香港目前的網絡安全現況如何？
據 HKCERT 2026 Outlook 報告，2025 年香港全年處理 15,877 宗網絡安全事故，按年增加 27%，創歷史新高。網絡釣魚佔近六成（57%）仍是最主要攻擊類型；生成式 AI 令釣魚訊息更難辨識，攻擊更蔓延至 WhatsApp 與加密貨幣平台。Verizon 2025 DBIR 亦指出，六成確認的資料外洩涉及人為失誤，中小企往往因防護薄弱而更易成為目標。
01
認識網絡安全
15,877
2025 全年事故宗數
HKCERT 處理 · 歷史新高
+27%
按年增幅
較 2024 年顯著上升
57%
釣魚佔比
仍是最主要攻擊類型
攻擊蔓延的渠道
網絡釣魚57%
WhatsApp 攻擊34%
加密貨幣平台18%
來源 · HKCERT 2026 Outlook、Verizon 2025 DBIR
甚麼是 CIA Triad？
資訊保安的三大支柱：機密性（防止未授權披露）、完整性（防止未授權更改）、可用性（確保授權人員可靠存取）。UD 多年實戰的結論是：所有安全方案在設計時都應同時對應這三個維度，避免一方面過度投資、另一方面留下盲點。
常見網絡攻擊有哪幾類？
香港企業常見的攻擊涵蓋三層：網絡層以 DoS／DDoS 為主；應用層以 OWASP Top 10 為主，包括 SQL 注入、跨站腳本（XSS）；人為層則以釣魚、社交工程為主，並延伸至惡意軟件與勒索軟件。三層需要不同方案配合，無法靠單一防線涵蓋。
我的公司很細，會成為攻擊目標嗎？
會。攻擊者可能出於勒索、競爭、抗議，甚至純粹練習技術而隨機選擇目標，網站規模並非決定性因素。中小企往往因防護薄弱而更易得手。建議由免費的 UDetective 網站掃描開始評估自身風險。
有沒有免費的網站安全檢查工具？
UDetective 是 UD 提供的免費網站安全掃描工具，輸入網址即可取得專屬安全報告，已逾 2,000 間香港企業採用。掃描不影響網站運作、報告即時電郵發送，回答三個關鍵問題：網站有沒有已知漏洞？SSL 與加密配置是否安全？有沒有外洩敏感資訊？適合作為滲透測試或漏洞掃描前的入門評估。
我的機構應該由哪個 solution 開始？
建議按四步自我評估：先以 UDetective 免費掃描取得初步風險概況；政府部門或資助機構由 SRAA 建立合規基礎；一般企業以滲透測試找出技術漏洞、配合釣魚電郵測試找出人為弱點；再按需要部署防火牆、DDoS 防護與 SSL 證書，並以季度漏洞掃描維持持續監測。
02
滲透測試與漏洞掃描
| 維度 | 滲透測試 | 漏洞掃描 | SRAA 審計 |
|---|---|---|---|
| 執行方式 | 白帽駭客手動 | 掃描器自動 | 顧問框架審計 |
| 檢測取向 | 深度優先 · 攻擊鏈 | 廣度優先 · 已知 CVE | 治理與合規全面 |
| 建議頻率 | 每年 / 重大變更 | 每季 / 持續 | 按合規週期 |
| 交付成果 | 攻擊鏈驗證報告 | CVE 與配置清單 | SRA + SA 合規報告 |
| 典型場景 | 技術風險驗證 | 持續監測 | 政府 / 合規要求 |
滲透測試與漏洞掃描有何分別？
漏洞掃描是自動化的廣度檢測，覆蓋面廣但深度有限，主要識別已知 CVE 與配置缺陷；滲透測試則由白帽駭客手動深入模擬攻擊，會將多個低風險漏洞串成完整攻擊鏈，並驗證業務邏輯漏洞。最佳實務是每季漏洞掃描配合每年滲透測試。
應該幾耐做一次滲透測試？
建議至少每年一次。下列時機應另行追加：新系統或新網站上線前、重大架構變更後（如雲端遷移、核心系統升級）、合規審計前（ISO 27001、PCI-DSS、HKMA）、收購合併盡職審查，以及可疑事故後的復盤。
滲透測試報告可否提交審計師或監管機構？
可以。UD 報告格式符合 OWASP、PTES、NIST 國際標準，並可按需要對應至 ISO 27001 Annex A、PCI-DSS Requirement 11.3、HKMA TM-G-1 及 PDPO 第 4 原則，曾於跨國銀行、上市公司審計及私隱專員公署等場景成功引用。
收費點計？標準週期幾耐？
按範圍報價。查詢時請註明目標系統類型（網站、流動應用、網絡、內網等）、大致規模、合規對象與預計時間。標準週期為 4 至 5 週，並包含 retest 驗證。
內部 IT 已有人手，仍需外判滲透測試嗎？
