消委会遭黑客入侵|资讯科技总监谴责罪行:政府现有保安措施足够
消费者委员会电脑系统遭黑客入侵,员工及订户个人资料或已外泄,消委会今早(22日)称黑客要求要在明晚前交50万美元赎金,事件是继上月数码港公布有资料外泄后,一个内再有公营机构遭黑客入侵。政府资讯科技总监黄志光今午在政府总部会见传媒,指政府高度关注接连有公营机构有网络安全事故,并谴责有关罪行,资科办已联络有关机构提供技术支援、政府运作模式经验等,以加强两机构网络安全保护。
黄志光指,每个机构电脑系统均不一样,要按系统去做,资科办会提供协助,并提供有用工具作为参考。他称有向数码港及消委会了解,并称由于政府现时系统经部门中央管理及保护,暂时政府系统的保安措施是“足够同到位”。
黄志光指,网络安全事件无处不在,提醒公众及机构加紧留意不同来源资讯,如来历不明电邮、附件或未核实网站要小心,做好预防措施。
至于政府数据,黄志光称有三个方向的保护,一是在技术方面,大部份的政府系统都在政府私有云端系统中央管理,透过中央互联网通讯集接触,当中有不同防火墙、入侵侦测、24小时网络资料流量分析,以及提供警报安排等。
黄志光亦指,有充足指引及技术措施,安排部门系统在不同网络做分隔,例如涉政府内部资讯系统,会对外接触的互联网系统会有分隔,按保安需要及数据重要性,在系统上有保安措施加强,数据保护会按系统级别提供不同层次数据加密。
他指,中央互联网通讯集会监察输出和输入的电邮,并会隔除带有恶意附件电邮,及恶意连结的电邮,即使是可疑或怀疑是网络钓鱼、大规模欺诈电邮,都会打标签,提高同事警觉。
第二是在制度方面,黄志光称有制度及完备指引会要求严格遵守,包括所有系统投服务都要做严格网络安全及私隐评估审查,系统在更新或投入服务前要做相同审计,当系统运作两至三年后,都要重新同类审计。他称资科办网络安全团队会定时与部门做遵从审计,确保部门严格政府定网安全规例、政策及措施。
除政策及安排外,他称已要求每部门成立电脑保安事故应变小组,与资科办紧密联系,当发生事故要即时通报资科办协调团队,当有事故时会要求部门向监察机构,例如私隐专员公署及警方网罪科通报,资科办会主动协助其应变及复修工作。
黄指第三方面是加强政府员工培训技能,会加强与警方网罪科的演练,加强员工在相关方面的反应及技术,资科办会定时与国家及国际网络事故应变机构加强联系,互通资料及技术情报,并参与区域性网络安全保安事故演练,提升技术。
黄志光称,政府网络保安系统主要针对政府部门及系统,也要求政府部门发生相关事故后要在24小时内通报,包括公务员使用互联网资料,但未包公私营机构,故未包括消委会。他强调所有公私营机构有责任保护其数据。他又说,机构有需要可向资科办在生促局成立的电脑事故保安中心寻求协助。
他又说,发生事故后机构应做好善后工作,并全面检查系统出现什么问题,政府有相关指引可参考。
黄续称,政府会24小时全天候监察网络攻击,但间中也有企图攻击政府系统事件发生,情况“好普遍、系随机性”。他指该些攻击会视乎其个人或机构系统是否有松懈,看是否有机可乘,呼吁所有人都要提供警觉,也要加强个人教育,会做许多网络安全宣传及推广。