私隐公署完成兆基书院港专资料外泄事故视察 提八大建议促教育界加强数据安全

个人资料私隐专员公署完成对香港兆基创意书院及香港专业进修学校的视察，指两校在2024年发生资料外泄事故后，已采取有效补救措施，整体符合《私隐条例》要求。公署同时向两校及教育界提出多项建议，促请加强数据安全。

两校补救措施获认可 仍有改善空间

私隐专员公署指出，兆基书院及港专于2024年分别因黑客入侵导致资料外泄。公署其后对两间院校就事故进行调查，并对其个人资料系统进行视察，以检视其补救措施的成效，并于今日发表视察报告。

视察结果显示，兆基书院在事故后已采取多项技术性措施以加强其资讯系统的保安，包括建立修补程式的管理程序、启用双重认证登入及设定高强度密码等措施，并采用“最小权限”及“角色为本”原则管控系统存取，并为员工提供有关保障个人资料及资讯保安的培训。私隐专员认为其处理个人资料方面，符合《私隐条例》的资料保安规定，但建议该校应制定更详细的资讯保安及资料保留政策，并提升系统侦测能力。

至于港专的视察结果显示，公署指其事故后亦已加强系统保安，落实建立个人资料私隐管理系统，委任保障资料主任及为员工提供培训。港专同样采用“最小权限”及“角色为本”原则，并制定了资料外泄应变计划。私隐专员认为其做法符合《私隐条例》规定，但建议应制定更全面的资讯保安及资料保留政策，加强检视载有个人资料的资讯系统纪录，并定期进行保安审计。

私隐专员向教育界提八大建议

私隐专员钟丽玲表示，教育机构处理大量敏感个人资料，希望透过是次视察，为教育界提供参考，协助他们遵从《私隐条例》。她向业界提出八项建议，以加强数据安全：

1. 设立个人资料私隐管理系统，并委任专责人员作为保障资料主任；
2. 制定明确针对资料管治和资料保安的内部政策和程序，并贯彻执行相关政策和程序；
3. 在员工入职时及往后定期向他们提供有关个人资料保障及资讯安全的培训；
4. 采用“最小权限”的原则及“角色为本”的存取管控机制 ;
5. 实施有效措施以预防、侦测及应对网络攻击；
6. 定期为资讯系统进行全面的保安风险评估及审计；
7. 审慎聘任及管理资料处理者；及
8. 制定资料外泄事故及人工智能事故应变计划。

私隐专员公署鼓励机构参考公署刊发的《资讯及通讯科技的保安措施指引》及《资料外泄事故的处理及通报指引》，未雨绸缪，提升网络安全和数据安全。