憲報早曝光 物流署致歉

憲報早曝光物流署致歉

[2016.01.01] 發表

【明報專訊】憲報公告「不似預期」提前一晚曝光，有網絡保安專家稱，事件反映政府網站的安全評估「做得好差」，在技術層面，可為上載網頁的檔案設「權限」，到了指定時間網頁資料才會「解鎖」讓公眾瀏覽，專家憂慮政府其他部門的網頁亦有類似保安問題。有立法會議員對事件感到震驚，會在資訊科技及廣播事務委員會要求政府交代電腦系統的保安。

立法會資訊科技及廣播事務委員會主席葛珮帆對憲報文件提早曝光表示「震驚」，認為刊憲是「嚴肅的事」，沒想過政府會有此問題，事件反映政府對電腦保安問題「粗疏」、缺乏敏感度，委員會將要求政府交代及檢討現時電腦系統管理情况。她表示，將邀請創科局官員回應事件，以及該局與角色被動的資訊科技總監辦公室的關係及相互權責。

政府網站屬新開設的創新及科技局的範疇，轄下的資訊科技總監辦公室昨表示，該辦公室主理「政府一站通」網站，政府部門各自管理其網頁，辦公室提供意見支援。

署方稱涉系統人為因素

負責政府憲報網站的物流服務署昨晚就事件致歉，將諮詢政府資訊科技總監辦公室的專業意見，改善流程，免同類事件發生。該署說，事件涉系統程序問題及人為因素，事件中有職員將憲報相關檔案預先上載伺服器，致公眾可透過更改過往超連結提早閱覽。另有涉職員誤將憲報索引超連結日期擬定為2015年1月1日，未有執行應於2015年12月31日才公開發布的指示。

預先上載常見一般設保護措施

華爾基利信息安全研究組織及研究員賴灼東說，不評論個別人員錯誤，在技術層面，網站管理人員預先上載檔案是常見方法，但一般會設保護措施，「伺服管理員會寫程式為檔案設權限，到特定時間才會『解鎖』，很多銀行為保護敏感資料都會這樣做」，未知政府網頁管理者是否沒有權限設定，還是其他因素例如對技術掌握「唔夠班」所致。

曾經為政府部門網頁進行保安測試的賴灼東說，事件反映政府對網站安全評估有問題，政府現有聘用外間公司對網站做「滲透性測試」，卻無法找到問題，他關注是否由於「價低者得」致測試服務有限，還是政府文化根本不期望電腦保安專家能夠找到錯處。