调查指港企「特权存取」管理不足 机密资讯洩露风险高
调查指港企「特权存取」管理不足 机密资讯洩露风险高

生产力局的一项调查表示,本港部分公司和机构对网络的「特权存取」管理不足,令其关键的资讯科技系统易暴露于黑客和内部攻击的双重威胁。是次调查由企业网络安全方案供应商SSH Communications Security委託生产力局进行,涵盖本地机构的「特权存取」情况,相关的网路安全问题和管理措施。

何谓「特权存取」?

「特权存取」是指机构内部人员或第三方合作伙伴拥有特许权力,能自由进出机构的资讯科技系统或网络,执行关键的资讯科技工作。

生产力局在去年12月进行「特权存取」调查。
生产力局在去年12月进行「特权存取」调查。

受访机构採取「特权存取」原因

受访机构採取「特权存取」原因
受访机构採取「特权存取」原因

18%受访机构存保安问题

研究发现,81%受访机构有採取审计和管理措施规范「特权存取」,主要是为增强网络保安(78%)和遵循合规要求(63%)。然而,仍然有18%受访机构遇到「特权存取」的相关保安问题,例如受到黑客攻击或遭内部员工滥用。

此外,调查发现31%受访机构把有「特权存取」权限的共享帐户开放给内部人员或外界合作伙伴,当中有25%没有採取额外的保安措施。

调查亦发现,61%的受访机构计划在未来12个月投放资源于资讯保安, 而有较多潜在保安风险的受访机构较愿意投资于先进的保安方案。

18%受访机构存保安问题
18%受访机构存保安问题

取得「特权存取」成攻击关键

生产力局总经理(资讯科技及业务流程)黄家伟唿吁各界,从针对海外政府、银行、零售商和公用事业机构的大规模网络攻击的报告分析,取得「特权存取」往往是攻击链上的关键一环,可构成强大的攻击力及破坏力。

机构被黑客取得「存取特权」发动攻击,可导致:

  • 服务中断
  • 数据洩露
  • 财务损失
  • 声誉受损
  • 须承担有关法律责任

加强管理「特权存取」

R企业应该加强管理「特权存取」,特别是有提供「特权存取」共享帐户的机构,及提供「特权存取」予资讯科技外判商或云端服务供应商的机构。黄家伟表示,企业应该整合和集中管理用户的身份和存取权限,同时要记录、监察和审核特权存取的活动。企业还可以将有关管理措施结合资讯保安基建,例如入侵检测和预防系统、数据洩漏防护和信息安全事项管理系统,提供更全面的保护。

是项调查在2016年12月进行,共成功访问51个机构,包括金融和保险、物流和运输、政府和公共机构、进出口、批发和零售等行业。受访机构包括上市公司,或僱员数目300人以上的非上市公司及机构。

受访机构所属的商业行业

受访机构所属的商业行业
受访机构所属的商业行业
生产力局总经理黄家伟(中)、顾问黄敏华(左)及SSH Communications Security亚太区副总裁何思聪。
生产力局总经理黄家伟(中)、顾问黄敏华(左)及SSH Communications Security亚太区副总裁何思聪。

「香港企业特权存取管治调查」报告可从http://u.hkpc.org/hk_pag下载。查询详情,欢迎与生产力局联络。