資安權威 Gartner 在 10 月 19 至 22 日舉行年度 Gartner IT Symposium/Xpo 2020，當中最注目的是其年度趨勢報告發表會，疫情下發佈會改為網上進行，主題當然圍繞著疫情怎樣影響企業營運模式，轉變又會帶來甚麼趨勢。這份報告一向獲業界高度重視，主流媒體都廣泛引用，到底動盪的 2021 年，各大企業的 IT 頭目需要注意甚麼？ Internet of Behaviours…

資安權威 Gartner 在 10 月 19 至 22 日舉行年度 Gartner IT Symposium/Xpo 2020，當中最注目的是其年度趨勢報告發表會，疫情下發佈會改為網上進行，主題當然圍繞著疫情怎樣影響企業營運模式，轉變又會帶來甚麼趨勢。這份報告一向獲業界高度重視，主流媒體都廣泛引用，到底動盪的 2021 年，各大企業的 IT 頭目需要注意甚麼？ 1.Internet of Behaviours…

新冠肺炎爆發至今，全球工作模式轉型， Work From Home 成為新常態，而這個新常態亦加速使用雲端系統工作的進展，不少企業投放更多資金於雲端系統中，以增加工作效率，不受制於辦公空間。 雲端工作雖然帶來方便，但亦隱藏危機！黑客或會覷準機會，入侵系統令企業蒙受損失。來自四間 IT 界企業，包括 Green Radar、Hyperides、Sereno Cloud 及 Veeam Software 的講者，將會各自就雲端應用的層面作分享，涉獵電郵攻擊、雲端安全、數據恢復等題材，助你預先掌握如何把關自己公司的雲端資產。 立即報名參加網上研討會！活動費用全免。參加是次 Webinar，更有機會贏取價值港幣＄200 的 HKTV Mall…

https://www.youtube.com/embed/0m4w1cO4CsM?wmode=transparent&rel=0&feature=oembed Container（容器）技術是近年 IT 業界的新寵，其輕量化、共用資源、快速部署等優勢，深得開發者歡心。Cloud Native Computing Foundation (“CNCF”) 今年發表的一份調查報告更顯示，在 2019 年已有 84% 業內人士已採用 Container 技術，比 2016 年的 23% 大增三倍有多。雖然是大勢所趨，不過企業或 IT…

到底網絡安全專才有多渴市？先跟大家分享一些數據。根據去年網絡安全機構 ISC2發表的一份調查報告顯示，65%企業或機構缺乏網絡安全專才。報告同時估計，大約需要 407 萬個網絡安全專才，才可以滿足全球企業或機構的需求，但實際上現時只得 280 萬個，反映專才嚴重不足。另一份 IT 行業薪酬調查報告亦顯示，香港的網絡安全專才收入相對較同行高外，亦預期每年可有 30% 增幅，相當有「錢」途。 無盡警報拖垮網絡安全 由此可見，企業或機構管理者正身陷極大窘境，既難以聘請足夠的專才處理網絡安全問題，另一方面亦擔心員工被挖角，導致網絡安全系統無人管理。事實上，企業高薪聘請網絡安全專才，原本是為了制定更完善的安全政策、定期審核安全架構的合規性等高層次工作，偏偏卻被繁瑣的日常工作所誤，例如一大堆由網絡安全系統發出的警報要處理，需要評估有否誤報、事件嚴重性、調查網絡攻擊手法、影響範圍、選擇處理問題的系統、上報處理建議並等待審批⋯⋯特別是現時不少企業採用混合雲架構，每天從公司內部、網絡、雲端應用匯集的數據極為龐大，警報數量同時大增，不單霸佔網絡安全專才大部分工作時間，令他們無暇進行更重要的工作，有報告更估計，50%安全威脅更會因此而遭忽視，令企業被攻擊的風險大增。 處理事件因人而異 面對著複雜的企業架構及龐大的數據流量，傳統的防毒軟件，或安全資訊及事件管理系統（Security Information and Event Management, SIEM）已不足以解決問題，因為 SIEM…

隨著 5G 及 Wi-Fi 6 新一代流動通訊及無線網絡制式上馬，突破了從前的傳輸速度及頻寬的限制；更被視為推動第四代工業革命開展的核心一環，有利於物聯網（Internet of Things, IoT）技術應用及發展，使利益隨時獲利倍翻。現時對IoT裝置缺乏統一的規格及監管，部分生產商為了搶銷量降成本，退而求其次地犧牲網絡安全性，卻令 IoT裝置安全漏洞百出。企業要借助IoT拓展業務就不能過於大意，否則便有如大開中門，「邀請」黑客隨意出入。 物聯網普及 提升自動化及數據分析 IoT的應用層面非常廣泛，例如網絡監控鏡頭、溫度及濕度感應器、防漏水感應器、智能門鎖、電力監測系統、智能燈光系統等，最大優點是可讓作業自動化完成，減少人力成本。此外，IoT 應用亦逐漸與傳統的 IT 系統結合，包括操作型科技系統 (Operation Technology, OT）、工業控制系統（Industrial Control…

