网络保安
本常见问题旨在就实施《降低及纾减与互联网交易相关的黑客入侵风险指引》(《指引》)提供更多指导,并辅以实例说明。

1.1 双重认证

问1: 互联网经纪行在选择双重认证解决方案时,应考虑什么因素?

答:

双重认证是一项以原则为本的认证规定。互联网经纪行可自由选择与其安全基础设施最为匹配、并适合用来实现其风险纾减目标的双重认证解决方案(包括内部研发的解决方案)。

尤其是,互联网经纪行应评估及衡量不同双重认证解决方案的特点、局限性和漏洞,并按情况所需制订监控措施以作弥补。如有需要,应寻求解决方案提供者或技术顾问的协助。举例来说,互联网经纪行如使用短讯传送一次性密码,便应告诫其客户不要设定短讯转发。

随着时间过去,某些双重认证解决方案可能会因科技进步而变得不合时宜及无效,因此,互联网经纪行应尽其合理努力紧贴最新的科技发展,并完善其双重认证解决方案,或在有需要时采取补足监控措施。

问2: 可否采用“双重密码”模式(例如在登入系统时使用一组密码,而在落盘时则须输入另一组密码;或在登入系统时须输入两组不同密码)来符合双重认证规定?

答:

否。双重密码只构成认证程序中的单一因素(即“客户所知的”),故不符合双重认证规定。

1.2 实施监察及监督机制

问3: 可否举例说明互联网经纪行可如何侦测未经授权而接达客户的互联网交易帐户的情况?

答:

互联网经纪行可监察是否有下列情况:(i) 由同一个IP地址登入多个客户帐户;及(ii) 接达同一个客户帐户的IP地址在短时间内由一个国家转为另一个国家。

1.3 即时通知客户 

问4: 如客户已就不寻常的登入情况(例如,并非透过客户惯常使用的装置登入)收到通知,互联网经纪行是否仍须就每次系统登入通知客户?

答:

本会要求互联网经纪行须就每次系统登入即时通知有关客户。然而,只要符合以下规定,互联网经纪行可以让客户选择不就每次系统登入收取通知: 

  • 互联网经纪行有能力识别不寻常登入及就不寻常登入即时通知客户;
  • 互联网经纪行向客户作出了充分的风险披露,而客户已确认他们了解选择不就每次系统登入收取通知所涉及的风险;
  • 客户没有选择不收取执行交易的通知。

1.4 数据加密

问5: 就数据加密规定而言,隔离区是否被视为内部网络的一部分?

答:

是。就上述规定而言,隔离区会被视为内部网络的一部分。

1.6 严格的密码政策及网页超时监控措施 

问6: 互联网经纪行应每隔多久,便要提醒客户更改密码?

答:

我们一般预期,如客户超过90个历日未有更改密码,互联网经纪行便应提醒有关客户更改密码。

问7: 互联网经纪行可对多次尝试登入无效的情况采取什么监控措施?

答:

互联网经纪行可采取的监控措施包括:

  • 封锁帐
  • 连续登入失败的情况每发生一次,暂停登入的时间便会延长;及
  • 侦测是否受到暴力破解攻击,并采取适当的对策。

以上所列的监控措施并非详尽无遗。互联网经纪行可选择采取任何其认为适当的监控措施。

2.8 系统及数据备份

问8: 是否可将“遥距备份伺服器”视为用于系统及数据备份的“离线媒体”?

答:

是。“离线媒体”[1] 一词是指与生产系统安全隔离的磁带或任何其他类型的媒体(例如遥距备份伺服器)。

[1] 请参阅《指引》第2.8段及《证券及期货事务监察委员会持牌人或注册人操守准则》附表7第1.2.6(b)段

最后更新日期: 2017年10月27日

我们使用cookies来改善网站性能和用户体验。如果你继续使用本网站及相关服务,则表示你同意其使用。详细了解我们的隐私政策声明
免责声明 Disclaimer statement

香港证券及期货事务监察委员会(简称证监会)于本网站免费提供一套繁简字体转换软件(该软件)。证监会允许本网站的使用者利用该软件将本网站内容由繁体中文版转换成为简体中文版。证监会不会就该软件欠妥之处承担任何法律责任,亦不会就其品质及性能作出任何担保;尤其是在无损前述的一般性的原则下,证监会无需就该软件对某用途的恰当性、其品质或可商售性承担任何该等明示或隐含的、法定或非法定的法律责任。

证监会明确陈述,本会并无核准或认可本网站内容的简体中文版,以及对于本网站内容的简体中文版不承担任何责任或法律责任(不论是何种及如何引致的责任或法律责任)。证监会同时明确陈述,本网站的简体中文版纯粹是利用该软件将繁体中文版内的中文字体转换成简体中文字而得来的,当中并不涉及香港特区与内地的用词及语句的对应转换。对于该简体中文版的内容的恰当性,证监会不承担任何责任或法律责任。在任何情况下,使用者都不应视本网站内容的简体中文版为其繁体中文版的对应版本。使用者应该参照该简体中文版的已发布繁体中文版来核实该简体中文版的网站内容,并且应该在依赖本网站内容的简体中文版或根据其内容行事之前,就该版本的内容的法律效力、有效性和效果自费征询独立的法律意见。

如果你将证监会网站的简体中文版的内容或网址传送予第三者,你承诺会将本免责声明同时传送予该第三者,并保证该第三者在浏览本网站的简体中文版的内容之前同意接纳本免责声明。

The Securities and Futures Commission (SFC) provides a character-based conversion software (this Software) free of charge in this website. Permission is granted for users to use this Software to convert the web content from traditional Chinese character version to simplified Chinese character version. The SFC undertakes no liability for defects in this Software and gives no warranty in relation to its quality and performance and in particular, but without prejudice to the generality of the foregoing, the SFC shall have no such liability regarding the fitness for purpose, quality or merchantability of this Software, whether express or implied, statutory or otherwise.

The SFC expressly states that it has not approved or endorsed the simplified Chinese character version of the web content and the SFC accepts no responsibility or liability (whatsoever and howsoever caused) for such simplified Chinese character version of the web content. The SFC also expressly states that this simplified Chinese character version of the website is solely established by converting the characters in the traditional Chinese character version via this Software, which involves no corresponding conversion between the terms and expressions used in the Hong Kong SAR and Mainland China. The SFC accepts no responsibility or liability for the fitness of the content of the simplified Chinese character version. Under no circumstances should users treat the simplified Chinese character version of the web content as an equivalent of the traditional Chinese character version thereof. Users should verify the simplified Chinese character version of the web content by making reference to the published traditional Chinese character version thereof, and should at their own costs seek independent legal advice on the legal status, validity and effect of the simplified Chinese character version of the web content before relying or acting upon it.

If you transmit the content of this simplified Chinese character version website or its URL to any third party, you agree to forward this Disclaimer Statement at the same time to the third party and guarantee that the third party agrees to accept this Disclaimer Statement before browsing the content of the simplified Chinese character version of this website.