公司被黑客入侵，好多時都因為員工疏忽，錯誤開啟了電郵內的惡意連結或附件，不過在怪責他們的同時，企業管理者有否反思公司提供的網絡安全訓練是否足夠？內容能否吸引同事細心閱讀？記著以下 5 個要點，才可令同事在培訓課程時專心及上心。 有調查顯示，企業被入侵的原因九成出於員工誤開釣魚電郵，而且隨著疫情下在家工作 (Work From Home) 變得普及，員工在公司以外環境下工作，防禦力自然更薄弱，因此有必要提高員工的網絡安全意識，於源頭阻截惡意攻擊。不過，有企業管理者會懷疑，明明公司已提供各種網絡安全培訓，為什麼員工就是無法上心？歸根究底，問題可能出在培訓課程之上。不妨留意以下幾點，重新審視安全培訓課程內容，才能讓課程變得有效率及有意義。 1. 內容要專 一個優質的課程，內容必須夠專及到位，必須因應行業特性安排培訓內容，而不是隨便拿取網上的網絡安全培訓樣本使用，以金融業為例，同事可能須更注意各種合規要求，貿易公司則可能面對較多商業詐騙電郵 (BEC) 攻擊，不能一概而論。 2. 真實事例 在準備培訓內容時，必須加入真實事例講解，以釣魚攻擊為例，如只告訴員工釣魚攻擊可令電腦中毒，員工未必意會到有多嚴重。應該清楚舉例說明黑客的攻擊手段，例如會引誘員工開啟惡意附件，或預先架設一個虛假網站套取帳戶登入資料，員工才會理解如何防範。 3. 簡潔說明 這點不難理解，培訓課程的時間不應太長，解說亦要簡潔到位，員工才不會因說明時間太長而失去集中力。如果能夠加入有趣的例子或互動元素，自然更容易上心。 4. 高透明度 公司引入各種網絡安全守則及工具，雖然出發點是為了公司及員工著想，但始終會引來員工疑慮，擔心公司會以安全為名，實則加強監控工作。因此企業管理者必須詳細解釋安全守則及工具的內容及會收集到哪些資料，讓員工清楚理解不會侵犯其私隱，員工才會樂於按照安全指引辦事。 5. 因人而異 每個同事對網絡安全的認知不一，因此培訓內容也要作出調校，企業管理者可安排員工接受安全測試，因應其安全意識分成不同的小組並提供合適的課程內容，這做法不單可找出高風險員工優先培訓，更不會因課程內容太深或太淺，令員工失去專注力。…

上月教育行業受勒索軟件影響之後，英國國家網絡安全中心（National Cyber​​ Security Center, NCSC）就如何保護網絡免受網絡犯罪分子侵擾提出建議，並警告針對學校、學院和大學的勒索軟件攻擊激增。 政府通訊信總部（Government Communications Headquarters, GCHQ）網絡安全部門的警報指，在過去一個月中，針對教育的勒索軟件攻擊數量激增，而與此同時，學校亦正準備恢復面授課程。 勒索軟件會攻擊加密伺服器和數據，從而阻止組織提供服務，在這種情況下，網絡罪犯企圖令學校和大學因要維持教學，而屈服於勒索要求，並要求受害者以比特幣支付贖金，換取恢復網絡的解密密鑰。而在最近受影響的教育機構中，勒索軟件令學生課程、學校財務記錄以及與 COVID-19 測試的有關數據損失。這些黑客威脅如果他們沒有得到贖金，便會發布被盜數據。 NCSC 運營總監 Paul Chichester 表示，任何網絡犯罪分子以教育行業作為目標，是完全不能接受的，並指這是一個日益嚴重的威脅，強烈鼓勵學校、學院和大學跟從指引採取行動，確保學生能不受干擾。NCSC的網絡安全建議包括制定有效的漏洞管理策略和安裝安全修補應用程式；以多重因素身份驗證，保護遙距線上服務，以及安裝和啟用防病毒軟件。 另外，NCSC 亦建議組織作離線備份，倘遇到因勒索軟件攻擊而需關閉網絡，仍可在不需支付贖金的情況下，恢復內容。 NCSC…

