新闻背后保障网络安全 维护网络自由卓 铭

新闻背后保障网络安全 维护网络自由卓 铭

  保安局日前向立法会提交文件，启动《保障关键基础设施（电脑系统）条例》立法，保障维持香港社会必需服务攸关或重要的社会和经济活动的关键基础设施。立法不论对于香港作为国际城市的声誉，还是国家安全层面，都事关重要，并不会侵犯市民的个人私隐，更不会影响公众使用电脑和网络的自由。

  早于2022年施政报告，行政长官已提出要推动相关立法，而近年香港许多机构相继发生电脑系统遭黑客入侵或资料外洩事件，其中不乏大型公营机构，这些存有大量市民重要资料的机构若发生网络安全事故，受影响的随时是数以百万计的市民。因此，政府规管关键设施营运者，要求其承担保护“关键电脑系统”的责任，是合情合理。

  事实上，现时香港不少企业和机构，对于市民个人资料的管理实在难以称得上有良好观念。早前私隐专员公署进行过相关调查，列出了多项缺失，包括没有为远端存取资料启用多重认证功能、没有妥善设定拦截网络安全威胁的软件、欠缺足够保安措施禁止或防止于测试伺服器内储存个人资料等。

  像医院、高等教育机构、消委会这类机构的电脑系统，往往储存了市民的个人私隐资料，但部分机构的网络保安系统犹如毫无遮掩，自然成为别有用心之徒的目标。当然，这也不是说只要做了安全措施，市民的资料就能万无一失，但至少应为大规模的公司及机构设定一个最低限度的标准。例如机构不应该将真实的个人资料储存在测试伺服器内，或禁止及防止员工在这些测试伺服器内储存个人资料，并制定程序定期审视、测试伺服器内的资料，减低出现人为错误或疏忽的风险。

  其中一个例子是，有法定机构虽然曾为员工提供培训及传阅与网络安全相关资讯，但有资讯科技部员工没有根据相关要求，在系统设定时使用较为复杂的密码，而后来便恰恰发生了黑客入侵事件。缺乏安全意识，又缺乏确实规管，不讳言说就是网络攻击的最佳标靶。因此不论是为保障市民私隐，还是维护香港作为国际城市的声誉，维护一个安定的生活和营商环境，这次立法都是必要之举。

  立法草案将关键基础设施分为两大类，分别为“在香港提供必要服务的基础设施”，以及“其他维持重要的社会和经济活动的基础设施”。其中“在香港提供必要服务的基础设施”涵盖八个界别，包括能源、资讯科技、银行和金融服务、陆上交通、航空交通、海运、医疗保健以及通讯和广播；“其他维持重要的社会和经济活动的基础设施”则包括大型体育及表演场地、科研园区等。

  保安局亦新设专责办公室负责监督，制定《实务守则》，就“关键基础设施营运者”应采取的措施提供相关建议、监察针对关键基础设施的电脑系统保安威胁、协助“关键基础设施营运者”应对电脑系统保安事故、调查及跟进“关键基础设施营运者”违规情况、协调不同政府部门及专家，在制定政策及指引和处理事故方面的工作，以及向“关键基础设施营运者”发出书面指示，以堵塞也许会出现的保安漏洞。如有不履行法定责任、不遵从专责办公室发出的书面指示或要求，可被处于罚款最高500万元不等，个别持续违背法律规定的行为则处以额外的每日罚款。

  不难看见，法例规管的由始至终都只有大机构，完全不影响中小企及一般市民，更不会影响市民大众使用网络及电脑的自由。如果有人觉得立法涉及市民私隐，或者影响了公众使用网络及电脑的自由，只能说这些人就没有实际看过草案的内容，只是单凭草案的名称便开始自我幻想捏造故事。遑论确贪资料安全，西方国家甚至比香港做得更早更严。欧盟早在2018年就通过号称史上最严厉的《通用数据保障条例》，如保护个人资料不力，相关平台可被罚2000万欧元，或全球营业额的4%。Meta、亚马逊等全球知名的大规模的公司亦曾被罚款，金额动辄可达数亿欧元。

  可以说，机构规模越大，越应负上更大的责任管理市民个人资料。事实上，网络安全是“总体国家安全观”其中一个重点领域，不论是从国家安全的角度，或香港作为一个国际城市应有的标准，还是保障市民私隐的角度，《保障关键基础设施（电脑系统）条例》都不可或缺，尤其香港正以建设国际创科中心为目标，网络安全就显得更为重要，也关系到香港的发展前途。