需要。其一是獨立性：內部團隊測試自身系統存在利益衝突，外部測試方才具審計效力。其二是攻擊視角專業度：白帽駭客每年處理過百宗委託，掌握最新攻防技術。其三是合規要求：PCI-DSS、ISO 27001 等明確要求由具獨立性的第三方執行。
03
合規審計與政府要求
| 合規對象 | 滲透測試 | 漏洞掃描 | SRAA | 釣魚測試 | 網絡防護 |
|---|---|---|---|---|---|
| HKPDPO | |||||
| HKMA | |||||
| PCI-DSS | |||||
| ISO 27001 | |||||
| DPO |
對應方案 非主要對應
SRAA 是甚麼？適用對象是？
SRAA（資訊保安風險評估及審計）是香港政府要求所有政府部門與政府資助機構必須提供的合規審計報告，依據 DPO ISPG-SM01 執行，由 SRA（風險評估）與 SA（安全審計）兩項並行服務組成。適用對象包括各局／部門、政府資助的 NGO／NPO、政府供應商，以及自願採用此框架的私營企業。
HKPDPO、HKMA、PCI-DSS、ISO 27001、DPO 各自要求甚麼？
香港企業面對的五大合規對象，要求各有側重： HKPDPO：由 PCPD 執行，處理香港居民個人資料的機構須遵守六大保障原則，違反通報義務最高罰款 100 萬港元，刑事罪行可導致監禁。 HKMA：銀行業 TM-G-1／TM-E-1 等網絡防衛要求，包括定期滲透測試、漏洞掃描與事故報告。 PCI-DSS：處理信用卡資料的機構須每季漏洞掃描、每年滲透測試並配置 WAF。 ISO 27001：國際資訊保安管理體系認證，涵蓋 Annex A 14 個範疇，提升安全成熟度與投標競爭力。 DPO ISPG-SM01：政府部門與資助機構必須遵守的 IT 安全標準，SRAA 即依此執行。
私營企業可以做 SRAA 嗎？
可以。SRAA 框架原針對政府機構，但同樣適用於私營企業，可作 ISO 27001 預備、HKMA 應對、PDPO 合規或內部 IT 治理之用，提升治理成熟度並縮短後續正式認證的時程。
《保護關鍵基礎設施（電腦系統）條例》如何影響我？
這是香港新推行的法例，要求關鍵基礎設施營運者為其電腦系統採取保安措施，違規最高罰款 500 萬港元，涵蓋能源、銀行、運輸、電信、醫療、政府等行業。建議受規管機構即時進行 SRAA 評估、部署 24×7 監測，並加強周邊防禦。
如何取得 ISO 27001 認證？
認證流程典型 6 至 18 個月，視乎機構成熟度與範圍。UD 可協助差距分析、以滲透測試驗證技術控制、以 SRAA 配合 ISMS 文檔、以漏洞掃描滿足持續監測要求。實際發證由認可認證機構執行，UD 屬技術評估與準備夥伴。
04
員工警覺性與釣魚測試
01
模擬攻擊
按行業與部門訂製釣魚電郵，於指定時間發送
02
受害者報告
記錄開啟、點擊、提交行為，提供部門比較 dashboard
03
意識培訓
UD 安全專家親臨辦公室面授，中招員工加強培訓
30%未受訓員工的釣魚點擊率中位數。人為失誤是大多數資料外洩的起點，定期演練能持續壓低這個數字。來源 · Verizon 2025 DBIR
釣魚電郵測試流程是怎樣的？
分三個階段：模擬攻擊（按行業、部門、流程訂製釣魚電郵並於指定時間發送）、受害者報告（記錄開啟、點擊、提交資料的行為數據，提供 dashboard 與部門比較）、意識培訓（UD 安全專家親臨客戶辦公室面授）。
建議多久做一次釣魚測試？
建議至少每年一次完整測試，配合每半年一次小規模抽樣。重大組織變更（大量新員工入職、部門重組、新系統上線）後亦應追加。
員工會否反感被測試？
經驗顯示，事後受訓的員工反而會欣賞公司對警覺性的重視。我們會配合 HR 提前準備溝通策略，採非批判性的教育方式，重點是教育而非懲罰，中招員工會獲安排專題加強培訓。
培訓是上門面授還是 online？
預設上門面授，由 UD 安全專家親臨客戶辦公室講解；多分支或跨境機構可安排混合模式（本地面授＋分支點視訊）。Online 自學影片不列入標準方案。
05
網絡與應用防護
攻擊流量逐層過濾後到達伺服器
上游
DDoS 防護
頻寬層流量緩解
阻擋 大規模流量洪水
L7
WAF 網頁應用防火牆
應用層 · HTTP/HTTPS
阻擋 SQL 注入 · XSS · 業務邏輯
L3 / L4
Cloud Firewall（NGFW）
網絡層 · IP / 連接埠 / 協定
阻擋 粗暴連線與掃描
受保護的伺服器
防火牆、WAF、DDoS 三者有何分別？
