X

政府全盘接受 委员会五建议提升公共部门数据安全

公共机构数据安全检讨委员会主席、国务资政兼国家安全统筹部长张志贤表示,当局将尽最大努力减少数据泄露的风险,但无法完全消除威胁。不过,当这类泄露事故发生时,当局会侦测到并迅速有效地反应,以限制泄露范围和所造成的伤害。

经过八个月检讨,公共机构数据安全检讨委员会前天向李显龙总理提呈报告,建议公共部门应从技术流程、人事管理和治理架构,多管齐下地提升数据安全,尽力避免公众的个人资料外泄,并在泄露事故发生时,尽早侦测和做出反应。

根据总理公署文告,李总理已致函委员会,表示政府将全盘接受所有建议。李总理在信函中说:“数据是数码经济和数码政府的命脉。我们需要尽可能充分地使用和共享数据,以提供更好的公共服务。”

“在这个过程中,我们也须保护数据安全和维护个人隐私,同时不能扼杀数码创新。这对医疗保健领域尤其重要,但政府其他领域也是如此。”

公共机构数据安全检讨委员会(简称委员会)的成立,事缘过去两年的几次数据泄漏事故,尤其是去年的新保集团网袭事件。为全面检讨公共服务领域的数码安全政策,李总理今年3月底任命这个高级别委员会,由国务资政兼国家安全统筹部长张志贤担任主席。

过去八个月,委员会抽查了94个政府机构的336个系统,以找出潜在风险和数据事故的常见原因。结果显示,64%的机构被评为低风险、23%被评为中等风险,其余13%则被评为高风险。尤其是较小的政府机构,在落实数据保护措施上需要更多支持,因为它们拥有较小的资讯科技(IT)团队和较少资源。

根据报告,委员会的建议可归为五大重点:一、提升数据保护和预防资料外泄;二、迅速侦测和解决泄漏事故;三、提升公务员保护数据的意识和能力;四、完善问责制度;五、加强治理架构以应对未来数码需求。

其实,委员会在报告未出炉前,已在7月提前向政府建议13项技术解决方案,例如为更多文件加密,或在公务员发送含敏感数据的电邮前发出警示。这些都属预防性措施,涵盖在第一项建议中。

委员会昨天召开记者会,张志贤致开场白时指出:“尽管我们将尽最大努力减少数据泄露的风险,但我们无法完全消除威胁。当这类泄露事故发生时,我们会侦测到并迅速有效地反应,以限制泄露范围和所造成的伤害。”

设中央联系点方便公众举报

因此,委员会的建议还包括制定一套作业框架,迅速通知受数据泄露影响的人士;树立标准的事后调查流程,如列明在哪些情况下会召开独立调查委员会;以及在调查结束后与其他机构分享学习重点。

公众日后也能更直接地举报数据泄露事故。政府数据署(Government Data Office)将设立中央联系点,以免公众对于要向哪个机构举报感到混淆。

除了技术与流程,人为因素也是委员会探讨的重点。张志贤强调,在数据的共享与使用方面,公务员不应只是遵规守纪,也须追求卓越,如保持警觉和相互提醒。

政府也将强化现有问责框架,例如将数据安全涵盖在各政府机构的关键绩效指标(KPI)中,并向公务员重申数据泄露的严重后果。政府所设的高标准,也适用于处理政府数据的非政府机构和非公务员,如供应商和承包商。

与此同时,网络威胁不断演进,为确保公共机构的数据安全检讨工作是持续性的,政府也设立和委任新部门,继续推动这方面的努力。

委员会指出,从建议中可看出,公共机构须遵循的要求和标准不亚于私人领域。张志贤说:“这些措施将大大加强保障并向公务员问责。它们可媲美国际和行业最佳做法(best practices)。”

政府会在2021年底前,在八成的政府系统落实委员会提出的技术措施,其余两成的系统则因过于复杂或需要重新设计,将在2023年底前才采纳。

公共机构数据安全检讨委员会五项建议

一、提升数据保护和预防资料外泄

二、迅速侦测和解决泄漏事故

三、提升公务员保护数据的意识和能力

四、完善问责制度

五、加强治理架构以应对未来数码需求