政府今年一月以打擊電話騙案及科技罪案為名，推出手提電話儲值卡實名登記制（簡稱電話卡實名制），相關方案的公眾諮詢已於 3 月 20 日完結，政府今日交代方案安排。商務及經濟發展局局長邱騰華指出，行政會議已同意訂立《電訊（登記用戶識別卡）規例》，以落實電話儲值卡實名登記制度，相關規例將於本周五（4 日）刊憲，並於本月 9 日提交立法會，透過先訂立後審議立法，料規例在今年 9 月 1 日正式生效。 需登記姓名身份證號碼生日等資料 邱騰華表示，在實名制之下，儲值卡用戶需要向電訊商提供個人資料，包括姓名、身份證號碼、出生日期及身份證明文件副本，以進行實名登記，而公司電話卡則需要提供商業登記及公司內指定人士的資料。邱續指，若果登記者未滿 16 歲，其登記資料需要得到一名成人確認，而該名成人亦需要登記個人資料。 除此之外，電訊商有責任核實登記用戶提交的資料，相關資料亦需妥善保管，直至用戶取消登記後最少 12 個月。邱騰華稱，執法機構只能在有罪案發生、有調查需要的時候，方可要求電訊商提交儲值卡登記資料。但規例亦列明，在迫切或緊急情況下，執法機構可毋須法庭手令，向電訊商索取資料，邱騰華對此表示，諸如《刑事罪行條例》、《入境條例》等法例，亦有毋須法庭手令的安排，「若果《港區國安法》容許執法機構在某些情況下，可以毋須法庭手令取得資料，它（執法機構）當然可以行使（這個權利）。」 個人最多向各電訊商登記…

政府明日（1 月 30 日）就引入電話智能卡實名登記制度的安排展開公眾諮詢，徵詢電訊業、相關持份者和市民的意見，指為促進本地電訊服務發展，及有效打擊涉及電話智能卡的犯罪活動。 現時本港流動電話用戶主要透過智能卡服務計劃（服務計劃）和預付儲值電話智能卡（電話儲值卡或俗稱「太空卡」）使用相關服務，其中電話儲值卡用戶無須簽訂固定合約或登記個人資料。 政府指，由於電話儲值卡的匿名性質被不法之徒利用作違法活動，但現時並無法例規定須登記此類儲值卡用戶資料，執法機關難以追查、鎖定這些違法活動的幕後涉事人，又指過去有不少電話騙案，利用電話儲值卡匿名性質犯案。匿名儲值卡經常被用於各式各樣的騙案，包括電話騙案、網上購物騙案、求職騙案、投資騙案等，令受害市民蒙受損失。 商務及經濟發展局局長邱騰華表示，有迫切需要透過引入實名登記制度，堵塞漏洞，防止和協助偵查涉及使用電話儲值卡的罪案，並維持市民對本港電訊服務的信心。保安局副局長區志光則指，涉及本地流動電話犯案的嚴重罪行中，超過七成涉及使用匿名儲值卡，而電話騙案當中的比例更高達九成，匿名儲值卡有利不法之徒逃避身分識別、追蹤和偵查，即使犯案人士被捕，幕後的犯罪集團主腦往往能置身事外，而盡快落實實名登記制度，有助打擊和防範不法之徒利用匿名儲值卡犯案，從而保障市民的人身和財產安全。 政府計劃透過《電訊條例》訂立規例實施電話智能卡實名登記制度，提供所需的法律基礎讓電訊商按規例的要求登記、收集和儲存用戶的登記資料，將涵蓋所有由本地電訊商發出及在香港使用的電話智能卡。 實名登記制度主要規定如下： （一）用戶須提供身分證明文件（香港身份證或其他可接受的身分證明文件如旅客的旅遊證件）內的資料，包括姓名、出生日期和身分證明文件號碼及其副本，以作登記； 若公司或企業要登記成為電話智能卡用戶，則須提供其商業登記資料及指定某人士作為代表或負責人，並提供該名人士的個人資料； （二）16歲以下人士如需登記電話智能卡服務，相關登記必須得到一位「合適成人」的確認； （三）每名用戶只可向每間提供公共流動服務的電訊商登記不多於三張電話儲值卡； （四）電訊商應核對、釐清及核實用戶提供的資料，並在有合理理由認為有關資料屬虛假、誤導或不完整的情況下，取消有關電話智能卡的登記； （五）電訊商需在電話智能卡取消登記後，保存相關登記用戶的紀錄最少12個月； （六）登記的個人資料由相關電訊商保存，不會向他人包括政府或執法部門披露。執法部門在有需要時才可按規例向電訊商索取電話智能卡的登記資料； （七）按規例執法部門只能獲取電話卡的登記資料（即姓名、基本身份證資料），並不包括通話紀錄及內容。在一般情況下，執法部門須得到法庭手令，但在某些迫切或緊急事件的特殊情況下（例如涉及炸彈恐嚇、綁架等嚴重罪案），執法部門可在一名不低於等同警司職級的人員授權下，要求電訊商在沒有法庭手令下提供電話智能卡的登記資料。 為讓電訊商作好準備以遵照登記規定，政府建議登記制度分階段進行，規例生效 120 日後出售的新儲值卡及服務計劃才開始按規例作登記，屆時所有新的電話智能卡須先登記後才可啟用。按目前的建議，所有電話智能卡須於規例生效後的…

