邻住买｜吴杰庄斥平台公布滞后增风险 倡引入强制通报及罚则

网购平台「邻住买」日前在网站公布，于上月底发现系统疑似遭受攻击，逾3万名用户的个人资料被外泄。立法会议员吴杰庄批评平台通报及公布滞后，建议政府针对大型企业引入强制通报及罚则机制，并加强对中小企的网络安全支援。

针对本次事件，「邻住买」8月24日发现系统疑似遭受攻击、30日通报个人资料私隐专员公署、9月1日才于网页公布。吴杰庄今早（9月2日）在电台节目上直言情况「不理想」，3万多受影响市民的规模绝不算小，而滞后通报会增加市民受骗的风险，「老实讲就系越快越理想。因为资料已经外泄，机构如果能第一时间通报公署、报警并通知客户，有助于受影响人士加以防范。」

机构日常应该做好应变预案

吴杰庄提到，上届立法会通过的《关键基础设施》相关法例，要求机构在网络安全事故发生后两天内必须通报；然而，非关键基础设施的公司，如一般网购平台，目前仅依循私隐专员公署「在切实可行情况下尽快通知」的指引，缺乏硬性时限。

他承认，每间公司的保安能力不同，有些外判资讯保安服务的中小企可能无法即时调查清楚。但他强调必须以用户安全为首要考量，「如果万一有怀疑，先通报，其实是合适的，因为客户最重要。很多时骗徒拿到资料不会即时行骗，可能等一年半载后市民放下戒心时，再制造精准骗局。」

对于平台仅在网站张贴公告，吴杰庄认为做法过于被动，估计超过一半的客户根本不会主动浏览网站公告。

他建议，相关机构在日常就应该做好应变预案。一旦发生个资外泄，应利用手中现有的客户联络方式，透过电话、电邮或 WhatsApp 进行「单对单、精准」的主动通知，保障客户权益。

倡政府支援中小企升级保安

目前本港的个人资料外泄通报属「自愿性质」。被问及是否应立法实施「强制通报」及「罚款制度」，吴杰庄建议政府采取「分级分类」的监管机制，考虑强制要求大型企业定期进行网络安全维护、漏洞审评，并引入相应的罚则制度，以「倒逼」大企业投入更多资源于网络保安。以及加强资金与技术支援，协助资源不足的中小企进行定期的网络安全审查与防御工作，将事故风险减到最低。