HKCert
保安博錄

個人資料要保護,勿成黑客目標

發布日期: 04 / 01 / 2018
最後更新: 04 / 01 / 2018

香港電腦保安事故協調中心注意到有報導指,再次有企業系統受黑客入侵,客戶資料被盜取,並收到勒索。

 
協調中心提醒企業,除了財務數據以外,個人資料或數據是攻擊者的目標,企業需確保該等數據資料安全及妥善保護。其中資料外洩防護可分為三方面
 
1. 保護數據
  • 把數據及資料使用加密技術加密 (Encryption)
  • 定期進行備份 (Data Backup) 及 確保最少一份離線備份 (Offline Backup)
 
2. 加強系統及數據存取的保護
  • 為伺服器定時更新修補程式 (Security Patching)
  • 限制受權的帳戶存取及使用最小權限原則 (Least Privilege) 規限帳戶
  • 保護網站管理員的登入介面及遙距存取 (例如RDP 3389 埠及 TeamViewer 5938 埠) 等敏感服務,建議使用雙重認證(Two Factor Authentication) 保護連線
  • 使用應用程式防火牆 (Application Firewall) 保護網站及數據庫伺服器
  • 定期進行滲透測試和漏洞掃描 (Penetration Test / Vulnerability Scan)
 
3. 加強系統安全設計
  • 驗證 (Verification) 及確認 (Validation) 用戶在網上應用程式輸入的資料
  • 把網絡伺服器和數據庫伺服器分開存放,數據庫伺服器應設於內部網路及只接受從內部網路訪問
  • 保護內部網路的電腦,避免成為黑客的後門
 
其他參考:
個人資料私隱專員公署的 六項保障資料原則