香港生產力促進局轄下香港電腦保安事故協調中心（HKCERT）早前發表2019年網絡保安事故報告，指整體事故達9,458宗，較2018年下跌6%！難道香港人的網絡安全意識大幅提升，同時又採用更先進精密的網絡安全工具？答案竟然是⋯⋯ 生產力局首席數碼總監黎少斌開估，關鍵是惡意軟件事故大幅下跌，但他說原因是惡意軟件變得更隱密，難以被發現而且勒索軟件攻擊亦由漁翁撒網改變為企業鎖定，所以先出現下跌現象，但合共佔79% 網絡事故的殭屍網絡及網絡釣魚攻擊，就分別增加 30% 及 23%，可見實際上網絡安全意識未有太大改變。 生產力局首席數碼總監黎少斌（左）與高級顧問梁兆昌早前發表香港資訊保安展望2020報告，為企業提出多項安全建議。 除了公布「全年業積」，HKCERT 亦發表「未來報告」，分析未來一年將會面對的新挑戰。他估計，2020 年借助人工智能如 Deepfake 等技術行騙的事故將會增多，罪犯會模擬企業高層的視頻或聲音，誤導員工執行轉帳或交出登入資料。另外，物聯網及 5G 的普及應用，亦令網絡接觸面及數據流量大增，潛在的漏洞將製造更多網絡安全事故。此外，Windows 7、Windows Server 2008 及 TLS 1.0/1.1…

香港是世界領先的國際金融中心，地位更獲得廣泛認同，為保持其地位，香港特區政府已先後向8家機構或財團發出虛擬銀行（Virtual Bank）牌照並即將投入服務，而各大金融機構近年均銳意開拓金融科技領域，各類型的電子支付、轉帳服務及點對點網路（P2P）貸款等金融服務都紛紛推出。此外，科技發達，智能手機的滲透率不斷上升，有調查顯示，現時已有逾 71%港人傾向使用無現金支付方式，而當中電子錢包日益普及，使用中的儲值支付工具賬戶總數為5934個，按季上升5.8%，總交易量已達至約16億宗(1)；另外， 65%港人會透過網上交易平台或手機應用程式買賣股票，反映用家愈來愈依賴網上或流動銀行服務。為了令銀行業務更多元化以照顧現今客戶的需要，金融機構加快開拓金融科技領域，但與此同時亦成爲黑客攻擊的目標，用以勒索金融機構，而當中能否提供安全及順暢的客戶體驗，便成為金融機構建立商譽的關鍵。 連線不穩 客戶離棄 針對金融機構攻擊的種類複雜而繁多，當中以分散式阻斷服務（ DDoS, Distributed Denial of Service）的攻擊手法最為常見。DDoS主要透過大量無效的網站訪問要求，以耗盡攻擊對象的網絡帶寬或系統資源，使其服務中斷受阻。套用在金融機構上，DDoS 影響金融機構日常業務運作以導致服務不穩定，令客戶無法登入帳戶進行運作或交易，如轉帳、支付或買賣股票等，引致客戶損失，造成金融機構大量客戶流失。 現時若要發動 DDoS 攻擊其實並不太困難，有暗網（Dark Web）更以服務形式 (as-a-Service) 銷售及經營 DDoS…

零信任（Zero Trust） 防禦策略，近年在網絡安全世界的呼聲愈來愈高，除了因為黑客千方百計鑽探零日漏洞（Zero Day Vulnerability），導致以偵測為主的網絡安全工具無用武之地外，還與人為疏忽有關。Menlo Security 提供的 Isolation Platform 隔離平台技術，就可 100 % 完全過濾潛伏於網站及電郵內的惡意攻擊，救企業於水深火熱之中。 人為失誤難防避 不得不承認，即使企業管理者投入大量資源聘用網絡安全專材、購置安全產品，以及為員工培訓，令企業的安全框架符合各種國際認證標準，但網絡安全事故依然從未停止。Menlo Security 大中華區總監徐伊芬（Yvonne）指出，「從事網絡安全服務多年，業界亦推出過不少產品，例如早期的 antivirus，到其後的 IPS（Intrusion Prevention…

