业务案例
安全控制需要经过测试，而非仅凭假设。
香港是中国的特别行政区，也是国际金融中心。其企业依赖互联系统、跨境服务及机密信息。对于资产经理而言，这些依赖延伸至投资者沟通、基金记录、投资组合系统及外包供应商。
漏洞扫描识别潜在弱点。渗透测试更进一步，在书面授权下验证选定的攻击路径。结果记录了测试时的技术暴露情况，并提供证据协助管理层优先处理修复工作。
识别可利用的弱点
暴露的服务、过时的软件、配置错误的防火墙和过度权限都可能制造攻击路径。受控测试有助于确定哪些弱点是可利用的，以及应优先修复哪些问题。
保护机密财务数据
投资者身份、基金文件、投资组合记录和机密通讯需要有效的访问控制。测试会检查未经授权的用户是否能跨越这些边界。
减少业务中断风险
受损账户或工作站可能成为进一步访问的起点。评估远程访问、分段和权限有助于识别可能导致更广泛破坏的途径。
支持法规准备
文件化的发现和修复证据支持内部控制审查和管理决策。渗透测试是风险管理的一部分，而非合规性的保证。
审查云端和供应商的风险敞口
云服务、外包IT以及与基金管理人的集成会扩大攻击面。测试必须获得相关所有者的授权，并遵守已约定的供应商政策。
保护投资者信心
安全事件可能损害客户关系和商业机会。有证据支持的评估有助于董事了解技术风险并优先安排适当的投资。
香港的运营环境
本地问责。国际曝光。
财务连通性
投资公司依赖相互关联的平台、金融交易对手和国际服务供应商。
敏感信息
投资者身份、交易记录和投资策略可能成为欺诈、勒索或披露的目标。
外部依赖项
云供应商、海外管理员和外包 IT 引入了需要明确评估和许可的边界。
不断变化的攻击路径
凭证盗窃、勒索软件及利用暴露服务，使得持续的控制审查变得重要。
官方监管背景
渗透测试与香港证监会的期望
获证监会（SFC）发牌的资产管理人须在治理、内部控制及风险管理框架内运作。当网络安全缺陷反映未能符合适用义务时，可能会引发监管关注。技术测试可提供证据，证明风险已被识别和处理。
并非所有资产管理人均须强制进行年度测试
切勿将监管建议与普遍的法定要求混淆。公司的活动、系统、风险概况和适用指引决定了预期要求。请咨询您的合规主任或香港法律顾问以确认贵公司的立场。
《证券及期货条例》（第571章）
证监会（SFO）建立了香港证券及期货监管框架。对受规管人士的纪律处分取决于适用的法定条件，包括不当行为或适格性及适当性问题。网络安全弱点不自动构成不当行为。
查看官方指南 , 香港法例，在新标签页中打开SFC 操守准则及内部监控
相关的守则和指引涉及管理层监督、内部控制和风险管理。公司应评估适用于其活动和系统的措施。技术测试可以为这些审查提供证据，但不能取代治理或合规建议。
查看官方指南 , SFC 守则及指引，在新标签页中打开SFC 网络安全通函，2025 年 2 月 6 日
通函 25EC7 强烈建议持牌法团，特别是大型互联网经纪商，至少每年进行一次全面的技术网络安全审查。该审查包括漏洞扫描、强化审查以及网络和应用程序渗透测试。审查结果、纠正计划和补救措施应获得所述管理层的监督。本建议不得被重新诠释为对所有第 9 类资产管理人强制性年度测试指令。
查看官方指南 , SFC 通函 25EC7，在新标签页中打开《个人资料（隐私）条例》（香港法例第486章）
数据保护原则4 要求采取一切切实可行的步骤，保障个人数据免受未经授权或意外的查阅、处理、删除、丢失或使用。测试可以识别影响投资者和员工信息的技术弱点。《个人数据（隐私）条例》并未为每个组织设立一般性的渗透测试要求，而漏洞或事件本身亦不自动构成数据泄露。
查看官方指南 , 香港法例，在新标签页中打开延伸阅读： PCPD 《信息及通讯科技数据安全措施指引》.