數據洩漏事故現時在香港未有立法規管必須通報，並無一個完善的通報機制，除了會造成大眾關注度不足和輕視問題的嚴重性，同時也意味著很多事故隱藏在黑暗中。不要以為數據資料洩漏與自己無關，因為那些被洩漏的資料，分分鐘就是你的信用卡資料、住址、電話；香港過往也曾發生幾宗震撼全城的洩漏相關事故，包括航空公司洩漏 940 萬乘客私隱，選舉事務處遺失載有約 378 萬地方選區選民的資料的電腦，所引發的潛在資料外洩危機等，全都令人擔心企業或政府部門有沒有足夠措施及防護策略，保護客戶、市民的隱私。如果要妥善保護資料，採用由專業的數據保護方案，便能輕鬆管理資料及為資料加密，並設置資料讀取權限，即使遙距工作，也不怕資料外洩。 數據加密零停機 效率保護性兼備 Thales公司的資料保護平台（CipherTrust Data Security Platform, CDSP），為全球各地政府、跨國企業、金融機構所採用，在香港的用戶就包括政府、金融監管機構、發鈔銀行、公用事業及上市企業。Thales公司是數據保護、加密及安全交易的權威，其提供的數據加密方案，能有效保障用戶的個人私隱及交易資料，不會外洩。 其中CipherTrust Transparent Encryption （CTE）方案的透明加密資料設置，可保護結構化及非結構化資料庫，加密內部系統、雲端環境，甚至在大數據和容器內的資料，同時保持存儲數據的效率，在部署時毋須更改應用程式或工作流程，使對業務及作業程序的影響減至最少。 透過Live Data Transformation （免停機背景加密）方案，能在零停機的情況下加密資料，期間不需中斷應用程式或工作流程，在加密過程中，使用者和處理程序可如常繼續存取資料庫或檔案系統，將加密過程對使用者的影響降到最低。另外，平台亦設最低權限使用者存取規則，保護資料免受外來攻擊，以及遭特權使用者誤用。 不少製造商及電子商貿公司亦採用 Thales…

