网络保安 | 证监会

网络保安

本常见问题旨在就实施《降低及纾减与互联网交易相关的黑客入侵风险指引》（《指引》）提供更多指导，并辅以实例说明。

1.1 双重认证

答:

双重认证是一项以原则为本的认证规定。互联网经纪行可自由选择与其安全基础设施最为匹配、并适合用来实现其风险纾减目标的双重认证解决方案（包括内部研发的解决方案）。

尤其是，互联网经纪行应评估及衡量不同双重认证解决方案的特点、局限性和漏洞，并按情况所需制订监控措施以作弥补。如有需要，应寻求解决方案提供者或技术顾问的协助。举例来说，互联网经纪行如使用短讯传送一次性密码，便应告诫其客户不要设定短讯转发。

随着时间过去，某些双重认证解决方案可能会因科技进步而变得不合时宜及无效，因此，互联网经纪行应尽其合理努力紧贴最新的科技发展，并完善其双重认证解决方案，或在有需要时采取补足监控措施。

答:

否。双重密码只构成认证程序中的单一因素（即“客户所知的”），故不符合双重认证规定。

1.2 实施监察及监督机制

答:

互联网经纪行可监察是否有下列情况：(i) 由同一个IP地址登入多个客户帐户；及(ii) 接达同一个客户帐户的IP地址在短时间内由一个国家转为另一个国家。

1.3 即时通知客户

答:

本会要求互联网经纪行须就每次系统登入即时通知有关客户。然而，只要符合以下规定，互联网经纪行可以让客户选择不就每次系统登入收取通知：

1.4 数据加密

答:

是。就上述规定而言，隔离区会被视为内部网络的一部分。

1.6 严格的密码政策及网页超时监控措施

答:

我们一般预期，如客户超过90个历日未有更改密码，互联网经纪行便应提醒有关客户更改密码。

答:

互联网经纪行可采取的监控措施包括：

以上所列的监控措施并非详尽无遗。互联网经纪行可选择采取任何其认为适当的监控措施。

2.8 系统及数据备份

答:

是。“离线媒体”^[1] 一词是指与生产系统安全隔离的磁带或任何其他类型的媒体（例如遥距备份伺服器）。

^[1] 请参阅《指引》第2.8段及《证券及期货事务监察委员会持牌人或注册人操守准则》附表7第1.2.6(b)段

最后更新日期: 2017年10月27日