谁应考虑进行测试
与组织而非仅其牌照相符的范围
测试的需要、范围和频率应遵循对技术和运营风险的记录评估，以及适用的要求。
SFC 第 9 类资产管理人
支持全权委托资产管理、投资组合监督、投资者沟通和内部运营的系统。
对冲基金及私募基金经理
投资策略、投资者记录、基金文件和相关技术环境。
家族办公室及投资公司
财务信息、员工账户、远程访问及云服务。监管状态取决于公司的活动。
基金管理人及服务供应商
支持基金运营的授权集成、供应商访问和数据流。
财富管理公司
客户门户、认证、API 和金融信息系统。
使用外包IT服务的企业
由供应商管理的基础设施、外部访问点和共享操作依赖项。
风险与问责
如果网络安全风险未获管理会怎样？
对于所有受证监会监管的资产管理人，未能进行渗透测试并没有单一的自动罚则。后果取决于适用的条文、行为、严重程度和情况。
纪律罚款
凡符合《证券及期货条例》第194或196条相关条件者，法定纪律罚款上限可达港币1,000万元或所得利润或避免损失的三倍（以较高者为准）。这并非因未进行渗透测试而自动施加的罚款。
许可限制
严重的监管不当行为可能导致暂停、撤销或其他纪律限制，具体取决于适用条款和情况。
监管审查和补救
安全缺陷可能会引发解释要求、补救措施或在必要时采取监管行动。清晰的发现登记册和纠正措施的证据有助于管理层回应。
数据保护的后果
法律后果取决于是否违反适用的个人数据保护规定以及案件的事实。并非所有网络事件都会自动导致罚款或刑事罪行。
商业和运营损失
严重的事故后，可能发生恢复成本、业务中断、合同纠纷和投资者信心受损，而这独立于任何监管行动。
主要区别：监管后果源于适用的不当行为、违法或未能履行义务，而非自动源于缺乏测试报告。参阅 SFC 纪律处分程序 和 《证券及期货条例》第 194 条及第 196 条.
DIGITPOL HK 方法
书面授权。受控测试。明确证据。
在进行任何测试之前，请协商关键资产、业务目标和安全边界。生产系统需要适当的保障措施、商定的测试窗口和停止条件。
- 01
范围和规划
确认目标、权限、访问、排除项、目标和交战规则。
- 02
发现
审阅获授权的攻击面、服务、应用程序功能和配置。
- 03
受控验证
在协商的范围内验证选定的弱点，同时尽量减少运营中断。
- 04
报告
记录严重性、证据、业务影响和实际纠正措施。
- 05
补救及重新测试
验证已议定的修复措施并记录剩余发现，包括重新测试。
管理层报告
您的团队可以依据行动的记录
报告应使管理层和负责修复的人员能够理解技术发现。每次委托都会确认覆盖范围和重新测试。任何报告均不保证SFC接受或合规性。
- 执行摘要、范围和授权资产
- 方法、限制和测试系统
- 技术发现、证据和受影响的访问
- 严重性评级和潜在业务影响
- 补救措施、负责人及发现事项登记册
- 参与委托服务时包含的复检结果
相关测试覆盖范围
选择围绕暴露面的评估
评估参考包括 PTES, NIST SP 800-115, CIS Controls，并根据商定范围选取应用程序和云端指引。这些是评估参考，而非认证声明。
测试频率
定期审阅，并在风险敞口变化时进行审阅
定期测试
设置符合已记录风险和适用监管期望的时间表。切勿假设每个公司都法律规定相同的间隔。
重大变更后
在主要版本发布、云迁移、基础设施变更或新的外部集成后重新评估。
修复后
重新测试重大弱点，以确认纠正措施解决了原始发现。
渗透测试反映了评估时的系统状况。它不能保证系统无限期地保持安全。
常见问题