政府資訊科技總監辦公室指,已再次向所有決策局及部門首長發出清晰指示,要求部門全面檢視現有資訊保安措施,並提醒部門,敏感及個人資料不可儲存於公有雲平台上,並要求部門在一星期內向資科辦回覆確定。

資科辦指,高度關注近期接連有政府部門出現資訊保安事故,尤其涉及洩露個人資料,強調必須嚴格遵守政府資訊保安規例、政策及指引,處理敏感及個人資料。

機電工程署日前被發現一個存放約1.7萬名市民個人資料的特定網上伺服器平台,毋須輸入密碼都可瀏覽,涉及前年3至7月期間,為新冠疫情而執行「圍封強檢」行動時收集的個人資料,包括強檢樓宇居民的姓名、聯絡電話、身份證號碼及住址,私隱公署啟動調查。

翻查當局提交立法會的資料,自2022年2月底起,政府加大「圍封強檢」動員,動用共11個政策局和旗下超過40個部門,執行圍封強檢行動,本台向各政策局和部門查詢,多個政策局和部門都稱已經刪除行動中的個人資料,當中部份政策局和部門表明,在前年或去年刪除資料;有政策局和部門稱無另行保留資料;而民政事務總署、商務及經濟發展局、環境及生態局等,未有披露具體何時刪除。

政策局/部門        回應   何時刪除?
醫務務生局         已刪除  2023年8月
公務員事務局        已刪除  2023年
教育局           已刪除  2023年
保安局           即時交相關主事部門處理,無另行保留
勞工及福利局        即時交相關主事部門處理,無另行保留
康文署           已刪除  2022年7月
路政署           已刪除  行動完結後短期內
民政事務總署        已刪除  未有披露
環境及生態局及轄下部門   已刪除  未有披露
商務及經濟發展局與轄下部門 已刪除  未有披露
創新科技及工業局與轄下部門 已刪除  未有披露
財經事務及庫務局財經事務科 無另行保留
財經事務及庫務局庫務科   已刪除  未有披露
發展局轄下(除機電署)   已刪除  未有披露

網絡保安專家:應定期清理逾期資料 並測試資料安全性

電腦安全研究員賴灼東指出,當機構完成一項涉及很多個人資料的行動後,應當採取一次資料保留性的行動,檢視收集的資料是否要繼續保留,指歐洲和日本的銀行對於有關的議題非常嚴格,要求過期資料要馬上清理,甚至要清洗硬碟,確保資料無法還原。他指,現時本港私隱公署的指引相對寬鬆,政府部門應定期檢視並清理不用保存的資料,形容是保護資料免遭外洩的「金科玉律」。

賴灼東又指,雲計算或雲儲存過去十年是大勢所趨,難以完全脫離使用,但有機會因為手文之誤或疏忽,令部份資料未有受認證和授權等保護,機構應定期進行滲透性測試和評估資料安全性。

除「圍封強檢」令資料洩漏外,公司註冊處日前亦公佈,上月外洩個人資料事件有約11萬人受事件影響,涉及的個人資料包括姓名、完整護照號碼及身份證號碼、通常地址、電話號碼及電郵。