香港企業網絡安全完全指南
從中小企基本安全措施到PDPO合規、事故應對及進階技術防禦——22篇專業文章，適合各類規模的香港企業。
從中小企基本安全措施到PDPO合規、事故應對及進階技術防禦——22篇專業文章，適合各類規模的香港企業。
香港中小企面對的網絡安全威脅形勢，已不成比例地集中針對其行業。大型企業因重大數據洩露而備受關注，但中小企卻是眾多網絡犯罪分子的首選目標：它們持有寶貴數據和金融資產，技術防禦往往不及大型企業，可能缺乏專職IT安全人員，且較難迅速發現攻擊。HKPC（香港生產力促進局）和HKMA一直將中小企列為自動攻擊和針對性詐騙最主要的攻擊對象。
勒索軟件已成為香港中小企面對的最主要生存威脅。現代勒索軟件攻擊——往往由犯罪集團以勒索軟件即服務（RaaS）方式提供——會加密所有可存取的業務數據，並要求以加密貨幣支付贖金以恢復存取。對於沒有足夠備份的中小企，支付贖金往往是恢復數據的唯一途徑，而且即使付款，也不保證能成功恢復。針對香港中小企的勒索軟件攻擊，已造成無法及時恢復業務的公司徹底倒閉。透過修補漏洞、備份紀律及存取控制進行預防，遠比事後嘗試恢復更為有效。
商業電郵詐騙（BEC）——尤其針對應付帳款和薪資功能——仍是香港企業每宗事故中損失最高的攻擊類型。針對性社會工程、電郵欺騙和電匯機制相結合，意味著一次成功的BEC攻擊可造成數十萬至數百萬港元損失。員工培訓和付款驗證程序是主要防禦手段。技術電郵安全措施（DMARC、DKIM、SPF）能縮小攻擊面，但人工驗證程序才是最終防線，是決心強的攻擊者必須突破的關卡。
《個人資料（私隱）條例》（PDPO）規管香港企業收集、使用、保留和保護個人資料的方式。該條例於2021年作出重大修訂，以應對起底問題並加強執法權力，適用於所有「資料使用者」——即任何控制個人資料的收集、持有、處理或使用的個人或機構——不論機構規模大小。中小企並不獲豁免，2021年修訂透過擴大個人資料私隱專員公署（PCPD）的執法和罰則權力，使不合規的代價日益高昂。
PDPO的六項保障資料原則（DPP）構成合規框架。DPP1要求只收集為已確定目的所必需的個人資料，以合法公平的方式收集，並在收集時明確告知資料當事人。DPP2要求資料只用於收集目的（或直接相關目的），且不得保留超過必要時間。DPP3禁止在未獲資料當事人同意的情況下，將個人資料用於新目的。DPP4要求採取適當的安全措施，保護個人資料免遭未經授權或意外的存取、處理、刪除、遺失或使用。DPP5要求提供清晰易取的數據政策。DPP6賦予資料當事人查閱和更正資料的權利。
2021年修訂引入強制數據洩露通報義務——資料使用者在發生對受影響資料當事人構成真實重大傷害風險的數據洩露時，必須通知PCPD。此通報義務須於機構獲悉洩露後的合理時間內履行。未能通報可招致罰款。因此，香港企業應制訂文件化的數據洩露應對程序，將PCPD通報評估作為標準步驟，而非事後才加以考慮。
技術安全管控的效能，取決於使用它們的人。研究一再顯示，大多數成功的網絡攻擊都是利用人類行為——點擊網絡釣魚連結、使用弱密碼、不當處理敏感數據——而非純粹的技術漏洞。對於香港中小企而言，員工往往身兼多職，專職IT安全角色少見，建立具安全意識的文化是回報最高的安全投資。
有效的安全意識培訓，遠不止是年度合規打勾練習。最具影響力的計劃結合正式培訓（涵蓋識別網絡釣魚、密碼衞生、安全瀏覽及事故報告程序）、定期實際測試（模擬網絡釣魚活動，衡量點擊率並提供即時可學習的時機），以及定期簡短溝通（安全通訊、有關香港最新威脅情報的更新，以及與時事相關的提醒）。頻率和相關性比時長更重要——每月5分鐘的簡報，在記憶保留和行為改變方面，優於每年2小時的課堂。
領導層的參與是文化催化劑。當高級管理層明顯認真對待安全問題——積極參與培訓、在公司通訊中討論安全事宜，並將安全事故視為學習機會而非追責事件——員工便會認識到安全是機構真正重視的事項。相反，漠視安全程序或明確繞過管控的領導層（要求豁免付款驗證規則、以「方便」為由堅持使用弱密碼），傳遞的訊息是安全可以妥協，即使在技術上出色的安全計劃也會被削弱。
技術安全管控構成人類行為和流程運作的基礎層。對香港中小企而言，挑戰不在於缺乏可用的技術管控，而在於如何在資源和IT能力有限的情況下，優先實施影響最高的措施。網絡安全業界提供數百種產品和工具；要識別中小企保護的必要子集，需要基於風險的優先排序，而非全面採用所有現有技術。
香港中小企必備技術安全架構從五項基礎管控開始。第一，修補漏洞：讓所有作業系統、應用程式和韌體保持最新安全更新，最好實現自動化。第二，終端設備保護：在所有公司設備上安裝信譽良好的防病毒和EDR（端點偵測及回應）軟件。第三，備份：遵循3-2-1規則，進行經過測試的加密離站備份。第四，存取控制：對所有面向外部的服務啟用多因素驗證，用戶帳戶遵循最低權限原則，並及時取消離職員工的存取。第五，電郵安全：DMARC、DKIM、SPF設定，以及防網絡釣魚電郵閘道過濾。這五項管控涵蓋了中小企大多數實際攻擊途徑。
在基礎之上，網絡分段（使用VLAN將敏感系統與一般員工網絡分隔）、遠端工作者使用業務VPN，以及用於日誌監控的基本安全資訊和事件管理（SIEM）系統，可擴展對更複雜攻擊的防護覆蓋範圍。定期漏洞掃描——透過託管服務提供商或適合中小企使用的雲端掃描工具——可在攻擊者發現之前識別可利用的弱點。由合資格專業人員進行的年度或兩年一次的滲透測試，可對所有管控措施的實際效果進行獨立評估。