防火牆（NGFW）工作在網絡層（L3／L4），過濾 IP、連接埠與協定，擋住粗暴攻擊；WAF 工作在應用層（L7），分析 HTTP／HTTPS 內容，擋住 SQL 注入、跨站腳本等業務邏輯攻擊；DDoS 防護則在上游頻寬層面緩解大規模流量攻擊。三層覆蓋不同層級，並非替代關係。
Cloud Firewall 與 WAF 一定要兩個都用嗎？
對有對外 Web 應用的企業，建議兩者都用：網絡層擋粗暴攻擊、應用層擋業務邏輯攻擊，疊加才構成完整防線。若只是內部辦公網絡，Cloud Firewall 已足夠；若只是小型網站，WAF 屬最小起步配置。
WAF 可以擋 DDoS 嗎？
可擋住部分第七層（應用層）DDoS，例如針對登入表單或 API 端點的 HTTP 洪水。但網絡層大規模 DDoS 在到達 WAF 之前已令上游頻寬飽和，需配合專屬 DDoS 防護服務。
DDoS 攻擊的常見規模是甚麼？
小型攻擊 1 至 10 Gbps，中型 10 至 100 Gbps，大型超過 100 Gbps。中小企面對的多屬小至中型，金融、媒體、政府等高敏感機構可能面對大型攻擊。UD 提供 1 Gbps、5 Gbps、10 Gbps 與 >10 Gbps 客製化四個級別。
SSL DV、OV、EV 三者如何選擇？
DV 只驗證網域擁有權，最快最便宜，適合非交易性網站；OV 額外驗證機構身份，適合中小企；EV 是最嚴格的驗證級別，瀏覽器顯示完整公司名稱，信任程度最高，適合電子商貿、金融機構與上市公司。
06
託管服務、SLA 與支援
01
識別
滲透測試 · SRAA · 漏洞掃描 · 釣魚測試
02
保護
防火牆 · DDoS 防護 · SSL 證書
03
監測
24×7 香港本地工程師
04
規劃
季度與年度風險檢視
四階段持續循環 · 一隊本地專家全程包辦
UD 是 MSSP 嗎？託管模式如何運作？
UD Security 作為香港企業的託管式安全服務（MSSP）夥伴，提供四階段安全生命週期管理：識別（滲透測試、SRAA、漏洞掃描、釣魚測試）、保護（防火牆、DDoS、SSL）、監測（24×7 香港本地工程師）、規劃（季度與年度風險檢視）。客戶毋須自建保安營運中心的長期資本支出，即可獲完整覆蓋。
UD 的 SLA 規格是怎樣？
99.99% 在線保證，覆蓋雲防火牆、DDoS 防護與託管服務。技術支援響應時間按事故等級分級，詳細條款依各 solution 合約而定。
24×7 技術支援包括哪些？
全天候電郵與電話支援，由 UD 香港本地客服接力，公眾假期與凌晨時段同樣有人接聽，涵蓋新服務上線協助、緊急事故初步處理、攻擊期間防護調整與合規諮詢。
客戶資料會否離開香港？
不會。UD 100% 香港本地團隊、內部直聘，不外判客服中心。所有監測數據、報告與敏感資料均留在香港境內，不轉移至境外，對資料主權有要求的政府部門、金融機構與上市公司尤其重要。
07
報價、合約與遷移
01
提交查詢
註明範圍、規模、合規對象與時間
02
範圍界定會議
工程師將盡快回覆並安排
盡快回覆
03
正式報價
按範圍提供清晰報價與週期
04
簽約上線
規劃時間表，避免服務空窗
如何取得報價？
前往對應的解決方案頁面提交頁底查詢表單，註明目標範圍、規模、合規對象與預計時間。UD 工程師將盡快回覆並安排範圍界定會議，會議後提供正式報價。SSL 證書屬自助型產品，可直接於 SSL 頁面選擇方案申請。
合約期典型多長？
按 solution 而定：滲透測試、SRAA、釣魚測試屬 project-based，按單次或多輪計算；雲防火牆、DDoS 防護、漏洞掃描屬月費／年費訂閱；SSL 證書屬年費。長期合作客戶可獲整合方案折扣。
由其他供應商轉到 UD 如何處理？
提交查詢並註明現有供應商與服務範圍，UD 工程師會評估轉移工作量、規劃 migration 時間表、避免服務空窗期。SSL 轉台、防火牆規則匯入、漏洞掃描歷史報告匯入等場景均有標準 onboarding workflow。
有沒有退款保證？
DDoS 防護提供首 30 日退款保證，30 日內如不滿意可申請全額退款。其他 solution 按合約條款處理，詳情於提交查詢時確認。
仍有問題？聯絡 UD Security
各解決方案頁面均設有專屬查詢入口可直接提交報價請求；未列於此的查詢、媒體合作或夥伴洽談，歡迎提交一般查詢。所有查詢由 UD 香港本地團隊親自跟進，不會外判予客服中心。