1 月 WhatsApp 通碟用戶－接受新條款上繳更多個人資料 Or 封號，用戶二揀一。過程橫蠻專制，盡顯「呢度我話事」，激起民憤。一夜間，轉會 Post 洗版各社交平台，Telegram、Signals 的注冊用戶千倍激增，但 WhatsApp 未有收回成命，以延遲 5 月執行新規作為「最大妥協」，承諾不會封號亦不過將封號行為分拆成兩步驟，簡單講，WhatsApp 憑著早著先機、用戶慣性、跨平台、廣泛功能等粘著效應，估算用戶最終不會為新條款舉家移民，適應新平台，Signal 下載量在排行榜高峰回落亦印證了 WhatsApp 估算。眼見 WhatsApp 在 PR…

曾幾何時，遙距辦工只是少數初創公司或者科技大企的員工方會有的上班模式。但在疫情全球大爆發後，各國的企業都考慮或實行讓員工在家工作，以避過阻止公司倒閉停運。 根據 TechRepublic 的一項調查，61％ 的企業已經竭盡全力為大部分員工安排遠距工作。鑑於 61% 的受訪者接表明，寧願在家工作而不是在辦公室工作，因此可以說遙距工作這個選項，將會繼續存在。對員工而言，這是常規和工作地點的變化，但對於企業而言，這不僅是變化，需要考慮的因素就更多。ZDNet 分享了企業在提供平穩而有成效的在家工作體驗予員工時，須了解的五個注意事項。 遙距辦公工具 無論員工在哪工作，他們都需要有正確的工具。這些員工在辦公室工作時，公司可以為他們提供完成工作的一切：計算機、打印機、電子裝置、書桌、椅子、網絡設備、軟件等。如果認為在家工作的員工應該自行負責設備，這是一個錯誤的想法，如果不願直接為員工所需的工具付費，應至少考慮允許他們購物所需，但在他們購買前必須先取得批准，否則員工便會購買高價的椅子和電腦。 根據調查，有 56％ 的受訪者指，他們的公司在提供必要的硬件如計算機、打印機等時做得很差，而 52％ 的受訪者就指，他們的公司在提供必要的硬件工具表現很差，這些辦公設備所指的是書桌、椅子等。除非情況有所改善，否則員工或無法以最佳的生產力去完成工作，甚至因感到筋疲力竭而辭職。 公司應至少為遙距工作的員工提供： 一部適用於工作的筆記本電腦打印機（如需要）完成工作所需的所有軟件VPN（如考慮到安全性）管理倦怠 保持良好溝通 對於不習慣在家工作的員工來說，倦怠是一個嚴重的問題，因為他們無法將工作與家庭分開。在返工和收工的界線變得模糊時，員工便會感到自己好像在 24/7/365的工作，同時面臨工作與家庭的雙重壓力。要解決管理這個問題，可以與員工或下屬保持良好溝通，以幫助他們渡過這段時期。…

COVID19 推動 Work From Anywhere，打工仔覺得更有效率，但管理層覺得屏幕濾走積極與熱情，畢竟值班行山這類例子並不罕見，特別疫下百業蕭條，中層更加需要證據證明大家盡忠職守，每日最早與早夜的電郵收發時間已不能成為勤力指標，遠程工作下應有另一套管理規範，但員工老闆們暫時未必有共識。 新一代「提升效率工具」，讓僱主可以全方位洞察員工如何運用工作時間，包括瀏覽歷史、App Screen Time、甚至微管理至 Keystrokes Logging 與 Desktop Session，換句話可說是「攞正牌的黑客」。Skillcast 與 YouGov 2020 年 12 月調查顯示，20％ 僱主正在或有意引入監察員工線上活動工具；英國的…