一場疫症，令大部分香港企業被迫急著數碼轉型，同時黑客亦覷準機會，大舉進攻港企網絡，當中不乏巨型企業中招，暴露了潛藏已久的企業網絡安全意識嚴重不足問題。PwC 網絡安全及私隱保護服務合夥人及 Dark Lab 創辦人顏國定透露，香港近期的網絡攻擊事件大幅上升約十倍。他分析情況指，港企的資安水平落後世界先進地方最少 5 年，主因沿於長久以來，香港社會針對網絡攻擊事件的透明度不足，造成企業以至大眾對網絡安全失去危機感。他認為，現時的監管機制只靠企業自願性披露，情況恐難改善。 香港網絡攻擊升十倍　勒索攻擊明顯進化 顏國定表示，在疫症爆發之前，經他團隊處理的本地網絡攻擊事故，一年平均約四十多宗。但疫症爆發至今，處理事故宗數大幅上升至幾乎一日一至兩宗，按此比例計算，升幅達十倍，而且黑客的攻擊手段亦越見高明。顏以勒索攻擊為例，以往黑客成功駭進企業系統，會短時間引爆病毒，癱瘓並鎖死企業系統，然後直接要求企業支付贖金，攻擊是一次性的。現在，黑客會先潛伏企業系統內一段時間（以香港情況，潛伏期大概一個月），期間黑客會偷偷在系統裝上電腦病毒及後門程式，並且盡量搜集企業的機密資料及客戶資料，之後等待適當時機，黑客就會「唧牙膏」式地攻擊，例如突然在社交媒體把企業的機密資料到處洩漏，並要求企業支付贖金；如果企業拒絕，黑客就會在對方疲於尋找解決方法時，再突然洩漏更多資料，甚至鎖死企業系統。這種持續性的攻擊，比起舊有模式，對企業造成更大恐慌和困擾，因為企業無法得知還有幾多機密資料和客戶私隱會被突然洩漏，相對地受害人就會更容易支付贖金。 長期認知不足　港企資安水平落後 顏國定亦指出，雖然香港企業在近期的數碼轉型風潮下，確實增加投放資源在網絡安全之上，但卻流於「買最貴的系統，但買回來後，從不善用」的層次，令到保安系統即使升級，仍未能發揮應有作用，有些大公司甚至連最基本的 MFA (多重認證）都未有實施。顏形容，港企的網絡安全水平落後世界先進國家五年，主要原因是社會對網絡安全意識長期不足，由市民大眾到公司企業，都不知道網絡攻擊的嚴重性，「連 MFA 這些低成本又有效的保安措施都嫌麻煩」。由於缺乏意識，因此由資訊安全的人材培訓，以至保安系統升級，都被長期忽視，結果現在急於數碼轉型的情況下，企業網絡保安錯漏百出，淪為黑客攻擊目標，「黑客其實都是漁翁撒網式在世界各地找獵物，所以哪裏防禦措施薄弱，哪裏就會成為黑客的天堂。」 監管靠自願披露　透明度不足恐難改善 針對社會整體對網絡安全意低下問題，顏國定認為，核心在於網絡攻擊事故的「披露（Disclosure）」不足，「香港現時的資安教育，很多時候是要求市民大眾『自己小心啲』，但人性在缺乏危機感下，必然會粗心大意。因此最有效的教育是增加危機感。」顏解釋，香港現時主要靠《個人資料（私隱）條例》要求企業自願性披露網絡攻擊事故，但由於欠缺約束力，企業為保聲譽，都會盡量低調處理，結果網絡攻擊事故鮮被曝光，社會大眾一直誤以為「風平浪靜」，自然不懂得去重視問題。他建議，政府可以借鏡先進國家，立法要求企業必須主動披露網絡攻擊事故，並為企業網絡安全措施要求，訂立清晰標準，以有效提高資訊透明度。「只有建立在有力的法律基礎上，企業才有不能迴避的責任，去披露資安問題的實際情況。當資訊的透明度有所提高，公眾認清事實，大家才會從日常生活中感受到網絡攻擊的嚴重性。於這樣的社會氣氛下，我們才能談得上以教育提高大眾以至企業的網絡安全意識。」