近年隨住物聯網興起，大家都關心多咗運營技術（Operational Technology，簡稱OT）嘅保安風險，事關以前一間公司入面，運營同IT可以分得好開，但自從有咗物聯網技術，就連運營部分都要連上網，從而分析當中嘅運營數據嚟節省成本，或者用數據嚟開發創新應用，最近Ponemon Institute同西門子就做咗份調研，大部分受訪者都話擔心OT嘅保安多過IT嘅保安，因為目前市場上都未有完備嘅方案，可以完全擋住OT方面嘅攻擊。 上星期就有個好消息，就係好叻做漏洞風險管理嘅Tenable，宣布成功收購咗Indegy，可能香港讀者唔係好熟Indegy呢間公司，其實佢係一間工業網絡安全系統供應商，曾經被以色列《福布斯》評為10大最有前途嘅網絡安全初創，佢有一套自行研發嘅系統，幾乎覆蓋所有OT嘅重要基礎設施，而且可以實時監測所有工業控制配置嘅變化，無論係有外來攻擊，甚至係有員工有意無意搞亂個操作，系統都會感應到，即時發出警報，確保運營安全。 本身做開漏洞風險管理嘅Tenable，就應該多啲人聽過喇，好多人都知佢最初成立時，係幫美國政府機構提供軍事級網絡保安設備，後來先將軍事級保安技術推向商業機構層面，去年7月喺美國上市，兩個星期就升咗三成幾，市值超過27億美金，係美國少數達「」級別嘅網絡保安公司，佢最勁嘅產品係Nessus，透過連續性監察，自動執行補救措施，縮減系統暴露於風險嘅時間。而家佢加埋Indegy嘅技術，就可以照顧晒OT同埋IT兩邊嘅攻擊。

不少企業已開展數碼轉型歷程，將大部分重要工作遷移雲端，以增加營運的靈活性，以及更有效運用資源。而在數碼轉型的過程中，由於種種原因，導致網絡安全問題日趨嚴重，特別是亞太區市場，雖然過去數十年在科技上急速發展，但網絡安全意識及措施卻未能跟上，如未能快速武裝起來，絕對有可能成為下一個黑客攻擊的受害者。雲端安全方案供應商 Barracuda 就在這個水深火熱之時，決定在香港增兵，協助亞太區企業提高防禦力。 精準電郵攻擊劇增 近年不少大企業都出現私隱洩漏事故，酒店業有 Marriot，航空業則有 Cathay Pacific 及 British Airline，上榜的電商平台更是多不勝數，嚴重影響營運商譽。當然，受攻擊的不限於大企業，作為進攻大企業的跳板，中小企亦難逃黑客魔掌。而在眾多攻擊方式之中，電訊服務供應商 Verizon 指出估計有 93% 都與電郵攻擊有關，而單單在 2019 年第三季，香港便錄得 849 宗網絡釣魚攻擊個案，可見電郵系統安全的重要性。一向在電郵保護及病毒防火牆服務上獲高度評價的 Barracuda， 其亞太及日本地區銷售副總裁 James…

數年前，有黑客遙距入侵澳洲一間賭場的監視器系統，偷看其中一間貴賓室內的撲克牌局，然後暗中通知現場的同謀下注，八局下來詐贏了將近3,300 萬美元。另一個讓人意想不到的場景，則是 2018 年某酒店大廳中壯觀的新式魚缸，雖然讓顧客們置身於愉悅的環境中，但魚缸內與酒店電腦系統相連的智能溫度監察器，卻存在網絡安全漏洞，結果成為絕佳的跳板，讓黑客成功闖入酒店電腦系統⋯⋯ IoT（Internet of Things, 物聯網）的發展速度愈來愈快，上述的個案恐怕只會愈來愈多。IoT（Internet of Things, 物聯網）的發展速度愈來愈快，根據最新數字顯示*，預計 2021 年將會有 250 億 IoT 連接上網。報告同時指出當中約 9 成缺乏網絡安全保護，透明度亦不夠高，令企業及使用者難以有效監管這些 IoT…

本周初，香港電腦保安事故協調中心（HKCERT）公佈了第三季保安觀察報告，相比起去年頭三季，數據顯示今年頭三季安全事故數字上升 213%，再加上物聯網（IoT）的普及必將帶來更多安全問題。為了提升企業的網絡安全意識，香港生產力促進局聯同本地十個資訊保安專業組織，舉辦一連兩天的「資訊保安高峰會2019」（Information Security Summit 2019）。 於今早揭幕的高峰會，以「使用新技術保護數據 應對網絡安全新威脅」為主題，生產力局總裁畢堅文在致辭時已指出，物聯網設備在智能製造和智慧城市上的應用普及化存在不少問題，面對網絡上愈趨猖獗及複雜的黑客挑戰，以及世界各地引入更嚴謹的個人私隱政策規管，企業必須更迫切提升自身的網絡防禦水平。 充當企業安全顧問 他續說生產力局剛推出全新顧問服務「Security-as-a-Business」（SECABiz），便是為了協助企業和軟件開發商做好系統保安；針對物聯網安全性，亦正與德國弗勞恩霍夫生產技術研究所（Fraunhofer IPT）合作制定的「工業4.0推行策略評估服務」，加入網絡保安元素。 政府資訊科技總監林偉喬先生（前排右二）、生產力局總裁畢堅文先生（前排左二）、生產力局首席數碼總監黎少斌先生（前排左一）和資訊保安高峰會2019籌委會主席Dale Johnstone先生在「資訊保安高峰會2019」開幕禮上與一眾主辦機構代表合照。 大會開幕禮今天由香港特別行政區政府資訊科技總監林偉喬先生主禮，兩天會議雲集多位來自美國、加拿大、英國、日本和本港等地的資訊保安專家，以及多家國際知名企業代表，分享資訊保安技術在物聯網、人工智能、5G等領域的應用和潛在的網絡安全威脅。生產力局亦會由十月至明年一月期間，舉辦多場工作坊，介紹雲端及流動環境的數據保安、大數據分析等範疇的最新技巧和方案。 詳情請瀏覽生產力局網站 https://www.hkpc.org/