生產力局（HKPC）公布 2021 年資訊安全展望報告，預料在疫情影響下，針對新科技如 5G、物聯網（IoT）及人工智能會大幅度增加；而因應流動支付愈趨普及，加上虛擬銀行及虛擬金融業的發展，生產力局呼籲，業界應多留意資安資訊，加強保安，用戶也要注意密碼設定和保安措施。該局亦指出 ，供應鏈攻擊會升級，單在去年便增加了 430%，企業應多加留神。 在數碼轉型的新常態下，新技術如 5G、物聯網及人工智能的應用等，可能會導致更多系統或數據流量暴露在不可信的網絡中，以物聯網為例，因為密碼強度太低、通訊未有作加密等，存在保安漏洞，被入侵的風險相應會提高，生產力局建議，應深入了解這類新技術牽涉的保安議題，亦應定期進行網絡保安檢查，評估網絡和系統的保安，及持續監察接觸到互聯網的資訊科技配置。 促企業制定WFH保安指引 提升員工保安意識 生產力局數碼轉型部總經理兼 HKCERT 負責人陳仲文指，企業必須為新常態和新技術制定網絡保安策略，在管理計劃中應包括第三方風險、保護任何暴露於互聯網的系統、採用加強驗證並進行網絡保安檢查和監察；另外，企業需要提高員工的網絡保安意識，以應對攻擊。就供應鏈攻擊繞過企業的保安系統的情況，生產力局解釋，攻擊者會利用企業對合作夥伴的信任，來避開保安防禦，通常使用合法軟件發佈機制，將木馬化的軟件組件發布至 「下游」，令企業用家不慎中招。 Work From Home（WFH）工作安排亦為企業保安系統帶來衝擊，有黑客伺機入侵網絡會議，發放不雅內容，又會趁機攻擊缺乏保護的遙距工作端點，生產力局建議企業制訂新常態下的網絡保安策略，提供在家工作安排的保安指南，保護遙距存取設施和端點，並提高員工保安意識，提防釣魚電郵來襲；定期進行網絡保安檢查，評估網絡和系統的保安；持續監察接觸到互聯網的資訊科技配置。企業可以參考該局製作的在家工作的六大資訊保安建議（https://www.hkcert.org/tc/security-guideline/six-security-tips-for-home-office）及評估遠端存取服務保安指南（https://www.hkcert.org/tc/security-guideline/assessing-the-security-of-remote-access-services-guideline）。 使用虛擬銀行 宜設置單獨使用高強度密碼 而在疫情期間能有效減少人與人之間接觸的流動支付，也存在保安風險，陳仲文提到，有流動支付用家將付款…

新冠肺炎第四波疫情悄然降臨，有公司在年頭已開始推行遙距辦公（Remote Working）政策，准許員工在家工作 Work From Home（WFH），亦有公司在疫情緩和之際推行彈性上班。不過，在遠離辦公室的標準網絡安全保護網下，黑客亦蠢蠢欲動，承機以釣魚電郵及網站，以及用惡意軟件等攻擊缺乏安全網絡環境的員工電腦，入侵企業系統。香港互聯網註冊管理有限公司 （HKIRC）行政總裁黃家偉表示，企業和員工都有各自可採取的措施，去營造安全遙距辦公環境，降低資料外洩機會。 Microsoft 早前曾公布數據，指出在疫情爆發後，黑客利用全球所有人對疫情的恐懼和對資訊的渴望，藉機發動網絡攻擊，特別是遭受疫情重創的國家及地區，成功發動攻擊更現上升趨勢；全球每天數以百萬計的針對性網絡釣魚郵件中，大約有 6 萬個包含與新冠肺炎相關的惡意附件或惡意連結。與此同時，因應遙距辦公措施，不少企業未有制定相關指引，讓員工注意風險，HKIRC 上月公布《香港遙距工作網絡安全應用調查》結果，只有約四成的受訪中小企業曾向員工提供遙距工作指導 (42%) 和網絡安全資訊 (41%)，而員工亦缺乏網絡安全意識相關的訓練，僅 30% 個人受訪者曾受過這類培訓。 籲以VPN連線 切勿連接公眾Wi-Fi 欠缺使用守則，會令員工因疏忽而造成資料外洩。要改善欠缺網絡安全意識的情況，黃家偉建議，培訓可從人、系統、政策三方面入手：在人方面，要提醒員工注意 Wi-Fi…

