Browsing: GDPR

    不少企業也有為員工舉辦網絡安全培訓課程,以為做完就安全?可惜事與願違,有調查發現34%員工受訓後依然用紙寫低密碼,60% 員工依然接駁公共 Wi-Fi 工作。其實舉辦培訓都要成本,究竟如何才能有效地運用資源?一齊學習四個要點。 根據 TalentLMS 和 Kenna Security 一項員工網絡安全風險意識調查發現,大部分安全培訓都未能達到預期效果。調查訪問了 1,200 個美國員工,當中 69% 已接受安全培訓,除了上述學完等於無學的例子外,受訪者當中有 61% 未能通過主辦機構提供的基本安全測試。 由此可見,設計網絡安全培訓課程絕不簡單,罐頭式培訓內容未必。網絡安全專家認為安全培訓課程要有成效,不可忽略以下四點。 定期審核:做完培訓班都要有跟進,企業管理者必須安排人手定期進行內部審計,評估員工有否執行課程內容,例如檢查員工電腦有否未經批准使用的軟件、帳戶密碼是否繼續採用易於破解的組合,同時亦可留意員工工作枱上有否隨意擺放敏感度高的文件。如效果未有改善,就有可能要改課程內容或教學方法。 實用淺白:影響網絡安全培訓效率的經典原因是內容大路及充斥大量專業術語。首先如員工未能了解釣魚電郵、社交工程攻擊的意思,根本無法了解自己有可能中招的原因。另外如內容過於大路或理論化,員工亦無法將課程內容應用到實際工作上,因此導師應針對行業實況及公司文化,設計出實用淺白的教程,同時以實例進行分析,確保員工清楚掌握入侵原理。 持續培訓:培訓應定期進行,一次性課程不可能讓員工記住所有內容,最好每次課程有不同主題,加深員工印象。…

    經常跟大家報導有關勒索軟件的新聞,不過大部分事故似乎都在外國發生,感覺頗為離身。Palo Alto Networks 安全團隊 Unit 42 最新發表的安全網誌,就同大家正視聽,原來香港在亞太區勒索軟件攻擊數量上排名第 10,全球亦排名 37,可見勒索軟件受害者並不罕見,只是受害者或會選擇收收埋埋…… 雖然現時全球有不少保護市民的私隱法,例如美國 CCPA 及歐盟成員國的 GDPR。不過,這些法例只有在涉及特定市民時才有效,因此香港企業或機構就算不慎成為勒索軟件受害者,只要外洩資料未有包含上述法例保障的市民,都或會選擇低調處理以保持商譽,令大家誤以為勒索軟件或其他網絡攻擊,未有太大針對香港企業。 不過,調查團隊 Unit 42 發表的 2022 年勒索軟件威脅報告就顯示,其實香港企業及機構一樣受到網絡犯罪集團「重視」,在全球及亞洲地區均排名亦不算低。而在全球宏觀市場上,研究員指出經團隊處理的個案,勒索軟件集團要求的贖金,較去年同期增加了 144%…

    COVID19 推動 Work From Anywhere,打工仔覺得更有效率,但管理層覺得屏幕濾走積極與熱情,畢竟值班行山這類例子並不罕見,特別疫下百業蕭條,中層更加需要證據證明大家盡忠職守,每日最早與早夜的電郵收發時間已不能成為勤力指標,遠程工作下應有另一套管理規範,但員工老闆們暫時未必有共識。 新一代「提升效率工具」,讓僱主可以全方位洞察員工如何運用工作時間,包括瀏覽歷史、App Screen Time、甚至微管理至 Keystrokes Logging 與 Desktop Session,換句話可說是「攞正牌的黑客」。Skillcast 與 YouGov 2020 年 12 月調查顯示,20% 僱主正在或有意引入監察員工線上活動工具;英國的…

    西班牙一間名為 Prestige Software 的應用服務開發商發生人為錯誤,令 AWS S3 bucket 內儲存的 24.4GB 資料變成公開任睇,而同大家最有關係的地方,是它的客戶包括 Agoda、Expedia、Hotels.com、Booking.com 等酒店預訂服務商,而有可能洩出的更包括客戶信用卡號碼及CVV等資料,好得人驚! 錯誤將雲端服務帳戶設定為公開的新聞,時有發生,例如去年 Samsung 儲存於 GitLab 內的 SmartThings 計劃內容,便因這類失誤而成就「無私分享」事件。而在恒常的網絡掃描期間,Website Planet…

    資安權威 Gartner 在 10 月 19 至 22 日舉行年度 Gartner IT Symposium/Xpo 2020,當中最注目的是其年度趨勢報告發表會,疫情下發佈會改為網上進行,主題當然圍繞著疫情怎樣影響企業營運模式,轉變又會帶來甚麼趨勢。這份報告一向獲業界高度重視,主流媒體都廣泛引用,到底動盪的 2021 年,各大企業的 IT 頭目需要注意甚麼? Internet of Behaviours…

