香港目前的网络安全现况如何？
据 HKCERT 2026 Outlook 报告，2025 年香港全年处理 15,877 宗网络安全事故，按年增加 27%，创历史新高。网络钓鱼占近六成（57%）仍是最主要攻击类型；生成式 AI 令钓鱼消息更难辨识，攻击更蔓延至 WhatsApp 与加密货币平台。Verizon 2025 DBIR 亦指出，六成确认的资料外泄涉及人为失误，中小企往往因防护薄弱而更易成为目标。
01
认识网络安全
15,877
2025 全年事故宗数
HKCERT 处理 · 历史新高
+27%
按年增幅
较 2024 年显著上升
57%
钓鱼占比
仍是最主要攻击类型
攻击蔓延的渠道
网络钓鱼57%
WhatsApp 攻击34%
加密货币平台18%
来源 · HKCERT 2026 Outlook、Verizon 2025 DBIR
什么是 CIA Triad？
信息保安的三大支柱：机密性（防止未授权披露）、完整性（防止未授权更改）、可用性（确保授权人员可靠存取）。UD 多年实战的结论是：所有安全方案在设计时都应同时对应这三个维度，避免一方面过度投资、另一方面留下盲点。
常见网络攻击有哪几类？
香港企业常见的攻击涵盖三层：网络层以 DoS／DDoS 为主；应用层以 OWASP Top 10 为主，包括 SQL 注入、跨站脚本（XSS）；人为层则以钓鱼、社交工程为主，并延伸至恶意软件与勒索软件。三层需要不同方案配合，无法靠单一防线涵盖。
我的公司很细，会成为攻击目标吗？
会。攻击者可能出于勒索、竞争、抗议，甚至纯粹练习技术而随机选择目标，网站规模并非决定性因素。中小企往往因防护薄弱而更易得手。建议由免费的 UDetective 网站扫描开始评估自身风险。
有没有免费的网站安全检查工具？
UDetective 是 UD 提供的免费网站安全扫描工具，输入网址即可取得专属安全报告，已逾 2,000 间香港企业采用。扫描不影响网站运作、报告即时电邮发送，回答三个关键问题：网站有没有已知漏洞？SSL 与加密配置是否安全？有没有外泄敏感信息？适合作为渗透测试或漏洞扫描前的入门评估。
我的机构应该由哪个 solution 开始？
建议按四步自我评估：先以 UDetective 免费扫描取得初步风险概况；政府部门或资助机构由 SRAA 建立合规基础；一般企业以渗透测试找出技术漏洞、配合钓鱼电邮测试找出人为弱点；再按需要部署防火墙、DDoS 防护与 SSL 证书，并以季度漏洞扫描维持持续监测。
02
渗透测试与漏洞扫描
| 维度 | 渗透测试 | 漏洞扫描 | SRAA 审计 |
|---|---|---|---|
| 执行方式 | 白帽骇客手动 | 扫描器自动 | 顾问框架审计 |
| 检测取向 | 深度优先 · 攻击链 | 广度优先 · 已知 CVE | 治理与合规全面 |
| 建议频率 | 每年 / 重大变更 | 每季 / 持续 | 按合规周期 |
| 交付成果 | 攻击链验证报告 | CVE 与配置清单 | SRA + SA 合规报告 |
| 典型场景 | 技术风险验证 | 持续监测 | 政府 / 合规要求 |
渗透测试与漏洞扫描有何分别？
漏洞扫描是自动化的广度检测，覆盖面广但深度有限，主要识别已知 CVE 与配置缺陷；渗透测试则由白帽骇客手动深入模拟攻击，会将多个低风险漏洞串成完整攻击链，并验证业务逻辑漏洞。最佳实务是每季漏洞扫描配合每年渗透测试。
应该几耐做一次渗透测试？
建议至少每年一次。下列时机应另行追加：新系统或新网站上线前、重大架构变更后（如云迁移、核心系统升级）、合规审计前（ISO 27001、PCI-DSS、HKMA）、收购合并尽职审查，以及可疑事故后的复盘。
渗透测试报告可否提交审计师或监管机构？
可以。UD 报告格式符合 OWASP、PTES、NIST 国际标准，并可按需要对应至 ISO 27001 Annex A、PCI-DSS Requirement 11.3、HKMA TM-G-1 及 PDPO 第 4 原则，曾于跨国银行、上市公司审计及隐私专员公署等场景成功引用。
收费点计？标准周期几耐？
按范围报价。查询时请注明目标系统类型（网站、流动应用、网络、内网等）、大致规模、合规对象与预计时间。标准周期为 4 至 5 周，并包含 retest 验证。
内部 IT 已有人手，仍需外判渗透测试吗？
