香港的電子支付服務起步較遲，不過，近年在Alipay、WeChat Pay、PayMe、Tap&GO 等支付系統大舉推廣下，已有不少人習慣電子付費。今年六月 Visa 曾發表調查報告，指 53% 港人曾嘗試只靠電子支付過日常生活，71% 港人首選非現金支付方式。作為消費者，選擇電子支付只須克服信心問題；但作為收款的中小企業卻要諗過度過，因為安裝電子支付系統時，服務供應商會收取租金或於每宗交易收取費用，以及各式各樣的安裝費及保養費，再加上如要安裝多於一種收費方式，成本無疑會為中小企帶來不少壓力。 降低電子支付申請門檻 香港電子支付系統開發商 Yedpay 交易寶聯合創辦人兼技術總監黃韋皓解釋：「SME 要引入電子支付服務，門檻很高，申請手續又費時，而且又未必達到安裝要求，例如一些街邊檔沒有網絡連線，Yedpay 的一站式無線收款系統，便可以解決這些問題。」他說收款系統可插 SIM 卡，即使店鋪沒有寬頻服務，也一樣可以使用，而且一部機已有齊 Visa、Master、Alipay 、Apple Pay、Samsung Pay、Google Pay 及…

Neo 今天讀到一份不錯的訪談，Michael Coates（曾任Twitter 的CISO）分享了心得，針對兩個頗為吸引的問題：一、如何建立強健的資安團隊？二、如何開展自己在 Cybersecurity 的事業？其立論一針見血，所以略為記下，並加評論，以饗讀者。 Michael 指出一個殘酷的事實：網絡邊界（The perimeter）永遠在改動。上一個世代講要守護network choke points，在今天可能不切實際。為了分秒必爭的業務競爭及發展，愈來愈多的雲運算及外判模式，正在消解（dissolve）網絡邊界。在今天，速度無比重要，所以資安服務要非常貼身。然而，面對眾多業務部門及他們各自獨特的系統結構，ＩＴ／資安團隊如何處理快速的變更要求及服務要求？難道要每個部門配置資安技師嗎？這當然是不可能的。 Michael 走了一條路，叫 Empowerment及Paved path approach。這個思維是去 empower（提升能力、給予信任；「授權」二字太狹窄了）一些 Security Champions去協助公司的資安。中央ＩＴ做的工作，近乎鋪路，提供一系列不同的工具，並列出權限界綫，定出不應逾越的底綫。有了這些準備，Security Champions…

Neo 今天讀到一份不錯的訪談，Michael Coates（曾任Twitter 的CISO）分享了心得，針對兩個頗為吸引的問題：一、如何建立強健的資安團隊？二、如何開展自己在 Cybersecurity 的事業？其立論一針見血，所以略為記下，並加評論，以饗讀者。 Michael 指出一個殘酷的事實：網絡邊界（The perimeter）永遠在改動。上一個世代講要守護network choke points，在今天可能不切實際。為了分秒必爭的業務競爭及發展，愈來愈多的雲運算及外判模式，正在消解（dissolve）網絡邊界。在今天，速度無比重要，所以資安服務要非常貼身。然而，面對眾多業務部門及他們各自獨特的系統結構，ＩＴ／資安團隊如何處理快速的變更要求及服務要求？難道要每個部門配置資安技師嗎？這當然是不可能的。 Michael 走了一條路，叫 Empowerment及Paved path approach。這個思維是去 empower（提升能力、給予信任；「授權」二字太狹窄了）一些 Security Champions去協助公司的資安。中央ＩＴ做的工作，近乎鋪路，提供一系列不同的工具，並列出權限界綫，定出不應逾越的底綫。有了這些準備，Security Champions…

