修例赋权增罚则 保障私隐非口讲须有阻吓力

数码港去年8月遭黑客攻击，导致大量个人资料外泄，私隐专员公署昨天公布调查结果，力数数码港犯下5宗罪，要求对方在两个月内纠正错误。事件再次曝露了不少机构的网络安全意识不足，而《私隐条例》被讥为无牙老虎，港府有必要尽快修例，提高罚则并赋予私隐专员公署直接开罚单的权力，才能起阻吓作用，让机构重视网络安全和保障个人资料的工作。
数码港疏忽频犯低级错误

公署调查指，黑客去年成功通过「暴力攻击」，即以程式「撞密码」形式攻击，先后取得四个具有管理员权限的帐户，进入数码港的网络，成功关闭系统反恶意软件的功能，再加密资料进行勒索，有逾1.3万名员工和求职人士的个人资料外泄，而事故源于5项缺失，包括资讯系统欠缺有效侦测措施、未有为远端存取资料启用多重认证功能、对资讯系统进行的保安审计不足、资讯保安政策有欠具体，以及个人资料被不必要地保留。

数码港作为本港最具规模的创科重镇，逾百间资讯科技公司云集，理应在网络系统方面是最尖端和最安全的，却竟然犯了最低级错误，相信主因是人为疏忽所致，实在叫人感到惊讶和无法接受。首先，没做好网络防御工作。任何一间具规模的企业均不会只倚赖一款反恶意软件，也不会容许黑客以「撞密码」程式解锁帐户，以网上银行为例，若连续3次输入错误密码，便会即时冻结帐户，客户须亲身到银行办理解锁程序。可是，数码港却偏偏只安装一款反恶意软件，而且竟然让黑客接连以「撞密码」程式取得四个具有管理员权限的帐户，也没有对远端存取资料采用双重认证技术以核实用户身份，明显是做得非常不到位。

数码港也缺乏安全意识，每两年才为资讯系统做风险评估和保安审计。在当前黑客肆虐，不时会攻击不同政府机构或私人企业网站，试图找出弱点，因此机构和企业有必要加密检视资讯系统安全的频率，才有机会在恒常检视中发现系统保安是否有纰漏，并尽快作出修补，让黑客难以得逞。

此外，数码港明显违反政策规定，在没有合理解释下长期保留个人资料。按照规定，求职者资料只保存一年，雇员资料在离职时便会删除，可是在今次事件有近5300名求职者和离职人士因数码港逾期保存其个人资料而受影响，当中最离谱的是2016年求职者的资料却迟迟未删除。

尽管公署裁定数码港违反《私隐条例》，唯一可做的是发出执行通知，要求其彻底检视资讯系统安全及保安措施、实施遥距使用者多重身份认证、销毁所有逾期保留资料，皆因条例规定除非机构没有依法执行通知，才属刑事罪行，届时公署才有权开罚单，而罚款最高仅5万元和监禁两年。正是这个缘故，公署一直被讥为无牙老虎，个人资料私隐专员锺丽玲亦借今次事件，旧事重提，要求政府尽快修例，引入行政罚款机制。
宜效欧盟引入行政罚款机制

现行条例的确有很多不足之处，法例没强制要求机构通报资料外泄，只要求遵从自愿通报原则；法例表面上有罚则，但极难执行，而且罚则过轻，令很多机构没有重视保障网络数据安全工作。反观其他地区在保障私隐的罚则较重，例如欧盟对保障私隐不力的企业，轻则罚款1000万欧罗或上年度环球营业额的2%，情节严重则罚款2000万欧罗或上年度营业额的4%，以较高者为准，令企业和机构重视保障个人资料。

随着网络攻击日益频繁，港府和企业应吸取今次数码港事件的教训，做好网络保安之馀，更应重视公署的诉求，尽快修例，加重罚则，并赋权公署按情节严重性向违规机构开罚单，令公署成为有牙老虎，机构也提高保护网络安全的积极性。