甚麼是數碼資料保安?

http://www.info.gov.hk/digital21/chi/press/press_releases_200805130216.htm
政府非常重視資訊保安
二零零八年五月十三日
政府資訊科技總監葛輝今日（五月十三日）在立法會資訊科技及廣播事務委員會上表示，政府非常重視資訊保安和保護個人資料，因為任何個人資料外洩對受影響的人士均會帶來極大的擔憂和不便。
葛輝說當局正就近期資料外洩事件進行全面調查。初步看來，大部分事件的主要成因是對現行保安規例和程序缺乏認知，以致未能全面遵守。
葛輝強調說：「政府已採取即時措施，希望把將來出現違規事件的風險和影響減至最低。我們亦計劃在未來數月採取進一步措施。」
行政署長已於上周向所有公務員發出指引，一方面提醒他們相關的規例，另一方面就如何遵守這些規例提供切實可行的建議。指引除提醒各同事現行的規定外，亦就便攜式電子儲存裝置儲存個人或受限制資料引入新規定：
－　提醒各同事須考慮儲存和接達個人或受限制資料的其他做法，例如在資料產生的地方處理資料或透過設有保安措施的網絡傳送；
－　規定各同事如認為有需要把資料存入便攜式儲存裝置，現須於每次儲存資料前取得上級的許可；
－　提醒各同事在儲存任何個人或受限制資料前必須加密，並列舉若干軟件供同事使用；
－　提醒各同事應盡量減少儲存個人資料的數量，例如除非運作需要，否則應刪除個人資料，例如姓名和身分證號碼；假如要從數據庫下載資料，應限制擷取數據的字段和記錄；
－　提醒各同事應視把資料複製到便攜式儲存裝置為偶然或一次過的做法。同事如要定期複製資料，須通知部門資訊科技保安主任，以便安排其他更安全的做法；
－ 提醒各同事不要把個人或機密資料存入私人的裝置或電腦，因為非政府供應的電腦受到惡意軟件攻擊或其他例如盜竊的風險較高。
他說：「我們認為發出這份初步指引，有助提高各同事對保護個人和受限制資料的意識，並就如何保護這些資料提供切實可行的建議。指引亦會減低將來出現違規的風險，以及假使出現時所涉及的範圍。」
長遠而言，葛輝表示政府會以這份初步指引為基礎推行數項措施。
他說：「第一，政府會加強和所有公務員的溝通，希望能建立及維持他們對保安規例的高度認知和對遵守規例的高度意識，確切遵守規例。」
他指出，政府資訊科技總監辦公室、保安局和公務員事務局，將會與部門資訊科技保安主任、各政策局及部門合作，於未來數月制定及推行這項計劃。
他續說：「第二，我們現正加強獨立保安審計計劃，加強審視政策局和部門是否符合使用便攜式儲存裝置的規定。我們會要求已審計的政策局和部門提交補充資料，以確定他們符合這些規定。」
「第三，從現在到九月底，我們會根據近期事故的調查結果，檢討資訊保安政策、保安規例和工作守則。」
該檢討會研究：
－　是否需要改變現行的政策和規例；
－　是否需要改變現行用以確保這些政策和規例獲得全面執行的機制；
－　其他可確保規例能切實執行的方法，包括進一步溝通、額外培訓，以及對部門資訊科技系統和網絡的進一步投資。

政府非常重視資訊保安
二零零八年五月十三日

政府資訊科技總監葛輝今日（五月十三日）在立法會資訊科技及廣播事務委員會上表示，政府非常重視資訊保安和保護個人資料，因為任何個人資料外洩對受影響的人士均會帶來極大的擔憂和不便。

葛輝說當局正就近期資料外洩事件進行全面調查。初步看來，大部分事件的主要成因是對現行保安規例和程序缺乏認知，以致未能全面遵守。

葛輝強調說：「政府已採取即時措施，希望把將來出現違規事件的風險和影響減至最低。我們亦計劃在未來數月採取進一步措施。」

行政署長已於上周向所有公務員發出指引，一方面提醒他們相關的規例，另一方面就如何遵守這些規例提供切實可行的建議。指引除提醒各同事現行的規定外，亦就便攜式電子儲存裝置儲存個人或受限制資料引入新規定：

－　提醒各同事須考慮儲存和接達個人或受限制資料的其他做法，例如在資料產生的地方處理資料或透過設有保安措施的網絡傳送；

－　規定各同事如認為有需要把資料存入便攜式儲存裝置，現須於每次儲存資料前取得上級的許可；

－　提醒各同事在儲存任何個人或受限制資料前必須加密，並列舉若干軟件供同事使用；

－　提醒各同事應盡量減少儲存個人資料的數量，例如除非運作需要，否則應刪除個人資料，例如姓名和身分證號碼；假如要從數據庫下載資料，應限制擷取數據的字段和記錄；

－　提醒各同事應視把資料複製到便攜式儲存裝置為偶然或一次過的做法。同事如要定期複製資料，須通知部門資訊科技保安主任，以便安排其他更安全的做法；

－ 提醒各同事不要把個人或機密資料存入私人的裝置或電腦，因為非政府供應的電腦受到惡意軟件攻擊或其他例如盜竊的風險較高。
該檢討會研究：

－　是否需要改變現行的政策和規例；
－　是否需要改變現行用以確保這些政策和規例獲得全面執行的機制；
－　其他可確保規例能切實執行的方法，包括進一步溝通、額外培訓，以及對部門資訊科技系統和網絡的進一步投資。