對這類國家級數據外洩，市民處境相對被動。專家強烈建議受影響用戶在未來數月保持高度警惕。首先，對於任何要求提供登入憑證、銀行卡號碼或進行轉帳的通訊，無論透過 SMS、電郵還是電話，均應先視為詐騙，並直接致電相關機構的官方熱線核實。法國財政部亦特別發出警告，重申稅務機關絕不會透過訊息索取用戶的登入資料。其次，市民應定期查閱銀行帳單，留意是否有任何未經授權的微額扣款或異常活動。 這次事件亦顯示了全面落實「零信任」（Zero Trust）架構的必要性。對於擁有特權存取權限的公務員或員工，必須強制實施多重身份驗證（MFA），並配合嚴格的行為分析監控，即使憑證被盜用，也能更快偵測異常流量。唯有從源頭加強對「身份」的驗證與管理，才能守護國民的數碼資產與私隱安全。 資料來源：https://www.bleepingcomputer.com/news/security/data-breach-at-french-bank-registry-impacts-12-million-accounts/