無可否認，企業嘅網絡安全措施做得好，的確可以有效阻截黑客攻擊，不過，黑客亦唔會咁傻仔咁固執，攻你唔入，咪向你嘅第三方供應商落手囉！ 講緊嘅係飛機製造商 Airbus，法新社（AFP）最新報導，兩間有份參與調查嘅網絡安全公司，透露 Airbus 喺最近一年內曾遭受四次大型攻擊，其中兩次係針對佢哋嘅引擎供應商 Rolls-Royce 及 Assystem 嘅子公司 Expleo。法新社引述專家嘅意見，佢哋話雖然 Airbus 有使用 VPN 嚟分隔內部網絡，但佢哋有時亦會允許第三方供應商入嚟做嘢，所以黑客只要能成功攻擊第三方供應商，就可以作為跳板攻入 Airbus。而根據專家嘅調查顯示，黑客進入 Airbus 網絡嘅目的，主要係針對佢哋嘅引擎科技，包括軍用機 A400M 、A350 客機，以及用嚟控制飛機各感應器嘅系統，盜取技術多過想偷個人私隱。…

很多朋友問我，做黑客要不要領牌 （專業證書 ）。答案可以是「Yes」或「No」，綜觀全球著名黑客， 他們大多數都是從大量的實踐中煉成黑客技術， 他們專注研究軟件，從一些細微的弱點發掘出漏洞，嘗試發動攻擊入侵系統， 終於成功奪取權限。相反，修讀 CEH （Certified Ethical Hacker）專業認證資格，則是一門以正統方式把你培養成為一個「道德黑客」的課程。 CEH的EC-Council原來好打得 CEH 是由國際電子商務顧問委員會 （EC-Council）提供的網絡安全認證。CEH 是國際的頂級熱門安全證書，符合美國的 ANSI / ISO / IEC…

俾人搞而唔還拖，原因有好多，例如唔夠打、俾人揸住痛腳、人哋有財有勢……等等。仲有一樣，就係好想賺佢啲錢，所以唯有忍一忍先。 最近澳洲政府嘅舉動，就可能屬於後者。路透社引述消息人士指，當地情報部門已經確認年初多宗黑客入侵事件係中國黑客所為，不過為咗唔好損害兩國貿易關係，所以唔打算公開調查報告內容！ 重溫一下劇情先，話說今年三月，負責網絡情報嘅澳洲國防通訊事務部（ASD）出咗份調查報告，確認喺二月澳洲國會同埋三個主要政黨（自由黨、國家黨及工黨）俾黑客入侵，當時總理 Scott Morrison 話由於五月大選就到，咁敏感嘅時勢唔適宜公開具體細節，表示等大選完咗先再講。 可能總理以為咁就過到骨，點知傳媒衰在記性好。路透社近日就接到報料，話其實份報告寫得好詳細，發現黑客所用嘅程式碼同埋入侵手法，同中國黑客過去嘅手法一模一樣，所以幾肯定佢哋係幕後黑手。路透社之後向總理辦公室同埋中國外交部求證，前者直接拒絕回應，而後者就例牌否認，兼且重申中國都係網絡攻擊嘅受害者！ 消息人士指 ASD 建議調查報告內容要保密，原因只有一個：錢！因為中國係澳洲最大貿易夥伴，係澳洲鐵礦石、煤炭同埋農產品嘅主要買家，佔澳洲出口總額超過三分之一，每年仲有過百萬觀光客同埋留學生前往澳洲，條數都幾襟計，所以將網絡安全同國家收入秤一秤後，就選擇噤聲嘞。 雖然唔知消息真偽，但老實講澳洲近期都有唔少針對中國嘅動作，例如禁止外國政治捐款，同埋禁止電訊設備製造商華為參與當地 5G 網絡建設，已經令兩國關係差咗唔少，如果爆埋呢單就可能真係會影響邦交。之不過，如果真係好似調查報告所講攻擊過三大政黨，相信佢哋都唔會咁易放過總理嘅。 資料來源：https://reut.rs/2lPGQ4H

