gong-nga-data-breach-hong-kong-cybersecurity-governance-2025.png

私隱專員公署調查揭露香港中小企資安治理失誤：企業如何防患於未然？

DQS 香港

DQS 創立於 1985 年，由德國標準化協會（DIN）及德國質量協會（DGQ）共同創辦，是全球最具資歷的獨立管理體系認證機構之一。DQS 現為國際認證聯盟（IQNet）創始成員，並持有德國認可委員會（DAkkS）及全球逾 100 項國際認可資質，業務遍及 60 多個國家及地區。

8月 25 , 2025

香港個人資料私隱專員公署（PCPD）於 2025 年 8 月正式發布調查報告，證實香港一家知名珠寶零售企業遭逢嚴重網絡攻擊，近 79,400 條敏感個人資料慘遭竊取並抹除。

外洩數據涵蓋：

員工姓名、香港身份證號碼、出生日期及聯絡方式；
客戶姓名、會員編號、部分香港身份證數據及聯絡方式；
受影響對象橫跨現職員工、離職員工，以及企業客戶與零售消費者。

黑客利用一個閒置長達 13 年的最高管理員帳號（Dormant Administrator Account）作為破口，發動暴力破解攻擊，成功在企業系統內部橫向移動（Lateral Movement），最終全面掌控了核心資料庫伺服器。

私隱專員公署調查結果：五大關鍵資安治理失誤

公署的調查報告明確指出該企業在資安治理層面存在五大致命缺口：

帳號全生命週期管理失效（Ineffective Account Lifecycle Management）

閒置帳號持續運作超過 13 年，既未部署多因素驗證（MFA），亦無登入失敗鎖定機制或定期審查機制。

資安防禦設施極度老舊（Obsolete Security Infrastructure）

防火牆與防毒軟件長期未獲更新，缺乏入侵偵測系統（IDS）、資安資訊與事件管理（SIEM）及異常行為監控機制。

使用已停止支援的作業系統（Unsupported Operating Systems）

伺服器運行的作業系統已停止官方支援超過四年，導致高風險漏洞暴露於外，未獲得任何修補。

缺乏政策規範與事故應變架構（Absence of Policy & Incident Response Framework）

企業內部未制訂涵蓋帳號管控、密碼強度、修補程序或數據洩漏通報協議的書面資安政策。

缺乏風險評估與獨立審核（Lack of Risk Assessments & Independent Audits）

未曾開展結構化的安全風險評估與審核（SRAA）或第三方獨立審查，導致資安隱患直到災難發生後才被發現。

經驗教訓：香港企業必須落實的五大資安要務

本次事故深刻暴露了香港中小型企業（SME）普遍存在的系統性弱點。為築牢網絡抗風險韌性，企業決策者應當推動以下五大戰略要務：

規範身份與存取控制（Formalize Identity & Access Controls）

建立並嚴格執行離職員工帳號的即時註銷與停用流程（Deactivation Workflows）；
強制實施多因素驗證（MFA），並部署基於異常行為的登入動態監控。

制度化推動獨立審核（Institutionalize Independent Audits）

每年至少開展一次全面的安全風險評估與審核（SRAA）；
與所有外包服務商簽署《數據處理協議》（DPA），並嚴格驗證其資安控管措施。

建立漏洞與修補管理機制（Establish Patch & Vulnerability Management Programs）

第一時間汰換並升級所有已停止官方支援的系統；
部署持續性漏洞掃描、修補追蹤及漏洞驗證機制。

對齊國際標準與合規基準（Adopt International Standards & Benchmarks）

導入並通過 ISO/IEC 27001 資訊安全管理體系（ISMS） 認證；
採納 72 小時數據洩漏通報機制，與歐盟《通用數據保護條例》（GDPR）的最佳實踐保持一致。

