有 用 指 引 及 标 准

为 协 助 你 为 公 司 制 订 资 讯 保 安 管 理 计 划 ， 我 们 点 出 一 些 被 推 荐 为 有 效 保 安 作 业 实 务 的 有 用 指 引 及 资 讯 保 安 国 际 认 可 标 准 以 供 参 考 。

• 资 讯 科 技 保 安 政 策 及 指 引
• 资 讯 保 安 标 准
• 资 讯 科 技 保 安 参 考 资 料
• 联 机 业 务 指 引 及 参 考 资 料 选 录
• 为 成 立 联 机 业 务 而 设 的 评 价 认 证

---

( 以 下 文 件 是 PDF 格 式 ， 你 需 要 使 用 Adobe Acrobat Reader 来 阅 览 及 列 印 ， 请 按 此 处 下 传 。 )

资 讯 科 技 保 安 政 策 及 指 引

香 港 特 别 行 政 区 政 府 向 各 决 策 局 和 部 门 提 供 了 基 准 资 讯 科 技 保 安 政 策 及 一 系 列 与 资 讯 科 技 保 安 有 关 的 指 引 以 给 各 决 策 局 和 部 门 在 保 护 政 府 资 讯 系 统 时 提 供 有 关 的 技 术 建 议 及 指 引 。 有 关 的 指 引 可 透 过 以 下 超 连 结 获 。 用 户 须 留 意 这 些 指 引 只 供 一 般 参 考 用 途 ， 用 户 在 使 用 这 些 指 引 前 须 自 行 对 所 提 供 的 资 料 作 出 评 估 及 征 询 独 立 意 见 。

• 基 准 资 讯 科 技 保 安 政 策 - 本 文 件 就 政 府 各 政 策 局 及 部 门 在 资 讯 科 技 保 安 规 格 订 定 基 础 标 准 。 它 述 明 那 些 保 安 事 宜 ， 对 政 策 局 及 部 门 至 为 重 要 。

• 资 讯 科 技 保 安 指 引 - 这 份 指 引 概 述 与 资 讯 科 技 保 安 有 关 的 理 念 ， 并 就 《 基 准 资 讯 科 技 保 安 政 策 》 作 出 阐 释 。

• 互 联 网 通 讯 闸 保 安 指 引 - 这 是 《 资 讯 科 技 保 安 指 引 》 的 补 充 文 件 ， 就 互 联 网 通 讯 闸 的 保 安 提 供 指 引 。

• 保 安 风 险 评 估 及 审 查 指 引 - 这 是 《 资 讯 科 技 保 安 指 引 》 的 补 充 文 件 ， 概 述 适 用 于 保 安 风 险 评 估 及 审 计 的 参 考 模 型 。

• 资 讯 保 安 事 故 处 理 指 引 - 这 是 《 资 讯 科 技 保 安 指 引 》 的 补 充 文 件 ， 有 助 于 制 定 处 理 保 安 事 故 的 规 划 措 施 ， 而 文 件 并 可 用 作 预 防 、 侦 测 及 应 付 保 安 事 故 的 参 考 资 料 。

公 众 日 渐 关 注 经 Wi-Fi 网 络 传 递 资 讯 的 保 安 问 题 。 为 解 决 此 问 题 ， 通 讯 事 务 管 理 局 ( 通 讯 局 ) 已 公 布 一 套 保 安 指 引 予 公 共 Wi-Fi 服 务 营 办 商 遵 守 。 该 指 引 是 由 电 讯 局 、 业 界 和 有 关 专 业 团 体 共 同 制 订 的 。

• 公 共 Wi-Fi 服 务 设 计 、 实 施 、 管 理 及 运 作 的 保 安 指 引 ( 只 提 供 英 文 版 本 ) - 一 套 公 共 Wi-Fi 服 务 保 安 指 引

资 讯 保 安 标 准

• ISO 27001 - 资 讯 安 全 管 理 系 统 的 需 求

• ISO 27002 - 为 资 讯 安 全 管 理 而 设 的 业 务 守 则

• BS7799-3 - 为 资 讯 安 全 风 险 管 理 而 设 的 业 务 守 则 URL: www.bsi-global.com

• 资 讯 及 相 关 技 术 的 控 制 目 标 (COBIT) - 资 讯 及 相 关 技 术 的 控 制 目 标 (COBIT) 是 一 项 由 IT Governance Institute (ITGI) 于 1995 年 首 次 发 布 的 控 制 架 构 ， 目 前 更 新 至 2007 年 发 布 的 版 本 为 4.1 。 COBIT 连 结 IT 主 导 与 商 业 需 要 ， 组 织 IT 活 动 令 其 成 为 广 受 接 纳 的 程 序 模 式 ， 指 出 重 要 的 IT 资 源 并 予 以 善 用 ， 同 时 定 义 要 考 虑 的 管 理 控 制 标 准 。
  URL: www.itgi.org

