個人資料私隱專員調查報告：從電郵系統入侵事故汲取的教訓
簡介
2022年2月17日，個人資料私隱專員（「私穩專員」）就日經中國（香港）有限公司（「該公司」）的電郵系統被黑客惡意入侵的事件發表調查報告（「調查報告」）。私隱專員在調查報告中交代這宗網絡安全事故的調查結果、就網絡安全及保障個人資料向機構提出建議，以及就該公司違反《個人資料（私隱）條例》（香港法例第486章）（《私隱條例》）保障資料原則第4(1) 項發出執行通知的詳情。
調查
2021年3月17日，該公司向私隱專員通報，指其6名員工的電郵帳戶被黑客入侵，電郵被轉發至多個不明電郵地址，導致超過1,600名客戶的個人資料外洩，包括客戶姓名、電郵地址、公司名稱、職位、電話號碼及信用卡資料（「該事故」）。
接獲該公司通報資料外洩後，私隱專員對該公司進行調查及合規審查，發現該公司的電郵系統保安不足，容易受到未經授權入侵。私隱專員特別指出該公司電郵系統的以下弱點：
1. 密碼管理欠佳：6個被黑客入侵的電郵帳戶均採用相同密碼，即電郵服務供應商在建立電郵帳戶時預設的密碼。此外，預設密碼由一組短的數字組成，本身就是弱密碼。
2. 未有管理已過時的電郵帳戶：其中一個被入侵的電郵帳戶屬於該公司一名已退休的員工，該電郵已無人使用，但該公司未有檢視及管理不活躍或休眠的電郵帳戶。
3. 缺乏針對遠端存取電郵系統的保安措施：該公司沒有利用保安監察及警報功能，就可疑的登入情況提示系統管理員。
4. 資訊系統的保安措施不足：該公司缺乏處理敏感個人資料的政策、程序和措施。
總括而言，私隱專員發現該公司未有採取所有切實可行的步驟，以確保其客戶的個人資料不受未經准許或意外的查閱、處理或使用。
違反保障資料原則
由於在該事故中外洩的客戶個人資料的收集、持有、處理及使用由該公司控制，故該公司屬於《私隱條例》所定義的資料使用者。
因此，該公司有責任遵守《私隱條例》的規定，包括6項保障資料原則，特別是根據保障資料原則第4(1) 項，資料使用者須採取所有切實可行的步驟，以確保由其持有的個人資料受保障而不受未獲准許的或意外的查閱、處理、刪除、喪失或使用（包括黑客入侵事故）所影響。
鑒於上述調查結果，私隱專員裁定該公司因未有採取所有切實可行的步驟，以確保其客戶的個人資料不受未經准許或意外的查閱、處理或使用，因此違反《資料條例》保障資料原則第4(1)項。
執法行動
由於該公司違反《私隱條例》，私隱專員已向該公司發出執行通知，指示該公司採取糾正步驟及預防措施，以提升其電郵系統，從而防止類似違規情況再次發生：
1. 改善資料保安政策，並實施強密碼管理政策。
2. 建立定期刪除已逾期或過時的電郵帳戶的機制，及定時監察及審核（包括內部審核）電郵帳戶的使用情況。
3. 制訂有效措施以確保員工遵守已修訂的資料保安政策。
4. 聘請獨立的資料保安專家對該公司的系統（包括電郵系統）保安進行定期檢視及審核。
5. 為員工制定最新的資料保安培訓及教育，妥善記錄培訓進度，並評估培訓的參與及有效程度。
6. 在執行通知的日期起計兩個月內提供證明文件，證明已完成上述第 (1) 至 (5) 項。
私隱專員給機構的建議
私隱專員建議機構採取以下措施，以更妥善地保障客戶的個人資料安全：
1.
建立個人資料私隱管理系統：維持一套妥善的系統，管理個人資料由收集至銷毀的整個生命週期，並確保能夠迅速應對資料外洩事故。
2.
實施電郵通訊政策：就僱員可透過電郵傳送的個人資料種類制定規程。
3.
採取保安措施：防止個人資料遭未經授權的攔截，例如將資料加密。
4.
提升僱員保障個人資料私隱的意識：僱員應在資料保護程序方面獲得充足的培訓。
總結
調查報告旨在提醒香港的機構履行法定責任，保護他們收集到的個人資料。機構應該對網絡攻擊時刻保持警覺，制定有效的網絡安全措施，並定期更新網絡安全政策。機構應該實施有效的密碼管理政策，停用無人使用的過時電郵帳戶，並定期為員工提供充足的資料保安培訓。
|
如有查詢，歡迎與我們聯絡： |
|
E: techcyber@onc.hk T:
(852) 2810 1212 香港中環康樂廣場8號交易廣場第三期19樓 |
|
注意：以上內容涉及十分專門和複雜的法律知識及法律程序。本篇文章僅是對有關題目的一般概述，只供參考，不能構成任何個別個案的法律意見。如需進一步的法律諮詢或協助，請聯絡我們的律師。 |
|
ONC柯伍陳律師事務所發行 © 2022 |