將資安文化深度內化至企業基因（Embed Cybersecurity into Corporate Culture）

為全體員工提供常態化的資安意識培訓；
成立資訊安全委員會，實現最高董事會層級的營運監督（Board-level Oversight）。

延伸洞察：中小企必須摒棄的三大資安迷思

迷思 1：「我們不是科技公司，黑客不會找上我們。」

客觀現實：香港警務處數據顯示，高達 48% 的網絡攻擊 目標為零售業、醫療健康及製造業等非科技行業。
專家洞察：任何手握個人敏感數據的機構，都是黑客眼中具備極高價值的攻擊目標。

迷思 2：「只要裝了防火牆和防毒軟件就足夠了。」

客觀現實：本次涉事企業正是過度依賴過時的邊界防衛工具，且缺乏監控機制，才讓黑客在內部橫向入侵如入無人之境。
專家洞察：必須部署 SIEM/XDR 方案、常態化漏洞掃描及定期資安滲透測試，打造縱深防禦體系。

迷思 3：「資訊安全只是 IT 部門的事。」

客觀現實：現代監管法規（如 PDPO、GDPR、DORA 等）高度強調最高管理層的當責（Accountability），企業高管需承擔潛在的法律責任。
專家洞察：資訊安全必須升華為企業整體風險治理的核心，由董事會親自引領與監督。

核心結論：資訊安全絕非單純的技術控管 —— 它本質上是企業治理（Corporate Governance）的實戰體現。

常見問題解答（FAQ）

數據規模較小的中小企，是否仍有必要導入 ISO/IEC 27001？

答：絕大部分情況下非常有必要。ISO/IEC 27001 的核心在於建立基於風險管理的治理體系，而非僅僅取決於數據量的龐雜程度。

香港私隱專員公署是否強制規定了數據洩漏的通報時限？

答：目前條例雖未設立法定強制通報時限，但對齊 GDPR 的 72 小時通報視窗 已成為業界公認的最佳實踐與合規基準。

每年執行一次滲透測試（Penetration Test）是否足夠？

答：視乎系統變更頻率而定。對於系統更新頻繁的業務環境，除定期滲透測試外，還需搭配持續性的漏洞掃描與動態監控。

結語：數據洩漏事故乃是企業治理的「壓力測試」

本宗事件證明：若缺乏完善的存取治理、風險評估與事故應變規劃，再基礎的 IT 防禦設施也將形同虛設。

為守護商業信任，香港企業應將 ISO/IEC 27001、SRAA、PIA 及滲透測試 深度整合，建構出合一的資安治理與技術防衛體系。

DQS HK 的關聯服務

您有任何疑問嗎？

DQS 專家團隊隨時為您提供支援。

歡迎隨時聯繫我們，獲得免費且無約束力的專業諮詢，了解如何透過 SRAA 評估、PIA 私隱審核及 ISO/IEC 27001 認證服務，為貴機構打下兼具國際公信力與資安抗風險韌性的堅實防線。

期待與您進一步聯繫

作者

DQS 香港

DQS – 善用品質，成就卓越（Leveraging Quality, Driving Success）

DQS 透過認證未來的商業藍圖，賦能全球組織建立信任、推動創新，並實現永續成長。自 1985 年創立以來，DQS 現已發展成為管理體系評估與認證的全球翹楚；我們擁有由 3,000 名頂尖專業審核員組成的卓越團隊，足跡遍及 60 多個國家與地區，每年交付超過 130,000 個審核日。憑藉橫跨 200 多項標準的國際認可認證，DQS 竭誠協助企業在瞬息萬變的法規與商業環境中有效管控風險、確保合規，並解鎖無限商機。

超越單純的法規遵循（Compliance），DQS 是您在數碼化轉型、自動化升級與永續發展領航路上的信賴夥伴。我們的專業領域廣袤深厚，從網絡安全、人工智能（AI）治理，以至 ESG 合規、供應鏈管理、醫療器材安全及未來出行（Future Mobility），全方位為各行各業追求具備韌性、永續發展與智慧化的系統賦予實質商業價值。透過運用先進的審核方法論、預測性分析與即時洞察，DQS 全力支援組織建構未來就緒（Future-proof）的營運模式，同時彰顯其對卓越品質與負責任商業實踐的堅定承諾。