• ITIL (or ISO/IEC 20000 系 列 ) - ITIL (The Information Technology Infrastructure Library) 是 资 讯 科 技 服 务 管 理 (IT service management (ITSM)) 中 一 系 列 的 最 佳 作 业 实 务 ， 主 要 针 对 服 务 的 过 程 并 考 虑 用 户 的 中 心 角 色 。 ITIL 是 由 英 国 的 Office of Government Commerce (OGC) 发 展 出 来 ， 其 后 由 2005 年 开 始 演 进 至 ITSM 国 际 标 准 的 ISO/IEC 20000。
  URL: www.ogc.gov.uk

• 可 信 赖 系 统 评 估 准 则 (TCSEC) 或 称 为 「 橘 皮 书 」 - 基 于 政 府 及 军 事 机 关 大 部 分 操 作 系 统 的 功 能 评 估 、 有 效 性 及 保 证 性 评 估 而 进 行 的 保 安 要 求 分 类 。 TCSEC 于 1985 年 面 世 ， 并 于 2000 年 废 除 。

• 资 讯 技 术 保 安 评 估 准 则 (ITSEC) - 由 欧 洲 国 家 为 评 估 电 脑 系 统 保 安 属 性 而 制 订 的 首 个 单 一 标 准 ， 只 用 于 欧 洲 。
  URL: http://www.cesg.gov.uk/site/iacs/index.cfm?menuSelected=1&displayPage=1

• 通 用 条 件 (Common Criteria又 称 ISO/IEC 15408) - 透 过 加 拿 大 、 法 国 、 德 国 、 日 本 、 荷 兰 、 西 班 牙 、 英 国 及 美 国 的 国 家 保 安 标 准 组 织 协 作 努 力 ， 结 合 并 划 一 现 有 及 演 变 中 的 评 估 条 件 。
  URL: www.commoncriteriaportal.org

• ISO/IEC 13335 (IT Security Management) - 在 ISO/IEC 13335 变 成 完 整 ISO/IEC 标 准 之 前 ， 它 原 本 只 是 一 份 技 术 报 告 （ Technical Report, TR） ， 包 含 一 连 串 的 技 术 保 安 保 安 措 施 指 引 。

• 支 付 卡 行 业 数 据 安 全 标 准 - 支 付 卡 行 业 数 据 安 全 标 准 （ Payment Card Industry Data Security Standard, PCIDSS） 是 由 一 些 大 型 的 信 用 卡 公 司 （ 包 括 American Express、 Discover Financial Services、 JCB、 MasterCard Worldwide和 Visa International） 所 发 展 出 来 以 加 强 付 款 帐 户 的 资 料 保 安 。 这 些 信 用 卡 公 司 都 是 PCI标 准 会 议 （ Standards Council） 的 会 员 ， 该 标 准 含 12项 核 心 要 求 ， 包 括 保 安 管 理 、 政 策 、 程 序 、 网 络 设 计 、 软 件 设 计 和 其 它 重 要 措 。
  URL: https://www.pcisecuritystandards.org/security_standards/

• ISO 7498 ， 开 放 式 系 统 连 结 标 准 - ISO/IEC 7498开 放 式 系 统 连 结 标 准 现 有 四 部 份 :第 一 部 份 是 The Basic Model、 第 二 部 份 是 Security Architecture、 第 三 部 份 是 Naming and Addressing、 和 第 四 部 份 是 Management Framework。

资 讯 科 技 保 安 参 考 资 料

• Computer Security Incident Handling Guide ， 来 自 (SP 800-61) NIST (National Institute of Standards and Technology) 。

• The SANS Security Policy Project

• RFC 2196 Site Security Handbook, 来 自 IETF (The Internet Engineering Task Force)。

• RFC 2350 Expectations for Computer Security Incident Response, 来 自 IETF (The Internet Engineering Task Force) 。

• SANS Top-20 Security Risks - 这 清 单 包 含 20个 影 响 不 同 范 筹 而 组 织 成 不 同 类 别 的 保 安 漏 洞 ,例 如 影 响 作 业 系 统 和 网 路 装 备 等 的 保 安 漏 洞 。

• 国 际 资 讯 系 统 审 计 协 会 标 准 、 指 引 及 程 序 - 国 际 资 讯 系 统 审 计 协 会 制 订 了 一 系 列 的 资 料 系 统 审 计 标 准 、 指 引 及 程 序 。

• 健 康 保 险 便 利 及 责 任 法 案 （ HIPAA） -美 国 政 府 已 实 行 健 康 保 险 便 利 及 责 任 法 案 (Health Insurance Portability and Accountability Act, HIPAA),以 统 一 保 护 个 人 健 康 资 讯 私 隐 的 保 安 标 准 。