需要。其一是独立性：内部团队测试自身系统存在利益冲突，外部测试方才具审计效力。其二是攻击视角专业度：白帽骇客每年处理过百宗委托，掌握最新攻防技术。其三是合规要求：PCI-DSS、ISO 27001 等明确要求由具独立性的第三方执行。
03
合规审计与政府要求
| 合规对象 | 渗透测试 | 漏洞扫描 | SRAA | 钓鱼测试 | 网络防护 |
|---|---|---|---|---|---|
| HKPDPO | |||||
| HKMA | |||||
| PCI-DSS | |||||
| ISO 27001 | |||||
| DPO |
对应方案 非主要对应
SRAA 是什么？适用对象是？
SRAA（信息保安风险评估及审计）是香港政府要求所有政府部门与政府资助机构必须提供的合规审计报告，依据 DPO ISPG-SM01 执行，由 SRA（风险评估）与 SA（安全审计）两项并行服务组成。适用对象包括各局／部门、政府资助的 NGO／NPO、政府供应商，以及自愿采用此框架的私营企业。
HKPDPO、HKMA、PCI-DSS、ISO 27001、DPO 各自要求什么？
香港企业面对的五大合规对象，要求各有侧重： HKPDPO：由 PCPD 执行，处理香港居民个人信息的机构须遵守六大保障原则，违反通报义务最高罚款 100 万港元，刑事罪行可导致监禁。 HKMA：银行业 TM-G-1／TM-E-1 等网络防卫要求，包括定期渗透测试、漏洞扫描与事故报告。 PCI-DSS：处理信用卡资料的机构须每季漏洞扫描、每年渗透测试并配置 WAF。 ISO 27001：国际信息保安管理体系认证，涵盖 Annex A 14 个范畴，提升安全成熟度与投标竞争力。 DPO ISPG-SM01：政府部门与资助机构必须遵守的 IT 安全标准，SRAA 即依此执行。
私营企业可以做 SRAA 吗？
可以。SRAA 框架原针对政府机构，但同样适用于私营企业，可作 ISO 27001 预备、HKMA 应对、PDPO 合规或内部 IT 治理之用，提升治理成熟度并缩短后续正式认证的时程。
《保护关键基础设施（电脑系统）条例》如何影响我？
这是香港新推行的法例，要求关键基础设施营运者为其电脑系统采取保安措施，违规最高罚款 500 万港元，涵盖能源、银行、运输、电信、医疗、政府等行业。建议受规管机构即时进行 SRAA 评估、部署 24×7 监测，并加强周边防御。
如何取得 ISO 27001 认证？
认证流程典型 6 至 18 个月，视乎机构成熟度与范围。UD 可协助差距分析、以渗透测试验证技术控制、以 SRAA 配合 ISMS 文档、以漏洞扫描满足持续监测要求。实际发证由认可认证机构执行，UD 属技术评估与准备伙伴。
04
员工警觉性与钓鱼测试
01
模拟攻击
按行业与部门订制钓鱼电邮，于指定时间发送
02
受害者报告
记录开启、点击、提交行为，提供部门比较 dashboard
03
意识培训
UD 安全专家亲临办公室面授，中招员工加强培训
30%未受训员工的钓鱼点击率中位数。人为失误是大多数资料外泄的起点，定期演练能持续压低这个数字。来源 · Verizon 2025 DBIR
钓鱼电邮测试流程是怎样的？
分三个阶段：模拟攻击（按行业、部门、流程订制钓鱼电邮并于指定时间发送）、受害者报告（记录开启、点击、提交资料的行为数据，提供 dashboard 与部门比较）、意识培训（UD 安全专家亲临客户办公室面授）。
建议多久做一次钓鱼测试？
建议至少每年一次完整测试，配合每半年一次小规模抽样。重大组织变更（大量新员工入职、部门重组、新系统上线）后亦应追加。
员工会否反感被测试？
经验显示，事后受训的员工反而会欣赏公司对警觉性的重视。我们会配合 HR 提前准备沟通策略，采非批判性的教育方式，重点是教育而非惩罚，中招员工会获安排专题加强培训。
培训是上门面授还是 online？
预设上门面授，由 UD 安全专家亲临客户办公室讲解；多分支或跨境机构可安排混合模式（本地面授＋分支点视讯）。Online 自学影片不列入标准方案。
05
网络与应用防护
攻击流量逐层过滤后到达服务器
上游
DDoS 防护
带宽层流量缓解
阻挡 大规模流量洪水
L7
WAF 网页应用防火墙
应用层 · HTTP/HTTPS
阻挡 SQL 注入 · XSS · 业务逻辑
L3 / L4
Cloud Firewall（NGFW）
网络层 · IP / 连接埠 / 协定
阻挡 粗暴连线与扫描
受保护的服务器
防火墙、WAF、DDoS 三者有何分别？
