Search Results: 企業管理 (132)

    上次邀請了網絡安全保險專家盧子頴,講解這類保險的保障範圍,以及哪一類企業應該盡快考慮投保。不過,原來並非想買就可以買到,因為保險公司會先評估投保人有沒有做足安全措施,除了影響投保成功投保率,更會左右保費。 三大因素影響投保 網絡安全保險供應商智咨詢集團執行董事盧子頴指出,雖然遇到的個案不多,但間中也會有投保人以為只要有錢就可投保,但其實保險公司也需要核保,評估投保人受到網絡攻擊的風險。「如果店鋪連門鎖也沒有,試問怎會有保險公司受保?」他指出保險公司首先會檢查企業現有的網絡安全措施,例如有沒有裝設防火牆、防毒軟件、登入權限管理、升級硬件及軟件韌體的政策、個人私隱保管政策、遙距登入管制等等,「如果企業完全沒有做,保險公司會建議對方先做好基本的網絡安全措施,之後才考慮投保,因為即使轉投其他保險公司,相信也不會成功。」盧子頴補充說,其實投保不能賺錢,只能減少損失,所以如果站在預防被攻擊的立場,企業都應先做好防禦工作。 除了檢查安全措施,盧子頴表示保險公司還會考慮企業的業務性質,如屬於高風險行業,例如涉及加密貨幣交易,又或處理的個人私隱數據太多,就並非所有保險公司就會受保。另外,一些規模較細的保險公司,如投保企業每年的生意額太高,也可能因為承受不到風險而無法接單,這些因素就與投保企業無關。 上述的考慮因素,不單只會左右投保成功率,同時也會影響保費,「因為全部同風險有關,簡單來說,風險愈高的生意,保險公司收取的保費就會愈高。」盧子頴解釋跟傳統保險服務一樣,保費高低還要因應保額、墊底費及保障內容計算,如前文提及的增值保障如勒索贖金、外判商失誤等,便會提高投保費用。記者問如企業內擁有考獲 CISSP、CEH 等證書的網絡安全專家,安全度理應較高,是否可成為減保費的因素?他說理論上是,但同時間代表企業的業務複雜性較高,而且亦可能有較多監管要求,所以保費最終也要視乎實際情況而定。 「雖然保險費用很難有參考價格,但視乎選購的保險計劃,保費可低至每年五六千元。」盧子頴建議企業管理者不用想得太多,如認為業務受到攻擊的風險頗高,應邀請保險公司進行評估,之後再考慮是否購買也不遲。

    網絡安全事故頻頻發生,香港企業當然不可能獨善其身,特別是雲技術興起,重要數據或敏感資料未必會只儲存在內部伺服器,被攻擊的層面自然大增。為了減低風險,現時企業管理者已較以往願意將資源投放在「看不到實際回報」的網絡安全產品之上。不過,面對層出不窮的攻擊手法及難以防備的人為疏忽,企業仍有可能因而受損。 專為企業提供網絡安全保險服務的智咨詢集團執行董事盧子頴說,這類保險概念在香港屬起步階段,但在歐洲地區卻歷史悠久,遠在上世紀七十年代已有相關保險,因為當時大企業的電腦系統也會被黑客盜取數據。「美國的網絡安全保險亦發展成熟,不單只保障企業,個人一樣受保,例如經常拿著電腦到不同地方工作的自由工作者,保險選擇較有彈性。」 處理安全事故費用可索償 現時香港可供投保的網絡安全保險,主要的對象為企業。可能大家對人壽、醫療、意外、旅遊等保險會比較容易聯想到其保障範疇,但網絡安全保險就相對陌生。盧子頴解析,網絡安全保障範疇不難理解,當發生黑客入侵或資料外洩,善後過程中牽涉到的費用大都在保障範圍內。現時香港的保險公司提供的保障,主要分為四個層面。 1.因個人資料外洩引致的費用 「事故發生後,企業必須聘請專家去證明這是否一宗網絡安全事故,進行調查及鑑證,分析對企業有多大影響。」盧子頴指出如果經營的業務需向監管機構如證監會、金管局通報,便有可能需向法律顧問諮詢意。除此之外,為免外洩的客戶資料被黑客用作申請信用卡或借貸,企業或有需要採用信貸監控服務,而這些費用都可索償。 2.業務中斷 因黑客入侵事件導致暫停營業,這段期間的損失可向保險公司索償。盧子頴說企業須提供合理證據證明損失的金額,例如過往的交易紀錄等,但一般都不難核保。 3.復原系統費用 系統受到黑客入侵破壞,又或受到勒索軟件攻擊,待專家取證後,企業便可以修復系統及復原數據,涉及的費用亦在受保範圍。 4.第三者私隱外洩所引起的損失 當企業洩漏的客戶私隱,導致客戶在名譽或金錢上出現損失,對方便有可能入禀追討賠償。 除了上述四項保障,盧子頴說因應市場需求,部分保險公司還會提供一些額外的保障,例如贖金索償,當企業遭受勒索軟件攻擊,有需要繳付贖金以取回解鎖方法,這些贖金便會獲得賠償。「另外,近年因外判商失誤造成損失的個案大增,所以亦有保險公司提供這類保障,例如一些業務涉及電子交易的企業,會委托外判商提供及管理網上交易平台,如證實導致資料外洩的失誤是出在對方身上,投保人便可獲得保障,而保險公司則保留向外判商追討損失的權利。」 事實上,網絡安全保險的保障範圍可以很全面,不過,盧子頴強調與其他保險產品一樣,投保的概念並非為了賺錢,而是減少損失。不過,是否所有企業也需要投保?他認為企業管理者應考慮三個元素。 高風險行業投保減損失 首先是企業的業務是否有需要儲存或使用客戶的 Personal Identification Information(PII),而這些資料包括客戶的姓名、電話、住址、身份證明文件號碼或信用卡資料?如需管有這些敏感資料,受黑客攻擊的風險便會增加,企業管理者應認真考慮投保,特別是全球各地都開始為保障個人私隱立法,歐盟通過的 GDPR…

