年初 Apple 更改 App Store 政策，要求開發商在 App 詳細資料中加入 Privacy Labels，公開所收集的用戶數據，最尷尬的要數一眾靠用戶數據賺最多錢的 Tech Giant。大家終於明白所謂「免費」有幾貴，網上立即湧現轉用其他平台的號召。一向以安全自居的 WhatsApp 亦在 Privacy Labels 影響下，要用戶同意與 facebook 共享數據，同樣引起極大反彈。靠收割用戶數據暴發成當今市值最大企業之一的 Google，食相絕不會比…

COVID19 推動 Work From Anywhere，打工仔覺得更有效率，但管理層覺得屏幕濾走積極與熱情，畢竟值班行山這類例子並不罕見，特別疫下百業蕭條，中層更加需要證據證明大家盡忠職守，每日最早與早夜的電郵收發時間已不能成為勤力指標，遠程工作下應有另一套管理規範，但員工老闆們暫時未必有共識。 新一代「提升效率工具」，讓僱主可以全方位洞察員工如何運用工作時間，包括瀏覽歷史、App Screen Time、甚至微管理至 Keystrokes Logging 與 Desktop Session，換句話可說是「攞正牌的黑客」。Skillcast 與 YouGov 2020 年 12 月調查顯示，20％ 僱主正在或有意引入監察員工線上活動工具；英國的…

在數碼轉型之下，企業採用雲端服務已成主流，雲端服務為各大企業提供更具敏捷性和速度的存取架構，有效推進創新發展，以更大的可擴展性，增強生產力和降低運作成本。全球頂尖互連（interconnection）及數據中心公司 Equinix 推出混合雲策略方案（Hybrid Cloud Strategy Solution），方案可連同科技公司翹楚 Oracle（甲骨文公司）的 Database 使用：透過將 Oracle Exadata 數據庫放在與雲端服務提供商彼鄰，即 Cloud Adjacency，以與雲端相鄰的體系結構，為企業提供結合安全性及高可控性的服務，讓客戶靈活地存取 on-premises 及雲端數據。 Equinix 早前與 Oracle 舉辦 Rethink…

早在Facebook Messenger應用程式被指索出過多用戶手機權限，引起侵犯用戶私隱危機，2018 年時，Facebook 已爆出「劍橋分析」（Cambridge Anakytica）事件，用一個叫「thisisyourdigitalife」的心理測試應用程式，收集5,000萬用戶數據，引起全球譁然。當事件已被淡忘之際，又到Facebook Messenger 出事！ 除了 WhatsApp日前宣布更改私隱條款，指將會與母公司Facebook共享用戶的個人資料，倘用戶不接受，將會無法繼續使用該應用程式，結果令大量用戶轉會至 Signal 或 Telegram。正當大眾焦點放在 WhatsApp的時候，原來 Facebook Messenger 應用程式所索取的權限比 WhatsApp 更多！Facebook 為了要確保用家遵守其政策，甚至承認有監控用戶訊息的內容。 根據…

Philip Hue、Amazon Kindle、Apple Watch、Google Home Voice Controller、August Smart Lock、Kuri Mobile Robot、Dyson Pure Cool Link Air Purifer、NEST T3021US Learning Thermostat、WeMo Insight…

數據加密與高速資訊儲存，從來就像水溝油，沒有並存空間。 科技界這一大困局，最近就由 Multisoft 聯同 Thales 及 PureStorage 攜手打破。數據加密與儲存系統的兩大科技界龍頭，合作推出簡稱 CTE的解決方案，CipherTrust Transparent Encryption – Efficient Storage，首創在點對點加密的環境下，仍可維持高壓縮比率，令用家同時做到防止數據洩漏及節省 Storage 成本。 CTE 背後的原理是甚麼？實際環境下可為企業節省多少成本？操作上是否很複雜？ 想知道更多有關 CTE…

威脅模型分析（Threat Modeling）是尋找系統潛在威脅，按風險評估，擬定對抗策略，再分配資源建立防禦系統。守護機密資料係所有資安團隊的終極目標，法規與監管有助企業尋找數據化年代的營運方式，資安風險層出不窮，風險不一，Threat Modeling 以系統性方法，偵測系統的潛在威脅，堵塞漏洞守護系統。 現時的 Therat Modeling 大致歸納為 3 類，第一種是軟體導向（Software-Centric Approach），以系統的設計方式與運作目的為基礎，尋找對此系統或其內部模組相關類型的攻擊方式，Microsoft Security Development Lifecycle 便是利用此方式；第 2 種是資產導向（Asset-Centric Approach），以系統管理的資訊為基礎，分析資訊敏感度再作部署，資安專家會建立 Attack Trees…

在數碼轉型的大勢所趨之下，很多公司已將數據資料庫交由雲端處理，更有不少企業採用 Hybrid Cloud，運用多個 Public Cloud 及 Private Cloud，具有高度可靠性，讓企業能按安全性等考慮，靈活部署在公共或私有基礎架構（infrastructure）環境中的工作負載，根據需要將工作分散在不同的雲上，並滿足 Compliance 的要求。使用 Hybrid Cloud 時，企業或遇到以下幾個難處： 1.使用 Hybrid Cloud 時，企業最大的困擾必然是兼容性問題，例如最多企業使用的 AWS、Azure、Google Cloud 等，不同的雲端服務供應商有各自的管理平台及工具，未能集中管理。…