近日有傳中國受水災影響，部分地區出現糧食危機，政府亦帶頭呼籲民眾不要浪費食物。除了天災之外，人禍也會引發糧食短缺，例如以色列安全專家就發現，由Motorola設計的智能灌溉系統在設計上缺乏安全考慮，竟容許用戶以出廠登入資料長期使用系統，只要黑客有心，隨時可摧毁大量農作物，製造糧食危機！ 為減少人力需求、降低成本，不少農場也會裝設智能灌溉系統，交由電腦自動執行灌溉、施肥、使用農藥等工作。可想而知，如未能及早發現系統損壞或運作異常，農作物的收成將會大受影響。而以色列安全公司Security Joes創辨人Ido Naor，就發現有超過100個Motorola ICC PRO智能灌溉系統的用戶，竟然未有為系統設定密碼，黑客只要使用Motorola預設的帳戶登入名稱如admin，即可遙距登入帳戶，修改智能灌溉系統的設定及執行異常灌溉指令，而且不會驚動Motorola及其用戶。Naor指出Motorola的ICC PRO雖然有安全保護，但由於未有強制用戶在安裝後更改帳戶登入資料，全靠客戶自律，結果情況就如許多IoT物聯網產品的用戶一樣，放任繼續使用原廠設定。 Naor說要找出這些系統並不困難，只要使用IoT裝置掃描器，就能輕易在網絡上搜出Motorola的ICC PRO。他已即時將研究報告通知以色列的網絡安全中心及Motorola，讓對方通知用戶盡快修改密碼，而Naor發現仍未修改密碼的用戶已減少至78個，不過由於研究已經公開，肯定會有黑客嘗試入侵這些用戶。 事實上，各國政府均意識到IoT產品的安全問題，並開始陸續規管生產商，例如美國於2020年1月1日生效的SB-327 Information Privacy：Connected Devices 條文，就限制生產商必須為每部產品設定獨一的出廠登入密碼，即使用戶未有更改，也不致被黑客以同一密碼大規模攻擊其他同廠產品。英國及澳洲政府亦有就IoT產品推出安全生製指引，但距離立法還有一段長時間，用戶現階段必須靠自己，例如定時更改帳戶登入資料、啟用2FA雙重因素驗證、持續更新官方發布的韌體更新等，雖然未必百分百安全，但也可減少大部分危機。 資料來源：https://zd.net/3kDpb9V

IoT（Internet of Things, 物聯網）可以話係現時其中一個網絡安全嘅大敵，因為生產商大多數認為要賺錢嘅話，出嘢一定要快、功能要多同易用，至於網絡安唔安全？呢啲問題真係可以遲啲先算。產品對象為企業客戶嘅都可能講究啲，但做一般用家生意真係睬你都傻啦！明嘅，不過嚟緊就唔可以咁 hea 喇，事關唔少國家都準備為規管 IoT 產品而立法，最快仲要明年一月就有規管添！ 根據網絡安全產品供應商 F-Secure Labs 嘅統計數字顯示，IoT 漏洞主要有兩方面，一係弱登入驗證，二係無提供更新檔修補漏洞。前者嘅問題係好多產品推出時可能唔使用密碼嚟配對，但出廠預設嘅登入名及密碼一式一樣，最出名嘅就當然係「admin」同「0000」之類嘅組合啦。只要用家買咗返嚟又懶得改，黑客就好易破解進入。另外，有產品出廠時根本無諗過會提供漏洞修補，所以即使被發現有漏洞，廠方都唔會理，甚至連更新渠道都欠奉，除非廠方回收，否則用家只可以決定用或唔用。 禁用相同出廠密碼 不過，呢啲情況將會有改變，美國加州喺 2018 年通過及 2020 年 1…

