知識中心
滲透測試與資訊科技審計知識中心。
了解各類經授權安全評估所涵蓋的內容、檢查範圍、採用的指引，以及最終報告所載的資料。
滲透測試
網絡滲透測試包括什麼
用於內部和外部網絡評估的範圍、測試覆蓋範圍、行業指引、證據和報告。
閱讀文章滲透測試
網頁應用程式滲透測試包括什麼
網頁應用程式範圍、已認證測試、業務邏輯審查和最終報告的實用指南。
閱讀文章滲透測試
流動應用程式滲透測試包括什麼
涵蓋 iOS 及 Android 應用程式、設備儲存、平台控制、通訊、API 及報告。
閱讀文章滲透測試
API滲透測試包括什麼
REST、GraphQL和服務介面的範圍界定、測試、證據收集和報告方式。
閱讀文章滲透測試
雲端滲透測試包括什麼
雲端身份、工作負載、儲存、網絡、日誌記錄、權限路徑和報告覆蓋範圍解釋。
閱讀文章滲透測試
無線滲透測試包括什麼
無線加密、認證、隔離、流氓存取情境及評估報告解說。
閱讀文章滲透測試
Active Directory滲透測試包括什麼
一份指南涵蓋身份架構、權限、信任、憑證、攻擊路徑、強化措施和報告。
閱讀文章滲透測試
物聯網滲透測試的內容
設備、韌體、介面、通訊、連線服務和產品安全報告說明。
閱讀文章IT審計
IT保安審計包括什麼
審計準則、證據、控制差距、風險、建議和管理報告的結構。
閱讀文章法律及監管推動因素
為何法律及法規要求進行滲透測試。
在歐洲、美國和亞洲各地，法例和行業框架日益要求機構測試其安全控制措施的有效性。獲授權的滲透測試和 IT 審計提供監管機構、審計師和業務夥伴所期望的書面證據。
歐洲
歐洲法律將安全測試視為組織保護個人數據和基本服務的職責一部分。
GDPR，第32條
要求採取與風險相稱的技術和組織措施，包括定期測試、評估和評價安全控制有效性的流程。
NIS2 指令
要求關鍵和重要實體管理網絡風險並驗證措施；滲透測試是證明控制措施實際有效的一種公認方式。
DORA
對於歐盟的金融實體，強制要求進行數碼運營韌性測試，包括針對指定機構基於威脅情報的滲透測試。
國家框架
行業和國家法規（例如醫療保健、能源和政府領域）經常將獨立安全測試作為盡職審查的證據。
美國
美國的義務源於聯邦法規、行業標準和州隱私法。許多都明確要求進行滲透測試。
PCI DSS
要求11強制規定，任何儲存、處理或傳輸支付卡資料的機構，必須定期對持卡人資料環境進行滲透測試。
HIPAA 安全規則
要求受涵蓋實體評估技術保障措施；滲透測試是驗證電子健康資料保護是否有效的公認方法。
GLBA / SOX
金融及上市公司必須證明其對財務系統和客戶資訊的控制經過測試。
國家隱私法
《加州消費者私隱法案》/《加州私隱權法案》等法律要求合理的保安程序；文件化的測試對於證明符合該標準至關重要。
亞洲
在亞洲各地，數據保護和網絡安全法律日益要求機構評估和測試其防禦措施。
新加坡 PDPA
保護義務要求合理的保安安排；監管機構將定期測試列為洩露事件後預期的做法。
中國個人信息保護法及網絡安全法
要求對處理個人資料和關鍵網絡基礎設施的系統進行安全評估和測試。
日本APPI
要求對個人資料採取必要和適當的安全控制措施，並透過測試證明其有效性。
印度 DPDP 法案及 CERT-In 指示
授權合理的保安保障和報告；定期審計和測試支持數據受託人的合規性。
香港
香港監管機構期望有可證明、經過測試的安全控制措施，特別是針對金融機構和關鍵基礎設施。
《個人資料（私隱）條例》（第486章）
資料使用者必須採取一切切實可行的步驟來保護個人資料；私隱專員將定期測試視為該職責的一部分。
PCPD 資料保安指引
建議組織評估和測試技術保障措施的有效性，並在執法結果中引用測試。
金管局要求
認可機構必須維持網絡抗逆力計劃，其中包括定期對暴露於互聯網的系統進行滲透測試。
關鍵基礎設施條例
關鍵電腦系統的營運商必須實施並維持保安措施，獨立測試結果應作為證明。
此概述為一般資訊，並非法律意見。具體適用的義務取決於您的行業、您處理的數據以及您營運的司法管轄區。DIGITPOL HK 在項目範圍界定期間確認適用要求。