業務案例
安全控制需要經過測試，而非僅憑假設。
香港是中國的特別行政區，也是國際金融中心。其企業依賴互聯系統、跨境服務及機密信息。對於資產經理而言，這些依賴延伸至投資者溝通、基金記錄、投資組合系統及外判供應商。
漏洞掃描識別潛在弱點。滲透測試更進一步，在書面授權下驗證選定的攻擊路徑。結果記錄了測試時的技術暴露情況，並提供證據協助管理層優先處理修復工作。
識別可利用的弱點
暴露的服務、過時的軟件、配置錯誤的防火牆和過度權限都可能製造攻擊路徑。受控測試有助於確定哪些弱點是可利用的，以及應優先修復哪些問題。
保護機密財務數據
投資者身份、基金文件、投資組合記錄和機密通訊需要有效的存取控制。測試會檢查未經授權的使用者是否能跨越這些邊界。
減少業務中斷風險
受損帳戶或工作站可能成為進一步存取的起點。評估遠端存取、分段和權限有助於識別可能導致更廣泛破壞的途徑。
支援法規準備
文件化的發現和修復證據支持內部控制審查和管理決策。滲透測試是風險管理的一部分，而非合規性的保證。
審查雲端和供應商的風險敞口
雲端服務、外判資訊科技以及與基金管理人的整合會擴大攻擊面。測試必須獲得相關擁有人的授權，並遵守已協定的供應商政策。
保護投資者信心
安全事件可能損害客戶關係和商業機會。有證據支持的評估有助於董事了解技術風險並優先安排適當的投資。
香港的營運環境
本地問責。國際曝光。
財務連通性
投資公司依賴相互關聯的平台、金融交易對手和國際服務供應商。
敏感資訊
投資者身份、交易記錄和投資策略可能成為欺詐、勒索或洩露的目標。
外部依賴項
雲端供應商、海外管理員和外包 IT 引入了需要明確評估和許可的邊界。
不斷變化的攻擊路徑
憑證盜竊、勒索軟件及利用暴露服務，使得持續的控制審查變得重要。
官方監管背景
滲透測試與香港證監會的期望
獲證監會（SFC）發牌的資產管理人須在管治、內部監控及風險管理框架內運作。當網絡安全缺陷反映未能符合適用義務時，可能會引發監管關注。技術測試可提供證據，證明風險已被識別和處理。
並非所有資產管理人均須強制進行年度測試
切勿將監管建議與普遍的法定要求混淆。公司的活動、系統、風險概況和適用指引決定了預期要求。請諮詢您的合規主任或香港法律顧問以確認貴公司的立場。
《證券及期貨條例》（第571章）
證監會（SFO）建立了香港證券及期貨監管框架。對受規管人士的紀律處分取決於適用的法定條件，包括不當行為或適格性及適當性問題。網絡安全弱點不自動構成不當行為。
檢視官方指引 , 香港法例，在新分頁中開啟SFC 操守準則及內部監控
相關的守則和指引涉及管理層監督、內部控制和風險管理。公司應評估適用於其活動和系統的措施。技術測試可以為這些審查提供證據，但不能取代治理或合規建議。
檢視官方指引 , SFC 守則及指引，在新分頁中開啟SFC 網絡安全通函，2025 年 2 月 6 日
通函 25EC7 強烈建議持牌法團，特別是大型互聯網經紀商，至少每年進行一次全面的技術網絡安全審查。該審查包括漏洞掃描、強化審查以及網絡和應用程式滲透測試。審查結果、糾正計劃和補救措施應獲得所述管理層的監督。本建議不得被重新詮釋為對所有第 9 類資產管理人強制性年度測試指令。
檢視官方指引 , SFC 通函 25EC7，在新分頁中開啟《個人資料（私隱）條例》（香港法例第486章）
資料保護原則4 要求採取一切切實可行的步驟，保障個人資料免受未獲授權或意外的查閱、處理、刪除、損失或使用。測試可以識別影響投資者和員工資料的技術弱點。《個人資料（私隱）條例》並未為每個組織設立一般性的滲透測試要求，而漏洞或事件本身亦不自動構成資料外洩。
檢視官方指引 , 香港法例，在新分頁中開啟延伸閱讀： PCPD 《資訊及通訊科技資料保安措施指引》.