監控鏡頭、智能恆溫、指紋門鎖、節能控制、感應燈光⋯⋯物聯網（IoT）裝置喺大眾日常生活越發普及，而喺商業層面嘅應用就更廣泛，市場調查公司 Gartner 預測本年全球將有 58 億部 IoT 裝置接通互聯網，但亦因生產成本與欠缺嚴格安全守則指引，衍生無限網絡安全漏洞。防毒軟件供應商 Kaspersky 表示喺 2019 年首 6 個月中，錄得一億次針對 IoT 嘅攻擊，比去年同期飆升 9 倍，傳輸數據嘅安全設定係其中一個漏洞所在。針對呢一個環節，閃存記憶體生產商 Swissbit 早已推出附有加密程式嘅 SD…

踏入 2019 年最後一個月，各大網絡安全服務供應商都開始對來年業界進行預測。當中 Palo Alto Networks 專業領域亞太區安全總監 Kevin O’Leary 就認為有幾方面特別需要關注，同時亦就這幾方面提供建議。 解決4G漏洞救 5G Gartner 估計，2020 年全球 5G 無線網絡基礎設施的收入將會達到 42 億美元，較 2019 年大增 89%，而在不同國家亦已推出…

涉及侵害個人私隱嘅法例推行，會唔會影響到國外投資者信心，以及侵害到國家喺國際上嘅競爭力問題，最近又成為咗澳洲政府獨立安全法監察局（Independent National Security Legislation Monitor,INSLM）檢討緊嘅問題。負責今次調責嘅 Dr Renwick 就話，雖然現時全球政府都面對住加密技術妨礙搜證嘅問題，但如果呢啲侵入性法例會令到公眾懷疑佢嘅安全性，同時會令執法機關行使不必要嘅權力，咁就有機會要修正喇。 方便搜證疑侵害私隱權 講緊嘅係澳洲上年年尾通過咗一條Telecommunications and Other Legislation (Assistance and Access) Act 嘅修正法例，目的係為咗方便執法人調查罪犯，以防佢哋以加密方式收起犯罪證據，因此建議但凡唔肯向執法人員提供手機同埋手提電腦密碼，有機會被判五年監禁及罰款50000澳幣。 咁都不特止，正所謂魔鬼永遠喺細節度，原來條例仲講明，如果執法機構要求科技公司幫手，解開某人嘅電子設備密碼，而科技公司拒絕配合，分分鐘要面臨約 5000萬港幣嘅罰款！而如果科技公司嘅員工向任何人透露執法機構嘅要求，亦有機會被判五年監！外國公司亦可以用呢條法例，叫澳洲律政部長查你部電腦，睇下有無境外犯法，總之一句講晒，就係條法例好鬼惡啦！ 澳洲政府嘅理據係，因為近幾年科技發展太快，影響到執法同埋危害國家安全，所以先打算立呢條法例，新南威爾斯州公民自由委員會副主席Lesley…

一日到黑都聽到政府資料外洩，雖然都已經見慣，但就絕對唔可以習慣。最新一單係最近厄瓜多爾被揭發前所未有咁大規模嘅資料外洩，可以話係破盡所有國家嘅記錄。你估下到底有幾多人民嘅私隱洩漏咗？五成？七成？定係八成？錯！係100%，全國人民資料都外洩晒！ 話說厄瓜多爾全國人口有 1650 萬人，今次洩漏出去嘅個人資料總共有 2000 萬人，點解會咁離奇？原來連之前已經離世嘅國民資料都洩漏埋，換句話講，舉國上下無人倖免，包括埋厄瓜多爾總統 Lenín Moreno，同埋 2012 年曾經受厄瓜多爾政治庇護、維基解密創辦人阿桑奇，都喺洩密名單入面，真係夠晒災難級！ 事件係由一間叫做 vpnMentor 嘅網絡安全公司發現，漏洞源自美國邁阿密一個唔安全嘅伺服器，相信由厄瓜多爾公司 Novaestrat 所持有。調查發現，伺服器入面 18GB 個人資料唔係得人名咁簡單，仲有埋出生日期、出世地點、住址、電郵、身份證號碼、職業、銀行賬戶狀態、結餘，同埋信用類別。 咁大件事，梗要搵人問責，當地警方已經率先拉咗 Novaestrat 嘅經理…