    雲端應用雖然已大行其道,不過,不少企業管理者仍然無法信任其安全性。最近一份針對亞太地區企業進行的安全調查報告《Data Security APAC 2019》顯示,發展成熟的企業當中,只得 27% 認為公共雲(Public Cloud)有足夠的網絡安全功能。而整個亞洲區的企業中,有 73% 受訪者認為資料外洩是無可避免,這可能跟超過 75% 企業管理者未能了解如何可安全保護業務有關。 增加攻擊難度 企業要提升公共雲的防禦力,可從設定嚴緊的登入措施及加密數據著手。首先企業管理者要釐清各員工的登入權限,可有效阻止未獲授權的員工接觸重要的文件或作業;不過,如登入帳戶資料被盜取,黑客一樣可以登入雲端應用竊取資料,所以企業亦應考慮採用多重因素認證(Multi-Factor Authentication)機制,例如以 USB、藍牙硬體鎖作為 Security key,員工登入帳戶時必須持有這硬體鎖,這樣即使登入名稱及密碼外洩,黑客亦無法登入帳戶,減少公司機密資料被盜取的風險。 另一方面,雖然公共雲供應商有提供網絡安全措施,但客戶並不能單純依靠對方的防護,因為客戶本身存有分擔責任(shared responsibility),必須採取足夠的手段去保護儲存在雲端的資料,否則亦難以追討賠償。而要確保數據安全,最好便是選用加密技術,例如 tokenisation 或 cyptographic 等工具,將數據亂碼化或以金鑰作保護,即使數據被盜用,或於轉送中褒被攔截,黑客亦難以破解及還原數據的內容。 雖然 MFA 或 Tokenisation 都是非常有效的保護公共雲手段,但在今次調查報告中,企業的採用率都不高,前者少於 50%,後者更少於 20%。隨著全球各地陸續立法管制數據安全,資料外洩已不單只會影響商譽,更有可能為企業帶來災難性的金錢賠償,要避免企業營運陷入困境,由今日開始,就要立即採取措施,守好雲端上的數據。 (article sponsored by Edvance)

    數碼轉型的好處,相信毋須特別多提;不過隨著愈來愈多企業將重要工作或數據轉移雲端,網絡安全的問題亦陸續浮面,例如難以把握的多雲(Multi-Cloud)架構、複雜的存取權限管理,特別是「影子 IT」」(Shadow IT)應用失控,每走一步似乎都可以引發難以預計的洩密風險。既要繼續移雲,但對網絡安全又有大量疑雲,應該如何自處? 發展過快 監管困難 先來看看現時企業管理者面對的難題,愈趨複雜的多雲架構及存取權限問題都較易理解,但到底「影子IT」應用又是什麼一回事?它其實代表未經企業 IT 部門允許的應用軟件。根據最新發表的一份網絡安全調查顯示,企業管理者認為員工使用的雲端應用軟件數量為 452 種,但實際上卻是 1807 種,足足接近 4 倍之多,完全低估了實際使用情況,這些影子 IT 應用既然未被允許使用,企業 IT 部門所採購的網絡安全設備自然難以洞察及堵塞其漏洞,大大增加黑客潛入的門路。 除了雲端應用「失控」, BYOD(Bring…