誰應考慮進行測試
與組織而非僅其牌照相符的範圍
測試的需要、範圍和頻率應遵循對技術和營運風險的記錄評估，以及適用的要求。
SFC 第 9 類資產管理人
支援全權委託資產管理、投資組合監督、投資者溝通和內部營運的系統。
對沖基金及私募基金經理
投資策略、投資者記錄、基金文件和相關技術環境。
家族辦公室及投資公司
財務資訊、員工帳戶、遠端存取及雲端服務。監管狀態取決於公司的活動。
基金管理人及服務供應商
支援基金營運的授權整合、供應商存取和數據流。
財富管理公司
客戶入口網站、認證、API 和金融資訊系統。
使用外判資訊科技服務的企業
由供應商管理的基礎設施、外部存取點和共用操作依賴項。
風險與問責
如果網絡安全風險未獲管理會怎樣？
對於所有受證監會監管的資產管理人，未能進行滲透測試並沒有單一的自動罰則。後果取決於適用的條文、行為、嚴重程度和情況。
紀律罰款
凡符合《證券及期貨條例》第194或196條相關條件者，法定紀律罰款上限可達港幣1,000萬元或所得利潤或避免損失的三倍（以較高者為準）。這並非因未進行滲透測試而自動施加的罰款。
許可限制
嚴重的監管不當行為可能導致暫停、撤銷或其他紀律限制，具體取決於適用條文和情況。
監管審查和補救
安全缺陷可能會引發解釋要求、補救措施或在必要時採取監管行動。清晰的發現登記冊和糾正措施的證據有助於管理層回應。
數據保護的後果
法律後果取決於是否違反適用的個人資料保護規定及個案的事實。並非所有網絡事件都會自動導致罰款或刑事罪行。
商業和營運損失
嚴重的事故後，可能發生恢復成本、業務中斷、合同糾紛和投資者信心受損，而這獨立於任何監管行動。
主要區別：監管後果源於適用的不當行為、違法或未能履行義務，而非自動源於缺乏測試報告。參閱 SFC 紀律處分程序 及 《證券及期貨條例》第 194 條及第 196 條.
DIGITPOL HK 方法
書面授權。受控測試。明確證據。
在進行任何測試之前，請協商關鍵資產、業務目標和安全邊界。生產系統需要適當的保障措施、商定的測試窗口和停止條件。
- 01
範圍和規劃
確認目標、權限、存取、排除項目、目標和交戰規則。
- 02
發現
審閱獲授權的攻擊面、服務、應用程式功能和配置。
- 03
受控驗證
在協商的範圍內驗證選定的弱點，同時盡量減少營運中斷。
- 04
報告
記錄嚴重性、證據、業務影響和實際糾正措施。
- 05
補救及重新測試
驗證已議定的修復措施並記錄剩餘發現，包括重新測試。
管理層報告
您的團隊可以依據行動的記錄
報告應使管理層和負責修復的人員能夠理解技術發現。每次委託都會確認覆蓋範圍和重新測試。任何報告均不保證SFC接受或合規性。
- 執行摘要、範圍和授權資產
- 方法、限制和測試系統
- 技術發現、證據和受影響的存取
- 嚴重性評級和潛在業務影響
- 補救措施、負責人及發現事項登記冊
- 參與委託服務時包含的覆檢結果
相關測試覆蓋範圍
選擇圍繞暴露面的評估
評估參考包括 PTES, NIST SP 800-115, CIS Controls，並根據商定範圍選取應用程式和雲端指引。這些是評估參考，而非認證聲明。
測試頻率
定期審閱，並在風險敞口變化時進行審閱
定期測試
設定符合已記錄風險和適用監管期望的時間表。切勿假設每個公司都法律規定相同的間隔。
重大變更後
在主要版本發佈、雲端遷移、基礎設施變更或新的外部整合後重新評估。
修復後
重新測試重大弱點，以確認糾正措施解決了原始發現。
滲透測試反映了評估時的系統狀況。它不能保證系統無限期地保持安全。
常見問題