很多朋友問我，做黑客要不要領牌 （專業證書 ）。答案可以是「Yes」或「No」，綜觀全球著名黑客， 他們大多數都是從大量的實踐中煉成黑客技術， 他們專注研究軟件，從一些細微的弱點發掘出漏洞，嘗試發動攻擊入侵系統， 終於成功奪取權限。相反，修讀 CEH （Certified Ethical Hacker）專業認證資格，則是一門以正統方式把你培養成為一個「道德黑客」的課程。 CEH的EC-Council原來好打得 CEH 是由國際電子商務顧問委員會 （EC-Council）提供的網絡安全認證。CEH 是國際的頂級熱門安全證書，符合美國的 ANSI / ISO / IEC…

雲端應用雖然已大行其道，不過，不少企業管理者仍然無法信任其安全性。最近一份針對亞太地區企業進行的安全調查報告《Data Security APAC 2019》顯示，發展成熟的企業當中，只得 27% 認為公共雲（Public Cloud）有足夠的網絡安全功能。而整個亞洲區的企業中，有 73% 受訪者認為資料外洩是無可避免，這可能跟超過 75% 企業管理者未能了解如何可安全保護業務有關。 增加攻擊難度 企業要提升公共雲的防禦力，可從設定嚴緊的登入措施及加密數據著手。首先企業管理者要釐清各員工的登入權限，可有效阻止未獲授權的員工接觸重要的文件或作業；不過，如登入帳戶資料被盜取，黑客一樣可以登入雲端應用竊取資料，所以企業亦應考慮採用多重因素認證（Multi-Factor Authentication）機制，例如以 USB、藍牙硬體鎖作為 Security key，員工登入帳戶時必須持有這硬體鎖，這樣即使登入名稱及密碼外洩，黑客亦無法登入帳戶，減少公司機密資料被盜取的風險。 另一方面，雖然公共雲供應商有提供網絡安全措施，但客戶並不能單純依靠對方的防護，因為客戶本身存有分擔責任（shared responsibility），必須採取足夠的手段去保護儲存在雲端的資料，否則亦難以追討賠償。而要確保數據安全，最好便是選用加密技術，例如 tokenisation 或 cyptographic 等工具，將數據亂碼化或以金鑰作保護，即使數據被盜用，或於轉送中褒被攔截，黑客亦難以破解及還原數據的內容。 雖然 MFA 或 Tokenisation 都是非常有效的保護公共雲手段，但在今次調查報告中，企業的採用率都不高，前者少於 50%，後者更少於 20%。隨著全球各地陸續立法管制數據安全，資料外洩已不單只會影響商譽，更有可能為企業帶來災難性的金錢賠償，要避免企業營運陷入困境，由今日開始，就要立即採取措施，守好雲端上的數據。 （article sponsored by Edvance)

數碼轉型的好處，相信毋須特別多提；不過隨著愈來愈多企業將重要工作或數據轉移雲端，網絡安全的問題亦陸續浮面，例如難以把握的多雲(Multi-Cloud)架構、複雜的存取權限管理，特別是「影子 IT」」（Shadow IT）應用失控，每走一步似乎都可以引發難以預計的洩密風險。既要繼續移雲，但對網絡安全又有大量疑雲，應該如何自處？ 發展過快 監管困難 先來看看現時企業管理者面對的難題，愈趨複雜的多雲架構及存取權限問題都較易理解，但到底「影子IT」應用又是什麼一回事？它其實代表未經企業 IT 部門允許的應用軟件。根據最新發表的一份網絡安全調查顯示，企業管理者認為員工使用的雲端應用軟件數量為 452 種，但實際上卻是 1807 種，足足接近 4 倍之多，完全低估了實際使用情況，這些影子 IT 應用既然未被允許使用，企業 IT 部門所採購的網絡安全設備自然難以洞察及堵塞其漏洞，大大增加黑客潛入的門路。 除了雲端應用「失控」， BYOD（Bring…

家陣公司為咗節省資源，好多嘢都靠外判，等自己唔使養咁多人。就連網絡安全工作都係，一來市場上唔夠人手，二來逐樣產品買亦負擔唔起。理解嘅，在商言商，老闆又錯唔晒，不過如果公司連一個識 IT Security 嘅同事都無，又可以點去評估外判商做緊啲嘢掂唔掂？好似好多企業都鍾意搵公司做 consultation，但公司入面無人識 cyber security，根本唔知點揀，所以有多啲 budget 嘅就會搵 Big 4，因為連銀行金融業都搵佢哋做評估，差極都有個譜啩，但 Mr. Smith 真係要再強調一次，好易中伏！ 試過有次公司要搵美國一間大公司做 code review，評估一隻用嚟保護其他 application 嘅軟件有無漏洞。結果報告返咗嚟，話隻軟件嘅 loophole…