防火墙（NGFW）工作在网络层（L3／L4），过滤 IP、连接埠与协定，挡住粗暴攻击；WAF 工作在应用层（L7），分析 HTTP／HTTPS 内容，挡住 SQL 注入、跨站脚本等业务逻辑攻击；DDoS 防护则在上游带宽层面缓解大规模流量攻击。三层覆盖不同层级，并非替代关系。
Cloud Firewall 与 WAF 一定要两个都用吗？
对有对外 Web 应用的企业，建议两者都用：网络层挡粗暴攻击、应用层挡业务逻辑攻击，叠加才构成完整防线。若只是内部办公网络，Cloud Firewall 已足够；若只是小型网站，WAF 属最小起步配置。
WAF 可以挡 DDoS 吗？
可挡住部分第七层（应用层）DDoS，例如针对登入表单或 API 端点的 HTTP 洪水。但网络层大规模 DDoS 在到达 WAF 之前已令上游带宽饱和，需配合专属 DDoS 防护服务。
DDoS 攻击的常见规模是什么？
小型攻击 1 至 10 Gbps，中型 10 至 100 Gbps，大型超过 100 Gbps。中小企面对的多属小至中型，金融、媒体、政府等高敏感机构可能面对大型攻击。UD 提供 1 Gbps、5 Gbps、10 Gbps 与 >10 Gbps 客制化四个级别。
SSL DV、OV、EV 三者如何选择？
DV 只验证网域拥有权，最快最便宜，适合非交易性网站；OV 额外验证机构身份，适合中小企；EV 是最严格的验证级别，浏览器显示完整公司名称，信任程度最高，适合电子商贸、金融机构与上市公司。
06
托管服务、SLA 与支援
01
识别
渗透测试 · SRAA · 漏洞扫描 · 钓鱼测试
02
保护
防火墙 · DDoS 防护 · SSL 证书
03
监测
24×7 香港本地工程师
04
规划
季度与年度风险检视
四阶段持续循环 · 一队本地专家全程包办
UD 是 MSSP 吗？托管模式如何运作？
UD Security 作为香港企业的托管式安全服务（MSSP）伙伴，提供四阶段安全生命周期管理：识别（渗透测试、SRAA、漏洞扫描、钓鱼测试）、保护（防火墙、DDoS、SSL）、监测（24×7 香港本地工程师）、规划（季度与年度风险检视）。客户毋须自建保安营运中心的长期资本支出，即可获完整覆盖。
UD 的 SLA 规格是怎样？
99.99% 在线保证，覆盖云防火墙、DDoS 防护与托管服务。技术支援响应时间按事故等级分级，详细条款依各 solution 合约而定。
24×7 技术支援包括哪些？
全天候电邮与电话支援，由 UD 香港本地客服接力，公众假期与凌晨时段同样有人接听，涵盖新服务上线协助、紧急事故初步处理、攻击期间防护调整与合规咨询。
客户资料会否离开香港？
不会。UD 100% 香港本地团队、内部直聘，不外判客服中心。所有监测数据、报告与敏感资料均留在香港境内，不转移至境外，对资料主权有要求的政府部门、金融机构与上市公司尤其重要。
07
报价、合约与迁移
01
提交查询
注明范围、规模、合规对象与时间
02
范围界定会议
工程师将尽快回覆并安排
尽快回覆
03
正式报价
按范围提供清晰报价与周期
04
签约上线
规划时间表，避免服务空窗
如何取得报价？
前往对应的解决方案页面提交页底查询表单，注明目标范围、规模、合规对象与预计时间。UD 工程师将尽快回覆并安排范围界定会议，会议后提供正式报价。SSL 证书属自助型产品，可直接于 SSL 页面选择方案申请。
合约期典型多长？
按 solution 而定：渗透测试、SRAA、钓鱼测试属 project-based，按单次或多轮计算；云防火墙、DDoS 防护、漏洞扫描属月费／年费订阅；SSL 证书属年费。长期合作客户可获整合方案折扣。
由其他供应商转到 UD 如何处理？
提交查询并注明现有供应商与服务范围，UD 工程师会评估转移工作量、规划 migration 时间表、避免服务空窗期。SSL 转台、防火墙规则汇入、漏洞扫描历史报告汇入等场景均有标准 onboarding workflow。
有没有退款保证？
DDoS 防护提供首 30 日退款保证，30 日内如不满意可申请全额退款。其他 solution 按合约条款处理，详情于提交查询时确认。
仍有问题？联络 UD Security
各解决方案页面均设有专属查询入口可直接提交报价请求；未列于此的查询、媒体合作或夥伴洽谈，欢迎提交一般查询。所有查询由 UD 香港本地团队亲自跟进，不会外判予客服中心。