Neo 今天讀到一份不錯的訪談，Michael Coates（曾任Twitter 的CISO）分享了心得，針對兩個頗為吸引的問題：一、如何建立強健的資安團隊？二、如何開展自己在 Cybersecurity 的事業？其立論一針見血，所以略為記下，並加評論，以饗讀者。 Michael 指出一個殘酷的事實：網絡邊界（The perimeter）永遠在改動。上一個世代講要守護network choke points，在今天可能不切實際。為了分秒必爭的業務競爭及發展，愈來愈多的雲運算及外判模式，正在消解（dissolve）網絡邊界。在今天，速度無比重要，所以資安服務要非常貼身。然而，面對眾多業務部門及他們各自獨特的系統結構，ＩＴ／資安團隊如何處理快速的變更要求及服務要求？難道要每個部門配置資安技師嗎？這當然是不可能的。 Michael 走了一條路，叫 Empowerment及Paved path approach。這個思維是去 empower（提升能力、給予信任；「授權」二字太狹窄了）一些 Security Champions去協助公司的資安。中央ＩＴ做的工作，近乎鋪路，提供一系列不同的工具，並列出權限界綫，定出不應逾越的底綫。有了這些準備，Security Champions…

Neo 今天讀到一份不錯的訪談，Michael Coates（曾任Twitter 的CISO）分享了心得，針對兩個頗為吸引的問題：一、如何建立強健的資安團隊？二、如何開展自己在 Cybersecurity 的事業？其立論一針見血，所以略為記下，並加評論，以饗讀者。 Michael 指出一個殘酷的事實：網絡邊界（The perimeter）永遠在改動。上一個世代講要守護network choke points，在今天可能不切實際。為了分秒必爭的業務競爭及發展，愈來愈多的雲運算及外判模式，正在消解（dissolve）網絡邊界。在今天，速度無比重要，所以資安服務要非常貼身。然而，面對眾多業務部門及他們各自獨特的系統結構，ＩＴ／資安團隊如何處理快速的變更要求及服務要求？難道要每個部門配置資安技師嗎？這當然是不可能的。 Michael 走了一條路，叫 Empowerment及Paved path approach。這個思維是去 empower（提升能力、給予信任；「授權」二字太狹窄了）一些 Security Champions去協助公司的資安。中央ＩＴ做的工作，近乎鋪路，提供一系列不同的工具，並列出權限界綫，定出不應逾越的底綫。有了這些準備，Security Champions…

做咗資安界咁多年，其中一個印象最深刻嘅場景，就係 2010 年嗰屆 Black Hat 網絡保安大會，研究員 Barnaby Jack 現場示範點樣快速入侵一部提款機，成功令佢嘔晒所有錢出嚟。當部機嘔緊錢，畫面仲要顯示「JACKPOT」老虎機中獎畫面，所以日後呢類型入侵都叫做「jackpotting」。 雖然嗰次示範已經為提款機嘅保安響起警號，但話晒都要有番咁上下技術先做到，加上又未有真實案例出現，所以開頭都唔係咁多人關心。事隔幾年就唔係咁講喇，2017 年德國就開始出事，當地部門發現由 2 月開始到 11 月，總共發生咗至少十單 jackpotting 事件，雖然唔係每單都成功偷到錢，但加加埋埋都令銀行唔見咗 140 萬歐元！ 你可能會諗，銀行網絡咁高保安，佢哋係點樣入侵到部提款機嘅呢？其實好簡單，入侵銀行網絡難度咁高，梗係唔係人人咁做，大部分黑客係直情撬開部提款機，將裝咗 jackpotting 程式嘅…