    資安權威 Gartner 在 10 月 19 至 22 日舉行年度 Gartner IT Symposium/Xpo 2020,當中最注目的是其年度趨勢報告發表會,疫情下發佈會改為網上進行,主題當然圍繞著疫情怎樣影響企業營運模式,轉變又會帶來甚麼趨勢。這份報告一向獲業界高度重視,主流媒體都廣泛引用,到底動盪的 2021 年,各大企業的 IT 頭目需要注意甚麼? 1.Internet of Behaviours…

    每次講到數據隱私(Data Privacy)同數據安全(Data Security),好多人都以為係同一樣嘢嚟,但原來佢哋係有分別㗎,Facebook 向 Cambridge Analytica 出售用戶資料事件,就係最佳例證! 保護個人私隱係唔少國家嘅首要任務,好似歐盟兩年前生效嘅 GDPR(General Data Protection Regulation)及美國上年成效嘅CCPA(California Consumer Privacy Act),都係為咗保障國民私隱而成。GDPR 嘅罰款可以高達幾十億美元,而 CCPA 就按人頭計,每個個人私隱外洩嘅罰款由 2,500 美元起計,真係可以令出事企業一鋪清盤,再加上而家仲有…

    以前中咗勒索軟件(Ransomware),衰到極最多都只係攞唔返啲資料,但自從勒索軟件轉咗新玩法,喺鎖死電腦檔案前會先偷走所有數據,一旦企業企硬唔俾錢,黑客就可以用公開資料嚟加強勒索力度,所以勒索軟件就唔再係攞唔返資料咁簡單,隨時觸犯私隱法之餘,亦會大大力打擊商譽,企業關公真係想兜都兜唔返㗎! 勒索軟件之所以咁乞人憎,係因為採用嘅加密演算法好難破解,再加上好多時企業都無做好 backup,所以一旦內部檔案被加密,企業本身係無能力還原,應對方法之一係當成個系統被砍掉重練,否則就要乖乖被贖金,期望黑客有「良心」送返條解鎖 key 俾你。瀨得嘢多,唔少企業都學識 backup 嘅重要性,搞到黑客搵少好多,於是黑客自然識得變招,除咗會攻擊埋企業嘅儲存裝置或雲端備份,仲會喺發作前盡量將資料偷走,用嚟加強威脅性,就算唔肯俾解鎖費,都要受害企業俾掩口費刪除外洩資料,否則就會喺黑客自己營運嘅網站上公開機密資料,好多時都包括被害公司嘅財務檔案、客戶及員工私隱資料等等,好似之前我哋報導過嘅 Bossini 事件咁,就有大量商業機密同客戶資料網上見嘞。 正因為黑客轉咗玩法,所以有企業已提升咗勒索軟件攻擊嘅應變態度,唔再選擇收收埋埋,轉而當成資料外洩咁公開,一來有啲公司嘅客戶屬歐盟成員國國民,所以受 GDPR 法規約束要通報;二來由於黑客會事先披露,一定有傳媒查上門,如果企硬否認,只會惹來強烈抨擊,進一步損毁商譽,後果等同搬石頭砸自己隻腳,所以有理由相信會有愈來愈多企業企出嚟承認受到襲擊,香港同業亦應該盡快調整一下緊急應變措施喇。 資料來源:https://bit.ly/38MU7PX 相關文章:【大件事】Bossini、c!ty’super成為勒索軟件攻擊目標?

    移民潮再現,有財力嘅可以搞投資IT專才移民,咁冇財冇勢嘅IT狗點算好呢?切勿妄自菲薄,其實IT狗既係老闆嘅「旺財」,更係國際搶手嘅專才!有報道指全球網絡保安工作空缺已達至三十多萬份,只要有一技旁身,移民話咁易,世界任你行! 歐洲各國要人 GDPR 於 2018 年執行至今,仍然有大量公司未ready,Facebook、Google 等大企業先後被罰,可想而知仍有大量公司未能好好管理個人私隱。又有報告指出,有唔少歐洲國家於今年先開始切實執行 GDPR,意味 IT 人手需求持續高漲,呢方面真係極度缺人。從移民角度睇,只要你成功移民去其中一個歐盟國家,就可以無限制咁移居到其他歐盟國家,所以移民歐洲非常著數。 英國分分鐘最容易移民 現時,英國有超過 58,000 人從事網絡保安相關工作,自 2011 年計起,增長幅度達 160%。另外,預計至 2022 年,英國將有 10…

    近來唔少人都叫多咗外賣,而喺本地幾間餐飲外送服務中,FoodPanda 係最多人會用嘅其中一間。不過,最近佢哋位於德國嘅母公司 Delivery Hero 就被踢爆,大約 72萬條來自 14 個地區嘅客戶資料由上月中開始喺暗網上瘋傳,內容有客人名稱、地址、電話、密碼,而香港客戶亦榜上有名,受影響客戶除咗要即刻改密碼(包括其他共用同一密碼嘅帳戶)之外,仲要提防相關嘅釣魚電郵或電話詐騙添! 今次被洩嘅客戶資料來自新加坡、德國、西班牙、芬蘭、意大利、香港、荷蘭、加拿大、澳洲等,而係網上可以下載嘅檔案,全部都屬於 SQL 格式,每個哋區都有兩個檔案,分別係CustomerAddress 及 Customers。根據 Have I Been Pwned 洩密自助檢查網站創辦人 Troy Hunt…