黑客肆虐，令「疫情、新常態、黑客機遇」概念突破資安圈，各行各業漸漸覺悟，明白後疫情年代適應資安生態劇變的逼切性，又以醫療產業感受至深。 自疫情籠罩美國，紐約皇后區 Elmhurst Hospital 每日湧現數以百計病人，其中一名向《The New York Times》訴苦，以「災難」形容醫護周旋於 PPE、呼吸機、照顧病人、培訓臨危受命的新手間。而事實上，醫院 IT 部門狀況亦不遑多讓，隨著病人數目增加，遠程問診系統、收費系統、醫療器材聯網、視像會議平台等使用壓力幾何級暴增，黑客亦趁亂打劫，同期對醫療體系發動的黑客攻擊增幅達 150％，有黑客搶奪病人資料在黑市倒賣或後續進行詐騙，亦有黑客透過 Ransomware 以垂危病人為人質，要脅醫療機構就範。跟小型醫院與 NGO 醫療機構合作超過 10 年的資安與創新專家 Beau Woods 分析，前線醫護在疫情間盡忠職守，大眾視為抗疫英雄，但如果斷網，病人接受的醫療服務質素一定受到影響，甚至超出負荷。而眼下黑客正利用疫情，蜂湧攻擊醫療機構。 疫情前資安專家早已預警，胰島素注射泵或自動體外心臟去顫器等醫療器材長年欠更新、或使用 Window XP 等有漏洞的傳統系統，均構成極大資安風險。美國 FDA 去年發出警告，Medtronic MiniMed 胰島素注射泵有漏洞，黑客可無線更改注射劑量，構成性命威脅，廠方暫時透過軟件更新堵塞漏洞。 總括而言，醫療機構本已深受不可逆轉的病歷數據化與在線醫療器材所衍生的資安漏洞困擾，後疫情下推行遙距問診，個人電子裝置收集的個人健康資訊，未來勢必成為一大資安問題。而即使醫療機構理解資安風險，卻未必可以投放相關資源。疫情下，醫院首要增加人手、採購呼吸機、PPE、COVID-19 試劑，但同時間，醫院要暫停主要收入來源的非緊急手術與門診，University of California at Davis 的醫生指，疫情下最艱巨的是資源分配決定。Reuters 報導紐約長老會教友決定順延所有非緊急手術，決定影響 10 間紐約區醫院。在緊絀資源下，前線比 IT 部門有資源優先權。 資安平台 SecurityScorecard 與 DarkOwl 聯合研調發現，疫情間黑客攻擊醫療機構的 Web Application、End Point 與 IP Address 分別有 16%、56% 與 117％ 增幅，而圍繞 COVID-19 的攻擊極具效率。攻擊形式中，Ransomeware 大行其道，疫情期間於美國錄得 109％ 增幅，亦有針對 COVID-19 疫苗策動的國家級黑客侵略。攻擊醫療機構的著名案例，要數 2019 年專門追討病患欠債的 American Medical…

持續創新一直是企業突圍而出的致勝條件，特別是在新冠疫情下各行各業均遭受打擊，前景亦陰霾滿佈，如只是消極地死守本業，估計將難以跨過疫境。早前 ICT 服務供應商中信國際電訊 CPC（以下簡稱 CPC）舉辦的研討會，就以「Leading Business Innovation in the New Normal Digital Era」為主題，邀請了多位企業客戶的IT精英，與現場觀眾分享其創新精神，以及善用科技達成轉型目標的經驗。 推出外賣自取平台 助業界解困 OpenRice 行政總裁 Joe Yau 指，OpenRice…

物聯網（Internet of Things, IoT）的保安漏洞一直為人詬病，經常傳出黑客借已連結物聯網的智能家電，入侵網絡，甚至在企業未為意間，打開其網絡安全缺口！但也不用太擔心，最近歐盟網絡資訊安全局（The European Union Agency for Cybersecurity, 下簡稱ENISA）推出 IoT 產品開發指引，供大家參考如何確保網絡安全。 由 ENISA 所定的指引 Guidelines for Securing the IoT –…