    為免落後太多,不少企業決策者都希望盡快推行數碼轉型,加速雲轉移應用。其實雲轉移有很多問題需要釐清,因為將重要工作放上雲端,便要好好考慮安全及備份問題,這樣企業才能無後顧之憂,讓數碼轉型歷程保持簡單透明,方可專心拓展業務。 【早餐研討會】雲轉型陷阱你一定要知 時間:9 月 12 日(Thu)8 am 至 9:30 am(7:30 am 開始接受登記) 地點:灣仔香港萬麗海景酒店宴會廳 3 至 4 費用:全免(備有美式早餐) 報名:https://bit.ly/2ZyOhMg 超越混合雲的微間隔防禦策略 要安全保護數據或各項應用,傳統做法是依靠網絡安裝防火牆;但隨著 IT…

    https://www.youtube.com/embed/nlS5lBNm9Us?wmode=transparent&rel=0&feature=oembed 上次網絡安全組織 VXRL 成員 Boris So 同大家講解過後門(Backdoor)好難分辨有心定無意,同埋簡單介紹咗後門的種類。今次就用三個實例,分析三種常見嘅後門攻擊手法係點執行,同埋根據呢三個個案嘅攻擊手法,從植入嘅複雜性、可執行嘅權限及隱密性三方面嚟進行評分。 寫死密碼 講緊嘅係 2015 年 Juniper 嘅 Firewall 被發現有後門事件,呢個後門屬於 hard-coded password,只要經 SSH 或 Telnet…

    常說數碼轉型是大勢所趨,企業如不想業績落後,便要盡早開展轉型計劃。不過,對仍未轉型的企業決策者來說,聽上去總有點強加於人、不可不做的感覺,難免抗拒。事實上,根據市場調查公司 IDC 最新發表的報告顯示,現時全球已有 66% 企業採用混合雲策略,預計明年更會高達 95%。企業之所以如此踴躍參與其中,全因數碼轉型並非洪水猛獸,而是看中其存取便捷、部署快速、應用服務豐富、付費靈活等優勢。 移雲提升營運彈性 以經營網購為例,一年中總有旺淡季之分,但為了應付高峰期的訂單,傳統企業便需採購相應的基礎硬件設施、收費系統、數據流量等設備,不單只浪費了淡季時的維運成本,遇著代理的產品突然大賣,設備也未必能應付暴增的網站訪問要求,錯過良好的商機。通過數碼轉型,就可藉著各大雲供應商提供的服務,短暫提升設備效能及流量,既可解決問題,控制成本的效率亦大增,大大提升企業的競爭力。 不過,要達到以上的成效,穩定、快速、安全的網絡連接,以及透明度高的管理系統,便成為多雲策略的焦點,只有在可靠的連線及涇渭分明的管理系統下,企業才能放心將重要業務轉移雲端。因此,不少企業都樂於重整基礎設施,以軟體定義網絡(Software Defined Networks, SDN)架構,發揮多雲策略的優勢。 輕鬆管理基礎設備及雲端應用 軟件定義網絡指的是一種通過軟件介面,直接管理網絡中所有服務及控制流量,而毋須理會硬件接駁的技術。它不單可讓管理者清楚掌握各方面的應用狀況,並透過控制介面因應實際情況,即時調整硬件及流量資源,達到最佳的營運效率。 Singtel 的 SD-Connect 軟件定義網絡服務,便是專為減輕企業雲轉移的負擔而設,讓管理員輕鬆接通跨雲應用,令整個轉型歷程簡單化。有別於其他軟件定義網絡服務,Singtel 在深入了解每間企業的轉型要求及所面對的環境後,才會為客戶度身打造合適的軟件定義網絡架構,無論是單雲或多雲策略,高透明度的 SD-Connect…

    企業數碼轉型的好處多不勝數,誘因包括存取資料方便、雲端應用服務選擇多、部署快速、節省硬件成本開支等等。既然有這麼多好處,自然一窩蜂移雲。不過,不少企業決策者選用雲服務後,才發現情況並非想像中完美,連接公司與雲端伺服器原來並不簡單,同時亦無法把握儲存於雲端的數據安全性。要解決問題,選取合適的雲端存取安全代理 (Cloud Access Security Broker, CASB) 服務是最簡單快捷的方法。 網絡安全客戶有責 大部分企業的數碼轉型第一步,都會由採用 Office365、G Suite 等一站式雲端應用服務開始。當中有企業決策者對這些雲端服務存有誤解,以為供應商必須確保客戶的數據得到保障,可免受黑客攻擊或遭遇私隱洩漏。事實上,使用者與服務供應商存有明確的分擔責任(shared responsibility)概念,使用者亦須採取足夠手段,例如嚴謹的登入帳戶措施、明確的存取檔案權限,去保護存放在雲端上的數據。 要達到網絡安全標準,卻有不少問題要解決,因為單點式解決方案(point solution)無法照顧各應用層面,例如電郵收發、檔案分享、數據存取等;設立 proxy 或 gateway,網絡延時又有可能拖垮工作進度,而編寫 API 亦需要一定的技術人員和時間,反而有違數碼轉型快捷便利的初心。…