联 机 业 务 指 引 及 参 考 资 料 选 录

当 你 经 营 联 机 业 务 时 ， 需 要 留 意 及 跟 从 一 些 基 本 的 指 引 。

有 关 指 引 及 参 考 资 料	详 情
经 济 合 作 暨 发 展 组 织 之 电 子 商 贸 消 费 保 护 纲 领 (英 文 )	有 关 电 子 商 贸 的 原 则 及 作 业 实 务
电 子 交 易 条 例	涉 及 用 于 电 子 交 易 上 的 电 子 记 录 及 数 码 签 署 跟 文 件 记 录 及 签 署 相 同 的 法 律 地 位
保 障 网 上 个 人 私 隐 及 消 费 者 权 益 指 南	有 关 个 人 私 隐 的 保 护 ， 由 香 港 生 产 力 促 进 局 、 消 费 者 委 员 会 及 个 人 资 料 私 隐 专 员 公 署 联 合 出 版
A Practical Guide for IT Managers and Professionals on the Personal Data (Privacy) Ordinance (英 文 )	这 份 指 南 由 香 港 电 脑 学 会 在 个 人 资 料 私 隐 专 员 公 署 的 支 持 下 制 订 ， 旨 在 为 业 内 人 士 提 供 实 用 指 引 ， 帮 助 企 业 团 体 ， 尤 其 是 IT 管 理 层 及 专 业 人 员 ， 保 障 个 人 资 料 私 隐 。
拟 备 网 上 收 集 个 人 资 料 声 明 及 私 隐 政 策 声 明	就 资 料 使 用 者 应 如 何 拟 备 「 收 集 个 人 资 料 声 明 」 及 「 私 隐 政 策 声 明 」 ， 提 供 实 际 指 引

为 成 立 联 机 业 务 而 设 的 评 价 认 证

互 联 网 为 不 分 界 限 、 不 分 昼 夜 的 商 业 活 动 提 供 了 最 为 方 便 的 平 台 。 然 而 ， 大 部 分 互 联 网 用 户 仍 对 使 用 这 个 媒 介 来 进 行 商 业 交 易 缺 乏 信 心 。 赢 得 顾 客 的 信 赖 、 为 你 的 联 机 业 务 建 立 商 誉 的 最 有 效 方 法 ， 就 是 获 取 由 独 立 核 证 机 构 所 签 发 的 评 价 认 证 。 市 面 上 有 部 分 国 际 性 评 价 认 证 计 划 提 供 这 类 核 实 服 务 ， 现 列 举 部 分 例 子 如 下 ：

• WebTrust
• TRUSTe 

WebTrust

WebTrust in Hong Kong

「 网 誉 认 证 」 服 务 计 划 是 ：

• 一 套 电 子 商 贸 的 标 准 ， 包 含 了 全 球 主 要 的 作 业 实 务 及 要 求 ；
  
• 它 独 立 地 核 实 一 个 网 站 是 否 符 合 标 准 ；
  
• 联 机 业 务 获 得 国 际 认 可 的 「 网 誉 认 证 」 ， 表 示 该 联 机 业 务 符 合 严 格 标 准 。

某 一 联 机 网 站 拥 有 「 网 誉 认 证 」 ， 即 表 示 该 公 司 已 通 过 由 一 位 持 牌 执 业 会 计 师 、 特 许 会 计 师 或 同 等 专 业 资 格 人 士 所 进 行 的 「 网 誉 认 证 」 检 查 。 香 港 会 计 师 公 会 是 该 计 划 的 国 际 成 员 之 一 。

在 「 网 誉 认 证 」 计 划 下 ， 联 机 公 司 需 要 接 受 「 网 誉 认 证 」 持 牌 执 业 会 计 师 的 定 期 检 查 ， 以 确 保 它 遵 从 「 网 誉 认 证 」 的 现 有 原 则 ， 包 括 ：

• 联 机 私 隐
  
• 资 讯 保 安
  
• 作 业 实 务 及 交 易 完 整 性
  
• 可 用 性
  
• 为 核 证 机 关 而 设 的 「 网 誉 认 证 」

TRUSTe

TRUSTe 是 一 个 私 隐 权 标 章 制 度 ， 或 可 称 为 「 信 任 标 章 」 ， 利 用 一 个 网 上 的 品 牌 标 章 ， 把 用 户 直 接 带 到 已 核 准 网 站 的 私 隐 声 明 。 网 站 必 须 跟 从 私 隐 权 原 则 ， 并 遵 守 监 督 及 顾 客 解 决 方 案 程 序 ， 方 可 获 发 信 任 标 章 。 网 站 透 过 展 示 信 任 标 章 ， 可 以 告 诉 顾 客 它 已 承 诺 就 其 私 隐 作 业 实 务 进 行 公 开 沟 通 。 用 户 可 从 展 示 出 来 的 信 任 标 章 得 悉 该 网 站 最 少 会 公 开 下 列 范 畴 的 资 料 ：

• 正 在 收 集 什 么 个 人 资 料
  
• 将 会 怎 样 使 用 该 等 资 料
  
• 将 会 与 谁 人 共 用 该 等 资 料
  
• 谁 人 负 责 收 集 资 料
  
• 用 户 会 有 什 么 选 择
  
• 会 有 什 么 保 安 程 序 来 防 止 资 料 误 用 或 遗 失
  
• 用 户 怎 样 能 够 更 正 资 料 以 控 制 资 料 散 播 的 情 况