COVID-19、外交新秩序、WFH……來到 12 月，想不到 2020 年在人類大歷史上會再添新 Entry，今次難得有好消息；Microsoft 公布 Microsoft Passwordless Systems 按月用戶量突破 1.5 億人！ 數碼化年代個人管理帳戶數目高速增長，但大眾未夠認真看待 Password，「Abc123」、「Password1」依然雄踞 2020 年最常用密碼排行榜，而 COVID-19 更讓黑客承機突破企業防線，盡情採摘個人資料。簡單講，這種水平的密碼，形同虛設，構成的保安漏洞令科技企業極度煩惱，Apple、Microsoft、Google、Facebook、Amazon、Intel、Paypal 等巨頭幾年前結盟，組織取名…

網絡上的不法分子不比現實歹徒善良，只是戰場不一，一宗事故對企業的影響都可以極大。早前有研究指，一宗資料外洩事故平均造成企業 368 萬美元損失，每宗事故的平均停機時間成本，自 2018 年以來，飆升 200％以上，達到 141,000 美元。以香港的情況而言，[01] 在 2019 年 11 月至2020 年 10 月期間，網安事故大多是來自殭屍網絡及釣魚電郵攻擊，分別佔本港市場上的網絡攻擊 52.1%（4,330宗） 及 39.4%（3,277宗）［註1］。在疫情催化下，不少企業推行遙距工作政策，因此需要將資料放到雲端以便工作，亦成為新常態（new normal），但企業所面對的網絡攻擊所引致的資料外洩風險也隨之提高。 智選專家助企業保本及化險爲夷 要為資訊安全漏洞和資料外洩風險做好準備，如果能得到一班可靠的資安專家的協助，為保安事故做好應對準備，必然是最佳解決方案。在 IT 人才短缺的情況下，公司也未必有足夠資源，聘請專責處理事故的人員跟進，加上資料外洩事故時有發生，如果沒有專家解難，長久下去，恐怕會令公司蒙受更大損失。[02] 因此，網絡安全事故應變（Incident Response, IR）服務便應運而生，以應對五花八門的網絡安全問題，而從企業開支的角度來看，成立 IR 團隊可以平均節省 200 萬美元的資料外洩成本［註2］，幫到手之餘又能節省成本！ 網絡風險管理六步曲 有效救火止「洩」 那麼究竟 IR 實際上如何運作及發揮作用？IR 能有系統地處理網絡事故，由一群安全專家針對不同資訊安全狀況，擬定最適切的應對方案及策略。情況就好像消防員來到火警現場，先要評估現場情況，找出起火點，繼而評估受影響範圍，再定出處理策略，以遏制並消除威脅。IR 解決方案引入獲國際認可的網絡安全框架 SANS（美國系統網路安全研究機構）及NIST（美國國家標準技術研究院），並根據企業組織的不同狀況，按照既定流程進行網絡風險管理。網絡安全框架分爲6個應變階段：首先，檢視客戶對網絡安全事故應變的準備程度，並助建立監控及應變機制（準備 Prepare）。在接到客戶網絡安全事故報告後，確認是否事故（鑑定Identify），再繼而評估嚴重性，並快速作回應；確定事件的受影響範圍和嚴重性，控制入侵範圍，避免進一步擴大（遏制 Contain）；繼而分析攻擊來源，再加以清除 （消除 Eradicate），盡可能恢復在事故中損失的數據，協助恢復正常業務運作，並監測攻擊會否捲土重來（恢復 Recovery）；最後，提交初步評估報告，詳述每宗事故所採取的措施及從事故中學習，並可行建議及策略，加強網絡保安能力（檢討 Lesson Learnt）。總括而言，採用 IR 策略，可以降低來自內及外的威脅所帶來的影響，並且找出引起威脅的原因，根除威脅源頭，有利於管理未來的風險。 本地專業團隊24×7支援 隨時候命 HKT 網絡安全事故應變（Incident Response, IR）服務，由新世代網絡安全監控中心（Next Generation Security Operations Center）及本地網絡安全專家團隊，全天候 24×7 支援客戶。專家團隊經驗豐富具備不同範疇的國際標準安全認證資格，例如：GCFA、GPEN、GCIH、GCFE、GCTI、GNFA、GWAFT、GICSP、CISA、OSCP、CISSP、CISM、CCSP、CompTIA Security+、GREM、GXPN、GCIA、GASF、EnCE、ACE，能深入了解不同行業的企業及機構需要。企業尋求協助時，亦毋需受語言不通困擾，而且專家身在處同一時間區域，避免因時差延誤支援而導致損失。專家團隊透過可靠的本地及環球威脅情報，能快速針對漏洞作出應對，有效協助企業處理安全事件，將破壞程度減至最低，避免業務中斷或停止運作。 此IR服務曾為客戶處理在近年十分猖獗，並且針對CEO、高層主管等的變臉郵件詐騙（Business Email…