    雲端科技發展迅速,市場上有著廣泛的雲端服務供選擇,助企業實現數碼轉型以保持競爭力。市場調查公司 Gartner 高級研究主管 Elias Khnaser 曾表示,選擇正確的雲端服務是 IT 領導者所必須掌握的技能,因為它主宰著物聯網、人工智能等新世代應用的成敗。要真正成功實現轉型,首要秘訣是在芸芸眾多的雲端服務商中,揀選值得信賴的供應商,借助合適的雲端科技及專才支持其發展目標。不過,選擇的過程可謂複雜困難,考慮因素多,企業宜就供應商的四個方面先了解清楚: 1. 供應商的技術及服務支援能否滿足企業的需要? 雲轉移並非單單將數據或應用程式由公司伺服器搬上雲端,還須各種技術的配合。因為雲端服務供應商採用的硬件架構、技術框架或管理標準各異,與企業本身採用的不盡相同,如兩者存在的差異過大,便難以將企業內部的私有雲與雲端服務供應商所提供的公共雲接軌;所以在採用合適的解決方案前,必須全面評估供應商所提供的服務,是否能夠理解企業本身需要而作出配合?由雲轉移的資詢、部署到實行的過程中,會否得到相關專才持續向企業提供全面支援及優化建議,加快採用雲端技術和數碼轉型? 2. 供應商的發展藍圖是否符合企業的創新路向? 除了著重當下,企業還需放眼將來。不論是 IaaS (Infrastructure as a Service,基礎設施即服務)還是SaaS (Software…

    數碼轉型是當今企業必須面對的問題,而在複雜性上,傳統大企業的業務眾多,透明度較低,加上採用的系統亦未必能追上新科技,以至接軌上出現斷層,轉型難度自然大增,要達成目標,便要抱著鋼鐵般的決心。成立接近六十年的華懋集團(Chinachem Group),主要業務為地產發展及物業管理,同時間亦有經營酒店業務;旗下僱用的員工數千,包括全職及兼職員工,可想而之單是處理人事管理問題已相當複雜。集團在去年十月,宣布選用企業管理及商務解決方案供應商 SAP 的軟件及雲端解決方案,以助企業轉行數碼轉型,華懋集團執行董事兼行政總裁蔡宏興笑說,公司的成與敗便全靠這次轉身。 去年十月,華懋集團宣布採用 SAP 的軟件及雲端解決方案,以助企業轉行數碼轉型。 「數碼轉型已是不可避免,公司內部早已開展轉型的研究,所以當我去年加入集團時,手頭上已有很多研究資料給我參考。」蔡宏興指出雖然有很多公司提供解決方案,但他強調今次華懋並非單純是買產品,而是要選擇一個中長線的合作伙伴,考慮到 SAP 的豐富經驗及有較長遠的支援計劃,同時亦較能了解集團面對的問題,所以便決定與對方合作,為集團的長期轉型戰揭開序幕。 聆聽思考發展空間 蔡宏興在去年接受傳媒訪問時,曾表示數碼轉型會先由人力資源及會計部的企業資源計劃(Enterprise Resource Planning, ERP)系統開始,並預計用年半時間完成。至今已約九個月,進度如何?他回應說進度令人滿意,預計很快可以讓同事測試這個系統的運作。「同事的意見很重要,雖然在職位架構下各員工的責任及條件也有不同,但我們也希望能聽到不同的聲音,因為這些意見就如機器各的小螺絲,主宰著數碼轉型的成敗。」他舉例新的管理系統,將有助集團清楚掌握酒店業務中的散工情況,「以往主要靠人手記錄上班時間,所以可能有一些慣常炒散的員工,其實是較適合以兼職合約僱用。」新系統便能自動提供同事去留意這些問題,令員工架構更清晰透明,同時亦有助減少煩複的表格遞交手續。 今年年底 ERP 系統完成轉型後,蔡宏興說集團下一步將會輪到改革項目管理系統,他說華懋集團的主力業務是地產發展及項目管理,所以希望可以透過新系統,幫助前線員工掌握更多的資訊,利用透過大數據分析,更靈活地利用收集到的數據。面對著許多新科技,蔡宏興說管理層需要好好改變心態,才能在競爭日趨激烈的環境中,讓集團拓展業務。他以 AirBnB 為例,對方並未擁有一間客房,但憑著科技支援,讓公司的訂房業務發展得比傳統酒店更大,這毋疑給傳統企業帶來很大的衝擊。「又如共享辦公室概念已不是純粹的租用辦公室,而是為客戶建立一個社區,幫助他們經營業務,這種做法都與華懋關心社會的核心文化很接近。」蔡宏興說所以公司會定期舉辦交流活動,就是需要收集集團員工更多創新的想法。…