作為資安長老，有很多朋友向我查詢 CISSP、 CISA（Certified Information Security Auditor）及CISM (Certified Information Systems Manager)三個保安認證資格中，哪一個比較易應付？各自的職場發展機遇如何？另外，為何有些培訓中心提供三合一課程？應該逐個修讀還是一併報考？ 三種證書，各擅勝場 根據資安長老多年教授 CISSP、CISA 及 CISM 的課程經驗，我的建議還是應該先了解每個證書的認證要求，再根據自身條件，訂立學習計劃。說到要考取上述認證的方程式，我認為必須預留半年或以上時間準備，課程編排最好是每星期一次，並於每個周末抽出 4 小時溫習，勝算便很高。讀者看完今次關於 CISA 及…

欺詐之神話而家呃人，容易過 50 年前 4000 倍，唔好問點解，信就得。 《Catch Me if You Can》（港譯《捉智雙雄》）呢套經典犯罪電影相信好多人都睇過，喺戲內由里安納度狄卡比奧（Leonardo DiCaprio）飾演嘅欺詐犯 Frank Abagnale，的確真有其人，多次利用人類心理漏洞扮成法語教師、醫生、律師、機師，又涉及偽造支票，被 FBI 逮捕及服役後，轉而為 FBI 服務及開設安全顧問公司，以自己嘅豐富詐騙經驗為企業進行培訓。 資訊發達「商機」處處 Frank 最近接受傳媒訪問時首先就話，造成資料外洩嘅唔係黑客，製造漏洞嘅永遠係受害者自己或公司員工，例如唔轉密碼、將唔應該拎走嘅工作帶返屋企做、無及時更新系統檔案、無做清楚身份核對就信以為真……各式各樣嘅前設令到人類掉以輕心，以為黑客唔會攻擊自己。Frank…

裝得防毒軟件，梗係希望可以攔截病毒或去錯虛假網站，但如果佢會洩漏你嘅行蹤，你又會唔會用？ 網絡防毒軟件供應商 Kaspersky 嘅產品，最近就被發現原來有呢種「附加功能」，而且喺過去四年一直發生緊。網絡安全獨立調查員 Ronald Eikenberg 發現，Kaspersky 旗下嘅防毒軟件 Anti-Virus、Internet Security、Total Security、Free Anti-Virus 及 Small Office Security，喺用戶訪問每個網站時，都會遙距注入一個 JavaScript 檔案去目標網站，以確定呢個網站有無被 blacklist。呢一個名為 Kaspersky…

企業電腦被入侵嘅個案，有 90% 都係因為員工瀏覽藏有惡意軟件嘅網站、打開有問題嘅電郵連結或惡意檔案而發生。一旦中伏不單會導致重要資料外洩，仲會損害公司聲譽！可惜而家單靠傳統嘅偵測技術，好難有效防禦。所以，公司嘅網絡安全策略務必由偵測轉至預防，全方位抵禦網絡攻擊。 點樣達至終極抵禦網絡攻擊？ 而家誠邀閣下出席是次研討會，一齊探討點樣透過 Carbon Black + Menlo Security組合嘅 Web Isolation、Endpoint Visibility 及 Application Control 等功能，達至內外全方位終極預防網絡攻擊嘅目標。 企業電腦被入侵嘅個案，有 90% 都係因為員工瀏覽藏有惡意軟件嘅網站、打開有問題嘅電郵連結或惡意檔案而發生。一旦中伏不單會導致重要資料外洩，仲會損害公司聲譽！可惜而家單靠傳統嘅偵測技術，好難有效防禦。所以，公司嘅網絡安全策略務必由偵測轉至預防，全方位抵禦網絡攻擊。 點樣達至終極抵禦網絡攻擊？ 而家誠邀閣下出席是次研討會，一齊探討點樣透過 Carbon Black + Menlo Security組合嘅 Web Isolation、Endpoint Visibility 及 Application Control 等功能，達至內外全方位終極預防網絡攻擊嘅目標。…